ShinyHunters: verdachte had Signal openstaan bij arrestatie

Samenvatting

ShinyHunters kwam in beeld nadat de politie via een openstaand Signal-account recente contacten met vermeende leden kon lezen.

Signal en het openstaande account

De Nederlandse politie arresteerde Pepijn van der S. op verdenking van lidmaatschap van ransomwarebende ShinyHunters. Tijdens die arrestatie stond zijn Signal-account open, waardoor agenten recente gesprekken konden bekijken. Signal-berichten zijn normaal gesproken niet te ontsleutelen; toegang tot een ontgrendeld account vormt een ander risico.

De gesprekken leidden volgens Krebs on Security naar twee Noord-Amerikaanse cybersecurityexperts die vermoedelijk contact hadden met de Nederlandse verdachte. Edward Dubrovsky, een 54-jarige cybersecurityexpert en auteur van een recent verschenen boek over ransomware, is inmiddels opgepakt. Hij zou ook een website van ShinyHunters hebben beheerd.

De tweede expert werkt in de top van een groot Amerikaans IT-beveiligingsbedrijf. Deze persoon is niet gearresteerd en blijft daarom anoniem. Ook in Jordanië werd na de arrestatie van Van der S. iemand opgepakt.

ShinyHunters en ransomware

ShinyHunters verdient geld door bedrijven en organisaties te hacken, gegevens buit te maken en met publicatie te dreigen als slachtoffers niet betalen. De groep wordt in verband gebracht met hacks bij Odido, Ticketmaster, Pornhub en de FBI.

De zaak onderstreept een onderscheid dat security- en BI-teams scherp moeten houden: sterke versleuteling beschermt communicatie tijdens transport, maar niet automatisch een open sessie op een in beslag genomen apparaat. Een actieve chatapp kan contactgegevens, recente gesprekken en aanwijzingen over samenwerkingsverbanden blootleggen.

Dat risico raakt ook BI-omgevingen. Een gestolen of onbeheerd geopende sessie kan toegang geven tot meldingen, incidentinformatie of accounts die aan rapportagesystemen zijn gekoppeld. De bron meldt niet dat ShinyHunters BI-systemen heeft benaderd, maar het incident toont wel hoe een eindpunt de zwakste schakel in een onderzoeksdossier kan worden.

Actie voor BI-professionals

Controleer bij een security-incident welke chatapps en accounts op beheerde apparaten actief blijven. Trek sessies in, wijzig gekoppelde wachtwoorden en leg vast welke gesprekken of meldingen zichtbaar waren. Behandel een open Signal-account daarom als een afzonderlijk incident naast de versleuteling zelf.