ФБР записало видео в духе «сдавайтесь по-хорошему» для хакеров группировки ShinyHunters

ФБР записало видеообращение к оставшимся участникам ShinyHunters и предложило им сдаться самим, пока следователи не добрались до каждого лично. Поводом стал арест 24-летнего жителя Амстердама, которого нидерландская полиция подозревает в связях с группировкой и участии в преступной организации. Сама ShinyHunters заявила о взломе систем ФБР и краже от двух до трёх ТБ данных.

Нидерландская полиция задержала мужчину 15 сентября и полезла в его ноутбук. Внутри нашёлся архив, а в нём сведения о двух убийствах, которые планировали провернуть за границей. По версии следователей, подозреваемый мог отдать распоряжение об этих преступлениях. ФБР после ареста получило новые сведения о деятельности группы и продолжает вычислять, кто скрывается за никами. Классика жанра, когда весь конспиративный квест упирается в один ноутбук. Нидерландские власти обозначили свою позицию по трём пунктам:

• Роттердамский окружной суд 29 сентября оставил подозреваемого под стражей минимум на 90 дней;
• полиция не исключила новых задержаний;
• задержание 15 сентября не связано с расследованием взлома оператора связи Odido, который ранее тоже приписывали ShinyHunters.

Интересно, что призыв ФБР прозвучал вскоре после заявления ShinyHunters о взломе самого бюро. Совпадение по времени получилось эффектное.

Видеообращение записал Бретт Литермэн, заместитель помощника директора киберподразделения ФБР. Он заявил, что следствие продолжает собирать информацию о группе, а изъятые устройства и инфраструктура помогают выстраивать связи между её участниками. Чем больше устройств и серверов оказывается у следствия, тем проще сопоставлять ники, аккаунты и переписки, и в группах вроде этой начинается нервная бухгалтерия из серии «кто кого сдаст первым».

Литермэн также рассказал, что после арестов часть участников преступных групп начинает сотрудничать со следствием. ФБР предупредило, что участники ShinyHunters уже находятся в поле зрения, и предложило выйти на связь до того, как следователи вычислят их местонахождение и накопят новые доказательства. Это классическое «приходи сам, будет мягче» в формате ролика.

По данным ФБР, ShinyHunters и связанные с ней сообщники с прошлого года взломали более 140 организаций и получили не менее $70 млн вымогательских выплат. Хакеры лезут в корпоративные SSO-аккаунты, к поставщикам и в облачные SaaS-платформы, среди громких целей фигурировали Salesforce и Snowflake. Сначала данные утекают, потом приходит письмо с требованием денег под угрозой публикации. Шифровальщик тут не нужен, хватает обещания выложить дамп в открытый доступ.

Отдельный фокус с подрядчиками. Взломай одного поставщика и получишь доступ сразу к нескольким клиентам, а точка входа окажется за периметром жертвы, поэтому часть защитных механизмов просто не успевает сработать. Российским компаниям, у которых в контуре живут зарубежные SaaS и подрядчики с широкими правами, есть что проверить в первую очередь:

• права подрядчиков и поставщиков в облачных сервисах;
• защиту SSO-аккаунтов и вход с незнакомых устройств;
• журналы массовых выгрузок данных из SaaS.

ShinyHunters заявила, что взломала системы самого ФБР через неизвестную ранее уязвимость в Oracle PeopleSoft и вынесла от двух до трёх ТБ данных. Для доказательства группа передала журналистам образец примерно из 5000 записей о сотрудниках бюро. Если зеродей реален, он касается не только американских госструктур. Уязвимость нулевого дня в корпоративной системе для кадров и финансов — мечта любого вымогателя.

PeopleSoft стоит в проде у множества организаций по всему миру, в российских корпорациях он тоже встречается, поэтому админам лучше следить за вендорскими бюллетенями и закрыть доступ к системе из внешней сети. Издания 404 Media и Reuters сообщили следующее:

• в образце нашлись имена и персональные данные сотрудников Remote Operations Unit, закрытого подразделения, связанного с операциями по взлому компьютерных систем;
• среди затронутых были специалисты, которые работали по расследованиям, связанным с Китаем и Россией;
• раскрытие таких данных может затронуть людей, занятых в расследованиях и разведывательной работе.

Стоит обратить внимание, что способ проникновения, объём украденных данных и мотивы взлома пока описаны со слов самой ShinyHunters.

ShinyHunters заявила, что атака на ФБР не связана с деньгами и не была попыткой вымогательства. По версии группы, взлом понадобился, чтобы оспорить ранее опубликованное предупреждение бюро о её тактиках, и спорить с ФБР о собственном имидже взломом самого ФБР — выбор смелый. Само предупреждение описывало типичные приёмы связанных с группировкой злоумышленников:

• преувеличение объёма полученного доступа к конфиденциальной информации;
• преследование жертв и их родственников;
• организация ложных вызовов полиции;
• заявления о наличии компрометирующих материалов.

Эксперты CISOCLUB отметили, что публичное видеообращение ФБР работает как инструмент психологического давления и рассчитано на тех, кто уже подумывает о выходе из игры. Один арест обычно даёт следователям ноутбуки, переписки и связи, а из них выстраивается цепочка к остальным участникам. Если сведения о двух убийствах подтвердятся, группа из разряда вымогателей перейдёт в категорию организованной преступности с насилием, и реакция силовиков станет жёстче.

Утечка данных о сотрудниках ФБР повышает риск целевого фишинга и давления на самих сотрудников, а это уже вопрос личной безопасности людей. Атаки через SSO, подрядчиков и облачные сервисы остаются рабочими, потому что защита обычно строится вокруг периметра, а не вокруг учётных записей. Компаниям, в том числе российским, лучше строить контроль вокруг идентификации, ограничивать права поставщиков и следить за аномальными выгрузками данных.

Ранее сообщалось, что 22 августа 2026 года сотрудник компании ReliaQuest передал пароль и подтвердил запрос многофакторной аутентификации после разговора с человеком, представившимся специалистом службы безопасности. В результате злоумышленники из группировки ShinyHunters на короткое время получили доступ к панели идентификации Okta, но не смогли проникнуть в рабочие приложения или получить данные клиентов. При этом ReliaQuest и атакующие по-разному оценили масштаб инцидента. Перед атакой хакеры зарегистрировали домен, похожий на корпоративный, и разместили на нём копию страницы единого входа. После этого они обзванивали сотрудников ReliaQuest, представлялись конкретными специалистами внутренней службы безопасности и убеждали их перейти по ссылке для повторной авторизации.