Een verdachte die online bekend is als “Rey” is aangehouden in Jordanië en werkt inmiddels mee met de FBI om andere leden van de hackersgroep ShinyHunters te identificeren. Dat melden persbureau Reuters en beveiligingssite BleepingComputer op basis van bronnen die bekend zijn met de zaak. Rey, wiens echte naam Saif al-Din Khader is, zou eind september zijn opgepakt door de Jordaanse autoriteiten.
Volgens de bronnen doorzoeken onderzoekers momenteel zijn apparaten en digitale communicatie om medeverdachten te identificeren. “Zijn medewerking is cruciaal voor de lopende inspanningen om deze hackers te arresteren”, aldus een van de bronnen tegen Reuters.
Eerder werd al een 24-jarige Amsterdammer aangehouden in dit onderzoek. Die verdachte, geïdentificeerd als Pepijn van der Stap en online bekend als “Umbreon”, zat sinds 15 september vast in Nederland en moest op 29 september voorkomen bij de rechtbank Rotterdam.
Sleutelfiguur in meerdere groepen
Rey wordt gezien als een van drie beheerders van Scattered Lapsus$ Hunters, de samenwerking tussen de groepen Scattered Spider, LAPSUS$ en ShinyHunters. Eerder beheerde hij ook al de datalekwebsite van de Hellcat-ransomwaregroep, eind 2024, en nam hij in 2024 het beheer over van forum BreachForums. Hij wordt gelinkt aan onder meer de inbraak bij Telefónica’s Jira-systeem in januari 2025, waarbij circa 2,3 GB aan data werd gestolen, de breach bij Orange Romania in februari 2025 (ongeveer 6,5 GB), en de aanvallen op Jaguar Land Rover in maart en september 2025.
Beveiligingsjournalist Brian Krebs meldde al in november 2025 dat Khader tegen hem had gezegd sinds juni met justitie samen te werken en sindsdien niet meer “iets als het hacken van een bedrijf of afpersing” te hebben gedaan. Khader kon dat destijds niet onafhankelijk bevestigen. FBI-directeur Kash Patel liet weten dat er meer arrestaties in de zaak worden verwacht.
ShinyHunters wordt sinds de opkomst in 2020 gelinkt aan meer dan 140 hacks en naar schatting 70 miljoen dollar aan buitgemaakt losgeld. Met de Amsterdammer in voorarrest en Rey die nu meewerkt met de FBI lijkt de druk op de resterende leden toe te nemen. Voor Nederlandse bedrijven die eerder met deze groep te maken kregen blijft het advies hetzelfde als bij de vorige arrestatie: hou toegang tot Jira- en andere beheeromgevingen goed afgeschermd en reageer snel op meldingen van verdachte inlogpogingen.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Gebruikt je organisatie Jira of andere beheeromgevingen die eerder doelwit waren van deze groep, controleer dan toegangslogs op ongebruikelijke locaties en zorg dat multifactorauthenticatie verplicht is voor beheerdersaccounts.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.