Atak na FBI oznaką wewnętrznej wojny ShinyHunters?

Gdy ShinyHunters pochwalili się włamaniem do serwisu rekrutacyjnego FBI, w pozostawionej przez nich grafice pojawił się dość osobliwy bohater: Umbreon – jeden z Pokemonów.

Ten sam pseudonim przez lata należał do holenderskiego hakera Pepijna van der Stapa, którego niedługo wcześniej zatrzymały tamtejsze służby. Według źródeł cytowanych przez KrebsOnSecurity atak na FBI mógł więc być czymś więcej niż kolejną akcją grupy – elementem wewnętrznej rozgrywki i próbą obciążenia Holendra odpowiedzialnością za włamanie.

Jak opisywaliśmy na naszych łamach w wyniku ataku, przestępcy uzyskali dostęp do danych tysięcy osób związanych z FBI, w tym informacji dotyczących stanowisk, numerów Social Security (ubezpieczenia społecznego), a według doniesień również dokumentacji medycznej i psychiatrycznej.

Jak podaje BeepingComputer, ShinyHunters mieli wykorzystać podatność w systemie PeopleSoft firmy Oracle.

Po wyroku chciał zacząć od nowa

Van der Stap, pod swoim pseudonimem sprzedawał wykradzione dane i uczestniczył w wymuszeniach. Jednocześnie prowadił znacznie bardziej oficjalne życie zawodowe –  pracował też jako kierownik ds. bezpieczeństwa ofensywnego w firmie zajmującej się cyberbezpieczeństwem, udzielał się też jako wolontariusz w organizacji zajmującej się ujawnianiem luk bezpieczeństwa.

W 2023 roku przyznał się do działalności przestępczej. Sąd skazał go wtedy na cztery lata więzienia, przy czym rok kary został zawieszony. Na wolność wyszedł w grudniu 2025 roku. Kilka miesięcy później przedstawiał się już jako były haker próbujący uporządkować swoje życie i naprawić część wyrządzonych wcześniej szkód.

We wrześniu 2026 roku jego sytuacja ponownie się jednak skomplikowała – został zatrzymany w związku ze śledztwem dotyczącym ShinyHunters.

ShinyHunters zmieniają kurs

Zatrzymanie Holendra zbiegło się ze zmianą stylu działania grupy. ShinyHunters, wcześniej kojarzeni przede wszystkim z kradzieżą danych i wymuszeniami, zaczęli wybierać znacznie bardziej ryzykowne cele. Źródła KrebsOnSecurity wiążą tę transformację z przejęciem większej kontroli nad marką ShinyHunters przez nastoletniego hakera z Jordanii działającego pod pseudonimem Rey.

Ma on być związany z kolektywem ScatteredLapsussHunters, łączącym osoby wywodzące się ze środowisk Scattered Spider, LAPSUS$ i właśnie ShinyHunters.

Między Reyem a Umbreonem miało przy tym dochodzić do sporów o dostęp do danych i kontrolę nad nazwą grupy. W tym kontekście Pokemon pozostawiony na stronie FBI zaczyna wyglądać mniej jak żart, czy podpis, a bardziej próba przypisania ataku van der Stapowi.

Wspólne włamania, osobne zyski

Spór może być też częścią szerszej walki pomiędzy cyberprzestępczymi ekipami. ShinyHunters, SLSH i TeamPCP miały bowiem wcześniej współpracować przy wykorzystywaniu przejętych danych uwierzytelniających. Z czasem sojusz zaczął się jednak rozpadać, a gdy dostęp do części skradzionych kluczy został unieważniony, grupy zaczęły wzajemnie obarczać się odpowiedzialnością za straty.

Według „Wired” ShinyHunters mieli następnie rozpocząć samodzielne wymuszenia z wykorzystaniem danych zdobytych przez TeamPCP, nie dzieląc się zyskami z wcześniejszymi partnerami.

Umbreon w areszcie, ShinyHunters eskalują

24-letni Holender został zatrzymany przez tamtejszą policję około 16 września 2026 r. w związku z nowym śledztwem dotyczącym działalności ShinyHunters. Od tego czasu pozostawał w areszcie na potrzeby prowadzonego postępowania i przesłuchań. Zgodnie z komunikatem, 29 września jego sprawą ma zająć się sąd w Rotterdamie podczas posiedzenia proceduralnego.

Sprawa w dużej mierze wciąż pozostaje jednak w sferze spekulacji. Sam KerbsOnSecurity zwraca uwagę, że w dniach bezpośrednio po aresztowaniu Umbreona pozostali członkowie ShinyHunters gwałtownie nasilili swoją aktywność – i tylko względem FBI.