.webp){kind=small}
Investigadores federais dos EUA que perseguem o grupo de hackers. ShinyHunters, responsável pelo recente roubo de dados altamente sensíveis do FBI, identificaram executivos de duas empresas de negociação de resgates que mantinham relações incomumente próximas com o grupo de extorsão, conforme apurado pelo KrebsOnSecurity. Fontes próximas à investigação afirmam que um dos executivos, nos Estados Unidos, chegou a ajudar o ShinyHunters a operar um site que pressionava as vítimas a pagarem resgates.
Hackers ligados ao ShinyHunters reivindicaram a autoria de dezenas de grandes violações de dados desde 2019, quando o grupo era operado principalmente por cibercriminosos residentes na França. À medida que esses membros originais foram presos ou encarcerados um a um, o controle da marca ShinyHunters passou para "Rey", identificado no ano passado como um hacker adolescente de Amã, na Jordânia. De acordo com o FBI, o ShinyHunters extorquiu mais de US$ 70 milhões de suas vítimas somente neste ano.
No final de setembro, o grupo ShinyHunters invadiu o site de recrutamento do FBI, fbijobs.gov, e provocou a agência ameaçando publicar os arquivos roubados, que supostamente incluíam registros médicos e psicológicos, números de Seguro Social e endereços residenciais, além de informações sobre a unidade e especialização de cada funcionário.
O ataque cibernético ao site de empregos do FBI levou a agência a agir com uma rapidez incomum para prender, deter e interrogar pessoas que tiveram qualquer comunicação com Rey ou outros suspeitos do caso ShinyHunters. A Reuters noticiou em 3 de outubro que Rey havia sido detido pelas autoridades jordanianas e estava cooperando com o FBI.
Rey conseguiu assumir o controle do grupo de hackers porque um de seus supostos membros seniores havia acabado de ser preso. Na noite de 15 de setembro de 2026, as autoridades holandesas prenderam o hacker condenado e suspeito do caso ShinyHunters, Pepijn van der Stap. Segundo relatos, a polícia holandesa usou granadas de efeito moral na tentativa de atordoar e prender Van der Stap enquanto ele estava conectado a várias contas online.
Segundo uma fonte próxima à investigação, as autoridades prenderam Van der Stap enquanto ele usava sua conta de mensagens instantâneas Signal, o que permitiu que elas lessem comunicações recentes com contatos frequentes — incluindo negociadores de ransomware baseados no Canadá e nos Estados Unidos.
Diversas fontes com conhecimento do assunto disseram ao KrebsOnSecurity que as mensagens de Van der Stap foram a chave para desvendar um plano de assassinato por encomenda que veio à tona imediatamente após sua prisão. O canal de notícias holandês RTL noticiou no mês passado que os dois assassinatos supostamente seriam cometidos no exterior e que há indícios de que Van der Stap teria dado a ordem para os ataques (não há indícios de que essas ordens tenham sido cumpridas).
Em 9 de outubro, o KrebsOnSecurity noticiou que o FBI prendeu Edward Dubrovsky, um executivo canadense de cibersegurança de 54 anos, em conexão com a investigação do caso ShinyHunters. Dubrovsky, que recentemente publicou um livro sobre como lidar com extorsão cibernética recomendando sempre dialogar com os hackers, foi acusado de ameaçar divulgar dados roubados ou obtidos por meio de invasão e de interferir no comércio interestadual por meio de extorsão, de acordo com registros judiciais. O Politico informa que os promotores pediram que Dubrovsky permaneça sob custódia até o julgamento e que os registros relacionados ao seu caso permaneçam em sigilo.
Uma fonte próxima à investigação disse ao KrebsOnSecurity que as mensagens de Van der Stap no Signal mostravam que ele tinha conversas frequentes com o Sr. Dubrovsky e com pelo menos um executivo de uma grande empresa de consultoria sediada nos EUA, e que esses executivos muitas vezes sabiam detalhes sobre novas vítimas do ShinyHunters antes mesmo que as próprias vítimas tivessem conhecimento da violação de segurança.
Essa fonte compartilhou outra descoberta potencialmente explosiva dos investigadores federais: as conversas do hacker holandês mostraram que o Sr. Dubrovsky sabia que a ShinyHunters havia roubado dados altamente confidenciais dos servidores do FBI e que ele nunca informou a agência sobre a violação de dados antes de a ShinyHunters ameaçar no Twitter/X publicar os arquivos pessoais da agência, que continham informações extremamente confidenciais.
SHINYWIRE
O KrebsOnSecurity apurou com duas fontes próximas à investigação do caso ShinyHunters que investigadores do FBI acreditam que pelo menos um executivo de uma empresa de consultoria sediada nos EUA teve um papel ativo na operação do extinto site de extorsão de vítimas ShinyHunters, o "shinywire[.]com."
O KrebsOnSecurity não divulgará o nome da empresa americana nem o(s) executivo(s) suspeito(s) por enquanto, pois eles ainda não foram acusados de nenhum crime, mas trata-se de uma empresa de prestígio com mais de 1.000 funcionários.
O site Shinywire esteve ativo de aproximadamente 3 de maio de 2026 até 16 de outubro e continha registros de quase 100 organizações invadidas pelo grupo ShinyHunters. Cada registro incentivava as vítimas a entrar em contato com o grupo de cibercriminosos e discutir os termos de pagamento. As páginas também incluíam amostras de arquivos roubados e prometiam que esses arquivos seriam publicados online caso a vítima ignorasse as exigências.
A captura de tela a seguir mostra uma parte em cache da página de extorsão da Shinywire para a Intuitive Surgical, uma empresa americana de tecnologia médica que sofreu uma violação de segurança em março de 2026, depois que um funcionário caiu em um e-mail de phishing direcionado.
As organizações de vítimas que se recusassem a dialogar ou negociar após sete dias teriam todos os seus dados roubados publicados no blog ShinyHunters, que expõe a situação das vítimas (um site acessível apenas pela rede de anonimato Tor).
Em uma reportagem publicada em 15 de outubro, o jornal The Globe and Mail escreveu que, alguns meses antes de Edward Dubrovsky ser preso pelo FBI, o executivo canadense de segurança cibernética alegou em documentos judiciais que havia se tornado dano colateral em uma campanha de um ex-sócio para "destruir" outro executivo do setor.
A reportagem observou que Dubrovsky entrou com o processo em Ontário este ano contra Daniel Tobok, ex-CEO da Cypfer, uma empresa de cibersegurança fundada em Toronto com escritórios nos EUA, Reino Unido, Holanda, Emirados Árabes Unidos e México. Os dois se tornaram sócios em 2017 e posteriormente desenvolveram a Cypfer juntos, onde Dubrovsky era sócio-gerente e diretor de operações. Mas, em 2024, os dois se desentenderam, com Dubrovsky acusando Tobok de excluí-lo gradualmente das questões comerciais e de tomar "decisões comerciais cada vez mais caprichosas".
Segundo relatos, Tobok negou as acusações e apresentou uma reconvenção, acusando o Sr. Dubrovsky de acessar informações confidenciais e de competir deslealmente com a Cypfer por meio de seu trabalho em outra empresa chamada CyberSteward Inc. Ele também afirmou que o Sr. Dubrovsky se apresentou falsamente como fundador da Cypfer e que não é acionista.
GHOSTBYTE
Segundo entrevistas com vários ex-colegas do Sr. Tobok, há pelo menos oito anos ele era conhecido pelos distribuidores de ransomware por um apelido específico: Ghostbyte. Em 2018, uma empresa canadense foi hackeada pelo Dharma, um prolífico programa afiliado de ransomware em língua russa que surgiu pela primeira vez em 2016. A empresa vítima disse ao representante do ransomware Dharma que estava inclinada a pagar, pois alguns dos arquivos eram irrecuperáveis após o bloqueio, mas que precisava de uma garantia melhor de que o Dharma cumpriria sua palavra caso o pagamento fosse efetuado.
Uma cópia editada da resposta do representante da Dharma está ilustrada abaixo, e mostra que o grupo de ransomware incentivou a vítima a entrar em contato com uma pessoa em uma empresa de TI canadense que auxilia empresas que buscam tais garantias. O representante da Dharma recomendou que a vítima contatasse o endereço de e-mail fornecido.
Se você quer garantias, pode escrever para a empresa de TI”, aconselhou a resposta da Dharma. “Pegue o telefone e negocie com eles. Essa empresa de TI costuma resolver esse tipo de problema no Canadá. Você pode contatá-los e assinar um contrato de serviços. Mesmo assim, você terá que pagar.”
Não está claro se o Sr. Tobok chegou a usar o endereço Ghostbyte fornecido pelo representante da Dharma, e ele não respondeu a vários pedidos de comentários. No entanto, o serviço de rastreamento de violações de segurança Constella Intelligence identificou um endereço de e-mail que o Sr. Tobok usa frequentemente — associado a duas contas online com o nome de usuário "ghostbyte", incluindo uma conta do Snapchat.
Aliás, a Constella também descobriu que o endereço de e-mail do representante da Dharma está associado a um endereço de criptomoeda que processou 38 transações, totalizando 43 bitcoins, o equivalente a cerca de US$ 3,5 milhões em valores atuais (a transação mais recente dessa carteira data de fevereiro de 2019).
Em um comunicado divulgado em 14 de outubro, a Cypfer afirmou que as atividades da empresa não incluem efetuar ou facilitar pagamentos de resgate e que a Cypfer tomou conhecimento da prisão de Dubrovsky quando a notícia foi divulgada pela primeira vez na mídia.
Não tínhamos conhecimento prévio da prisão do Sr. Dubrovsky”, disse um porta-voz ao KrebsOnSecurity por e-mail. “A CYPFER não recebeu nenhum contato das autoridades policiais e, até onde sabemos, não é alvo de nenhuma investigação policial”.
O comunicado afirma que a CyberSteward e a Cypfer são empresas distintas, sem diretores, executivos ou funcionários em comum, e que a Cypfer foi recentemente adquirida pelo Apros Group, uma holding liderada por Jason Hogg, ex-agente especial do FBI e ex-CEO do Aon Cyber Solutions Group. Em 2020, a Aon adquiriu a Cytelligence, uma empresa de consultoria em segurança da qual o Sr. Tobok era fundador e CEO, e o Sr. Dubrovsky era sócio-gerente.
CONFLITO DE INTERESSES
Nos Estados Unidos, não é ilegal pagar a hackers por uma chave de criptografia para desbloquear servidores infectados por ransomware, ou em troca da promessa de excluir quaisquer arquivos roubados e não publicá-los online. Embora as organizações vítimas possam enfrentar sérios problemas legais se pagarem um resgate a um grupo sancionado pelo Departamento do Tesouro dos EUA, o ShinyHunters não está entre os grupos de ransomware atualmente sancionados pelos Estados Unidos ou por qualquer outro governo.
Especialistas afirmam que as vítimas de ransomware geralmente são orientadas por suas seguradoras a contratar uma empresa específica de resposta a incidentes. No entanto, nem todas as empresas de perícia cibernética e resposta a violações de segurança concordam em facilitar pagamentos a grupos de ransomware em nome de seus clientes. Consequentemente, uma vez que as empresas vítimas decidem pagar, aquelas que se recusam a recompensar extorsionistas são invariavelmente substituídas por empresas que não têm tais escrúpulos.
Em dezembro de 2024, o grupo ShinyHunters começou extorquindo a empresa de tecnologia educacional PowerSchool, roubando informações privadas de 62 milhões de alunos e 9,5 milhões de professores nos EUA e Canadá. A PowerSchool teria pago um resgate de US$ 2,85 milhões, e uma declaração de "perguntas frequentes" (PDF) sobre a violação afirma que a PowerSchool contou com a ajuda da CyberSteward nesse esforço (Matthew Lane, de 20 anos, de Sterling, Massachusetts, afiliado ao ShinyHunters, foi condenado em novembro de 2025 a quatro anos de prisão por seu papel confesso no ataque à PowerSchool).
Mas o pagamento do resgate não impediu futuras tentativas de extorsão usando os mesmos dados roubados. Em maio de 2025, vários distritos escolares relataram ter recebido pedidos de resgate distintos, utilizando amostras dos mesmos arquivos roubados. Embora ninguém tenha alegado que o grupo ShinyHunters estivesse por trás da segunda onda de extorsão contra usuários do PowerSchool, o incidente evidencia a realidade de que não há maneira técnica de verificar se os criminosos deletaram os dados roubados, conforme prometido, ou de impedir que outros abusem dos mesmos registros.
Diversas empresas líderes em resposta a incidentes cibernéticos, incluindo a Coveware e a Unit 221B, têm alertado consistentemente as vítimas contra o pagamento à ShinyHunters, observando que os dados "destruídos" das vítimas são frequentemente mantidos, revendidos ou usados posteriormente para extorquir diretamente os clientes da empresa.
O FBI corroborou essas preocupações em um alerta de 15 de maio de 2026, aconselhando as vítimas a não pagarem ao grupo ShinyHunters. Enquanto isso, membros do ShinyHunters têm assediado e ameaçado funcionários da Coveware e da Unidade 221B por oferecerem esse conselho.
As capturas de tela a seguir mostram o quão irritados os líderes do ShinyHunters estavam com os conselhos insistentes da Coveware contra o pagamento ao grupo. A primeira imagem é de uma conversa de 6 de maio de 2026 entre a conta principal do grupo no Telegram e um cúmplice. Nesse chat, trechos do qual foram compartilhados com o KrebsOnSecurity por uma fonte confiável, os membros do ShinyHunters reclamaram que a Coveware estava prejudicando as taxas de pagamento do grupo.
Acessem meu site, a maioria dessas empresas teria pago se não fosse pela Coveware fornecendo informações incorretas”, escreveu a conta ShinyHunters. “Alguém (com certeza a Coveware) está fazendo de tudo para garantir que eu não receba o pagamento.”
Em outra conversa em 11 de abril de 2026, a conta do Telegram ShinyHunters afirmou, em caráter privado, que estavam tentando "eliminar o problema", que, segundo eles, era causado pela Coveware. A Coveware se recusou a comentar para esta reportagem.
Tenho certeza de que a empresa vai pagar, mas neste caso específico estou ciente da Coveware e do seu envolvimento, e provavelmente não tenho conseguido participar de muitas outras negociações, muito provavelmente porque a Coveware continua se intrometendo”, lamentou a conta ShinyHunters.
Mark Camillo é o diretor executivo da CyberAcuView, um grupo do setor fundado em 2021 por um consórcio das principais seguradoras cibernéticas. Camillo afirmou que algumas empresas cobram uma taxa fixa de contratação, enquanto aquelas especializadas em auxiliar empresas na negociação de resgates tendem a cobrar uma porcentagem do valor total pago.
Essa última dinâmica, disse ele, é um conflito de interesses inerente, já que o negociador tem todos os incentivos para tornar as coisas mais favoráveis aos atacantes, porque eles são financeiramente incentivados a negociar e pagar, e não a negociar um preço menor.
A indústria percebeu que muitos dos que pagam resgates em casos de ransomware cobram uma porcentagem do pagamento final, que pode ou não ser divulgada”, disse Camillo. “Isso não faz sentido se eles também são os negociadores. É preciso haver mais transparência no processo, pois ninguém no ecossistema deveria lucrar apenas com o valor da transação ou do pagamento do ransomware em si.”
Camillo afirmou que as empresas que realizam esse trabalho argumentariam que as taxas são necessárias porque pode haver custos inesperadamente mais altos para garantir quantidades maiores de criptomoedas ou mais riscos ao manter a liquidez, e porque as corretoras de criptomoedas podem cobrar taxas mais altas para transações de alto risco.
Definitivamente, é preciso haver mais visibilidade em torno da transação e clareza sobre o aumento do valor da criptomoeda e a porcentagem da corretora na transação para chegar ao fundo da questão e eliminar quaisquer incentivos desalinhados”, disse ele.
Nos últimos meses, o Departamento de Justiça dos EUA processou diversos negociadores de resgates de ransomware acusados de conspirar com cibercriminosos para fraudar seus clientes. Em 7 de outubro, o Departamento de Justiça acusou Zohar Pinhasi, CEO da MonsterCloud, de 50 anos, de fraude eletrônica e conspiração por supostamente cobrar dos clientes para remediar ataques de ransomware sem pagar os hackers. De acordo com os documentos da acusação, Pinhasi agiu secretamente pelas costas de seus clientes e pagou os hackers mesmo assim, totalizando US$ 8 milhões pagos a grupos de ransomware, enquanto cobrava US$ 19 milhões dos clientes.
Em julho, Angelo Martino, um negociador de ransomware de 41 anos de Land O'Lakes, Flórida, foi condenado a 70 meses de prisão por conspirar com o grupo de ransomware Blackcat/ALPHV para extorquir diversas vítimas. De acordo com o Departamento de Justiça dos EUA, Martino era pago pelos atacantes do Blackcat para fornecer informações confidenciais sobre a posição e a estratégia de negociação dos clientes de seu empregador, permitindo que os criminosos maximizassem os resgates pagos pelas vítimas.
.jpg)
.webp)
.jpeg)
.webp)
