ФБР задержало переговорщика с хакерами. След ведет к ShinyHunters

В США задержали 54-летнего канадского специалиста по кибербезопасности Эдварда Дубровски (Edward Dubrovsky), который много лет помогал компаниям договариваться с хакерами после кибератак. Теперь его самого обвиняют в сговоре с целью вымогательства. Журналисты связывают задержание с расследованием деятельности ShinyHunters — группировки, которая в сентябре взломала сайт вакансий ФБР и заявила о краже конфиденциальных данных сотрудников ведомства.

Дубровски задержали 8 октября 2026 года в Пенсильвании, куда он приехал на конференцию по киберстрахованию. На следующий день суд постановил передать дело Восточному округу Техаса. Там, по информации источников журналистов, сосредоточено расследование деятельности ShinyHunters.

Подробности обвинения пока засекречены. ФБР не подтвердило, что Дубровски участвовал в атаках группировки или непосредственно во взломе систем бюро. Однако расследование уже привлекло внимание специалистов по кибербезопасности: задержанный профессионально занимался переговорами с вымогателями, консультировал пострадавшие компании и недавно выпустил книгу о противодействии кибершантажу.

Обстоятельства задержания первым раскрыл журналист Брайан Кребс, сопоставив сведения источников с судебными документами, данными федеральной пенитенциарной системы и профессиональной биографией Дубровски.

Что известно об обвинениях

Эдварда Дубровски задержали 8 октября, а 9 октября федеральный суд Пенсильвании распорядился направить его в Восточный округ Техаса для дальнейшего разбирательства.

В судебных документах фамилия задержанного записана как Dobrosky. В других материалах встречается вариант Dobrovsky. Личность Дубровски журналистам удалось установить благодаря данным об аресте, профессиональной биографии и информации о содержании под стражей.

В открытой части реестра дела № 2:26-mj-01973 указаны два обвинения. Первое касается преступного сговора с целью получения денег под угрозой нарушения конфиденциальности информации. Второе связано с вымогательством, затрагивающим торговую деятельность.

Речь идет о положениях американского закона о компьютерном мошенничестве и злоупотреблениях — Computer Fraud and Abuse Act — и закона Хоббса (Hobbs Act), который предусматривает ответственность за вымогательство, влияющее на торговлю между штатами или международную торговлю.

Для применения этих норм не обязательно шифровать файлы жертвы или выводить ее системы из строя. Угроза раскрыть конфиденциальные сведения в обмен на деньги также может стать основанием для уголовного преследования.

В постановлении суда от 8 октября указано, что Дубровски предоставили федерального защитника. Он остался под стражей до рассмотрения вопроса о мере пресечения в округе, где предъявлены обвинения.

Решение от 9 октября предписывает федеральным маршалам доставить задержанного в Восточный округ Техаса. Само постановление не подтверждает, что перевод уже состоялся.

Основные материалы дела закрыты для публики. Поэтому пока неизвестно, какие именно действия следствие вменяет Дубровски, какие компании могли пострадать и фигурируют ли в деле платежи кибервымогателям. Суд не устанавливал его виновность.

Кто такой Эдвард Дубровски

Дубровски много лет работал в сфере реагирования на киберинциденты. Его специализация — расследование утечек, восстановление работы компаний после атак программ-вымогателей и переговоры с преступниками, требующими деньги за расшифровку файлов или отказ от публикации украденных данных.

В прошлом он занимал руководящие должности в канадской компании CYPFER, которая специализируется на реагировании на кибератаки и цифровой криминалистике.

После появления сообщений о задержании CYPFER уточнила, что Дубровски не был ее основателем или сооснователем. Он работал управляющим директором и покинул компанию в ноябре 2025 года.

Позднее специалист представлял CyberSteward. Компания занимается консультациями по кибервымогательству, контактами с преступными группировками, сложными переговорами и урегулированием требований о выкупе.

Дубровски регулярно выступал на профессиональных мероприятиях и писал о практических аспектах работы с вымогателями. В 2026 году он выпустил книгу Cyber Extortion Strategic Response, посвященную реагированию на кибершантаж, оценке требований преступников и организации переговоров.

Незадолго до задержания специалист сообщил в LinkedIn, что собирается посетить NetDiligence Cyber Risk Summit в Филадельфии. Конференция проходила с 5 по 7 октября в отеле Loews Philadelphia. CyberSteward входила в число ее спонсоров.

Дубровски задержали 8 октября, на следующий день после завершения мероприятия. Достоверных сведений о том, что сама конференция связана с расследуемыми действиями, нет.

Агентство Reuters подтвердило задержание, изучив судебные документы, данные федеральной пенитенциарной системы и получив комментарий человека, знакомого с обстоятельствами дела. Получить объяснения самого Дубровски и представителей CyberSteward журналистам не удалось.

Почему дело связывают с ShinyHunters

9 октября директор ФБР Кэш Патель объявил о задержании еще одного предполагаемого сообщника группировки ShinyHunters. Его имя ведомство не раскрыло.

Заявление появилось спустя сутки после задержания Дубровски. Как сообщила CBS News, источники подтвердили, что подозреваемого задержали в Пенсильвании. Один из собеседников телеканала уточнил, что речь идет о гражданине Канады, которого следствие подозревает в непосредственном участии во взломе сайта ФБР.

Дальнейшая проверка судебных реестров показала, что в тот же период в Пенсильвании арестовали канадского специалиста по кибербезопасности Дубровски. Его дело направили в Техас, где, как сообщают источники, расследуют деятельность ShinyHunters.

Эти обстоятельства позволяют журналистам предполагать связь между двумя задержаниями. Однако следственные органы официально не подтвердили, что упомянутый Пателем подозреваемый — именно Дубровски.

Канадскому специалисту также не предъявляли публичных обвинений в причастности к конкретному взлому FBIjobs.gov.

Одна из причин повышенного интереса к его делу — профессиональная деятельность. Переговорщики по кибервымогательству регулярно общаются с преступниками, проверяют достоверность сообщений о похищенных данных, обсуждают требования и помогают пострадавшим организациям принимать решение о дальнейших действиях.

Такие контакты сами по себе не свидетельствуют о преступлении. Для предъявления обвинений в сговоре следствию необходимо установить участие человека в противоправной деятельности и доказать соответствующий умысел.

Что произошло при взломе ФБР

История началась в сентябре 2026 года, когда ShinyHunters заявила о компрометации FBIjobs.gov — официального портала для поиска работы в Федеральном бюро расследований США.

Этот ресурс используется для размещения вакансий и взаимодействия с кандидатами. Через связанные с ним системы обрабатываются персональные сведения, необходимые для трудоустройства.

23 сентября хакеры объявили, что получили доступ к конфиденциальной информации о сотрудниках ФБР и соискателях. Группировка утверждала, что похитила данные почти всего персонала ведомства, однако этот масштаб утечки независимо не подтвержден.

В распоряжении журналистов оказались образцы похищенных файлов, содержащие сведения о тысячах сотрудников. В них, как утверждалось, присутствовали имена, контактные данные, информация о подразделениях и служебных обязанностях.

Также сообщалось о медицинских и психиатрических записях. В некоторых файлах могли содержаться домашние адреса и сведения о семьях сотрудников.

Утечка таких данных создает дополнительные риски для работников правоохранительных органов. Информация о местах проживания, родственниках и характере служебной деятельности может использоваться для адресного мошенничества, шантажа или преследования.

ФБР подтвердило факт расследования инцидента. После обнаружения несанкционированной активности доступ к сайту вакансий временно ограничили.

Причиной взлома стала неустановленная заплатка

5 октября ФБР сообщило о результатах предварительного расследования. Причиной компрометации оказалась уязвимость в платформе, которую обслуживал внешний подрядчик.

Ответственный за нее специалист не установил ранее выпущенное обновление безопасности.

Руководитель киберподразделения ФБР Бретт Лезерман подтвердил, что ведомство отстранило подрядчика от работы и приняло дополнительные меры защиты сотрудников.

Источники Reuters назвали компанию Accenture, которая обслуживала платформу Oracle PeopleSoft — корпоративную систему управления персоналом, используемую для кадрового учета, найма сотрудников и других внутренних процессов.

Представители Accenture подтвердили продолжение сотрудничества с ФБР, но не ответили на вопросы о действиях конкретного подрядчика.

Точная уязвимость, использованная при атаке на FBIjobs.gov, официально не названа. Однако ранее ShinyHunters сообщала об эксплуатации ошибок безопасности Oracle PeopleSoft.

Одна из таких проблем — CVE-2026-35273, критическая уязвимость удаленного выполнения кода с оценкой 9,8 балла из 10 по шкале CVSS. Она затрагивает компонент Environment Management Hub, предназначенный для управления средой PeopleSoft.

В мае и июне ShinyHunters использовала эту уязвимость для атак на образовательные организации. Oracle выпустила внеплановое исправление 10 июня 2026 года.

В сентябре злоумышленники возобновили атаки. Исследователи Google Threat Intelligence Group и Mandiant установили, что хакеры научились обходить часть защитных правил межсетевых экранов веб-приложений (WAF), блокировавших обращения к уязвимому компоненту.

Для обхода использовался прием с URL-кодированием одного символа в адресе запроса. В результате защитный фильтр мог не распознать обращение к запрещенному пути, а сервер PeopleSoft после декодирования обрабатывал запрос как обычный.

После проникновения злоумышленники размещали на серверах веб-оболочки — программы, позволяющие удаленно выполнять команды через веб-интерфейс. Исследователи обнаружили подобные атаки в организациях из сфер образования, здравоохранения, транспорта, сельского хозяйства и IT.

Технические подробности опубликованы в исследовании Google и Mandiant. При этом данных, позволяющих однозначно утверждать, что именно CVE-2026-35273 использовалась при взломе сайта ФБР, пока нет.

ShinyHunters подозревают во взломе 140 организаций

ShinyHunters известна многочисленными атаками на корпоративные системы и облачные сервисы. Основная специализация группировки — кража конфиденциальной информации с последующим требованием выкупа за отказ от публикации данных.

Злоумышленники используют фишинговые сообщения, похищенные учетные данные, ошибки настройки корпоративных приложений и уязвимости программного обеспечения.

После получения доступа к инфраструктуре жертвы преступники копируют базы данных и внутренние документы. Затем организация получает требование заплатить выкуп.

В таких атаках злоумышленникам не обязательно шифровать файлы. Они могут оставить системы работоспособными и использовать только угрозу раскрытия информации. Для компаний это означает риск утечки клиентских баз, коммерческой тайны и персональных данных сотрудников.

В официальном сообщении ФБР от 29 сентября говорится, что с 2025 года предполагаемые участники ShinyHunters взломали более 140 организаций и получили как минимум $70 млн в виде выкупов.

Ведомство также объявило о задержании в Нидерландах одного из предполагаемых руководителей группировки. Местная полиция провела операцию при содействии американских следователей.

Журналистское расследование установило, что задержанным может быть 24-летний Пепейн ван дер Стап (Pepijn van der Stap). Ранее он уже был осужден за кражу данных и вымогательство и использовал псевдоним Umbreon.

После его ареста активность ShinyHunters не прекратилась. В публичных сообщениях группировки заметную роль стал играть участник под псевдонимом Rey.

В начале октября появились сведения о его задержании в Иордании. Журналисты установили, что за псевдонимом может стоять подросток Сайф ад-Дин Хадер. Источники сообщали, что он начал сотрудничать с американскими следователями.

При этом состав участников группировки и распределение ролей между ними остаются предметом расследования. Название ShinyHunters в разные периоды использовали различные злоумышленники, поэтому связь конкретного человека с отдельной атакой требует самостоятельного подтверждения.

Почему хакеры решили атаковать ФБР

После взлома FBIjobs.gov участники ShinyHunters заявили, что действовали в ответ на публикацию предупреждения ФБР о деятельности группировки.

15 мая 2026 года американское ведомство выпустило рекомендации по защите от ShinyHunters. В документе описывались методы кибервымогателей, включая угрозы публикации конфиденциальной информации, давление на сотрудников пострадавших организаций и преследование их родственников.

ФБР предупреждало, что преступники могут преувеличивать объем похищенных данных или заявлять о наличии компрометирующих материалов, которых в действительности нет.

Участники группировки назвали часть сведений недостоверными и потребовали изменить или удалить публикацию.

Свои действия хакеры представили как ответ на обвинения, нанесшие ущерб их репутации. Независимых подтверждений заявленной мотивации нет.

После появления информации об утечке расследование получило международный характер. В сентябре и октябре правоохранительные органы нескольких стран задержали предполагаемых участников ShinyHunters и начали изучать изъятые устройства, переписку и другие цифровые доказательства.

Директор ФБР Кэш Патель заявил, что расследование продолжается и ведомство намерено установить остальных участников атак.

Что грозит Эдварду Дубровски

В отношении Дубровски продолжается разбирательство по обвинениям, связанным с преступным сговором и вымогательством. Основные материалы дела засекречены, поэтому пока неизвестно, какую роль ему отводит следствие.

Нет подтвержденной публичной информации о том, что он участвовал в краже данных ФБР, получал деньги от ShinyHunters или помогал группировке выбирать жертв. Также не сообщалось о предъявлении обвинений компаниям CYPFER и CyberSteward.

Дальнейшее рассмотрение должно проходить в Восточном округе Техаса. На 12 октября 2026 года сведений о приговоре, признании вины или раскрытии полного текста обвинения нет.

Дело привлекло особое внимание из-за профессии задержанного. Специалисты по переговорам с кибервымогателями работают непосредственно с преступниками, однако законность их деятельности зависит от конкретных действий и обстоятельств. Сам факт общения с хакерами не доказывает участия в вымогательстве. Какие именно действия Дубровски следствие считает преступными, станет известно после раскрытия материалов дела.

Вопросы и ответы (FAQ)

Кого задержало ФБР в октябре 2026 года?

8 октября в Пенсильвании задержали 54-летнего канадского специалиста по кибербезопасности Эдварда Дубровски. Он занимался расследованием киберинцидентов и переговорами с преступниками, требующими выкуп.

В чем обвиняют Эдварда Дубровски?

Ему вменяют преступный сговор, связанный с вымогательством денег под угрозой нарушения конфиденциальности информации, а также вымогательство, затрагивающее торговую деятельность. Подробные материалы обвинения пока закрыты.

Является ли Дубровски участником ShinyHunters?

ФБР официально не подтвердило его участие в группировке. Журналисты связывают задержание с расследованием ShinyHunters, но виновность Дубровски не установлена.

Что такое ShinyHunters?

ShinyHunters — название, используемое киберпреступной группировкой, специализирующейся на похищении данных и вымогательстве. ФБР связывает предполагаемых участников группировки со взломами более 140 организаций с 2025 года.

Какие данные похитили при взломе сайта вакансий ФБР?

Журналисты сообщали об утечке персональной информации тысяч сотрудников, включая сведения о подразделениях, служебных обязанностях, контактные данные и отдельные медицинские записи. Утверждение хакеров о компрометации данных практически всех сотрудников ведомства независимо не подтверждено.

Как хакеры взломали FBIjobs.gov?

ФБР установило, что внешний подрядчик не установил необходимое обновление безопасности на обслуживаемой платформе. Источники журналистов связали инцидент с Oracle PeopleSoft. Конкретная использованная уязвимость официально не названа.

Сколько денег ShinyHunters получила от вымогательства?

Американские следователи оценивают сумму полученных выкупов как минимум в $70 млн с 2025 года. Эта оценка относится к предполагаемой деятельности группы и ее сообщников.

Законно ли договариваться с хакерами о выкупе?

Переговоры с преступниками от имени пострадавшей организации сами по себе не доказывают нарушения закона. Правовые последствия зависят от характера действий, участников сделки, применимых ограничений и обстоятельств конкретного дела.