A pessoa que negocia com o criminoso para você pode estar do lado dele. É essa a suspeita levantada por investigadores americanos no caso do ShinyHunters, grupo de extorsão que, segundo o FBI, já arrancou mais de US$ 70 milhões só em 2026.
O que está confirmado
O Krebs on Security reúne uma sequência de prisões. Em 15 de setembro, a polícia holandesa prendeu Pepijn van der Stap, hacker condenado e suspeito de ligação com o grupo. Em 9 de outubro, o FBI prendeu Edward Dubrovsky, de 54 anos, executivo canadense de segurança, acusado de ameaçar divulgar dados roubados e de extorsão. A promotoria pediu que ele fique preso até o julgamento. A Reuters informou em 3 de outubro que “Rey”, apontado como líder do grupo, foi detido na Jordânia e coopera com o FBI.
No fim de setembro, o grupo invadiu o site de recrutamento do FBI e ameaçou publicar arquivos de funcionários. Em 15 de maio, o FBI já havia alertado as vítimas para não pagarem ao ShinyHunters.
O que ainda é alegação
A parte mais forte da reportagem se apoia em fontes anônimas e não foi testada na Justiça. Segundo elas, mensagens de van der Stap no Signal mostrariam contato frequente com Dubrovsky e com um executivo de uma grande consultoria americana, e esses executivos saberiam de novas vítimas antes de as próprias vítimas saberem. Também seria atribuído a Dubrovsky o conhecimento do roubo de dados do FBI sem avisar a agência. Um site de extorsão ligado ao grupo, ativo de maio a 16 de outubro, listou quase 100 vítimas, e fontes dizem que um executivo de uma consultoria americana teve papel ativo nele. Ninguém foi acusado por isso, e a empresa não é nomeada. A Cypfer disse que não facilita pagamento de resgate e que não sabia da prisão.
Por que isso interessa
A reportagem lembra que pagar resgate não é ilegal nos EUA, salvo para quem está sob sanção, e que o modelo de cobrar uma porcentagem do que a vítima paga cria conflito de interesse. A conclusão prática é a mesma do FBI: pagar não garante nada.
Como se proteger
- Não pague resgate sem orientação oficial. Procure a polícia e um especialista independente.
- Mantenha backups offline para não depender do criminoso.
- Treine a equipe contra pressão por telefone e mensagem. Segundo a reportagem, o grupo teria assediado funcionários de empresas que aconselham a não pagar.
- Ative a verificação em duas etapas resistente a phishing nas contas da empresa.
- Registre tudo que o extorsionista disser, para a investigação.
