Расследование громкой кибератаки, которую связывают с ShinyHunters, набирает обороты. В Иордании задержан Сайф ад-Дин Хадер, предположительно известный в хакерском сообществе под псевдонимом Rey. Источники Reuters утверждают, что сейчас он сотрудничает со следствием и может помочь установить личности и местонахождение других участников группировки.

Задержание произошло вскоре после заявлений ShinyHunters о компрометации данных сотрудников ФБР. После этого активность группировки заметно изменилась: привычные каналы связи перестали отвечать, сайт в даркнете оказался недоступен, а сами хакеры смягчили риторику и заявили о нежелании продолжать противостояние с американским бюро. ФБР официально не раскрывает подробности отдельных операций, однако подтверждает продолжающееся расследование и сообщает о нескольких задержанных фигурантах.

Предполагаемого хакера задержали в Иордании

О задержании Сайфа ад-Дина Хадера сообщили Reuters сразу несколько источников, знакомых с ходом расследования. По информации двух из них, иорданские власти взяли подозреваемого под стражу во вторник, 29 сентября.

Подробностей операции пока немного. Не сообщается, где именно содержится Хадер и при каких обстоятельствах его задержали.

Само ФБР традиционно не стало комментировать конкретные международные операции и личности подозреваемых.

В бюро при этом подтвердили, что расследование недавнего киберинцидента, предположительно связанного с ShinyHunters, продолжается. Американские правоохранители заявили, что совместная работа с партнёрами уже позволила задержать нескольких предполагаемых участников и поиск остальных фигурантов не прекращается.

Задержанный, предположительно, начал помогать следствию

Наиболее серьёзной проблемой для ShinyHunters может оказаться не само задержание Хадера, а его возможное сотрудничество с правоохранительными органами.

По сведениям источников Reuters, подозреваемый помогает следователям изучать принадлежащие ему электронные устройства и цифровую переписку.

Эти данные потенциально способны вывести правоохранителей на других участников сообщества, раскрыть используемую ими инфраструктуру и восстановить цепочку событий во время предыдущих атак.

Подобная информация особенно ценна при расследовании деятельности децентрализованных киберпреступных групп. Их участники могут находиться в разных странах и общаться преимущественно через защищённые цифровые каналы, поэтому получение доступа к устройствам одного из ключевых фигурантов способно существенно ускорить расследование.

В похищенных данных обнаружили конфиденциальную информацию

ShinyHunters получила широкую известность благодаря атакам на крупные организации и последующему вымогательству.

Группировку связывают преимущественно с молодыми англоговорящими хакерами, специализирующимися на социальной инженерии, компрометации корпоративных систем и похищении больших массивов информации.

После заявления о взломе ФБР часть оказавшихся в распоряжении ShinyHunters данных изучили журналисты Reuters.

Среди материалов были обнаружены персональные сведения сотрудников бюро, информация об их служебных обязанностях, а также данные медицинского и психиатрического характера.

При этом публичные заявления хакерской группировки о масштабах компрометации следует отделять от независимо подтверждённых фактов. Утверждение о получении информации практически обо всех сотрудниках ФБР исходило от самих ShinyHunters, а полный объём похищенных данных публично не подтверждён.

После заявления о взломе активность ShinyHunters изменилась

Первые признаки возможных проблем внутри группировки появились вскоре после обострения конфликта с ФБР.

Начиная со вторника журналистам Reuters не удавалось связаться с представителями ShinyHunters через аккаунт, который ранее использовался для общения со СМИ.

Уже на следующий день перестал открываться принадлежащий группировке сайт в даркнете. Именно там ранее публиковались сообщения и угрозы в адрес американского бюро.

Сами ShinyHunters до этого объясняли проблемы с доступностью ресурса действиями конкурентов и техническими последствиями другого инцидента, якобы не имевшего отношения к расследованию ФБР.

Независимого подтверждения этой версии нет.

От ультиматума хакеры перешли к отказу от конфликта

Особенно заметно изменилась публичная позиция ShinyHunters.

22 сентября группировка утверждала, что атаковала ФБР в ответ на официальное предупреждение, в котором её обвиняли в намеренном преувеличении масштабов получаемого доступа для давления на жертв и вымогательства.

Тогда хакеры заняли крайне агрессивную позицию и потребовали от бюро отозвать предупреждение в течение недели.

Однако последующее сообщение ShinyHunters оказалось совершенно другим по тону.

В последней переписке с Reuters представители группировки заявили, что больше не заинтересованы в дальнейшей эскалации. Свои слова они предложили воспринимать фактически как полный отказ от продолжения конфликта с ФБР.

Такое изменение позиции совпало по времени с задержаниями и исчезновением части инфраструктуры ShinyHunters, хотя прямую причинно-следственную связь между этими событиями пока считать доказанной нельзя.

ФБР предупреждает о возможных новых задержаниях

Арест в Иордании оказался не единственным событием вокруг ShinyHunters.

Ранее в Нидерландах был задержан Пепейн ван дер Стап, которого также считают возможным участником группировки.

После этого директор ФБР Каш Патель сообщил, что сотрудники бюро продолжают работать по новым зацепкам, и допустил дальнейшие аресты.

Таким образом, правоохранители, судя по публичным заявлениям, пытаются не просто расследовать отдельный эпизод, а установить более широкую сеть людей, связанных с деятельностью сообщества.

Имя Хадера уже появлялось в расследованиях киберпреступности

Сайф ад-Дин Хадер не впервые привлекает внимание специалистов по информационной безопасности.

Ранее независимый журналист и исследователь киберпреступности Брайан Кребс называл его одним из заметных участников сообщества Scattered Lapsus$ Hunters.

Под этим названием подразумевается более широкая среда хакеров, с которой связывают в том числе деятельность ShinyHunters.

Любопытно, что ещё тогда Хадер якобы утверждал в переписке через Signal, что прекратил заниматься похищением информации и вымогательством и начал сотрудничать с правоохранительными органами.

Если нынешние сведения источников Reuters верны, такое сотрудничество действительно продолжается или было возобновлено.

ShinyHunters приписывают и другие крупные атаки

Несмотря на сообщения о возможном отходе отдельных участников от киберпреступной деятельности, активность под брендом ShinyHunters продолжалась и в 2026 году.

Группировка брала на себя ответственность за компрометацию систем Rockstar Games — разработчика серии Grand Theft Auto.

Ей также приписывается майский инцидент с образовательной платформой Canvas, последствия которого затронули работу американских школ.

История ShinyHunters при этом хорошо показывает сложность борьбы с современными хакерскими сообществами. Названия групп далеко не всегда обозначают одну постоянную команду с неизменным составом. Отдельные участники могут одновременно взаимодействовать с несколькими сообществами, уходить из них, возвращаться или действовать под новыми псевдонимами.

Расследование может стать серьёзным ударом по ShinyHunters

Если задержанный в Иордании действительно обладал доступом к внутренним каналам общения ShinyHunters и сейчас предоставляет эту информацию следователям, последствия для группировки могут оказаться значительно серьёзнее потери одного участника.

История переписки, данные с устройств и сведения об используемых сервисах потенциально позволяют установить связи между псевдонимами и реальными людьми, обнаружить инфраструктуру и получить информацию о прошлых операциях.

Одновременно исчезновение сайта ShinyHunters, проблемы со связью и резкое смягчение публичных заявлений указывают как минимум на нарушение привычной работы сообщества.

Однако говорить о полном прекращении деятельности ShinyHunters пока преждевременно. Для подобных объединений характерна способность менять названия, инфраструктуру и состав участников.

Тем не менее серия задержаний и возможное сотрудничество одного из предполагаемых участников со следствием означают, что после громкого заявления об атаке на ФБР давление на ShinyHunters заметно усилилось.