Mutmaßliches ShinyHunters-Mitglied soll in Jordanien festgenommen worden sein und dem FBI helfen

Jordanische Behörden haben Berichten zufolge ein mutmaßliches ShinyHunters-Mitglied festgenommen, das Ermittlern möglicherweise dabei hilft, weitere Mitglieder der Cybercrime-Gruppe zu identifizieren. Mit dem Fall vertraute Quellen identifizierten ihn als Saif al-Din Khader, der online als „Rey“ bekannt ist.

Diesen Quellen zufolge nahmen die Behörden Khader am Dienstag in Gewahrsam. Berichten zufolge unterstützt er das FBI und internationale Ermittler, indem er seine Geräte und seine Online-Kommunikation überprüft.

Die verfügbaren Informationen beruhen jedoch auf Aussagen von Quellen und nicht auf einer öffentlichen Mitteilung, die Einzelheiten seiner Zusammenarbeit bestätigt.

Festnahme fällt mit Störungen der Gruppenaktivitäten zusammen

Etwa zum Zeitpunkt der gemeldeten Festnahme zeigten sich mehrere Veränderungen bei den Online-Aktivitäten von ShinyHunters.

Ein mutmaßlicher Partner schloss plötzlich ein Messaging-Konto, das zuvor zur Diskussion über die Angriffe der Gruppe genutzt worden war. Gleichzeitig ging die Datenleck-Website der Gruppe offline, und ihr wichtigster Vertreter beantwortete keine Medienanfragen mehr.

Es gibt jedoch keine bestätigten Beweise dafür, dass diese Entwicklungen mit Khaders gemeldeter Festnahme zusammenhängen.

Bis Donnerstag war eine neue Datenleck-Website aufgetaucht. Das deutet darauf hin, dass mit der Operation verbundene Personen trotz der Störungen weiterhin aktiv waren.

FBI-Ermittlungen folgen auf Behauptungen über gestohlene Behördendaten

Der Fall kommt zu einem Zeitpunkt, an dem Ermittler ShinyHunters nach den Behauptungen der Gruppe über einen Einbruch in FBI-Systeme untersuchen.

Im September behauptete die Gruppe, eine zuvor unbekannte Schwachstelle in Oracle PeopleSoft ausgenutzt zu haben. Außerdem gab sie an, anschließend auf AWS-GovCloud-Umgebungen zugegriffen zu haben, die vom FBI verwaltet wurden.

Die Angreifer behaupteten, zwischen zwei und drei Terabyte an Informationen gestohlen zu haben. Ihren Angaben zufolge umfassten die Daten Mitarbeiterunterlagen, Informationen über Bewerber, medizinische Daten und Informationen aus internen Diensten.

Die angebliche Schwachstelle, der Zugangsweg und die Menge der gestohlenen Informationen sind jedoch weiterhin nicht bestätigt. Das FBI bestätigte, dass es Behauptungen über unbefugte Aktivitäten untersucht, bestätigte jedoch keinen Datendiebstahl.

Unabhängig davon nahm die niederländische Polizei am 15. September im Rahmen einer Untersuchung gegen ShinyHunters einen 24-jährigen Mann aus Amsterdam fest. Spätere Berichte identifizierten ihn als Pepijn van der Stap, der zuvor online als „Umbreon“ bekannt war.

Nach dieser Festnahme forderte das FBI weitere Mitglieder zur Aufgabe auf. Die Behörde erklärte, dass Ermittler weiterhin Beteiligte durch Kooperationen und beschlagnahmte Infrastruktur identifizierten.

Rey hat Verbindungen zu früheren Datendiebstählen

Das mutmaßliche ShinyHunters-Mitglied tauchte auch in Berichten über frühere Angriffe auf, die mit der Ransomware-Operation HellCat in Verbindung gebracht wurden.

Im Januar 2025 behauptete Rey gemeinsam mit drei weiteren Angreifern, für den Zugriff auf das interne Jira-System von Telefónica verantwortlich zu sein. Sie gaben an, rund 2,3 GB an Dokumenten und anderen Daten gestohlen zu haben.

Später bestätigte Orange einen Cyberangriff auf seine Aktivitäten in Rumänien, nachdem Rey rund 6,5 GB an Daten veröffentlicht hatte. Damals behauptete er, Mitglied von HellCat zu sein, erklärte jedoch, den Angriff eigenständig durchgeführt zu haben.

Rey wurde außerdem mit einem Angriff auf Jaguar Land Rover im März 2025 in Verbindung gebracht, bei dem Quellcode, Mitarbeiterinformationen und Entwicklungsdaten betroffen waren.

Darüber hinaus verfügten mit Rey verbundene Konten über Administratorrechte in Telegram-Kanälen von Scattered Lapsus$ Hunters. Das Kollektiv behauptete, ehemalige Mitglieder mehrerer Hackergruppen zu umfassen.

Diese Verbindungen belegen jedoch nicht, dass er an jedem Angriff beteiligt war, zu dem sich das Kollektiv bekannte.

Frühere Behauptungen über Zusammenarbeit bleiben unbestätigt

Khader hatte bereits vor seiner gemeldeten Festnahme behauptet, Kontakt zu Strafverfolgungsbehörden gehabt zu haben.

In einem Bericht vom November 2025 erklärte er, mindestens seit Juni desselben Jahres mit Ermittlern gesprochen zu haben. Außerdem behauptete er, sich von Scattered Lapsus$ Hunters zu distanzieren.

Diese Aussagen konnten zu diesem Zeitpunkt nicht unabhängig überprüft werden.

Der Umfang seiner gemeldeten Unterstützung bleibt vorerst unklar. Gleichzeitig deutet die neue Datenleck-Website darauf hin, dass die jüngsten Entwicklungen die ShinyHunters-Operation nicht beendet haben.