Mistænkt ShinyHunters-medlem angiveligt anholdt i Jordan og hjælper FBI

Jordanske myndigheder har angiveligt anholdt et mistænkt ShinyHunters-medlem, som muligvis hjælper efterforskere med at identificere andre medlemmer af cyberkriminalitetsgruppen. Kilder med kendskab til sagen identificerede ham som Saif al-Din Khader, der er kendt online som ”Rey”.

Ifølge disse kilder tog myndighederne Khader i varetægt tirsdag. Han hjælper angiveligt FBI og internationale efterforskere ved at gennemgå sine enheder og sin onlinekommunikation.

Den tilgængelige redegørelse bygger dog på oplysninger fra kilder frem for en offentlig meddelelse, der bekræfter detaljerne om hans samarbejde.

Anholdelsen falder sammen med forstyrrelser i gruppens aktivitet

Flere ændringer i ShinyHunters’ onlineaktivitet opstod omkring tidspunktet for den rapporterede anholdelse.

En angivelig tilknyttet aktør lukkede pludseligt en beskedkonto, som tidligere var blevet brugt til at diskutere gruppens angreb. Samtidig gik gruppens datalækageside offline, og dens primære repræsentant holdt op med at besvare spørgsmål fra medierne.

Der er dog ingen bekræftede beviser, som forbinder denne udvikling med den rapporterede anholdelse af Khader.

Torsdag var en ny datalækageside dukket op. Det tyder på, at personer med tilknytning til operationen fortsat var aktive trods forstyrrelserne.

FBI-efterforskning følger påstande om stjålne data fra myndigheden

Sagen kommer, mens efterforskere undersøger ShinyHunters efter gruppens påstande om et indbrud i FBI’s systemer.

I september hævdede gruppen, at den udnyttede en hidtil ukendt sårbarhed i Oracle PeopleSoft. Den påstod også, at den efterfølgende fik adgang til AWS GovCloud-miljøer, som blev administreret af FBI.

Angriberne hævdede at have stjålet mellem to og tre terabyte information. Ifølge deres redegørelse omfattede materialet medarbejderoplysninger, oplysninger om jobansøgere, medicinske oplysninger og data fra interne tjenester.

Den påståede sårbarhed, adgangsmetoden og mængden af stjålne oplysninger er dog fortsat ubekræftet. FBI bekræftede, at myndigheden undersøgte påstande om uautoriseret aktivitet, men bekræftede ikke, at data var blevet stjålet.

Separat anholdt hollandsk politi en 24-årig mand fra Amsterdam den 15. september under en efterforskning af ShinyHunters. Senere rapportering identificerede ham som Pepijn van der Stap, tidligere kendt online som ”Umbreon”.

Efter anholdelsen opfordrede FBI andre medlemmer til at overgive sig. Myndigheden oplyste, at efterforskere fortsatte med at identificere deltagere gennem samarbejde og beslaglagt infrastruktur.

Rey har forbindelser til tidligere sager om datatyveri

Det mistænkte ShinyHunters-medlem har også optrådt i rapportering om tidligere angreb forbundet med ransomware-operationen HellCat.

I januar 2025 hævdede Rey sammen med tre andre angribere at stå bag adgangen til Telefónicas interne Jira-system. De påstod, at de havde stjålet omkring 2,3 GB dokumenter og andre oplysninger.

Senere bekræftede Orange et cyberangreb, der påvirkede virksomhedens aktiviteter i Rumænien, efter at Rey offentliggjorde omkring 6,5 GB data. På det tidspunkt hævdede han at være medlem af HellCat, men sagde, at han havde gennemført angrebet på egen hånd.

Rey havde også rapporterede forbindelser til et databrud hos Jaguar Land Rover i marts 2025, som omfattede kildekode, medarbejderoplysninger og udviklingsdata.

Derudover havde konti med tilknytning til Rey administratorrettigheder i Telegram-kanaler drevet af Scattered Lapsus$ Hunters. Kollektivet hævdede at omfatte tidligere deltagere fra flere hackergrupper.

Disse forbindelser fastslår dog ikke, at han var involveret i alle de angreb, som kollektivet hævdede at stå bag.

Tidligere påstande om samarbejde er fortsat ubekræftede

Khader havde allerede før den rapporterede anholdelse hævdet at have været i kontakt med retshåndhævende myndigheder.

I en redegørelse fra november 2025 sagde han, at han havde talt med efterforskere siden mindst juni samme år. Han hævdede også, at han var ved at distancere sig fra Scattered Lapsus$ Hunters.

Disse udtalelser kunne ikke verificeres uafhængigt på daværende tidspunkt.

Indtil videre er omfanget af hans rapporterede assistance fortsat uklart. Samtidig tyder den nye datalækageside på, at den seneste udvikling ikke har sat en stopper for ShinyHunters-operationen.