2026-10-15 10:41:42 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

FBI逮捕第三名参与ShinyHunters对招聘门户网站黑客攻击的嫌疑人

原创

CyberOk
CyberOk

CyberOk

2026年10月10日 07:08
北京
标题已修改

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

综合报道｜截至2026年10月10日,FBI针对ShinyHunters入侵其招聘门户网站FBIjobs.gov并窃取大量员工敏感数据的行动，已从追查阶段进入连续抓捕阶段。最新进展是：FBI局长卡什·帕特尔于2026年10月9日周五宣布，FBI本周早些时候又逮捕了一名据称与ShinyHunters有关的“同谋嫌疑人”。据《纽约时报》和哥伦比亚广播公司新闻报道，此人为加拿大公民，在宾夕法尼亚州被捕，被视为直接参与入侵的主要共谋者之一。FBI尚未公布其姓名，也未公开具体指控。

这起事件之所以敏感，不仅因为FBI既是调查者又是受害者，更因为被盗数据涉及FBI员工及其家属、以及同FBI合作的地方执法人员。路透社将事件敏感度类比为2015年美国人事管理局（OPM）大规模数据泄露事件。围绕最新逮捕、约旦嫌疑人的“合作安排”、承包商漏洞责任以及ShinyHunters是否会彻底瓦解，仍有大量关键问题待解。

一、最新逮捕：宾州加拿大公民，姓名与指控未公布

10月9日周五，FBI局长卡什·帕特尔发表声明称，FBI本周早些时候在行动中“逮捕了ShinyHunters组织的另一名疑似同谋”。他说：“这是FBI在几天内就该网络做出的最新逮捕，我们正夜以继日地瓦解该组织、追查新线索和证据，并迅速采取行动。”帕特尔还表示，FBI将继续与伙伴合作，“无论ShinyHunters残余势力及其同伙在哪里活动，都要予以 disrupt”。

FBI没有回应关于逮捕细节的请求。据《纽约时报》报道，逮捕发生在宾夕法尼亚州，嫌疑人是加拿大公民，被认为是实施入侵的主要共谋者。CBS新闻援引执法部门消息人士称，此人被认为直接参与了此次黑客攻击。但FBI发言人拒绝就《纽约时报》报道置评，帕特尔的帖子也未说明嫌疑人是否直接参与入侵，只称ShinyHunters是“被认为应对近期FBIjobs.gov网站事件负责的组织”。

这是自9月底数据泄露曝光以来，公开报道的第三起与ShinyHunters相关的逮捕。路透社称，FBI此前已表示“与合作伙伴共同逮捕了多名嫌疑人”。但FBI尚未透露最新逮捕是否与约旦嫌疑人的合作有关。

二、三地抓捕时间线

地点	时间	公开来源	嫌疑人	状态与关键点
荷兰	2026年9月15日	荷兰警方与FBI；路透社和CBS新闻确认	24岁阿姆斯特丹男子，佩皮因·范德斯塔普（Pepijn van der Stap）	荷兰警方未公布姓名；FBI视频声明称其为组织头目；ShinyHunters否认与其有关联；逮捕早于9月22日FBI泄露声明一周
约旦	2026年9月28日（The Record）或9月29日（The Hacker News汇总；路透中文称“周二”）	路透社消息人士；约旦国家媒体匿名官员证实	赛义夫·丁·哈德尔（Saif al-Din Khader），黑客昵称“雷伊”	正配合FBI和全球执法部门；引导调查人员使用其电子设备和数字通信；FBI未确认最新逮捕是否与其合作有关
宾夕法尼亚州	2026年10月9日公布，本周早些时候行动	FBI局长卡什·帕特尔；《纽约时报》和CBS新闻匿名消息	加拿大公民，姓名未公布	被视为主要共谋者或直接参与；指控未公开；FBI发言人拒绝就NYT报道置评；其他同谋仍逍遥法外

三、重点：约旦嫌疑人的“合作安排”——内容、落地与影响

必须严谨指出：截至目前公开材料中，没有任何认罪协议、豁免协议、引渡协议或正式书面协议的文本。 路透社等媒体所报道的，是消息人士口中的“合作”安排。因此，更准确的说法是“配合调查的安排”，而非已公开的法律协议。

1. 合作内容：协助定位其他成员

据路透社三位消息人士称，哈德尔在约旦被拘留，其中两人表示他正与FBI和全球执法部门合作，以定位该组织中的其他黑客。一位消息人士称，他正在引导调查人员使用他的电子设备和数字通信，以帮助FBI找到他的同伙。消息人士对路透社表示：“他的合作对于持续逮捕这些黑客至关重要。”

哈德尔的身份早已为安全研究人员所知。独立记者布莱恩·克雷布斯去年报道称，哈德尔是Scattered Lapsus$ Hunters（包括ShinyHunters在内的黑客总会）的关键成员。克雷布斯称他通过Signal与哈德尔交谈，并引用这位青少年的话说，他已退出数据泄露和敲诈世界，开始配合执法部门。但ShinyHunters在2026年仍继续其黑客攻击，声称对游戏开发商Rockstar Games实施入侵，以及5月涉及教育工具Canvas的入侵事件，导致美国学校广泛震荡。

2. 如何落地：设备、通信与持续抓捕

从公开信息看，合作落地方式主要有三：

电子设备引导：哈德尔引导调查人员使用其电子设备，帮助FBI获取线索；
数字通信分析：通过其数字通信记录，协助定位其他同伙；
跨境执法协作：他同时协助FBI和全球执法部门，表明合作不限于美国单边行动。

路透社消息人士称，这种合作“对于持续逮捕这些黑客至关重要”。但FBI尚未透露最新宾夕法尼亚州逮捕是否与哈德尔的合作直接相关。因此，只能说时间线和消息人士说法显示，合作可能为后续抓捕提供了线索，但不能确认因果关系。

3. 可能影响：加速瓦解，但法律条件未明

若合作属实，可能产生多重影响：

执法层面：加速识别、定位和抓捕ShinyHunters其他成员，并帮助固定证据；
组织层面：可能从内部瓦解该松散网络，削弱其恢复能力；
法律层面：合作是否换取宽大、减刑或不起诉，公开材料没有说明；正式指控、协议条款、约旦与美国之间的法律协调均未公布；
风险层面：若没有正式协议保障，合作可能脆弱；若涉及跨境引渡或司法协作，程序可能复杂且漫长。

路透社此前报道指出，全球执法机构在逮捕和起诉Lapsus$、Scattered Spider等团体成员时面临困难：黑客年龄较小，可能使起诉复杂；团体极其混乱且非正式；受害者往往拒绝协助调查。哈德尔的合作，若真实且持续，可能在一定程度上缓解取证和定位难题，但不能解决所有起诉障碍。

四、漏洞与责任：承包商、甲骨文PeopleSoft、埃森哲

项目	内容	来源
平台	甲骨文公司人力资源软件PeopleSoft（消息人士）	路透社/The Hacker News
承包商	埃森哲公司（消息人士）；未具名承包商未修补脆弱系统，本周被解雇	路透社/The Record
FBI说法	第三方组织管理的平台安全失败；承包商未实施明确发布的安全补丁；FBI已撤换承包商	FBI网络部门助理主任布雷特·莱瑟曼10月5日告诉路透社
黑客说法	通过甲骨文软件漏洞入侵，该漏洞在6月已被网络安全专家 spotlight	The Record
埃森哲回应	“很荣幸能支持联邦调查局的使命”，但未回答关于承包商的问题	路透社

FBI网络部门助理主任布雷特·莱瑟曼10月5日告诉路透社，审查确定此次黑客事件是“第三方组织管理的平台安全失败的结果——在承包商未能实施明确发布的安全补丁以保障该平台安全之后”。FBI已撤换该承包商，并采取必要措施降低进一步风险和保护员工安全。这一事件再次凸显政府供应链安全和第三方承包商补丁管理的风险。

五、ShinyHunters的反应与组织状态

时间	事件
9月22日	ShinyHunters宣称入侵FBI，称因FBI 5月安全公告对其描述不实，给FBI一周时间撤回警告
近期邮件	操作员采取和解语气，称“不希望与FBI有进一步升级冲突”，可解读为“ShinyHunters完全退让”，不会发布被盗信息
过去两周	FBI摧毁该组织大部分基础设施，其恢复平台努力受执法部门阻碍
本周	该组织将业务迁回Telegram
10月9日周五上午	在一个群组发消息称，不再计划长期留在Telegram：“我们不会在Telegram上活跃太久，因为我们的一些成员据报道已被FBI逮捕。”

路透社还报道，从周二开始，路透社无法通过其之前用于与记者沟通的在线账户联系ShinyHunters；周三，该组织曾发布威胁FBI的暗网网站消失。该组织关联的电子邮件地址运营者周五未回应置评请求。此前，该邮箱账户运营者曾告诉路透社，该组织网站因竞争对手破坏和“无关事件导致的中断”而下线。

六、影响评估与核心判断

对FBI和美国政府：这是近年来最严重的政府数据泄露事件之一。FBI既是受害者又是调查者，内部备忘录假设所有员工均被攻破，员工及家属面临现实安全风险。事件可能推动对政府承包商、第三方平台和供应链安全的更严格审查。

对网络安全行业：漏洞源于承包商未修补系统，平台涉及甲骨文PeopleSoft和埃森哲，凸显第三方风险和补丁管理的重要性。政府与云平台、人力资源软件供应商的合同安全条款可能受到更多关注。

对国际执法合作：荷兰、约旦、美国三地抓捕显示跨境协作在加强。约旦嫌疑人的合作若持续，可能成为瓦解ShinyHunters的关键。但正式协议、引渡安排和指控交换仍不透明。

对ShinyHunters和网络犯罪生态：该组织基础设施被摧毁，成员被捕，Telegram活动受限，可能走向瓦解或重组。但专家认为其结构松散，残余成员可能转移平台或改变策略。对年轻黑客的起诉困难、受害者不配合等问题，仍可能限制执法效果。

对数据泄露受害者：被盗数据包括医疗、精神、家庭住址、社保号、工作分配和家庭成员信息，敏感度极高。尽管ShinyHunters声称不会发布，但FBI内部按最坏情况假设，受害者仍需警惕身份盗窃、钓鱼和社会工程攻击。

核心判断：

最新逮捕是第三起公开抓捕，但尚未公布姓名和指控，不能等同于定罪。
约旦嫌疑人合作是当前最具战术价值的变量，但无正式协议公开，效果待验证。
漏洞责任指向第三方平台和承包商，政府供应链安全风险突出。
ShinyHunters公开退让与执法压力同步，但组织松散，可能重组。
数据敏感度极高，影响远未结束。

七、未解问题

宾夕法尼亚州被捕加拿大公民的姓名、具体指控、是否引渡或起诉？
最新逮捕是否直接源于约旦嫌疑人哈德尔的合作？
哈德尔与FBI之间是否存在正式协议？是否涉及减刑或豁免？
ShinyHunters是否真的会停止活动，还是转移至其他平台重组？
被盗数据是否已完全阻止公开？是否有未公开的泄露？
埃森哲和甲骨文在合同与安全责任上将面临何种后果？
其他逍遥法外的同谋者能否被抓获并成功起诉？

参考文献

Jonathan Greig, “FBI touts another ShinyHunters arrest in response to data breach”, The Record, 2026-10-09. https://therecord.media/shinyhunters-arrest-fbi-data-breach-investigation
贾娜·温特、拉斐尔·萨特、A.J. 维森斯, “消息人士称，ShinyHunters黑客在约旦被FBI数据盗窃案中被拘留，协助联邦调查局”, 路透社, 2026-10-03（更新于2026-10-05）. https://www.reuters.com/world/middle-east/key-shinyhunters-hacker-detained-jordan-is-cooperating-sources-say-2026-10-03/
Swati Khandelwal, “FBI Arrests Another ShinyHunters Suspect in Recruitment Portal Hack”, The Hacker News, 2026-10-09. https://thehackernews.com/2026/10/fbi-arrests-another-shinyhunters.html
Devlin Barrett and Dustin Volz, “F.B.I. Arrests Key Suspect in ShinyHunters Hack of Its Own Agents’ Data”, The New York Times, 2026-10-09. https://www.nytimes.com/2026/10/09/us/politics/fbi-hack-shinyhunters-arrest.html