Un bărbat identificat drept Saif al-Din Khader, cunoscut online sub pseudonimul „Rey”, a fost reținut în Iordania și cooperează cu FBI și cu agențiile internaționale de aplicare a legii pentru a-i localiza pe ceilalți membri ai grupului de extorcare ShinyHunters.
Potrivit Reuters, care citează două surse familiare cu cazul, Khader ar fi fost luat în custodie marți. Una dintre surse a declarat pentru Reuters că suspectul pune la dispoziția anchetatorilor dispozitivele sale electronice și comunicațiile digitale pentru a-i ajuta să-i identifice și să-i localizeze pe presupușii săi complici.
„Cooperarea sa este esențială pentru eforturile în curs de a-i aresta pe acești hackeri”, a spus sursa.
Reținerea survine în contextul unei ofensive mai ample a FBI împotriva ShinyHunters, după ce grupul a revendicat, în septembrie, o breșă în sistemele biroului, afirmând că a exploatat o vulnerabilitate zero-day în Oracle PeopleSoft și că a accesat sisteme AWS GovCloud administrate de FBI.
Grupul a susținut că ar fi sustras între 2 și 3 terabiți de date, inclusiv informații despre angajați actuali și foști, candidați la angajare, date medicale și psihiatrice.
FBI a confirmat că investighează activitate neautorizată, dar nu a confirmat furtul de date.
La 15 septembrie, poliția olandeză a arestat un bărbat de 24 de ani din Amsterdam, identificat de KrebsOnSecurity și DataBreaches drept Pepijn van der Stap, alias „Umbreon”, în cadrul aceleiași anchete.
Ulterior, Brett Leatherman, director adjunct al Diviziei Cyber a FBI, a avertizat public ceilalți membri ai grupului să se predea, adăugând: „Vă sugerez să ne contactați voi primii, cât timp alegerea vă mai aparține.”
Rey a fost asociat cu mai multe atacuri cibernetice în ultimii doi ani. În ianuarie 2025, a revendicat alături de alți trei actori o breșă în sistemul Jira intern al Telefónica.
În februarie 2025, Orange a confirmat că operațiunile sale din România au fost afectate de un atac cibernetic după ce Rey a publicat aproximativ 6,5 GB de date furate.
În noiembrie 2025, jurnalistul de securitate Brian Krebs a raportat că a identificat persoana din spatele pseudonimului „Rey” ca fiind Khader, pe baza unor loguri infostealer și a unor discuții directe cu acesta pe Signal; Krebs a menționat că Khader i-a afirmat că cooperează cu autoritățile de la cel puțin din luna iunie, fără a putea verifica aceste afirmații.
Marți, în aceeași zi în care Khader ar fi fost reținut, site-ul de publicare a datelor al ShinyHunters a devenit inaccesibil offline, iar reprezentantul principal al grupului a încetat să mai răspundă jurnaliștilor.
Joi, un nou site de acelaşi tip a apărut online, sugerând că alți membri continuă operațiunea.
