Het artikel beschrijft een complex onderzoek naar de hackergroep ShinyHunters, die onlangs gevoelige gegevens van de FBI heeft gestolen. Amerikaanse autoriteiten hebben ontdekt dat diverse ransomware-onderhandelaars, waaronder de Canadees Edward Dubrovsky, ongebruikelijk nauwe banden hadden met de groep.
Belangrijke punten uit het onderzoek zijn:
- Arrestaties: Naast de Jordaanse hacker 'Rey', is ook de Nederlander Pepijn van der Stap opgepakt. Uit zijn Signal-berichten bleek een netwerk van collusie tussen criminelen en cybersecurity-experts.
- Shinywire: Er wordt vermoed dat een bestuurder van een prestigieus Amerikaans consultancybureau hielp bij het beheren van shinywire[.]com, een website die slachtoffers onder druk zette om losgeld te betalen.
- Belangenverstrengeling: Het artikel belicht het ethische probleem waarbij onderhandelaars een percentage van het losgeld als vergoeding ontvangen, wat hen stimuleert om betalingen te faciliteren in plaats van te voorkomen.
- Andere zaken: Het Amerikaanse Department of Justice (DOJ) heeft onlangs ook andere onderhandelaars, zoals Zohar Pinhasi en Angelo Martino, vervolgd wegens fraude en samenspanning met hackers.
Amerikaanse autoriteiten vermoeden dat ransomware-onderhandelaar afpersingssite van ShinyHunters beheerde
Hackers die verbonden zijn aan ShinyHunters claimen sinds 2019 verantwoordelijk te zijn voor tientallen grote datalekken. In die beginperiode werd de groep voornamelijk geleid door cybercriminelen in Frankrijk. Nadat deze oorspronkelijke leden één voor één werden gearresteerd of gevangengezet, ging de controle over het merk ShinyHunters over naar "Rey", vorig jaar geïdentificeerd als een tienerhacker uit Amman, Jordanië. Volgens de FBI heeft ShinyHunters dit jaar tot nu toe meer dan 70 miljoen dollar aan losgeld afgetroggeld van slachtoffers.
Eind september hackte ShinyHunters de wervingswebsite van de FBI, fbijobs.gov. De groep tartte de instantie door te dreigen met het publiceren van de gestolen bestanden. Deze zouden medische en psychologische dossiers, burgerservicenummers (Social Security numbers), huisadressen en informatie over de eenheid en specialisatie van elke werknemer bevatten.
De hack van de FBI-vacaturensite heeft ertoe geleid dat de agentie met ongebruikelijke snelheid overgaat tot het arresteren, vastzetten en ondervragen van personen die contact hadden met Rey of andere verdachten van ShinyHunters. Reuters meldde op 3 oktober dat Rey was aangehouden door de Jordaanse autoriteiten en meewerkt met de FBI.
Arrestaties en bewijsmateriaal: Pepijn van der Stap en Edward Dubrovsky
Rey kon de controle over de hackergroep overnemen omdat een van de vermeende senior leden net was opgepakt. Op de avond van 15 september 2026 arresteerden autoriteiten in Nederland de veroordeelde hacker en ShinyHunters-verdachte Pepijn van der Stap. De Nederlandse politie maakte naar verluidt gebruik van flash-bang granaten om Van der Stap te stunnen en gevangen te nemen terwijl hij was ingelogd op diverse online accounts.
Volgens een bron dicht bij het onderzoek werd Van der Stap gearresteerd terwijl hij zijn Signal-account gebruikte. Hierdoor konden autoriteiten recente communicatie inzien met frequente contacten, waaronder ransomware-onderhandelaars in Canada en de Verenigde Staten.
Verschillende bronnen vertelden aan KrebsOnSecurity dat de berichten van Van der Stap de sleutel waren tot het ontrafelen van een complot voor een huurmoord dat direct na zijn arrestatie naar boven kwam. Het Nederlandse medium RTL meldde vorige maand dat de twee moorden vermoedelijk in het buitenland gepleegd zouden worden en dat er aanwijzingen zijn dat Van der Stap de opdracht voor de aanvallen gaf (er is geen indicatie dat deze opdrachten ooit zijn uitgevoerd).
Op 9 oktober maakte KrebsOnSecurity bekend dat de FBI een 54-jarige Canadese cybersecurity-bestuurder genaamd Edward Dubrovsky heeft gearresteerd in verband met het onderzoek naar ShinyHunters. Dubrovsky, die onlangs een boek publiceerde over het omgaan met cyberafpersing waarin hij adviseerde om altijd met hackers in contact te gaan, is volgens gerechtelijke documenten beschuldigd van het dreigen met het openbaren van gestolen of gehackte gegevens en het belemmeren van interstatenhandel door middel van afpersing. Politico meldt dat de aanklagers hebben verzocht om Dubrovsky in bewaring te houden in afwachting van het proces en dat de dossiers rond zijn zaak geheim blijven.
Een bron dicht bij het onderzoek vertelde dat de Signal-berichten van Van der Stap frequente gesprekken lieten zien met Dubrovsky en met minstens één bestuurder bij een groot Amerikaans consultancybureau. Deze bestuurders wisten vaak al details over nieuwe slachtoffers van ShinyHunters voordat de slachtoffers zelf op de hoogte waren van het datalek.
De bron deelde daarnaast een potentieel explosieve ontdekking: uit de chats van de Nederlandse hacker bleek dat Dubrovsky wist dat ShinyHunters zeer gevoelige gegevens van FBI-servers had gestolen, maar dat hij het bureau hierover nooit had geïnformeerd voordat ShinyHunters op Twitter/X dreigde met het publiceren van de persoonlijke personeelsdossiers.
Shinywire: De infrastructuur voor afpersing
FBI-onderzoekers vermoeden dat minstens één bestuurder bij een prestigieus Amerikaans consultancybureau (met meer dan 1.000 medewerkers) een actieve rol speelde bij het beheren van de inmiddels offline website "shinywire[.]com". De naam van het bedrijf en de betreffende persoon worden momenteel niet genoemd omdat er nog geen officiële aanklacht is ingediend.
De Shinywire-website was actief van ongeveer 3 mei 2026 tot 16 oktober en bevatte vermeldingen van bijna 100 organisaties die door ShinyHunters waren gehackt. Elke vermelding drong slachtoffers aan om contact op te nemen met de cybercrimegroep om betalingsvoorwaarden te bespreken. De pagina's bevatten ook samples van gestolen bestanden en de belofte dat deze online zouden worden gepubliceerd als het slachtoffer de eisen negeerde.
Een voorbeeld hiervan was de afpersingspagina voor Intuitive Surgical, een Amerikaans medisch technologiebedrijf dat in maart 2026 werd gehackt nadat een werknemer ten prooi viel aan een gerichte phishing-mail. Organisaties die weigerden te onderhandelen binnen zeven dagen, zagen hun gestolen data gepubliceerd worden op de "victim shaming blog" van ShinyHunters (een website die alleen bereikbaar is via het Tor-netwerk).
Ghostbyte en de rol van Daniel Tobok
In een artikel van 15 oktober schreef The Globe and Mail dat Edward Dubrovsky kort voor zijn arrestatie in gerechtelijke documenten beweerde dat hij "collateral damage" was in een campagne van een voormalige zakenpartner om een andere sectorbestuurder te "vernietigen". Dubrovsky spande dit jaar in Ontario een rechtszaak aan tegen Daniel Tobok, de voormalige CEO van Cypfer, een cybersecuritybedrijf met kantoren in onder andere de VS, Groot-Brittannië en Nederland. De twee waren sinds 2017 zakenpartners, maar kregen in 2024 ruzie.
Tobok ontkende de beschuldigingen en diende een tegenclaim in, waarin hij Dubrovsky beschuldigde van het ongeoorloofd raadplegen van vertrouwelijke informatie en oneerlijke concurrentie via een ander bedrijf genaamd CyberSteward Inc.
Volgens interviews met voormalige collega's van Tobok stond hij acht jaar geleden al bekend bij aanbieders van ransomware onder de bijnaam "Ghostbyte". In 2018 werd een Canadees bedrijf gehackt door Dharma, een Russischtalig ransomware-programma. De vertegenwoordiger van Dharma adviseerde het slachtoffer om contact op te nemen met een persoon bij een Canadees IT-bedrijf voor garanties over de betaling, via het e-mailadres ghostbyte@tutanota.com.
Hoewel het onduidelijk is of Tobok dit specifieke adres heeft gebruikt, vond de trackingdienst Constella Intelligence dat een e-mailadres dat Tobok vaak gebruikte (dtobok@me.com) gekoppeld is aan twee online accounts met de gebruikersnaam "ghostbyte", waaronder een Snapchat-account.
Cypfer verklaarde op 14 oktober dat hun bedrijfsactiviteiten geen ransomware-betalingen omvatten en dat zij pas via de media hoorden van de arrestatie van Dubrovsky. Tevens werd vermeld dat Cypfer onlangs is overgenomen door de Apros Group, geleid door Jason Hogg, een voormalig FBI-special agent.
Belangenverstrengeling in de sector van ransomware-onderhandelingen
Het is in de Verenigde Staten niet illegaal om hackers te betalen voor een ontsleutelingssleutel of de belofte om gestolen bestanden te verwijderen, tenzij de groep gesanctioneerd is door het Amerikaanse ministerie van Financiën. ShinyHunters staat momenteel niet op die lijst.
Experts merken op dat er een inherent risico is bij het betalen van losgeld. In december 2024 begon ShinyHunters de educatietechnologie-onderneming PowerSchool af te persen na de diefstal van gegevens van 62 miljoen studenten en 9,5 miljoen leraren. PowerSchool betaalde naar verluidt 2,85 miljoen dollar, waarbij zij werden bijgestaan door CyberSteward. Ondanks deze betaling volgden in mei 2025 nieuwe afpersingspogingen op individuele schooldistricten met dezelfde gestolen gegevens. Dit illustreert dat er geen technische manier is om te verifiëren of hackers data daadwerkelijk hebben verwijderd.
Verschillende incident response-firma's, waaronder Coveware en Unit 221B, waarschuwen slachtoffers consequent om niet te betalen aan ShinyHunters. ShinyHunters-leden hebben medewerkers van deze firma's vervolgens lastiggevallen en bedreigd. Uit Telegram-chats blijkt dat de leiders van ShinyHunters klaagden dat Coveware hun "betalingspercentages" schaadde door slachtoffers onjuiste informatie te geven.
Financiële prikkels en ethiek
Mark Camillo, CEO van CyberAcuView, wijst op een groot conflict van belangen: sommige onderhandelaars rekenen een percentage van het uiteindelijke losgeld als vergoeding. Dit geeft de onderhandelaar een financiële prikkel om de betaling te faciliteren en de prijs niet te veel omlaag te onderhandelen. Camillo pleit voor meer transparantie, omdat niemand in het ecosysteem zou moeten profiteren van de omvang van een ransomware-transactie.
Recente vervolgingen door het Department of Justice (DOJ)
Het Amerikaanse Ministerie van Justitie heeft onlangs verschillende ransomware-onderhandelaars vervolgd die samenspannen met cybercriminelen om hun eigen klanten te bedriegen:
- Zohar Pinhasi: De CEO van MonsterCloud werd op 7 oktober beschuldigd van fraude. Hij zou klanten hebben gefactureerd voor het herstellen van aanvallen zonder de hackers te betalen, terwijl hij stiekem toch 8 miljoen dollar aan de hackers betaalde en 19 miljoen dollar aan klanten in rekening bracht.
- Angelo Martino: Deze onderhandelaar uit Florida werd in juli veroordeeld tot 70 maanden gevangenisstraf. Hij werkte samen met de Blackcat/ALPHV-groep en leverde vertrouwelijke informatie over de onderhandelingsstrategieën van zijn klanten aan de aanvallers, zodat zij het losgeld konden maximaliseren.
Amerikaanse autoriteiten vermoeden dat ransomware-onderhandelaar afpersingssite van ShinyHunters beheerde
Hackers die verbonden zijn aan ShinyHunters claimen sinds 2019 verantwoordelijk te zijn voor tientallen grote datalekken. In die beginperiode werd de groep voornamelijk geleid door cybercriminelen in Frankrijk. Nadat deze oorspronkelijke leden één voor één werden gearresteerd of gevangengezet, ging de controle over het merk ShinyHunters over naar "Rey", vorig jaar geïdentificeerd als een tienerhacker uit Amman, Jordanië. Volgens de FBI heeft ShinyHunters dit jaar tot nu toe meer dan 70 miljoen dollar aan losgeld afgetroggeld van slachtoffers.
Eind september hackte ShinyHunters de wervingswebsite van de FBI, fbijobs.gov. De groep tartte de instantie door te dreigen met het publiceren van de gestolen bestanden. Deze zouden medische en psychologische dossiers, burgerservicenummers (Social Security numbers), huisadressen en informatie over de eenheid en specialisatie van elke werknemer bevatten.
De hack van de FBI-vacaturensite heeft ertoe geleid dat de agentie met ongebruikelijke snelheid overgaat tot het arresteren, vastzetten en ondervragen van personen die contact hadden met Rey of andere verdachten van ShinyHunters. Reuters meldde op 3 oktober dat Rey was aangehouden door de Jordaanse autoriteiten en meewerkt met de FBI.
Arrestaties en bewijsmateriaal: Pepijn van der Stap en Edward Dubrovsky
Rey kon de controle over de hackergroep overnemen omdat een van de vermeende senior leden net was opgepakt. Op de avond van 15 september 2026 arresteerden autoriteiten in Nederland de veroordeelde hacker en ShinyHunters-verdachte Pepijn van der Stap. De Nederlandse politie maakte naar verluidt gebruik van flash-bang granaten om Van der Stap te stunnen en gevangen te nemen terwijl hij was ingelogd op diverse online accounts.
Volgens een bron dicht bij het onderzoek werd Van der Stap gearresteerd terwijl hij zijn Signal-account gebruikte. Hierdoor konden autoriteiten recente communicatie inzien met frequente contacten, waaronder ransomware-onderhandelaars in Canada en de Verenigde Staten.
Verschillende bronnen vertelden aan KrebsOnSecurity dat de berichten van Van der Stap de sleutel waren tot het ontrafelen van een complot voor een huurmoord dat direct na zijn arrestatie naar boven kwam. Het Nederlandse medium RTL meldde vorige maand dat de twee moorden vermoedelijk in het buitenland gepleegd zouden worden en dat er aanwijzingen zijn dat Van der Stap de opdracht voor de aanvallen gaf (er is geen indicatie dat deze opdrachten ooit zijn uitgevoerd).
Op 9 oktober maakte KrebsOnSecurity bekend dat de FBI een 54-jarige Canadese cybersecurity-bestuurder genaamd Edward Dubrovsky heeft gearresteerd in verband met het onderzoek naar ShinyHunters. Dubrovsky, die onlangs een boek publiceerde over het omgaan met cyberafpersing waarin hij adviseerde om altijd met hackers in contact te gaan, is volgens gerechtelijke documenten beschuldigd van het dreigen met het openbaren van gestolen of gehackte gegevens en het belemmeren van interstatenhandel door middel van afpersing. Politico meldt dat de aanklagers hebben verzocht om Dubrovsky in bewaring te houden in afwachting van het proces en dat de dossiers rond zijn zaak geheim blijven.
Een bron dicht bij het onderzoek vertelde dat de Signal-berichten van Van der Stap frequente gesprekken lieten zien met Dubrovsky en met minstens één bestuurder bij een groot Amerikaans consultancybureau. Deze bestuurders wisten vaak al details over nieuwe slachtoffers van ShinyHunters voordat de slachtoffers zelf op de hoogte waren van het datalek.
De bron deelde daarnaast een potentieel explosieve ontdekking: uit de chats van de Nederlandse hacker bleek dat Dubrovsky wist dat ShinyHunters zeer gevoelige gegevens van FBI-servers had gestolen, maar dat hij het bureau hierover nooit had geïnformeerd voordat ShinyHunters op Twitter/X dreigde met het publiceren van de persoonlijke personeelsdossiers.
Shinywire: De infrastructuur voor afpersing
FBI-onderzoekers vermoeden dat minstens één bestuurder bij een prestigieus Amerikaans consultancybureau (met meer dan 1.000 medewerkers) een actieve rol speelde bij het beheren van de inmiddels offline website "shinywire[.]com". De naam van het bedrijf en de betreffende persoon worden momenteel niet genoemd omdat er nog geen officiële aanklacht is ingediend.
De Shinywire-website was actief van ongeveer 3 mei 2026 tot 16 oktober en bevatte vermeldingen van bijna 100 organisaties die door ShinyHunters waren gehackt. Elke vermelding drong slachtoffers aan om contact op te nemen met de cybercrimegroep om betalingsvoorwaarden te bespreken. De pagina's bevatten ook samples van gestolen bestanden en de belofte dat deze online zouden worden gepubliceerd als het slachtoffer de eisen negeerde.
Een voorbeeld hiervan was de afpersingspagina voor Intuitive Surgical, een Amerikaans medisch technologiebedrijf dat in maart 2026 werd gehackt nadat een werknemer ten prooi viel aan een gerichte phishing-mail. Organisaties die weigerden te onderhandelen binnen zeven dagen, zagen hun gestolen data gepubliceerd worden op de "victim shaming blog" van ShinyHunters (een website die alleen bereikbaar is via het Tor-netwerk).
Ghostbyte en de rol van Daniel Tobok
In een artikel van 15 oktober schreef The Globe and Mail dat Edward Dubrovsky kort voor zijn arrestatie in gerechtelijke documenten beweerde dat hij "collateral damage" was in een campagne van een voormalige zakenpartner om een andere sectorbestuurder te "vernietigen". Dubrovsky spande dit jaar in Ontario een rechtszaak aan tegen Daniel Tobok, de voormalige CEO van Cypfer, een cybersecuritybedrijf met kantoren in onder andere de VS, Groot-Brittannië en Nederland. De twee waren sinds 2017 zakenpartners, maar kregen in 2024 ruzie.
Tobok ontkende de beschuldigingen en diende een tegenclaim in, waarin hij Dubrovsky beschuldigde van het ongeoorloofd raadplegen van vertrouwelijke informatie en oneerlijke concurrentie via een ander bedrijf genaamd CyberSteward Inc.
Volgens interviews met voormalige collega's van Tobok stond hij acht jaar geleden al bekend bij aanbieders van ransomware onder de bijnaam "Ghostbyte". In 2018 werd een Canadees bedrijf gehackt door Dharma, een Russischtalig ransomware-programma. De vertegenwoordiger van Dharma adviseerde het slachtoffer om contact op te nemen met een persoon bij een Canadees IT-bedrijf voor garanties over de betaling, via het e-mailadres ghostbyte@tutanota.com.
Hoewel het onduidelijk is of Tobok dit specifieke adres heeft gebruikt, vond de trackingdienst Constella Intelligence dat een e-mailadres dat Tobok vaak gebruikte (dtobok@me.com) gekoppeld is aan twee online accounts met de gebruikersnaam "ghostbyte", waaronder een Snapchat-account.
Cypfer verklaarde op 14 oktober dat hun bedrijfsactiviteiten geen ransomware-betalingen omvatten en dat zij pas via de media hoorden van de arrestatie van Dubrovsky. Tevens werd vermeld dat Cypfer onlangs is overgenomen door de Apros Group, geleid door Jason Hogg, een voormalig FBI-special agent.
Belangenverstrengeling in de sector van ransomware-onderhandelingen
Het is in de Verenigde Staten niet illegaal om hackers te betalen voor een ontsleutelingssleutel of de belofte om gestolen bestanden te verwijderen, tenzij de groep gesanctioneerd is door het Amerikaanse ministerie van Financiën. ShinyHunters staat momenteel niet op die lijst.
Experts merken op dat er een inherent risico is bij het betalen van losgeld. In december 2024 begon ShinyHunters de educatietechnologie-onderneming PowerSchool af te persen na de diefstal van gegevens van 62 miljoen studenten en 9,5 miljoen leraren. PowerSchool betaalde naar verluidt 2,85 miljoen dollar, waarbij zij werden bijgestaan door CyberSteward. Ondanks deze betaling volgden in mei 2025 nieuwe afpersingspogingen op individuele schooldistricten met dezelfde gestolen gegevens. Dit illustreert dat er geen technische manier is om te verifiëren of hackers data daadwerkelijk hebben verwijderd.
Verschillende incident response-firma's, waaronder Coveware en Unit 221B, waarschuwen slachtoffers consequent om niet te betalen aan ShinyHunters. ShinyHunters-leden hebben medewerkers van deze firma's vervolgens lastiggevallen en bedreigd. Uit Telegram-chats blijkt dat de leiders van ShinyHunters klaagden dat Coveware hun "betalingspercentages" schaadde door slachtoffers onjuiste informatie te geven.
Financiële prikkels en ethiek
Mark Camillo, CEO van CyberAcuView, wijst op een groot conflict van belangen: sommige onderhandelaars rekenen een percentage van het uiteindelijke losgeld als vergoeding. Dit geeft de onderhandelaar een financiële prikkel om de betaling te faciliteren en de prijs niet te veel omlaag te onderhandelen. Camillo pleit voor meer transparantie, omdat niemand in het ecosysteem zou moeten profiteren van de omvang van een ransomware-transactie.
Recente vervolgingen door het Department of Justice (DOJ)
Het Amerikaanse Ministerie van Justitie heeft onlangs verschillende ransomware-onderhandelaars vervolgd die samenspannen met cybercriminelen om hun eigen klanten te bedriegen:
- Zohar Pinhasi: De CEO van MonsterCloud werd op 7 oktober beschuldigd van fraude. Hij zou klanten hebben gefactureerd voor het herstellen van aanvallen zonder de hackers te betalen, terwijl hij stiekem toch 8 miljoen dollar aan de hackers betaalde en 19 miljoen dollar aan klanten in rekening bracht.
- Angelo Martino: Deze onderhandelaar uit Florida werd in juli veroordeeld tot 70 maanden gevangenisstraf. Hij werkte samen met de Blackcat/ALPHV-groep en leverde vertrouwelijke informatie over de onderhandelingsstrategieën van zijn klanten aan de aanvallers, zodat zij het losgeld konden maximaliseren.
Groetjes,