Un membre présumé du groupe de hackers ShinyHunters a été détenu en Jordanie et coopérerait avec le FBI alors que les enquêteurs intensifient leurs efforts pour identifier d’autres personnes liées à l’opération de cybercrime.
Le suspect a été identifié par des sources comme étant Saif al-Din Khader, qui serait connu en ligne sous le nom de « Rey ». Les autorités jordaniennes l’ont détenu fin septembre, et les autorités du pays ont depuis confirmé qu’un membre présumé du groupe de piratage fait l’objet d’une enquête.
Des sources proches de l’affaire affirment que Khader aide désormais le FBI et d’autres agences de maintien de l’ordre à localiser d’autres hackers associés à ShinyHunters. Il aurait fourni aux enquêteurs des dispositifs électroniques et des communications numériques pouvant aider à identifier d’autres participants.
Les circonstances exactes entourant sa détention restent floues. Les autorités n’ont pas expliqué publiquement quelles accusations, le cas échéant, Khader fait actuellement face, où il est détenu ni quels accords auraient pu être conclus concernant sa coopération supposée.
Le FBI a également évité de discuter de l’affaire individuelle. Le bureau a indiqué qu’il continue d’enquêter de manière agressive sur le récent incident cybernétique impliquant ShinyHunters et a déjà collaboré avec des partenaires internationaux pour arrêter plusieurs suspects.
Khader a déjà été lié à plusieurs parties importantes de l’écosystème de la cybercriminalité. Sous le pseudonyme Rey, il a été identifié par des chercheurs en sécurité et des journalistes comme une figure associée à ShinyHunters et à la communauté plus large des Scattered LAPSUS$ Hunters.
Il a également été lié à l’administration de plateformes de cybercriminalité, notamment une incarnation de BreachForums et le site de fuite exploité par le groupe de ransomware Hellcat. Ces liens illustrent les frontières de plus en plus floues entre les groupes de hackers, les sites de fuite de données et les communautés en ligne utilisées pour échanger des informations volées.
Sa détention intervient dans le cadre d’une enquête internationale en pleine escalade sur ShinyHunters. Le groupe a récemment attiré une attention particulière après avoir revendiqué la responsabilité de la compromission du site de recrutement du FBI et du vol d’une grande quantité d’informations liées aux employés du bureau et aux candidats à un emploi.
ShinyHunters a affirmé avoir obtenu entre deux et trois téraoctets de données. La taille totale de cette collecte n’a pas été confirmée de manière indépendante, mais le matériel examiné lors du reportage incluait des informations personnelles hautement sensibles liées au personnel du FBI.
Le FBI a reconnu une activité non autorisée impliquant FBIJobs.gov et a lancé une enquête. La gravité de l’incident est devenue plus claire lorsqu’une note interne du bureau aurait ordonné au personnel d’agir en supposant que des informations des employés avaient été exposées.
La détention de Khader fait suite à un autre développement majeur dans l’enquête. La police néerlandaise a arrêté un homme d’Amsterdam de 24 ans le 15 septembre, soupçonné d’implication avec ShinyHunters.
Le FBI a décrit le suspect comme l’un des chefs présumés du groupe et a déclaré que ShinyHunters et ses complices avaient violé plus de 140 organisations depuis l’année dernière et encaissé au moins 70 millions de dollars en extorsions. ShinyHunters a rejeté la description du suspect néerlandais par le FBI et a nié qu’il appartienne à son activité actuelle.
Le groupe a continué à se présenter comme actif malgré les arrestations. Son site web du dark web a temporairement disparu avant de réapparaître à une nouvelle adresse, ShinyHunters affirmant avoir déplacé l’infrastructure à cause de problèmes techniques et d’attaques DDoS plutôt qu’à une saisie des forces de l’ordre.
La coopération rapportée de Khader pourrait s’avérer plus importante que la perte d’un site web. L’accès aux appareils, communications et connaissances d’autres participants d’un membre suspecté pourrait fournir aux enquêteurs des informations sur des identités et des relations normalement cachées derrière des pseudonymes et une infrastructure en ligne anonyme.