追查近期从美国联邦调查局（FBI）窃取高度敏感数据的黑客组织闪亮猎人（ShinyHunters）的美国联邦调查人员，已锁定两家不同勒索软件谈判公司的高管，这些高管与勒索组织关系异常密切。克雷布斯安全博客（KrebsOnSecurity）获悉，其中一名美国高管甚至曾帮助闪亮猎人运营一个向受害者施压、要求支付赎金的网站。

美国联邦调查人员正在追查最近从 FBI 窃取高度敏感数据的 ShinyHunters 黑客组织。KrebsOnSecurity 了解到，调查人员已锁定两家不同勒索软件谈判公司的高管，他们与该勒索组织保持着异常密切的关系。

ShinyHunters 自 2019 年以来宣称制造了数十起重大数据泄露事件，当时该组织主要由居住在法国的网络罪犯运营。随着原始成员陆续被捕或入狱，ShinyHunters 这一名号的控制权最终转到“Rey”手中；去年他被确认为一名来自约旦安曼的青少年黑客。FBI 称，ShinyHunters 今年迄今已从受害者那里勒索超过 7000 万美元。

9 月下旬，ShinyHunters 入侵了 FBI 招聘网站 fbijobs.gov，并嘲讽该机构，威胁公布窃取的文件。据报道，这些文件包括医疗和心理记录、社会安全号码、家庭住址，以及每名员工所在部门和专长的信息。

FBI 招聘网站被黑后，该机构以罕见速度逮捕、拘留并询问任何与 Rey 或其他 ShinyHunters 嫌疑人有过通信的人。路透社 10 月 3 日报道，Rey 已被约旦当局拘留，并正与 FBI 合作。

Rey 之所以能接管该黑客组织，是因为其一名涉嫌高级成员刚被抓获。2026 年 9 月 15 日晚，荷兰当局逮捕了已被定罪的黑客、ShinyHunters 嫌疑人 Pepijn van der Stap。据报道，荷兰警方使用了闪光弹，试图在 Van der Stap 登录各类在线账户时将其制服并逮捕。

一名接近调查的消息人士称，当局逮捕 Van der Stap 时，他正在使用 Signal 即时通讯账户，这使调查人员能够读取他与常用联系人的近期通信，其中包括加拿大和美国的勒索软件谈判人员。

多名知情人士告诉 KrebsOnSecurity，Van der Stap 的消息是揭开其被捕后立即浮现的雇凶杀人阴谋的关键。荷兰新闻媒体 RTL 上月报道，两起谋杀据称将在国外实施，并有迹象表明 Van der Stap 下达了袭击命令（没有迹象显示这些命令曾被实际执行）。

10 月 9 日，KrebsOnSecurity 爆料，FBI 逮捕了 54 岁的加拿大网络安全高管 Edward Dubrovsky，此人涉 ShinyHunters 调查。Dubrovsky 最近出版了一本关于应对网络勒索的书，书中建议始终与黑客接触。根据法庭记录，他被指控威胁披露被盗或被黑的数据，并通过勒索干扰州际商务。Politico 报道，检察官要求 Dubrovsky 在庭审前继续被羁押，且其案件相关记录仍密封。

一名接近调查的消息人士告诉 KrebsOnSecurity，Van der Stap 的 Signal 消息显示，他与 Dubrovsky 以及一家大型美国咨询公司至少一名高管频繁交谈；这些高管常常在受害者自己得知泄露之前，就知道 ShinyHunters 新受害者的细节。

该消息人士还透露了联邦调查人员的另一项潜在爆炸性发现：这名荷兰黑客的聊天记录显示，Dubrovsky 知道 ShinyHunters 从 FBI 服务器窃取了高度敏感数据，而在 ShinyHunters 在 Twitter/X 上威胁公布该机构高度私密的人事档案之前，他从未通知 FBI 这一数据泄露。

SHINYWIRE

KrebsOnSecurity 从两名接近 ShinyHunters 调查的消息人士处了解到，FBI 调查人员认为，一家美国咨询公司至少一名高管曾积极参与运营现已关闭的 ShinyHunters 受害者勒索网站“shinywire[.]com”。KrebsOnSecurity 暂不点名这家美国公司或嫌疑高管，因为他们尚未被刑事指控；这是一家拥有 1000 多名员工的知名公司。

Shinywire 网站大约从 2026 年 5 月 3 日活跃到 10 月 16 日，列出了近 100 个被 ShinyHunters 入侵的组织。每个条目都敦促受害者与该网络犯罪团伙接触并讨论付款条件。页面还包含被盗文件样本，并承诺如果受害者无视要求，这些文件将被公布到网上。

下面截图显示的是 urlscan.io 缓存的 Shinywire 勒索页面中针对 Intuitive Surgical 的部分；Intuitive Surgical 是一家美国医疗技术公司，2026 年 3 月因一名员工落入定向钓鱼邮件攻击而导致凭证泄露后被入侵。

拒绝接触或谈判的受害者组织，七天后会发现其全部被盗数据被发布到 ShinyHunters 的“受害者羞辱”博客上（该网站只能通过匿名网络 Tor 访问）。

在 10 月 15 日发表的一篇报道中，The Globe and Mail 写道，在 Edward Dubrovsky 被 FBI 逮捕的几个月前，这位加拿大网络安全高管在法庭文件中声称，自己成了前商业伙伴“摧毁”另一名行业高管的行动中的附带受害者。

报道指出，Dubrovsky 今年在安大略省对 Daniel Tobok 提起诉讼；Tobok 是 Cypfer 前首席执行官，Cypfer 是一家成立于多伦多、在美国、英国、荷兰、阿联酋和墨西哥设有办事处的网络安全公司。两人 2017 年首次成为商业伙伴，后来共同创办了 Cypfer，Dubrovsky 曾任管理合伙人兼首席运营官。但到 2024 年，两人闹翻，Dubrovsky 指责 Tobok 逐渐将他排除在业务之外，并做出“越来越任性的商业决定”。

Tobok 否认指控并提出反诉，指控 Dubrovsky 访问机密信息，并通过在另一家名为 CyberSteward Inc 的公司的工作与 Cypfer 进行不公平竞争。他还称 Dubrovsky 谎称自己是 Cypfer 创始人，且并非股东。

GHOSTBYTE

据对 Tobok 几位前同事的采访，早在八年前，他就以某个特定绰号被勒索软件从业者所知：Ghostbyte。2018 年，一家加拿大公司被 Dharma 勒索软件攻击；Dharma 是一个多产的俄语勒索软件联盟项目，最早于 2016 年出现。受害公司告诉 Dharma 勒索软件代表，他们倾向于支付，因为一些文件被锁后无法恢复，但他们需要更好的保证，确保 Dharma 收款后信守承诺。

下面是一份经涂黑处理的 Dharma 代表回复截图。它显示，该勒索软件组织敦促受害者联系一家帮助公司寻求此类保证的加拿大 IT 公司的人员。Dharma 代表建议受害者联系邮箱 ghostbyte@tutanota.com。

“如果你想要保证，可以写信给这家 IT 公司，”Dharma 的回复建议道。“拿起电话和他们谈判。这家 IT 公司在加拿大经常解决这类问题。你可以联系他们并签订服务合同。你仍然需要付钱。”

目前不清楚 Tobok 是否使用过 Dharma 代表提供的那个 Ghostbyte 地址，他也未回应多次置评请求。不过，数据泄露追踪服务 Constella Intelligence 发现，Tobok 常用的邮箱 dtobok@me.com 与两个用户名均为“ghostbyte”的在线账号相关联，其中包括一个 Snapchat 账号。

顺带一提，Constella 还发现，Dharma 代表的邮箱 luckygoodlucky@tuta.io 与一个加密货币地址相关联，该地址处理了 38 笔交易，总计 43 个比特币，按今天的价值约合 350 万美元（该钱包最近的交易日期为 2019 年 2 月）。

Cypfer 在 10 月 14 日的一份声明中表示，公司业务不包括促成或便利勒索软件付款；Cypfer 是在媒体首次爆出消息时才得知 Dubrovsky 被捕的。

“我们对 Dubrovsky 先生被捕一事没有事先知情，”一位发言人在电子邮件中告诉 KrebsOnSecurity。“CYPFER 没有收到过执法部门的任何联系，据我们所知，也不是任何执法调查的目标。”

声明称，CyberSteward 和 Cypfer 是独立公司，没有共同的官员、董事或员工；Cypfer 最近被 Apros Group 收购，这是一家由 Jason Hogg 领导的控股公司，Hogg 是前 FBI 特工、前 Aon Cyber Solutions Group 首席执行官。2020 年，Aon 收购了安全咨询公司 Cytelligence，Tobok 当时是创始人兼首席执行官，Dubrovsky 是管理合伙人。

利益冲突

在美国，向黑客支付费用以换取解密密钥来解锁被勒索软件感染的服务器，或换取对方承诺删除被盗文件并不在网上公布，并不违法。虽然如果受害者组织向被美国财政部制裁的团体支付赎金，可能会陷入法律麻烦，但 ShinyHunters 不在美国或其他任何政府目前制裁的勒索软件团体之列。

专家表示，勒索软件受害者通常由其保险提供商指示与特定的事件响应公司合作。但并非所有网络取证和数据泄露响应公司都同意代表客户便利向勒索软件团体的付款。因此，一旦受害公司决定付款，那些拒绝奖励勒索者的公司总会被那些毫无顾忌的公司取代。

2024 年 12 月，ShinyHunters 开始勒索教育技术公司 PowerSchool，窃取了美国和加拿大 6200 万名学生和 950 万名教师的私人信息。据报道，PowerSchool 支付了 285 万美元赎金；关于该事件的“常见问题”声明（PDF）称，PowerSchool 在这项工作中得到了 CyberSteward 的协助。（ShinyHunters 附属成员 Matthew Lane，20 岁，来自马萨诸塞州斯特林，因承认参与 PowerSchool 黑客攻击，于 2025 年 11 月被判四年监禁。）

但那笔赎金支付并未能阻止使用同一批被盗数据进行的未来勒索企图。到 2025 年 5 月，据报道各个学区正收到使用同一批被盗文件样本的单独赎金要求。虽然没有人指控 ShinyHunters 是第二轮针对 PowerSchool 用户勒索的幕后黑手，但该事件凸显了一个现实：没有技术方法可以验证威胁行为者是否如承诺般删除了被盗数据，也无法防止他人滥用同样的记录。

包括 Coveware 和 Unit 221B 在内的多家领先网络事件响应公司一直警告受害者不要向 ShinyHunters 付款，指出所谓“销毁”的受害者数据往往被保留、转售，或日后被用来直接勒索该公司的客户。

FBI 在 2026 年 5 月 15 日的一份警报中呼应了这些看法，建议受害者不要向 ShinyHunters 团体付款。与此同时，ShinyHunters 成员一直在骚扰和威胁 Coveware 和 Unit 221B 的员工，因为他们提供了这类建议。

下面的截图显示了 ShinyHunters 领导层对 Coveware 不断建议不要付款有多恼火。第一张图来自 2026 年 5 月 6 日该组织 Telegram 主账号与一名同谋之间的对话。在这段聊天中（其片段由一名可信消息人士分享给 KrebsOnSecurity），ShinyHunters 抱怨 Coveware 正在损害该团伙的付款率。

“去我的网站看看，如果不是 Coveware 给他们错误信息，那些公司大多数本来会付款的，”ShinyHunters 账号写道。“有人（100% 是 Coveware）在竭尽全力确保我拿不到钱。”

在 2026 年 4 月 11 日的另一段对话中，ShinyHunters 的 Telegram 账号私下说他们正试图“消除这个问题”，而他们称这个问题就是 Coveware。Coveware 拒绝就此文置评。

“我确信这家公司会付款，但在这个具体案例中，我知道 Coveware 及其参与，而且我可能没能拿到很多其他谈判，很可能是因为 Coveware 不断介入，”ShinyHunters 账号抱怨道。

Mark Camillo 是 CyberAcuView 的首席执行官，该行业组织成立于 2021 年，由一批大型网络保险公司组成的联盟创立。Camillo 说，一些公司收取固定聘请费，而那些专门帮助公司谈判赎金支付的公司则倾向于按支付赎金总额的一定比例收费。

他指出，后一种模式存在固有的利益冲突，因为谈判者在经济上有动力去谈判并付款，而不是把价格谈下来，从而让事情对攻击者更有利。

“业界已经注意到，许多勒索软件付款方按最终付款额的一定比例收费，而这一比例可能披露也可能不披露，”Camillo 说。“如果他们同时还是谈判者，这就说不通了。这个过程需要更多透明度，因为生态系统中任何一方都不应该纯粹从勒索软件交易或付款本身的规模中获利。”

Camillo 说，从事这项工作的公司会辩称，这些费用是必要的，因为获取更大量的加密货币可能会有出乎意料更高的成本，或持有浮存金的风险更大，而且加密货币交易所对高风险交易可能收取更高费用。

“绝对需要对交易有更多可见性，并厘清加密货币增值部分以及交易所在交易中的百分比，从而弄清真相并消除任何错位的激励，”他说。

近年来，美国司法部已起诉多名被控与网络罪犯合谋诈骗客户的勒索软件谈判人员。10 月 7 日，司法部指控 MonsterCloud 首席执行官 Zohar Pinhasi（50 岁）犯有电信欺诈和共谋罪，指控称他向客户收取修复勒索软件攻击的费用，却没有向黑客付款；然而根据指控文件，Pinhasi 暗中背着客户，仍然向黑客付了款，向勒索软件团体支付了 800 万美元，同时向客户收取了 1900 万美元。

7 月，来自佛罗里达州 Land O’ Lakes 的 41 岁勒索软件谈判人员 Angelo Martino 因与 Blackcat/ALPHV 勒索软件团伙合谋敲诈多名受害者，被判 70 个月监禁。根据司法部说法，Martino 受 BlackCat 攻击者付费，提供其雇主客户的谈判立场和策略的机密信息，并使勒索软件行为者能够最大化受害者支付的赎金。

讨论整体弥漫着对联邦调查局与联邦机构网络安全能力的强烈质疑和嘲讽，核心分歧在于这种不信任究竟该归咎于本届政府，还是机构长期以来的无能、泄密与毁人生活。多数声音认为问题早已有之，少数人强调本届政府让信任彻底归零；另有一小撮人为专业赎金谈判者辩护，并以《绝命毒师》式调侃凸显行业荒诞。

认为联邦机构的无能与泄密问题长期存在，不能只怪本届政府

• 联邦调查局招聘网站 fbijobs.gov 被 ShinyHunters 攻破、十一年前 OPM 泄露，以及李文和、理查德·朱厄尔等历史案件都表明，机构网络安全失控和办案泄密并非本届政府才有，而是长期痼疾。（较多人）

即便在本届政府之前，联邦执法部门在高关注度案件中的泄密也极不可靠，并毁掉了李文和、理查德·朱厄尔等人的生活。（@mmooss）

认为在本届政府下联邦部门完全不可信任

• 只要当前执政团队仍在位，就没有任何理由信任联邦部门，哪怕一丝一毫都不行；即便相关说法尚未证实，默认立场也应是彻底不信任。（少数人）

不论消息真假，在本届政府之下，现在任何人都不该信任联邦部门，一丝一毫都不行。（@aleksandrm）

为专业赎金谈判者正名，指责害群之马败坏行业

• 在事件响应领域，大多数赎金谈判者其实非常专业、对客户物超所值；少数败类借这个概念行骗，才让整个领域蒙羞。（少数人）

我接触过的大多数谈判者都极其专业、物超所值，败类正在玷污这一领域。（@ofjcihen）

有价值的补充

• 有人借《绝命毒师》的经典句式调侃：你想要的不是普通的赎金谈判者，而是本身就干勒索勾当的“赎金”谈判者，凸显事件的荒诞与黑色幽默。（@vntok）