Misstänkt ShinyHunters-medlem uppges gripen i Jordanien och hjälpa FBI

Jordanska myndigheter uppges ha gripit en misstänkt ShinyHunters-medlem som kan hjälpa utredare att identifiera andra medlemmar i cyberbrottsgruppen. Källor med insyn i fallet identifierade honom som Saif al-Din Khader, känd på nätet som ”Rey”.

Enligt dessa källor greps Khader av myndigheterna i tisdags. Han uppges hjälpa FBI och internationella utredare genom att gå igenom sina enheter och sin kommunikation på nätet.

Den tillgängliga redogörelsen bygger dock på uppgifter från källor snarare än ett offentligt tillkännagivande som bekräftar detaljerna kring hans samarbete.

Gripandet sammanfaller med störningar i gruppens aktivitet

Flera förändringar i ShinyHunters aktivitet på nätet inträffade ungefär samtidigt som det rapporterade gripandet.

En påstådd medlem stängde plötsligt ett meddelandekonto som tidigare hade använts för att diskutera gruppens attacker. Samtidigt gick gruppens webbplats för dataläckor offline och dess främsta representant slutade svara på frågor från medier.

Det finns dock inga bekräftade bevis som kopplar denna utveckling till det rapporterade gripandet av Khader.

På torsdagen hade en ny webbplats för dataläckor dykt upp. Det tyder på att personer med koppling till verksamheten förblev aktiva trots störningarna.

FBI-utredning följer påståenden om stulna myndighetsdata

Fallet kommer samtidigt som utredare granskar ShinyHunters efter gruppens påståenden om ett intrång i FBI system.

I september hävdade gruppen att den utnyttjade en tidigare okänd sårbarhet i Oracle PeopleSoft. Den påstod också att den därefter fick tillgång till AWS GovCloud-miljöer som hanterades av FBI.

Angriparna hävdade att de hade kommit över mellan två och tre terabyte information. Enligt deras redogörelse omfattade materialet personaluppgifter, information om arbetssökande, medicinska uppgifter och data från interna tjänster.

Den påstådda sårbarheten, åtkomstvägen och mängden stulen information är dock fortfarande obekräftade. FBI bekräftade att myndigheten utredde uppgifter om obehörig aktivitet men bekräftade inte att data hade stulits.

Separat grep nederländsk polis en 24-årig man från Amsterdam den 15 september i samband med en utredning av ShinyHunters. Senare rapportering identifierade honom som Pepijn van der Stap, tidigare känd på nätet som ”Umbreon”.

Efter gripandet uppmanade FBI andra medlemmar att överlämna sig. Myndigheten uppgav att utredare fortsatte att identifiera deltagare genom samarbete och beslagtagen infrastruktur.

Rey har kopplingar till tidigare fall av datastöld

Den misstänkta ShinyHunters-medlemmen har också förekommit i rapportering om tidigare attacker kopplade till ransomware-operationen HellCat.

I januari 2025 hävdade Rey tillsammans med tre andra angripare att de låg bakom åtkomst till Telefónicas interna Jira-system. De påstod att de hade stulit omkring 2,3 GB dokument och andra uppgifter.

Senare bekräftade Orange en cyberattack som påverkade företagets verksamhet i Rumänien efter att Rey publicerat omkring 6,5 GB data. Vid den tidpunkten hävdade han att han var medlem i HellCat men uppgav att han genomförde attacken på egen hand.

Rey hade även rapporterade kopplingar till ett intrång hos Jaguar Land Rover i mars 2025 som omfattade källkod, personalinformation och utvecklingsdata.

Dessutom hade konton kopplade till Rey administratörsbehörighet i Telegram-kanaler som drevs av Scattered Lapsus$ Hunters. Kollektivet hävdade att det bestod av tidigare deltagare från flera hackergrupper.

Dessa kopplingar bevisar dock inte att han var inblandad i varje attack som kollektivet tog på sig ansvaret för.

Tidigare uppgifter om samarbete är fortfarande obekräftade

Khader hade redan före det rapporterade gripandet hävdat att han haft kontakt med brottsbekämpande myndigheter.

I en redogörelse från november 2025 uppgav han att han hade talat med utredare sedan åtminstone juni samma år. Han hävdade också att han höll på att distansera sig från Scattered Lapsus$ Hunters.

Dessa påståenden kunde inte verifieras oberoende vid den tidpunkten.

För närvarande är omfattningen av hans rapporterade hjälp fortfarande oklar. Samtidigt tyder den nya webbplatsen för dataläckor på att den senaste utvecklingen inte har satt stopp för ShinyHunters verksamhet.