Hacker aus dem Umfeld von ShinyHunters reklamieren seit 2019 Dutzende großer Datenabflüsse für sich. Anfangs wurde die Gruppe überwiegend von Cyberkriminellen mit Wohnsitz in Frankreich betrieben. Nachdem diese Mitglieder nach und nach festgenommen oder inhaftiert worden waren, ging die Kontrolle über die Marke ShinyHunters schließlich an „Rey" über, der im vergangenen Jahr als jugendlicher Hacker aus Amman in Jordanien identifiziert wurde. Nach Angaben des FBI hat ShinyHunters allein in diesem Jahr mehr als 70 Millionen US-Dollar von Opfern erpresst.

Ende September drangen die Angreifer in die FBI-Rekrutierungswebsite fbijobs.gov ein und verhöhnten die Behörde mit der Drohung, die erbeuteten Dateien zu veröffentlichen. Darin sollen sich medizinische und psychologische Unterlagen, Sozialversicherungsnummern und Privatadressen sowie Angaben zu Einheit und Spezialisierung einzelner Beschäftigter befunden haben. Der Angriff auf die Jobplattform hat das FBI dazu veranlasst, mit ungewöhnlichem Tempo Personen festzunehmen, in Gewahrsam zu nehmen und zu befragen, die in irgendeiner Form mit Rey oder anderen ShinyHunters-Verdächtigen kommuniziert hatten. Reuters berichtete am 3. Oktober, Rey sei von den jordanischen Behörden in Gewahrsam genommen worden und arbeite mit dem FBI zusammen.

Dass Rey die Führung der Gruppe übernehmen konnte, hing mit der Festnahme eines mutmaßlich ranghohen Mitglieds zusammen: Am Abend des 15. September 2026 nahmen die Behörden in den Niederlanden den vorbestraften Hacker und ShinyHunters-Verdächtigen Pepijn van der Stap fest. Die niederländische Polizei soll dabei Blendgranaten eingesetzt haben, um Van der Stap zu überwältigen, während er in diversen Online-Konten eingeloggt war.

Nach Angaben einer mit den Ermittlungen vertrauten Person erfolgte die Festnahme, während Van der Stap seinen Signal-Messenger nutzte. Dadurch konnten die Ermittler die jüngsten Unterhaltungen mit häufigen Kontakten mitlesen – darunter Ransomware-Verhandler mit Sitz in Kanada und in den Vereinigten Staaten.

Mehrere mit dem Vorgang vertraute Personen erklärten, die Nachrichten Van der Staps seien der Schlüssel zur Aufklärung eines Auftragsmord-Komplotts gewesen, das unmittelbar nach seiner Festnahme zutage trat. Das niederländische Medienhaus RTL berichtete im vergangenen Monat, die beiden Morde hätten im Ausland begangen werden sollen; es gebe Hinweise darauf, dass Van der Stap die Aufträge erteilt habe. Anhaltspunkte dafür, dass die Aufträge jemals ausgeführt wurden, gibt es nicht.

Festnahme eines kanadischen Managers

Am 9. Oktober wurde bekannt, dass das FBI im Zusammenhang mit den ShinyHunters-Ermittlungen den 54-jährigen kanadischen Cybersicherheitsmanager Edward Dubrovsky festgenommen hat. Dubrovsky, der kürzlich ein Buch über den Umgang mit Cybererpressung veröffentlichte, in dem er dazu riet, stets mit den Hackern in Kontakt zu treten, wurde laut Gerichtsunterlagen angeklagt, mit der Offenlegung gestohlener oder erbeuteter Daten gedroht und den zwischenstaatlichen Handel durch Erpressung beeinträchtigt zu haben. Politico berichtet, die Staatsanwaltschaft habe beantragt, Dubrovsky bis zum Prozess in Haft zu belassen und die Unterlagen zu seinem Verfahren weiterhin unter Verschluss zu halten.

Eine mit den Ermittlungen vertraute Person erklärte, Van der Staps Signal-Nachrichten belegten häufige Gespräche mit Dubrovsky sowie mit mindestens einer Führungskraft einer großen US-amerikanischen Beratungsfirma. Diese Manager hätten Einzelheiten über neue ShinyHunters-Opfer oft gekannt, bevor die Opfer selbst von dem Einbruch erfahren hatten.

Dieselbe Quelle nannte einen weiteren potenziell brisanten Befund der Bundesermittler: Aus den Chats des niederländischen Hackers gehe hervor, dass Dubrovsky von dem Diebstahl hochsensibler Daten von FBI-Servern durch ShinyHunters wusste – und dass er die Behörde darüber nicht informierte, bevor ShinyHunters auf Twitter/X damit drohte, die höchstpersönlichen Personalakten zu veröffentlichen.

Die Erpressungsseite Shinywire

Zwei mit den ShinyHunters-Ermittlungen vertraute Personen berichteten, FBI-Ermittler gingen davon aus, dass mindestens eine Führungskraft einer US-amerikanischen Beratungsfirma eine aktive Rolle beim Betrieb der inzwischen abgeschalteten Erpressungsseite „shinywire[.]com" gespielt habe. Das Unternehmen und die verdächtigten Manager werden vorerst nicht benannt, da bislang keine Anklage erhoben wurde; es handelt sich um eine angesehene Firma mit mehr als 1.000 Mitarbeitern.

Die Shinywire-Website war etwa vom 3. Mai 2026 bis zum 16. Oktober aktiv und enthielt Einträge zu nahezu 100 von ShinyHunters angegriffenen Organisationen. Jeder Eintrag forderte die Opfer auf, Kontakt mit der Cybercrime-Gruppe aufzunehmen und über Zahlungsmodalitäten zu verhandeln. Die Seiten enthielten zudem Stichproben entwendeter Dateien und das Versprechen, diese Dateien online zu veröffentlichen, falls die Forderungen ignoriert würden. Eine der Erpressungsseiten betraf das US-Medizintechnikunternehmen Intuitive Surgical, bei dem im März 2026 eingebrochen wurde, nachdem ein Mitarbeiter auf eine gezielte Phishing-Mail hereingefallen war.

Opferorganisationen, die sich nach sieben Tagen nicht auf Gespräche oder Verhandlungen einließen, fanden ihre gesamten gestohlenen Daten auf dem Leak-Blog von ShinyHunters veröffentlicht – einer Website, die nur über das Anonymisierungsnetzwerk Tor erreichbar ist.

Streit zwischen früheren Geschäftspartnern

In einem am 15. Oktober veröffentlichten Beitrag schrieb The Globe and Mail, Edward Dubrovsky habe wenige Monate vor seiner Festnahme durch das FBI in Gerichtsunterlagen geltend gemacht, er sei zum Kollateralschaden einer Kampagne eines früheren Geschäftspartners geworden, der eine andere Führungskraft der Branche „zerstören" wollte.

Demnach reichte Dubrovsky in diesem Jahr in Ontario eine Klage gegen Daniel Tobok ein, den früheren Vorstandschef von Cypfer – einer in Toronto gegründeten Cybersicherheitsfirma mit Niederlassungen in den USA, Großbritannien, den Niederlanden, den Vereinigten Arabischen Emiraten und Mexiko. Die beiden wurden 2017 erstmals Geschäftspartner und bauten später gemeinsam Cypfer auf, wo Dubrovsky Managing Partner und Chief Operating Officer war. Bis 2024 zerstritten sie sich; Dubrovsky wirft Tobok vor, ihn schrittweise aus Geschäftsangelegenheiten ausgeschlossen und „zunehmend willkürliche unternehmerische Entscheidungen" getroffen zu haben.

Tobok wies die Vorwürfe zurück und reichte eine Widerklage ein. Darin beschuldigt er Dubrovsky, auf vertrauliche Informationen zugegriffen und Cypfer über die Tätigkeit bei einer anderen Firma namens CyberSteward Inc. unlauter Konkurrenz gemacht zu haben. Zudem habe Dubrovsky sich fälschlich als Mitgründer von Cypfer ausgegeben und sei kein Anteilseigner.

Der Spitzname Ghostbyte

Mehrere frühere Kollegen Toboks berichteten, er sei bereits vor acht Jahren bei Ransomware-Akteuren unter einem bestimmten Spitznamen bekannt gewesen: Ghostbyte. 2018 wurde ein kanadisches Unternehmen von Dharma angegriffen, einem umtriebigen russischsprachigen Ransomware-Partnerprogramm, das erstmals 2016 auftauchte. Das betroffene Unternehmen teilte dem Dharma-Vertreter mit, man neige zur Zahlung, weil ein Teil der verschlüsselten Dateien nicht wiederherstellbar sei, benötige aber eine bessere Zusicherung, dass Dharma nach einer Zahlung Wort halte.

In der Antwort verwies die Ransomware-Gruppe das Opfer an eine Person bei einer kanadischen IT-Firma, die Unternehmen bei der Suche nach solchen Garantien helfe. Empfohlen wurde die Kontaktaufnahme über die E-Mail-Adresse ghostbyte@tutanota.com. „Wenn Sie Garantien wollen, können Sie der IT-Firma schreiben", hieß es in der Dharma-Antwort. „Greifen Sie zum Telefon und verhandeln Sie mit ihnen. Diese IT-Firma löst solche Probleme in Kanada häufig. Sie können sie kontaktieren und einen Dienstleistungsvertrag abschließen. Zahlen müssen Sie trotzdem."

Ob Tobok diese Ghostbyte-Adresse jemals genutzt hat, ist unklar; auf mehrfache Bitten um Stellungnahme reagierte er nicht. Der Datenleck-Dienst Constella Intelligence stellt allerdings fest, dass eine von Tobok häufig verwendete E-Mail-Adresse – dtobok@me.com – mit zwei Online-Konten verknüpft ist, bei denen der gewählte Nutzername „ghostbyte" lautete, darunter ein Snapchat-Konto.

Constella ordnet zudem die E-Mail-Adresse des Dharma-Vertreters, luckygoodlucky@tuta.io, einer Kryptowährungsadresse zu, über die 38 Transaktionen mit insgesamt 43 Bitcoin abgewickelt wurden – nach heutigem Wert rund 3,5 Millionen US-Dollar. Die jüngste Transaktion dieser Wallet datiert auf Februar 2019.

Stellungnahme von Cypfer

In einer am 14. Oktober veröffentlichten Erklärung teilte Cypfer mit, das Geschäft des Unternehmens umfasse weder das Leisten noch das Ermöglichen von Ransomware-Zahlungen; von Dubrovskys Festnahme habe Cypfer erst aus den Medien erfahren. „Wir hatten keine vorherige Kenntnis von der Festnahme von Herrn Dubrovsky", erklärte ein Sprecher per E-Mail. „CYPFER wurde von keiner Strafverfolgungsbehörde kontaktiert und ist nach unserem Kenntnisstand nicht Ziel einer strafrechtlichen Ermittlung."

Laut der Erklärung sind CyberSteward und Cypfer getrennte Unternehmen ohne gemeinsame leitende Angestellte, Direktoren oder Mitarbeiter. Cypfer wurde demnach kürzlich von der Apros Group übernommen, einer Holding unter Leitung von Jason Hogg, einem früheren FBI-Special-Agent und ehemaligen Vorstandschef der Aon Cyber Solutions Group. Aon hatte 2020 Cytelligence erworben, eine Sicherheitsberatung, deren Gründer und CEO Tobok war und bei der Dubrovsky als Managing Partner arbeitete.

Interessenkonflikte im Geschäft mit Lösegeldzahlungen

In den Vereinigten Staaten ist es nicht illegal, Hackern für einen Entschlüsselungsschlüssel zu zahlen oder im Gegenzug für das Versprechen, gestohlene Dateien zu löschen und nicht zu veröffentlichen. Zwar können Opferorganisationen rechtlich in Schwierigkeiten geraten, wenn sie an eine vom US-Finanzministerium sanktionierte Gruppe zahlen – ShinyHunters gehört jedoch weder in den USA noch in einem anderen Staat zu den sanktionierten Ransomware-Gruppen.

Fachleute weisen darauf hin, dass Ransomware-Opfer typischerweise von ihrem Versicherer an eine bestimmte Incident-Response-Firma verwiesen werden. Nicht alle Forensik- und Breach-Response-Unternehmen sind jedoch bereit, Zahlungen an Ransomware-Gruppen im Auftrag ihrer Kunden abzuwickeln. Hat sich ein Opfer zur Zahlung entschlossen, werden die Firmen, die Erpresser nicht belohnen wollen, deshalb regelmäßig durch Unternehmen ersetzt, die solche Bedenken nicht haben.

Im Dezember 2024 begann ShinyHunters, den Bildungstechnologie-Anbieter PowerSchool zu erpressen, nachdem private Daten von 62 Millionen Schülern und 9,5 Millionen Lehrkräften in den USA und Kanada entwendet worden waren. PowerSchool zahlte Berichten zufolge eine Lösegeldforderung über 2,85 Millionen US-Dollar; in einem FAQ-Dokument zu dem Vorfall heißt es, PowerSchool sei dabei von CyberSteward unterstützt worden. Der ShinyHunters-Beteiligte Matthew Lane, 20, aus Sterling im US-Bundesstaat Massachusetts wurde im November 2025 zu vier Jahren Haft verurteilt, nachdem er seine Rolle bei dem PowerSchool-Angriff eingeräumt hatte.

Die Zahlung beendete die Erpressungsversuche mit denselben gestohlenen Daten nicht: Bis Mai 2025 erhielten Berichten zufolge einzelne Schulbezirke separate Lösegeldforderungen, die Proben derselben entwendeten Dateien enthielten. Niemand hat behauptet, dass ShinyHunters hinter dieser zweiten Erpressungswelle gegen PowerSchool-Kunden steckte. Der Fall macht jedoch deutlich, dass es keine technische Möglichkeit gibt, zu überprüfen, ob Täter gestohlene Daten wie versprochen gelöscht haben, oder zu verhindern, dass andere dieselben Datensätze missbrauchen.

Mehrere führende Incident-Response-Firmen, darunter Coveware und Unit 221B, haben Opfer durchgängig davor gewarnt, an ShinyHunters zu zahlen. Sie verweisen darauf, dass angeblich „vernichtete" Opferdaten häufig aufbewahrt, weiterverkauft oder später genutzt werden, um die Kunden des betroffenen Unternehmens direkt zu erpressen. Das FBI schloss sich dieser Einschätzung in einer Warnmeldung vom 15. Mai 2026 an und riet Opfern von Zahlungen an ShinyHunters ab. ShinyHunters-Mitglieder haben Beschäftigte von Coveware und Unit 221B wegen dieser Empfehlung belästigt und bedroht.

Wie verärgert die Anführer der Gruppe über Covewares beharrliche Abratungen waren, zeigen Chat-Auszüge. In einem Gespräch vom 6. Mai 2026 zwischen dem Haupt-Telegram-Konto der Gruppe und einem Mitverschwörer beklagte sich ShinyHunters, Coveware schade den Zahlungsquoten der Gruppe. „Geh auf meine Website, die Mehrheit dieser Unternehmen hätte gezahlt, wenn Coveware ihnen keine Falschinformationen gegeben hätte", schrieb das ShinyHunters-Konto. „Jemand (zu 100 Prozent Coveware) gibt sich alle Mühe, dafür zu sorgen, dass ich nicht bezahlt werde."

In einem weiteren Gespräch am 11. April 2026 erklärte das ShinyHunters-Telegram-Konto intern, man versuche, „das Problem zu beseitigen" – gemeint war Coveware. „Ich bin sicher, dass die Firma zahlen wird, aber in diesem konkreten Fall weiß ich von Coveware und ihrer Beteiligung, und ich habe wahrscheinlich viele andere Verhandlungen nicht bekommen, höchstwahrscheinlich weil Coveware sich immer wieder einmischt", klagte das Konto. Coveware wollte sich nicht äußern.

Mark Camillo ist Vorstandschef von CyberAcuView, einem 2021 von einem Zusammenschluss großer Cyberversicherer gegründeten Branchenverband. Camillo sagte, manche Firmen berechneten ein pauschales Honorar, während jene, die auf die Aushandlung von Lösegeldzahlungen spezialisiert seien, eher einen Prozentsatz der gezahlten Gesamtsumme verlangten. Letzteres sei ein inhärenter Interessenkonflikt, da der Verhandler jeden Anreiz habe, die Bedingungen zugunsten der Angreifer zu gestalten – er werde finanziell dafür belohnt, zu verhandeln und auszuzahlen, und nicht, den Preis herunterzuhandeln.

„Die Branche ist darauf aufmerksam geworden, dass viele der Ransomware-Zahler einen Prozentsatz der endgültigen Zahlung berechnen, der offengelegt wird oder auch nicht", sagte Camillo. „Das ergibt keinen Sinn, wenn sie zugleich der Verhandler sind. Es braucht mehr Transparenz im Prozess, denn niemand in diesem Ökosystem sollte allein an der Höhe der Ransomware-Transaktion oder -Zahlung verdienen." Die betreffenden Firmen würden argumentieren, die Gebühren seien nötig, weil die Beschaffung größerer Kryptowährungsmengen unerwartet teurer ausfallen könne, weil das Vorhalten der Mittel riskanter sei und weil Kryptobörsen für Hochrisikotransaktionen höhere Gebühren verlangen könnten. „Es braucht definitiv mehr Sichtbarkeit rund um die Transaktion und Klarheit über den steigenden Wert der Kryptowährung und den Anteil der Börse an der Transaktion, um dem auf den Grund zu gehen und fehlgeleitete Anreize zu beseitigen", sagte er.

Weitere Verfahren gegen Verhandler

Das US-Justizministerium hat in den vergangenen Monaten mehrere Ransomware-Verhandler strafrechtlich verfolgt, die sich mit Cyberkriminellen zum Nachteil ihrer eigenen Kunden verschworen haben sollen. Am 7. Oktober klagte das DOJ den MonsterCloud-Chef Zohar Pinhasi, 50, wegen Überweisungsbetrugs und Verschwörung an: Er soll Kunden für die Behebung von Ransomware-Angriffen Geld berechnet und dabei angegeben haben, nicht an die Hacker zu zahlen. Laut Anklageschrift zahlte Pinhasi heimlich hinter dem Rücken seiner Kunden doch an die Täter – insgesamt 8 Millionen US-Dollar an Ransomware-Gruppen, während er seinen Kunden 19 Millionen US-Dollar in Rechnung stellte.

Im Juli wurde Angelo Martino, ein 41-jähriger Ransomware-Verhandler aus Land O’Lakes in Florida, zu 70 Monaten Haft verurteilt, weil er sich mit der Ransomware-Gruppe Blackcat/ALPHV zur Erpressung mehrerer Opfer verschworen hatte. Nach Angaben des Justizministeriums ließ sich Martino von den BlackCat-Angreifern dafür bezahlen, vertrauliche Informationen über Verhandlungsposition und Strategie der Kunden seines Arbeitgebers weiterzugeben, sodass die Ransomware-Akteure die gezahlten Lösegelder maximieren konnten.