Detenção de Rey marca novo golpe contra grupo de extorsão digital

Um suposto membro do grupo de extorsão digital ShinyHunters, que opera sob o apelido online “Rey”, foi detido pelas autoridades na Jordânia. De acordo com relatório da Reuters, citando três fontes familiarizadas com o caso, o indivíduo foi preso em 29 de setembro de 2026 e está cooperando com o FBI e outras forças de lei para identificar outros integrantes do grupo.

O detido, cujo nome real é Saif al-Din Khader, também conhecido pela alcunha ReyXBF, não é um novato no cenário de cibersegurança. Em uma reportagem de novembro de 2025, o jornalista de segurança independente Brian Krebs o apontou como um dos três administradores do Scattered LAPSUS$ Hunters, um conjunto avaliado como uma fusão dos grupos Scattered Spider, LAPSUS$ e ShinyHunters.

Antes disso, Krebs destacou que Rey atuou como administrador do site de vazamento de dados do Hellcat, um grupo de ransomware que surgiu no final de 2024. Além disso, em 2024, assumiu a administração da mais recente iteração do BreachForums. Khader teria informado a Krebs que já cooperava com as autoridades pelo menos desde junho de 2025.

Esta prisão é a última ação em uma série de operações contra o ShinyHunters. Na semana anterior, um homem de 24 anos de idade, morador de Amsterdã, foi preso por sua envolvimento nas operações maliciosas do grupo. Relatórios independentes revelaram que se tratava de Pepijn van der Stap, um hacker reformado que trabalhava como líder de segurança ofensiva na empresa holandesa Neo Security. Um porta-voz do ShinyHunters negou qualquer vínculo com van der Stap.

Após a detenção, o diretor do FBI, Kash Patel, declarou que “equipes do FBI estão trabalhando ativamente com parceiros para obter e executar mais pistas na investigação em curso com base nessa prisão”. Em um post posterior no X, Patel complementou: “Equipes do FBI estão seguindo novas pistas AGORA. Mais prisões estão em mesa”.

Nas semanas recentes, o prolífico grupo de hackers chamou a atenção ao sequestrar o site darknet de um concorrente, o Cl0p, explorando uma falha não corrigida no Grav CMS, e também por invadir o portal de empregos do FBI, “apply.fbijobs.gov”, roubando cerca de três terabytes de dados sensíveis.

O ShinyHunters afirmou que não busca um resgate financeiro no caso do FBI, mas sim aplicar pressão para corrigir o que chamou de alegações falsas sobre o grupo e desafiar as declarações da agência sobre suas conexões com The Com, um coletivo de cibercrime frouxo conhecido por engenharia social, phishing, extorsão e violência física.

“Desde o ano passado, este cibercriminoso e seus co-conspiradores supostamente invadiram mais de 140 organizações e obtiveram pelo menos 70 milhões de dólares em pagamentos de extorsão”, declarou Brett Leatherman, assistente da divisão ciber do FBI, em um vídeo gravado. Leatherman, que descreveu van der Stap como um suposto líder do grupo, instou outros membros a se manifestarem, afirmando que eles já não podem se esconder por trás de uma anonimidade internacional.

Em um relatório aprofundado sobre as origens e a evolução tática do ShinyHunters, as empresas de segurança Sekoia e Beazley Security apontaram que sua linhagem remonta a dois grupos progenitores, TheDarkOverlord e GnosticPlayers, especializados em extorsão e operações de vazamento de dados. A marca ShinyHunters surgiu publicamente entre abril e maio de 2020.

“Seis anos depois, o ShinyHunters é menos um grupo do que uma marca e um modelo de negócios que sobreviveu aos seus fundadores”, observaram os pesquisadores Enzo Saez e Robert Venal. “O que começou em 2020 como uma pequena equipe negociando bases de dados roubadas no RaidForums tornou-se um grupo persistente e autorrenovável que absorveu indiciamentos, prisões e apreensões de fóruns sem nunca silenciar por muito tempo”.

Com informações de: The Hacker News