Die jordanischen Behörden nahmen diese Woche laut zwei Quellen, die mit Reuters sprachen, Saif al-Din Khader fest, der online unter dem Namen Rey bekannt ist und verdächtigt wird, mit der auf Datendiebstahl und Cyber-Erpressung spezialisierten Gruppe ShinyHunters verbunden zu sein. Den Quellen zufolge kooperiert Khader derzeit mit dem FBI und internationalen Strafverfolgungsbehörden und legt den Ermittlern seine elektronischen Geräte und digitalen Nachrichten vor, um ihnen dabei zu helfen, seine mutmaßlichen Partner und deren Aufenthaltsorte zu identifizieren.
Die jordanischen Behörden oder das FBI haben laut den verfügbaren Informationen weder Einzelheiten zur Festnahme noch die Art der Zusammenarbeit offiziell bestätigt. BleepingComputer konnte außerdem nicht alle Behauptungen im Zusammenhang mit den Aktivitäten der Gruppe unabhängig überprüfen, darunter das Ausmaß der Daten, die bei ihrem mutmaßlichen Angriff auf die Systeme des FBI gestohlen wurden.
Neue Festnahme nach mutmaßlichem Angriff auf das FBI
Die Festnahme Khaders erfolgt im Zuge einer amerikanischen und internationalen Kampagne gegen ShinyHunters. Die Gruppe behauptete im September, mithilfe einer mutmaßlichen Zero-Day-Schwachstelle in Oracle PeopleSoft in die Systeme des FBI eingedrungen zu sein und sich anschließend innerhalb der von der Behörde betriebenen AWS-GovCloud-Umgebungen bewegt zu haben. Die Gruppe erklärte, zwischen 2 und 3 Terabyte an Daten gestohlen zu haben, darunter Informationen über aktuelle und ehemalige Beschäftigte sowie Bewerber, medizinische und psychologische Daten und Aufzeichnungen aus internen Diensten.
Das FBI bestätigte, dass es Behauptungen über unbefugte Aktivitäten untersucht, bestätigte jedoch keinen Datendiebstahl. Am 15. September nahm die niederländische Polizei im Rahmen einer mit der Gruppe verbundenen Untersuchung einen 24-jährigen Mann in Amsterdam fest. Sicherheitsberichte identifizierten ihn als Pepijn van der Stap, bekannt unter dem Alias Umbreon.
Ist die Infrastruktur der Gruppe gestört?
Am Tag der Festnahme Khaders gab es Anzeichen für Unruhe innerhalb der Aktivitäten von ShinyHunters. Ein mit einem mutmaßlichen Mitglied verbundenes Nachrichtenkonto wurde geschlossen, anschließend war die Datenleck-Website der Gruppe nicht mehr erreichbar, und ihr wichtigster Vertreter reagierte nicht mehr auf Fragen der Medien. Dies belegt nicht, dass diese Entwicklungen durch die Festnahme verursacht wurden, denn am Donnerstag erschien eine neue Leak-Website unter dem Namen ShinyHunters. Dies deutet darauf hin, dass andere Mitglieder weiterhin in der Lage sind, die Operation zu betreiben.
Auch die Vertreter von ShinyHunters antworteten nicht auf Anfragen von BleepingComputer zur Festnahme. Das FBI hatte die Mitglieder der Gruppe öffentlich gewarnt und darauf hingewiesen, dass Festnahmen und die Beschlagnahmung der Infrastruktur weitere Beteiligte zur Zusammenarbeit bewegen könnten.
Wer ist Rey?
Frühere Berichte brachten den Namen Rey mit mehreren Angriffen zum Datendiebstahl und zur Erpressung in Verbindung. Im Januar 2025 bekannten sich vier Angreifer, darunter Rey, zu dem Eindringen in das interne Jira-System von Telefónica und zum Diebstahl von etwa 2,3 Gigabyte an Dokumenten und Daten. Außerdem wurde er mit einem Angriff auf die Aktivitäten von Orange in Rumänien in Verbindung gebracht, auf den ein Leak von etwa 6,5 Gigabyte an Daten folgte, sowie mit einer Reihe von Angriffen auf Jira-Server weltweit.
Rey wurde später mit ShinyHunters und den Telegram-Kanälen eines Gebildes namens Scattered Lapsus$ Hunters in Verbindung gebracht. Im November 2025 erklärte der Journalist Brian Krebs, dass ihn Informationen aus Protokollen von Informationsdiebstahl-Software und direkten Gesprächen dazu geführt hätten, Rey als Saif Al-Din Khader zu identifizieren. Ihm zufolge kooperiert dieser seit Juni mit Strafverfolgungsbehörden. Krebs wies jedoch darauf hin, dass er diese Behauptungen nicht überprüfen konnte.
Warum ist diese Nachricht wichtig?
Sollten sich die Informationen bestätigen, könnte die Festnahme einer Person mit mutmaßlichen operativen Verbindungen zur Gruppe den Ermittlern Zugang zu den Geräten, Konten und digitalen Beziehungen verschaffen, die bei Angriffen auf Cloud-Dienste und SaaS-Plattformen genutzt wurden. Das Auftauchen einer neuen Leak-Website zeigt jedoch, dass die Festnahme einer einzelnen Person nicht zwangsläufig das Ende der Operation bedeutet. Auch Khaders Verbindung zu allen ShinyHunters zugeschriebenen Angriffen und der Wert seiner Zusammenarbeit müssen weiterhin offiziell bestätigt und durch überprüfbare Beweise belegt werden.