Reutersの取材に応じた2人の情報筋によると、ヨルダン当局は今週、オンライン上でReyとして知られるSaif al-Din Khaderを拘束した。Khaderは、窃盗とサイバー恐喝を行うShinyHuntersグループとの関係が疑われている人物だ。同じ情報筋によれば、Khaderは現在、FBIや国際的な法執行機関に協力し、捜査官が共犯者とされる人物やその所在地を特定できるよう、自身の電子機器やデジタル通信を調査させている。
入手可能な記事によれば、ヨルダン当局もFBIも、拘束の詳細や協力の性質について公式には確認していない。また、BleepingComputerは、FBIのシステムに対する同グループの攻撃疑惑における盗難データの規模など、グループの活動に関する主張をすべて独自に検証することはできなかった。
FBIへの攻撃疑惑後の新たな拘束
Khaderの拘束は、ShinyHuntersに対する米国および国際的な取り締まりのさなかに行われた。同グループは9月、Oracle PeopleSoftのゼロデイ脆弱性とされるものを利用してFBIのシステムに侵入し、その後、同機関が運用するAWS GovCloud環境内を移動したと主張した。グループは、現職・元職員および応募者の情報、医療・心理情報、内部サービスの記録を含む2～3テラバイトのデータを盗んだと述べた。
FBIは不正な活動の主張について調査していることを認めたが、データが盗まれたことは確認していない。9月15日、オランダ警察は同グループに関連する捜査の一環として、アムステルダムで24歳の男を逮捕した。セキュリティー関連の報道は、その身元をPepijn van der Stap、別名Umbreonと特定した。
グループの基盤に混乱が生じたのか？
Khaderが拘束された日、ShinyHuntersの活動内部に混乱が生じていることを示す兆候が現れた。容疑のある参加者の一人と関係するメッセージングアカウントが閉鎖され、その後、同グループのデータリークサイトが利用できなくなり、主要な代表者もメディアからの質問への回答を停止した。ただし、これらの展開が拘束の結果であることを示すものではない。木曜日にはShinyHuntersの名を冠した新たなリークサイトが登場し、他のメンバーが活動を運営する能力を維持していることを示した。
ShinyHuntersの代表者は、拘束についてのBleepingComputerからの問い合わせにも回答しなかった。FBIは以前、グループのメンバーに公に警告し、逮捕やインフラの押収によって、さらに多くの参加者が協力する可能性があると指摘していた。
Reyとは誰か？
過去の報道は、Reyの名を複数のデータ窃盗および恐喝攻撃と結び付けてきた。2025年1月には、Reyを含む4人の攻撃者が、Telefónicaの社内Jiraシステムへの侵入と、約2.3ギガバイトの文書およびデータの窃取について犯行声明を出した。また、ルーマニアにおけるOrangeの業務への攻撃とも関連付けられており、その後、約6.5ギガバイトのデータが流出したほか、世界中のJiraサーバーを標的とする一連の攻撃とも結び付けられた。
その後、ReyはShinyHuntersおよびScattered Lapsus$ Huntersと呼ばれる主体に属するTelegramチャンネルと関連付けられた。2025年11月、ジャーナリストのBrian Krebsは、情報窃取マルウェアのログとライブチャットから得た情報により、Reyの身元をSaif Al-Din Khaderと特定したと述べた。同氏によれば、Khaderは6月から法執行機関に協力しているというが、Krebsはこれらの主張を検証できなかったと指摘した。
なぜこのニュースが重要なのか？
情報が確認されれば、グループとの運用上のつながりが疑われる人物の拘束により、クラウドサービスやSaaSプラットフォームを標的とする攻撃で使用された機器、アカウント、デジタル上の関係に捜査官がアクセスする手がかりを得られる可能性がある。しかし、新たなリークサイトの登場は、1人の拘束が必ずしも活動の停止を意味しないことを示している。また、KhaderがShinyHuntersに帰属されるすべての攻撃と関係しているかどうか、そして協力がどの程度有益なのかについては、依然として公式な確認と検証可能な証拠が必要である。