ShinyHunters 在被捕前曾敲诈波音分拆子公司

# ShinyHunters 在被捕前曾勒索波音分拆子公司 – Krebs on Security 来源：https://krebsonsecurity.com/2026/10/shinyhunters-extorted-boeing-spin-off-prior-to-arrests/ 一名来自约旦安曼的少年疑似为臭名昭著的数据窃取和勒索组织 **ShinyHunters** 的头目，已被拘留，据报道正在与 FBI 合作，供出该黑客团伙的其他成员。KrebsOnSecurity 了解到，这名使用黑客代号 "**Rey**" 的嫌疑人被拘留时，ShinyHunters 正在对全球航空航天公司 **Boeing** 最近分拆出的一个业务部门实施勒索——Boeing 正是 Rey 父亲所任职的 **Royal Jordanian Airlines**（约旦皇家航空公司）机队飞机的制造商。 Jeppesen ForeFlight 的标志，该公司是波音去年分拆出的业务部门。 10月3日，**路透社**引用 (https://www.reuters.com/world/middle-east/key-shinyhunters-hacker-detained-jordan-is-cooperating-sources-say-2026-10-03/) 三位匿名消息人士的报道，称安曼一名名为 **Saif Al-din Khader** 的 ShinyHunters 疑似成员已被约旦当局拘留，并正与 FBI 合作。KrebsOnSecurity 在 2025年11月的一篇人物特写 (https://krebsonsecurity.com/2025/11/meet-rey-the-admin-of-scattered-lapsus-hunters/) 中确认 Rey 即为 Khader，该少年在文中承认曾与多个勒索软件团伙合作。 Rey 再次出现在一篇 9月28日的独家报道 (https://krebsonsecurity.com/2026/09/dutch-police-arrest-reformed-hacker-in-shiny-hunters-investigation/) 中，该报道关于荷兰警方逮捕 24 岁的被定罪网络罪犯 **Pepijn van der Stap**，后者涉嫌协助 ShinyHunters 进行数据窃取和勒索。报道称，在荷兰人于 9月15日晚被捕后，Rey 立即接管了 ShinyHunters 这一品牌，并公开吹嘘自己从 **FBI** 窃取了高度敏感的数据，并勒索了勒索软件团伙 **Cl0p**。 Rey 在其长期使用的 Twitter/X 账户上发布了嘲讽 FBI 和 Cl0p 的表情包，同时在图中包含了 Van Der Stap 此前黑客代号 "**Umbreon**"（月亮伊布）所使用的头像，显然是想将这两起入侵嫁祸于这位荷兰人。 Rey 于 9月22日上传到 Twitter/X 的嘲讽表情包。左下角可以看到一个巨大化的宝可梦角色月亮伊布（Umbreon）。 正如我们在 9月28日的报道中所述，ShinyHunters 利用 **Oracle**（科技巨头）旗下 **PeopleSoft** 平台的一个漏洞（CVE-2026-35273）入侵了 FBI 网站和其他受害目标。PeopleSoft 是一个软件即服务（SaaS）平台，被企业广泛用于管理招聘、人力资源、福利和薪酬。Oracle 针对 CVE-2026-35273 快速发布了修复补丁，而 ShinyHunters 早在 6月就开始将该漏洞作为零日漏洞加以利用。当时 Mandiant 发布了 Web 应用防火墙规则，供那些无法及时应用安全更新的组织使用。 ShinyHunters 在 6月向 BleepingComputer 透露 (https://www.bleepingcomputer.com/news/security/oracle-peoplesoft-servers-hacked-in-shinyhunters-data-theft-attacks/)，最初利用 PeopleSoft 漏洞的目的是攻破 FBI 自己的 PeopleSoft 数据库，但黑客表示那些攻击因某种原因未能成功。然而，在最近几周里，ShinyHunters 改用一种广为人知的 URL 编码技巧 (https://www.bleepingcomputer.com/news/security/shinyhunters-uses-waf-bypass-trick-in-oracle-peoplesoft-attacks/) 来绕过 Mandiant 建议的 Web 应用防火墙规则。 在 **Mandiant** 和 **Google 威胁情报组**（GTIG）于 9月25日发布的一份报告 (https://cloud.google.com/blog/topics/threat-intelligence/shinyhunters-renewed-mass-exploitation-campaign-targeting-oracle-peoplesoft) 中，安全专家证实 ShinyHunters 对 PeopleSoft 漏洞进行了大规模利用，从高等教育、科技、医疗、农业、交通和政府等多个行业的数十个系统中窃取了数据。 路透社在 10月5日报道 (https://www.reuters.com/technology/accenture-contractor-removed-fbi-following-damaging-data-breach-sources-say-2026-10-06/) 称，FBI 已解雇了一名 **Accenture** 的承包商，原因是其未能及时修补被 ShinyHunters 入侵的 FBI 招聘网站。该事件暴露了 5,000 多名 FBI 人员的敏感信息，包括每个人的所属单位、专业方向，以及医疗和精神健康记录。 ## "REY" 意为"国王"，如同"皇家"一般 据两位知情于 ShinyHunters 调查的消息人士称，全球航空航天公司 **Boeing** 最近分拆出的一个导航和数字航空业务部门，是 Rey 被约旦当局抓捕时 ShinyHunters 正在实施勒索的受害目标之一。 消息人士表示，FBI 对 ShinyHunters 的调查因该组织对波音前子公司发起的勒索企图而重新紧迫起来。据报道，被窃取的敏感信息可能对运营安全和飞行安全构成风险。 Boeing 在与 KrebsOnSecurity 分享的一份简短声明中承认了 ShinyHunters 的勒索企图，并表示该事件涉及从 **Jeppesen ForeFlight**（波音的一个子公司）窃取的数据。Boeing 已于 2025年11月以 105.5 亿美元的价格将该公司出售 (https://www.reuters.com/business/aerospace-defense/buyout-firm-thoma-bravo-nears-deal-boeings-jeppesen-unit-bloomberg-news-reports-2025-04-22/) 给私募股权公司 Thoma Bravo。 一位 Boeing 发言人表示："我们已知悉一个威胁行为者声称掌握了与 Boeing 及其前子公司 Jeppesen ForeFlight 相关的数据。我们正在与 Jeppesen ForeFlight 团队积极审查此事。" Jeppesen ForeFlight 的发言人在回应提问时提供了一份书面声明，称公司方面未受到任何影响。"基于我们迄今对该声称的调查以及主动的安全态势，我们的运营或产品未受到任何影响。" Rey 涉嫌参与对波音前子公司实施勒索一事之所以值得注意，是因为有强有力的证据表明他的父亲任职于 **Royal Jordanian Airlines**（约旦皇家航空公司）。该公司主要由约旦政府控股，其远程航线机队使用 Boeing 制造的客机。Rey 于 2025年初在 Telegram 上声称其父亲是一名航空公司的飞行员，但这一说法无法得到独立证实。 然而，正如我们在 2025年11月关于 Rey 的人物特写 (https://krebsonsecurity.com/2025/11/meet-rey-the-admin-of-scattered-lapsus-hunters/) 中所述，他家的共享电脑一度感染了窃取密码的恶意软件，该恶意软件收集的数据清楚表明，Rey 的父亲使用相同的凭据登录了多个约旦皇家航空公司员工的在线门户。 约旦皇家航空公司尚未回应置评请求。在 9月28日报道发布之前，KrebsOnSecurity 再次给 Rey 的父亲发送了电子邮件，征求评论并告知其儿子涉嫌的活动。Khader 父子均未回复。但在该请求发出数小时后，Rey 开始删除他的多个社交媒体账户，包括此前用来嘲讽 FBI、Cl0p 以及其他 ShinyHunters 受害者的 Twitter/X 账户。 Rey 或许已经清除掉了大部分社交媒体资料，但他在 GitHub 上的网络安全博客却奇迹般地幸免于难。博客内容显示，Rey 曾执着于 Cl0p 勒索软件团伙的头目。2026年3月，Rey 的博客刊登了一篇长文 (https://rmoskovy.github.io/posts/who-runs-clop-ransomware-investigation/)，将两名俄罗斯人指认为 Cl0p 的核心开发者和黑客。 Rey 在 GitHub 上的博客。这篇文章将两名俄罗斯人曝光为 Cl0p 的核心运营者，Cl0p 是至今仍在运作的历史最悠久、最具规模的勒索软件团伙之一。 ## 买凶杀人？ 与此同时，荷兰媒体报道了针对 Van der Stap 的爆炸性新指控。这位从被定罪罪犯转变为"已改过自新"黑客的经历曾被科技新闻媒体广泛报道。荷兰日报 RTL 于 9月29日报道 (https://www.rtl.nl/nieuws/binnenland/artikel/5656154/pepijn-van-der-s-verdacht-van-opdracht-geven-moorden) 称，调查人员怀疑 Van der Stap 试图策划了至少两起谋杀。据 RTL 报道，这些谋杀据称将在国外实施，且有迹象表明 Van der Stap 下达了这些袭击的指令。 Van der Stap 在服完因数据窃取和勒索活动被判四年徒刑的大部分刑期后获释。检察官称，他的非法活动获利在 150 万至 270 万欧元之间。在 9月9日与 KrebsOnSecurity 的采访中，Van der Stap 将自己在荷兰网络安全公司 **Neo Security** 担任"进攻性安全主管"的角色描述为探测客户网络安全漏洞的工作。 Neo Security 的所有者 **Benjamin Korper** 告诉路透社，他已聘请一家外部公司调查 Van der Stap 是否入侵了 Neo Security 或其客户，但迄今为止调查人员未发现他针对雇主或客户采取行动的证据。Korper 表示，荷兰法证调查人员于 9月15日晚到访了他的办公室，当晚 Van der Stap 在一场据报道使用了闪光震撼弹 (https://www.at5.nl/artikelen/239945/speciale-eenheid-rivierenbuurt-amsterdam) 的戏剧性警方突袭中被捕。 荷兰新闻媒体 at5.nl 于 9月16日发表的报道截图，描述了警方对 Van Der Stap 住所的突袭行动，据报道使用了闪光震撼弹。 在 2023年第一次被捕之前，Van der Stap 在阿姆斯特丹网络安全初创公司 Hadrian 担任软件工程师，同时在荷兰漏洞披露研究所（DIVD）做志愿者——与此同时他还在入侵和勒索多个大型组织。 在最近的一次采访中被问及，为何人们应该相信一个自称"已改过自新"的网络罪犯——此人多年来曾如此随意地欺骗了无数朋友、同事和记者——Van der Stap 回答说他的工作本身就是最好的证明，他说什么也无法说服那些最严厉的批评者。 "你可以对一个人说一堆好话，但如果他们不想被说服，你就无法说服他们，"Van der Stap 于 9月9日对 KrebsOnSecurity 说道。"我在尽力弥补受害者，这就是我能做的一切。如果有人不想相信我，那是他们的问题。" ## 品牌加盟与消耗 与 ShinyHunters 关联的网络罪犯曾制造了数十起数据泄露事件 (https://en.wikipedia.org/wiki/ShinyHunters)，涉及数十亿条被盗记录，该组织声称的最早入侵可追溯至 2019年。但专家表示，最近使用 ShinyHunters 名号活动的人员，并非该组织早期的核心成员。早期成员大多是法国公民，其中多数曾因涉嫌网络犯罪活动被至少一次逮捕（甚至入狱）(https://krebsonsecurity.com/wp-content/uploads/2026/10/k3l0t3x.png)。 更准确地说，ShinyHunters 已经变成了一种加盟品牌。可以联想到 1980年代邪典经典电影《公主新娘》中"恐怖海盗罗伯茨" (https://en.wikipedia.org/wiki/Dread_Pirate_Roberts) 这个角色，只不过世袭方式从"以死换代"变成了"以被捕换代"，而且可以同时存在多个"恐怖海盗罗伯茨"。知情调查的消息人士表示，FBI 目前正将重点集中在少数几名仍在向该组织提供各大公司软件即服务（SaaS）平台被盗凭据的网络犯罪自由职业者或关联者身上，以换取日后受害者支付的数据赎金分成。 在 Van der Stap 被捕的消息传出后的几天里，一个据称由 Rey 运营的 Telegram 网络犯罪主题聊天服务器上爆发了激烈的讨论。在 Rey 公开撤回对 FBI 和 Cl0p 的威胁后，大多数参与者对这位少年黑客极尽嘲讽之能事；当 ShinyHunters 的暗网网站突然下线时 (https://www.reuters.com/legal/government/shinyhunters-website-goes-offline-after-fbi-deadline-expires-2026-09-30/)，嘲讽更是愈演愈烈。多位评论者指责 Rey 在该组织的核心成员在法国被一网打尽后复活了 ShinyHunters 品牌，并从此不断糟蹋该组织的名号和声誉。 "他买下了旧论坛的 PGP 密钥，并用它创建了新的 BreachForum 网站和 Telegram 频道，冒充 ShinyHunters 勒索公司，然后出售被窃取的数据，或者在破产后转卖论坛，"一位成员回忆道。 一个名为"The Battle"的较新 Telegram 频道几周来一直在曝光和调侃 Rey 及其他涉嫌 ShinyHunters 成员的身份，在 Telegram 上运营的网络犯罪社区中积累了相当的读者群。该骚扰活动的组织者之一反复将 Rey 描绘成一个无知的菜鸟，试图搭上一个网络犯罪品牌的顺风车——该品牌长期以来以毫不留情地出售或公开被拒付赎金的受害公司的数据而闻名。 "Rey（Saif Al-Din Khader）在开始冒充 ShinyHunters 成员时犯了一个严重的错误，"The Battle 频道的管理员在 Telegram 上写道。"该组织早已被瓦解，许多成员要么被捕要么入狱，但 Rey 仍然选择使用该组织的名字来实施犯罪。我们已经注意到相关声称：[Rey] 造成了超过 2 亿美元的损失，并在过去几个月里帮助社区中大约 5 至 6 个朋友圈子利用 Shiny Hunters 团伙的别名进行谈判，以获取 25% 至 30% 的分成。" 在接受 The Register 采访时 (https://www.theregister.com/cyber-crime/2026/09/25/shinyhunters-tells-the-reg-we-hacked-the-fbi-to-protect-our-business/5299250)，ShinyHunters 声称他们入侵 FBI 是为了反驳该机构在 2026年5月发布的一份公告 (https://www.ic3.gov/PSA/2026/PSA260515) 中的说辞。该公告建议受害者不要向该组织支付赎金，但在 FBI 的公告中，ShinyHunters 被描绘成一个不专业、反复无常的形象。 FBI 于 2026年5月15日发布的关于 ShinyHunters 的紧急公告。 这份公开警告指出，该组织已知会采取多种不同的受害者骚扰策略 (https://krebsonsecurity.com/2026/02/please-dont-feed-the-scattered-lapsus-shiny-hunters/)，从向受害者及其家人发送威胁短信和电话，到在某些情况下对受害者进行"报假警"（swatting）(https://krebsonsecurity.com/tag/swatting/)。FBI 警告说，ShinyHunters 成员"还可能谎称掌握了敏感或有损声誉的信息，包括受害者的尴尬照片或视频，但这些通常并不存在。" 黑客告诉 The Register，他们对 FBI 的攻击"展示了我们的技术能力，直接驳斥了 FBI、记者和行业研究人员散布的虚假信息。"与此同时，该组织的头目似乎承认 FBI 的警告实质上损害了他们说服受害者付款的前景，他们表示"这从根本上说是一项公关和市场营销举措。"