連邦捜査局、ランサムウェア交渉人がShinyHunters恐喝サイトを運営していた疑いを捜査

FBI、ランサムウェア交渉人がShinyHunters恐喝サイトを運営していた疑いを捜査

米連邦捜査官は、最近FBIから機密性の高いデータを盗み出したShinyHuntersハッカー集団を追跡する中で、恐喝集団と異常に緊密な関係を維持していた2つの異なるランサムウェア交渉会社の幹部を特定したと、KrebsOnSecurityは知りました。捜査に近い情報筋によると、米国の一人の幹部は、ShinyHuntersが被害者に身代金を支払うよう圧力をかけるウェブサイトの運営を支援していたとのことです。

ShinyHuntersと連携するハッカーは、2019年以来、数十件の大規模なデータ侵害の犯行声明を出しています。当初、この集団は主にフランス在住のサイバー犯罪者によって運営されていました。しかし、オリジナルのメンバーが次々と逮捕または投獄されるにつれて、ShinyHuntersのブランドの管理は最終的に「Rey」に引き継がれました。Reyは昨年、ヨルダン、アンマン出身の10代のハッカーとして特定されています。FBIによると、ShinyHuntersは今年これまでに被害者から7000万ドル以上を恐喝しています。

9月下旬、ShinyHuntersはFBIの採用ウェブサイトfbijobs.govをハッキングし、盗まれたファイル（報道によると、医療記録、心理記録、社会保障番号、自宅住所、および各従業員の所属部署と専門分野に関する情報が含まれていた）を公開すると脅迫して、当局を挑発しました。

FBIの採用サイトのハッキングを受けて、当局は異例の速さで、Reyまたは他のShinyHuntersの容疑者と連絡を取った人物の逮捕、拘留、尋問を進めました。Reutersは10月3日、Reyがヨルダン当局に拘束され、FBIに協力していると報じました。

Reyがハッカー集団の支配権を握ることができたのは、その alleged な上級メンバーの一人が逮捕されたばかりだったからです。2026年9月15日の夜、オランダ当局は、有罪判決を受けたハッカーでShinyHuntersの容疑者であるPepijn van der Stapを逮捕しました。オランダ警察は、Van der Stapが様々なオンラインアカウントにログインしている間に、彼を気絶させ逮捕するためにフラッシュバン手榴弾を使用したと報じられています。

捜査に近い情報筋によると、当局はVan der StapがSignalインスタントメッセージングアカウントを使用中に彼を逮捕し、その結果、カナダと米国に拠点を置くランサムウェア交渉人を含む、頻繁に連絡を取り合っていた人々の最近の通信を読むことができました。

この件に詳しい複数の情報筋はKrebsOnSecurityに対し、Van der StapのSignalメッセージが、彼の逮捕直後に浮上した殺人教唆事件の解明の鍵となったと語りました。オランダのニュースアウトレットRTLは先月、2件の殺人が海外で行われる予定であり、Van der Stapが攻撃の命令を下した兆候がある（これらの命令が実行された兆候はない）と報じました。

10月9日、KrebsOnSecurityは、FBIがShinyHuntersの捜査に関連して、Edward Dubrovskyという名前の54歳のカナダのサイバーセキュリティ幹部を逮捕したと報じました。最近サイバー恐喝の対処法に関する書籍を出版し、常にハッカーと対話することを推奨していたDubrovskyは、盗まれた、あるいはハッキングされたデータの開示を脅迫し、恐喝を通じて州際通商を妨害したとして起訴されました。Politicoは、検察官がDubrovskyの保釈を認めないよう求めており、彼の事件に関する記録は封印されたままであると報じています。

捜査に近い情報筋はKrebsOnSecurityに対し、Van der StapのSignalメッセージは、Dubrovsky氏および米国の著名なコンサルティング会社の少なくとも1名の幹部と頻繁に会話していたことを示しており、これらの幹部は被害者自身が侵害を知る前に、新しいShinyHuntersの被害者の詳細を知っていたことが多かったと語りました。

その情報筋は、連邦捜査官によるもう一つの爆発的な発見を共有しました。オランダのハッカーのチャットは、Dubrovsky氏がFBIサーバーから機密性の高いデータがShinyHuntersによって盗まれたことを知っており、ShinyHuntersがTwitter/Xで当局の非常に個人的な人事ファイルを公開すると脅迫する前に、FBIにデータ侵害について一切通知しなかったことを示していました。

SHINYWIRE

KrebsOnSecurityは、ShinyHunters捜査に近い2つの情報源から、FBI捜査官は、米国のコンサルティング会社の少なくとも1名の幹部が、現在閉鎖されているShinyHuntersの被害者恐喝ウェブサイト「shinywire[.]com」の運営に積極的に関与していたと信じていることを知りました。KrebsOnSecurityは、米国企業または疑いのある幹部の名前を現時点では挙げていません。なぜなら、彼らはまだ犯罪で起訴されていないからです。しかし、それは1,000人以上の従業員を持つ著名な企業です。

［画像: 現在閉鎖されているShinywireウェブサイトのホームページの一部。］

Shinywireウェブサイトは、約2026年5月3日から10月16日まで稼働しており、ShinyHuntersにハッキングされた約100の組織のエントリがありました。各エントリは、被害者にサイバー犯罪グループと連絡を取り、支払い条件について話し合うよう促していました。ページには盗まれたファイルのサンプルも含まれており、被害者が要求を無視した場合、ファイルはオンラインで公開されると約束していました。

以下のスクリーンショットは、米国の医療技術会社であり、従業員が標的型フィッシングメールに引っかかった後に2026年3月に侵害されたIntuitive Surgicalに対するShinywire恐喝ページのキャッシュされた部分を示しています。

［画像: urlscan.ioによってインデックスされたShinywireウェブサイト。このリストは、2026年3月に従業員の認証情報が侵害された標的型フィッシングメール攻撃によって侵害された米国の医療技術会社であるIntuitive Surgicalを対象とした恐喝要求です。］

7日間交渉または連絡に応じなかった被害組織は、盗まれたすべてのデータがShinyHuntersの被害者非難ブログ（Tor匿名ネットワーク経由でのみアクセス可能なウェブサイト）に公開されていました。

10月15日に公開された記事で、The Globe and Mailは、Edward DubrovskyがFBIに逮捕される数ヶ月前に、カナダのサイバーセキュリティ幹部が、元ビジネスパートナーによる「別の業界幹部を破滅させる」キャンペーンの巻き添え被害者になったと法廷文書で主張したと報じました。

この記事は、Dubrovskyがオンタリオ州で、米国、英国、オランダ、アラブ首長国連邦、メキシコにオフィスを持つトロントで設立されたサイバーセキュリティ企業Cypferの元最高経営責任者であるDaniel Tobokに対して、今年訴訟を起こしたことを指摘しました。二人は2017年にビジネスパートナーとなり、後にCypferを共同開発しました。Dubrovskyはそこでマネージングパートナー兼最高執行責任者でした。しかし、2024年までに二人の関係は悪化し、DubrovskyはTobokがビジネス上の事柄から徐々に自分を排除し、「ますます気まぐれなビジネス上の決定」を下していると非難しました。

Tobok氏は、これらの主張を否定し、反訴を提起しました。彼は、Dubrovsky氏が機密情報にアクセスし、別の会社であるCyberSteward Incでの仕事を通じてCypferと不当に競争したと非難しました。また、Dubrovsky氏がCypferの創設者であると偽って名乗り、株主ではないとも述べました。

GHOSTBYTE

Tobok氏の元同僚数名へのインタビューによると、8年前から彼はランサムウェア提供者たちの間で特定のニックネーム、Ghostbyteで知られていました。2018年、カナダの企業が、2016年に初めて出現した多作なロシア語ランサムウェアアフィリエイトプログラムであるDharmaによってハッキングされました。被害企業はDharmaランサムウェアの担当者に、支払いを検討していると伝えましたが、一部のファイルはロックされて回復不能であるため、支払った場合にDharmaが約束を守るというより良い保証が必要でした。

以下は、Dharma担当者の返信の編集済みコピーであり、ランサムウェアグループが被害者に、このような保証を求める企業を支援するカナダのIT企業の担当者に連絡するよう促していたことを示しています。Dharma担当者は、被害者にghostbyte@tutanota.comというメールアドレスに連絡するよう推奨しました。

「保証が必要な場合は、IT会社に連絡してください」とDharmaの返信はアドバイスしました。「電話で彼らと交渉してください。このIT会社はカナダでこのような問題を解決することがよくあります。彼らに連絡して、サービス契約を結ぶことができます。それでも支払う必要があります。」

［画像: Dharmaランサムウェアグループから被害者へのメール返信。Tobok氏に関連付けられたメールアドレスに連絡するよう推奨しています。］

Dharma担当者が提供したGhostbyteアドレスをTobok氏が使用したかどうかは不明であり、彼はコメントの要求に複数回応答していません。しかし、侵害追跡サービスConstella Intelligenceは、Tobok氏が頻繁に使用するメールアドレス、dtobok@me.comが、「ghostbyte」というユーザー名が選択された2つのオンラインアカウントに関連付けられていることを発見しました。これにはSnapchatアカウントも含まれます。

ちなみに、ConstellaはDharma担当者のメールアドレスluckygoodlucky@tuta.ioが、38件のトランザクションで合計43ビットコイン（現在の価値で約350万ドル）を処理した仮想通貨アドレスに関連付けられていることも発見しました（このウォレットの最も最近のトランザクションは2019年2月の日付です）。

10月14日の声明で、Cypferは、同社の事業にはランサムウェア支払いの作成または促進は含まれておらず、Dubrovsky氏の逮捕はニュースが最初にメディアで報じられた際に知ったと述べました。

「私たちはDubrovsky氏の逮捕について事前に何も知りませんでした」と、広報担当者はメールでKrebsOnSecurityに語りました。「CYPFERは法執行機関からいかなる連絡も受けておらず、我々の知る限り、いかなる法執行機関の捜査の対象ともなっていません。」

声明によると、CyberStewardとCypferは別会社であり、共通の役員、取締役、従業員はいません。また、Cypferは最近、元FBI特別捜査官でAon Cyber Solutions Groupの元CEOであるJason Hoggが率いる持株会社であるApros Groupに買収されました。2020年、Aonは、Tobok氏が創設者兼CEO、Dubrovsky氏がマネージングパートナーであったセキュリティコンサルティング会社Cytelligenceを買収しました。

対立する利益

米国では、ランサムウェアに感染したサーバーを復旧するための暗号化キー、または盗まれたファイルを削除しオンラインでの公開を控える約束と引き換えにハッカーに支払うことは違法ではありません。被害組織が米国財務省によって制裁されている集団に身代金を支払った場合、法的な問題に巻き込まれる可能性がありますが、ShinyHuntersは現在、米国または他の政府によって制裁されているランサムウェア集団ではありません。

専門家によると、ランサムウェアの被害者は通常、保険提供者から特定のインシデント対応会社と連携するよう指示されます。しかし、すべてのサイバーフォレンジックおよび侵害対応会社が、クライアントに代わってランサムウェア集団への支払いを行うことに同意するわけではありません。その結果、被害企業が支払いを決定すると、恐喝者に報酬を与えることを避ける会社は、そのようなためらいのない会社に置き換えられることになります。

2024年12月、ShinyHuntersは教育テクノロジー企業PowerSchoolを恐喝し始め、米国とカナダの6200万人の学生と950万人の教師の個人情報を盗みました。PowerSchoolは2億8500万ドルの身代金要求を支払ったと報じられており、侵害に関する「よくある質問」の声明（PDF）によると、PowerSchoolはこの件でCyberSteward（ShinyHuntersのアフィリエイトであるマシュー・レーン、20歳、マサチューセッツ州スターリングは、PowerSchoolハッキングでの自身の役割を認めた罪で2025年11月に懲役4年を宣告されました）の支援を受けました。

しかし、その身代金支払いは、同じ盗まれたデータを使用した将来の恐喝の試みを止めることはありませんでした。2025年5月までに、個々の学校区は、同じ盗まれたファイルのサンプルを使用した個別の身代金要求を受け取っていたと報じられています。ShinyHuntersがPowerSchoolユーザーに対する第二波の恐喝の背後にいたと誰も主張していませんが、この事件は、攻撃者が約束通り盗まれたデータを削除したという脅威を技術的に検証する方法がなく、他の人が同じ記録を悪用することを防ぐことができないという現実を浮き彫りにしています。

CovewareやUnit 221Bを含む多くの主要なサイバーインシデント対応企業は、被害者にShinyHuntersへの支払いをしないよう一貫して警告しており、「破壊された」被害者データはしばしば保持され、再販され、または後で会社のクライアントを直接恐喝するために使用されると指摘しています。

FBIは、2026年5月15日のアラートで同様の意見を述べ、被害者にShinyHunters集団への支払いをしないよう助言しました。一方、ShinyHuntersのメンバーは、このアドバイスを提供したCovewareとUnit 221Bの従業員を嫌がらせ、脅迫しています。

以下のスクリーンショットは、ShinyHuntersのリーダーたちが、Covewareが支払いをしないよう繰り返しアドバイスしたことにどれほど腹を立てていたかを示しています。最初の画像は、2026年5月6日の、グループのTelegram上のメインアカウントと共謀者との会話からのものです。KrebsOnSecurityが信頼できる情報源から共有されたこのチャットの抜粋によると、ShinyHuntersはCovewareがグループの支払い率を損なっていると不満を述べていました。

［画像: Telegram上のShinyHuntersアカウントのオペレーターが共謀者と個人的に会話しており、Covewareがビジネスを損なっていると不満を述べています。］

「私のウェブサイトを見てくれ、Covewareが誤った情報を提供しなければ、ほとんどの会社は支払っていただろう」とShinyHuntersのアカウントは書いています。「誰か（100% Coveware）が、私が支払われないようにするためにわざわざ動いている。」

別の2026年4月11日の会話で、ShinyHuntersのTelegramアカウントは、彼らが「問題を排除しようとしている」と個人的に述べ、その問題はCovewareであると特定しました。Covewareはこの件についてコメントを控えています。

「会社は支払うだろうと確信しているが、この特定のケースではCovewareとその関与を認識しており、おそらく他の多くの交渉がうまくいっていないのは、Covewareが関与し続けているからだろう」とShinyHuntersのアカウントは嘆きました。

［画像: Telegram上のShinyHuntersアカウントのオペレーターが共謀者に、彼らが「問題を排除しようとしている」と語っており、それはサイバー犯罪グループへの支払いをしないよう被害者にアドバイスするCovewareであると特定しました。］

Mark Camilloは、大手サイバー保険会社のコンソーシアムによって2021年に設立された業界団体CyberAcuViewの最高経営責任者です。Camillo氏は、一部の企業は固定の顧問料を請求し、企業がランサムウェア支払いの交渉を支援することを専門とする企業は、支払われた総ランサム額の割合を請求する傾向があると述べています。

後者のダイナミクスは、交渉人は攻撃者にとって有利な状況を作ることにすべてのインセンティブを持っているため、交渉と支払いを促進することに経済的なインセンティブがあり、価格の交渉をしないため、利益相反があると彼は言いました。

「業界の注意を引いているのは、多くのランサムウェア支払い業者が最終支払いの割合を請求しており、それは開示される場合もされない場合もあるということです」とCamillo氏は述べています。「彼らも交渉人である場合、これは意味がありません。エコシステム内の誰もランサムウェア取引または支払い自体の規模だけで利益を得るべきではないため、プロセスにはより多くの透明性が必要です。」

Camillo氏は、これらの業務を行う企業は、より多くの量の暗号通貨を確保するための予期せぬ高コストや、フロートを保有するリスクがあるため、また、仮想通貨取引所が高リスク取引に対してより高い手数料を請求する可能性があるため、手数料が必要であると主張するだろうと述べています。

「取引の透明性と、この問題の根本を明らかにし、不整合なインセンティブを排除するために、暗号通貨の価値の上昇と取引における取引所のパーセンテージについての明確さが必要です」と彼は言いました。

最近数ヶ月間、米国司法省は、クライアントを詐欺するためにサイバー犯罪者と共謀したとされる多くのランサムウェア交渉人を訴追しています。10月7日、司法省は、MonsterCloud CEOのZohar Pinhasi（50歳）を、ランサムウェア攻撃の修復のために顧客に料金を請求しながら、実際にはハッカーに支払っていなかったとして、電信詐欺と共謀の罪で起訴しました。起訴文書によると、Pinhasiは顧客の知らないうちにハッカーに支払いを続け、顧客から1900万ドルを請求する一方で、ランサムウェア集団に800万ドルを支払いました。

7月には、フロリダ州ランドオラークス出身の41歳のランサムウェア交渉人Angelo Martinoが、Blackcat/ALPHVランサムウェア集団と共謀して複数の被害者を恐喝した罪で、70ヶ月の懲役刑を宣告されました。司法省によると、MartinoはBlackCat攻撃者から、雇用主のクライアントの交渉状況と戦略に関する機密情報を提供し、ランサムウェア攻撃者が被害者から最大限の身代金を引き出せるようにすることで報酬を得ていました。