Świat cyberbezpieczeństwa mierzy się z wyjątkowo niepokojącą sprawą. Edward Dubrovsky, kanadyjski menedżer związany z firmami pomagającymi organizacjom reagować na ataki ransomware i negocjować z cyberprzestępcami, został aresztowany w Stanach Zjednoczonych. Według doniesień medialnych jego zatrzymanie może mieć związek ze śledztwem dotyczącym grupy ShinyHunters, znanej z kradzieży danych i wymuszeń. Sprawa budzi szczególne zainteresowanie, ponieważ działalność zawodowa Dubrovsky’ego była związana właśnie z reagowaniem na cyberwymuszenia. Na tym etapie nie wszystkie szczegóły zarzutów są jednak publicznie dostępne, a FBI nie potwierdziło oficjalnie, iż aresztowany jest podejrzanym czy współpracownikiem grupy.
Aresztowanie podczas konferencji branżowej
54-letni Kanadyjczyk został aresztowany w Pensylwanii, gdzie miał uczestniczyć w konferencji poświęconej cyberubezpieczeniom i zarządzaniu ryzykiem. Wcześniej dyrektor FBI Kash Patel poinformował o zatrzymaniu kolejnego podejrzanego współpracownika ShinyHunters, ale nie ujawnił jego tożsamości.
Doniesienia o powiązaniu Dubrovsky’ego ze sprawą pojawiły się w relacjach kilku redakcji zajmujących się bezpieczeństwem i przestępczością komputerową. Publicznie dostępne dokumenty sądowe potwierdzają, iż mężczyzna stanął przed sądem federalnym we wschodnim dystrykcie Pensylwanii. Następnie został przetransportowany do wschodniego dystryktu Teksasu, gdzie wniesiono zarzuty. Według dokumentów pozostaje w areszcie.
Kluczowe znaczenie ma jednak fakt, iż szczegółowa skarga stanowiąca podstawę postępowania pozostaje utajniona. Dokumentacja sądowa wymienia zarzuty związane ze spiskiem mającym na celu wymuszenie pieniędzy poprzez groźby naruszenia poufności informacji, a także wymuszenia gospodarczego i zmowy w tym zakresie. Nie wiadomo jeszcze, jaki dokładnie udział w zarzucanych działaniach miał mieć Dubrovsky ani jakie dowody zgromadzili śledczy.
FBI nie potwierdziło, iż to właśnie on jest osobą określaną przez dyrektora agencji jako podejrzany współpracownik ShinyHunters. Związek między aresztowaniem a działalnością grupy wynika na razie z doniesień medialnych i informacji od źródeł zaznajomionych ze sprawą.
Czym zajmował się Dubrovsky?
Edward Dubrovsky był związany z kanadyjską firmą CYPFER, którą współtworzył, a także z marką CyberSteward. Podmioty te zajmują się między innymi wspieraniem organizacji dotkniętych incydentami bezpieczeństwa oraz reagowaniem na cyberwymuszenia.
Tego rodzaju działalność obejmuje zwykle analizę incydentu, współpracę ze specjalistami technicznymi, ocenę ryzyka ujawnienia danych oraz doradztwo w kontaktach z napastnikami. W niektórych przypadkach firmy pomagają również klientom prowadzić negocjacje dotyczące okupu i organizować płatności.
Dubrovsky opublikował także książkę Cyber Extortion Strategic Response, poświęconą reagowaniu na cyberwymuszenia. Według doniesień medialnych przed zatrzymaniem zapowiadał swój udział w konferencji NetDiligence Cyber Risk Summit w Pensylwanii.
Zestawienie jego zawodowej specjalizacji z charakterem zarzutów sprawia, iż sprawa jest szczególnie interesująca dla branży bezpieczeństwa. Nie należy jednak wyciągać wniosku, iż wykonywana przez niego praca stanowi dowód udziału w przestępstwie. Negocjowanie z cyberprzestępcami i pomaganie ofiarom ataków jest elementem legalnego reagowania na incydenty. O ewentualnej odpowiedzialności karnej mogą rozstrzygnąć dopiero dowody oraz postępowanie sądowe.
ShinyHunters – kradzież danych jako narzędzie wymuszenia
ShinyHunters to nazwa kojarzona z kampaniami kradzieży danych i szantażu wymierzonego w organizacje na całym świecie. Zamiast ograniczać się do szyfrowania systemów, napastnicy często koncentrują się na uzyskaniu dostępu do informacji, skopiowaniu ich, a następnie grożeniu publikacją, jeżeli ofiara nie zapłaci żądanej kwoty.
Grupa była łączona z atakami na aplikacje internetowe oraz usługi chmurowe i platformy SaaS wykorzystywane w przedsiębiorstwach. W takich środowiskach dostęp do kont użytkowników, tokenów uwierzytelniających czy danych logowania może umożliwić pobranie znacznych ilości informacji bez konieczności instalowania klasycznego ransomware na każdym zaatakowanym urządzeniu.
Wśród wykorzystywanych metod wymienia się phishing, socjotechnikę, kradzież danych uwierzytelniających oraz przejmowanie aktywnych sesji. Istotną rolę odgrywa także model działania, w którym nazwa ShinyHunters jest wykorzystywana przez różne osoby i grupy uczestniczące w kampaniach kradzieży danych oraz wymuszeń. Nie musi więc oznaczać jednej, ściśle zorganizowanej struktury z niezmiennym składem członków.
Według informacji przypisywanych FBI ShinyHunters i powiązani z nimi sprawcy mieli w ciągu poprzedniego roku naruszyć bezpieczeństwo ponad 140 organizacji oraz uzyskać ponad 70 milionów dolarów z tytułu wymuszeń. Skala ta pokazuje, iż kradzież informacji stała się dla cyberprzestępców samodzielnym, bardzo dochodowym modelem działalności.
Atak na portal rekrutacyjny FBI zaostrzył śledztwo
Sprawa aresztowania Dubrovsky’ego nabiera dodatkowego znaczenia w kontekście niedawnego incydentu dotyczącego systemów FBI. We wrześniu 2026 roku ShinyHunters przypisali sobie atak na portal rekrutacyjny amerykańskiej agencji, twierdząc, iż uzyskali dostęp do wrażliwych informacji związanych z pracownikami i kandydatami.
Według doniesień medialnych przejęte dane mogły obejmować nazwiska, adresy, stanowiska oraz numery ubezpieczenia społecznego. Pojawiły się również informacje o danych medycznych i innych szczególnie wrażliwych materiałach. Tego rodzaju informacje mogą być wykorzystywane nie tylko do kradzieży tożsamości, ale także do szantażu, ukierunkowanych kampanii phishingowych oraz nękania pracowników organów ścigania i ich rodzin.
Sytuacja jest szczególnie poważna, ponieważ ujawnienie informacji o osobach pracujących dla służb federalnych może stwarzać zagrożenia wykraczające poza standardowe straty finansowe. Dane osobowe i zawodowe mogą posłużyć do identyfikowania funkcjonariuszy, analizowania ich powiązań oraz przygotowywania kolejnych ataków socjotechnicznych.
ShinyHunters przedstawili incydent jako działanie odwetowe wobec wcześniejszego komunikatu FBI, w którym agencja opisywała metody działania grupy i ostrzegała przed jej praktykami wymuszeniowymi. Motywacja deklarowana przez napastników nie zmienia jednak faktu, iż nieuprawnione pozyskanie wrażliwych danych może mieć poważne konsekwencje dla bezpieczeństwa ofiar.
W odpowiedzi FBI zintensyfikowało działania wymierzone w osoby podejrzewane o udział w działalności grupy. Na początku października informowano również o zatrzymaniach i działaniach służb poza Stanami Zjednoczonymi. Według Reutersa jeden z podejrzewanych członków ShinyHunters, Saif al-Din Khader, został zatrzymany w Jordanii i miał współpracować ze śledczymi. Pod koniec września holenderskie służby zatrzymały natomiast 24-letniego mężczyznę podejrzewanego o udział w organizacji przestępczej powiązanej z grupą.
Co ta sprawa oznacza dla branży cyberbezpieczeństwa?
Zatrzymanie osoby zawodowo związanej z reagowaniem na cyberwymuszenia rodzi pytania o granice zaufania w branży bezpieczeństwa. Firmy specjalizujące się w obsłudze incydentów często otrzymują dostęp do informacji o lukach w zabezpieczeniach, skali naruszenia, sytuacji finansowej poszkodowanych oraz sposobie komunikacji z napastnikami. Są to dane, których ujawnienie może dodatkowo pogorszyć sytuację ofiary.
Przedsiębiorstwa powinny zatem dokładnie weryfikować dostawców usług reagowania na incydenty, procedury dostępu do danych oraz sposób dokumentowania kontaktów z grupami przestępczymi. Ważne są również rozdzielenie uprawnień, rejestrowanie działań konsultantów, kontrola przepływu informacji i przejrzyste zasady dotyczące ewentualnych płatności okupu.
Z perspektywy technicznej istotne pozostają zabezpieczenia środowisk chmurowych i platform SaaS. Organizacje powinny wdrażać uwierzytelnianie wieloskładnikowe odporne na phishing, ograniczać czas życia tokenów dostępowych, monitorować nietypowe operacje pobierania danych i regularnie kontrolować uprawnienia kont. Samo zabezpieczenie punktów końcowych nie wystarczy, jeżeli napastnik może wykorzystać legalne konto i uzyskać dostęp do informacji przechowywanych w usługach chmurowych.
Podsumowanie
Aresztowanie Edwarda Dubrovsky’ego to kolejny element szerzej zakrojonych działań przeciwko osobom podejrzewanym o współpracę z ShinyHunters. Na razie nie wiadomo jednak, czy sprawa bezpośrednio dotyczy włamania do portalu rekrutacyjnego FBI, ani jakie konkretne działania śledczy przypisują zatrzymanemu.
Ujawnienie dokumentów sądowych, materiałów dowodowych i szczegółów zarzutów może w przyszłości wyjaśnić, czy podejrzenia dotyczą bezpośredniego uczestnictwa w atakach, koordynowania wymuszeń czy innej formy współpracy. Do tego czasu należy oddzielać potwierdzone informacje o aresztowaniu od medialnych doniesień o powiązaniach zatrzymanego z grupą. Jedno jest pewne – cyberprzestępczość oparta na kradzieży danych i wymuszeniach coraz mocniej zaciera granice między światem technologicznym, finansowym i prawnym. A jeżeli śledztwo wykaże, iż w procederze uczestniczyły osoby posiadające zawodową wiedzę o reagowaniu na incydenty, konsekwencje dla zaufania do całego sektora cyberbezpieczeństwa mogą być szczególnie dotkliwe.
