Die niederländische Polizei teilte mit, dass auf dem Laptop des Festgenommenen eine große Menge an Informationen sichergestellt wurde, darunter Details zu zwei im Ausland geplanten Morden. „Es gibt Hinweise darauf, dass der Verdächtige den Auftrag dazu erteilt hat", heißt es in der Mitteilung. Das Bezirksgericht Rotterdam entschied am Dienstag, dass der Mann für mindestens weitere 90 Tage in Untersuchungshaft bleibt. Weitere Festnahmen schließen die Ermittler nicht aus. Zugleich stellte die Polizei klar, dass die Festnahme nicht im Zusammenhang mit den Ermittlungen zum ShinyHunters-Angriff auf den niederländischen Telekommunikationsanbieter Odido steht.
Das FBI beziffert die Bilanz der Gruppe auf mehr als 140 kompromittierte Organisationen seit dem vergangenen Jahr und mindestens 70 Millionen US-Dollar an erpressten Zahlungen. Als bevorzugte Ziele nennt die Behörde Single-Sign-on-Konten von Unternehmen, Drittdienstleister sowie SaaS-Plattformen wie Salesforce und Snowflake. Das Muster ist stets dasselbe: Daten abziehen, anschließend mit der Veröffentlichung drohen.
Kurz vor dem öffentlichen Appell hatte ShinyHunters einen massiven Datendiebstahl beim FBI selbst für sich reklamiert. Gegenüber BleepingComputer erklärten die Angreifer, sie hätten dabei eine Zero-Day-Lücke in Oracle PeopleSoft ausgenutzt und zwischen zwei und drei Terabyte an Daten aus FBI-Systemen entwendet, darunter Informationen zu mehreren internen Diensten. Als Beleg bot die Gruppe Medien eine Stichprobe von rund 5.000 Personaldatensätzen an. BleepingComputer lehnte das Angebot ab; 404 Media berichtete, die Daten enthielten Namen und persönliche Angaben von Angehörigen der Remote Operations Unit des FBI, einer verdeckt arbeitenden Einheit für Hacking-Operationen. Reuters berichtete zudem, dass einige der betroffenen Mitarbeiter Ermittlungen mit Bezug zu China und Russland zugeordnet waren.
Eine finanzielle Absicht bestreitet die Gruppe: Gegenüber BleepingComputer erklärte ShinyHunters, der Angriff auf das FBI sei weder ein Erpressungsversuch gewesen noch sei eine Veröffentlichung der Daten geplant. Stattdessen habe man einer FBI-Warnmeldung widersprechen wollen, wonach ShinyHunters-Akteure ihren Zugang zu sensiblen Informationen übertreiben, Opfer und deren Angehörige belästigen, Swatting-Angriffe durchführen und fälschlich behaupten, kompromittierendes Material zu besitzen.
In seinem Video richtet sich Leatherman unmittelbar an die verbliebenen Mitglieder: „Sie haben von der Festnahme Ihres Kollegen gehört. Wir sind sicher, dass Sie in den vergangenen Tagen Dinge gesehen oder gehört haben, die die Öffentlichkeit nicht kennt." Andere Gruppen hätten geglaubt, Anonymität oder ihre Freunde würden sie schützen — „und sie haben sich geirrt. Festnahmen verändern erfahrungsgemäß, wer bereit ist zu reden, und beschlagnahmte Infrastruktur zeigt uns, wer noch übrig ist."
Leatherman betonte, die Ermittler sammelten weiter Informationen über die Beteiligten und hätten diese aktiv im Visier: „Je länger Sie dabeibleiben, desto mehr erfahren wir über Sie. Sie wissen, wie Sie uns finden, und wir wissen, wie wir Sie finden. Ich rate Ihnen, sich zuerst zu melden, solange die Entscheidung noch bei Ihnen liegt."