Cuối tháng 9 và đầu tháng 10/2026, nhóm tin tặc ShinyHunters chịu đợt truy quét mạnh nhất từ trước tới nay: cảnh sát Hà Lan bắt một thanh niên 24 tuổi ở Amsterdam, một thành viên khác bị nhà chức trách Jordan tạm giữ và được cho là đang hợp tác với FBI, còn trang leak của nhóm đột ngột ngừng hoạt động. Dù vậy, nhóm chưa biến mất, vì một trang leak mới đã xuất hiện chỉ vài ngày sau. Bài này tóm tắt các mốc chính và cách doanh nghiệp tự bảo vệ trước thủ đoạn của nhóm.
Ba mốc đáng chú ý trong vài tuần
Mốc đầu tiên là ngày 15/9, khi cảnh sát Hà Lan bắt một người đàn ông 24 tuổi ở Amsterdam trong cuộc điều tra về ShinyHunters. BleepingComputer nêu danh tính người này là Pepijn van der Stap, biệt danh "Umbreon". Sau vụ bắt, Phó giám đốc Ban Không gian mạng FBI Brett Leatherman kêu gọi các thành viên ra đầu thú, kèm lời cảnh báo rằng càng ở lại lâu, FBI càng biết nhiều về họ.
Mốc thứ hai đến vào tuần cuối tháng 9. Theo Reuters, được BleepingComputer dẫn lại ngày 3/10/2026, nhà chức trách Jordan đã tạm giữ "Rey", được xác định là Saif al-Din Khader. Hai nguồn tin cho biết người này đang giúp FBI và các cơ quan quốc tế lần ra thành viên khác, bằng cách hướng dẫn điều tra viên đọc thiết bị và các cuộc trao đổi của mình.
Mốc thứ ba là sự im lặng đột ngột: trang leak của ShinyHunters ngừng hoạt động, người đại diện chính thôi trả lời báo chí, một tài khoản liên lạc bị đóng. Rồi vào thứ Năm cùng tuần, một trang leak mới lại xuất hiện. Hiện chưa rõ các sự kiện này có liên quan trực tiếp tới việc Khader bị giữ hay không.
Vụ FBI và những tuyên bố chưa kiểm chứng
Đợt truy quét diễn ra ngay sau khi ShinyHunters tuyên bố tấn công chính FBI. Nhóm nói đã khai thác một lỗ hổng chưa được vá trong Oracle PeopleSoft vào tháng 9, rồi đi ngang sang các hệ thống AWS GovCloud do FBI quản lý, lấy đi 2 đến 3 TB dữ liệu gồm thông tin nhân viên, ứng viên và cả hồ sơ y tế. FBI chỉ xác nhận đang điều tra hoạt động trái phép, không xác nhận dữ liệu bị lấy. BleepingComputer cũng nói rõ họ chưa kiểm chứng được những tuyên bố này.
Đây là điểm cần đọc tỉnh táo khi theo dõi tin về các nhóm tống tiền: tuyên bố của tin tặc là một phần chiến dịch gây sức ép, không phải sự thật đã được xác minh.
Thủ đoạn quen thuộc: gọi điện, giả làm IT, chiếm phiên đăng nhập
Trang theo dõi ShinyHunters 2026 breach tracker tổng hợp nhiều báo cáo kỹ thuật, trong đó có phân tích của Google Threat Intelligence ngày 30/1/2026. Chuỗi tấn công điển hình gồm:
- Gọi điện lừa đảo (vishing): kẻ gian giả nhân viên IT, báo công ty đang cập nhật cài đặt xác thực đa yếu tố, rồi dẫn nạn nhân tới một trang đăng nhập giả mang nhận diện của chính công ty đó.
- Tên miền nhái: các tên miền có dạng ghép tên công ty với "sso" hoặc "internal" để trông như hệ thống đăng nhập nội bộ.
- Đăng ký thiết bị lạ: sau khi có mật khẩu, nhóm đăng ký một thiết bị do chúng kiểm soát, thường là máy Android giả lập, vào hệ thống xác thực để duy trì truy cập.
- Xóa dấu vết: có trường hợp nhóm xóa cả email thông báo "đã đăng ký phương thức bảo mật mới" trong hộp thư nạn nhân.
- Vét dữ liệu đám mây: tìm các từ khóa như "confidential" hay "vpn" trong ứng dụng SaaS, nhắm thông tin cá nhân trong Salesforce, kéo dữ liệu từ SharePoint và OneDrive.
- Tống tiền: nạn nhân nhận hạn chót 72 giờ kèm địa chỉ ví Bitcoin; một số nhân viên còn nhận tin nhắn đe dọa, website bị tấn công từ chối dịch vụ.
Không có kỹ thuật nào trong danh sách trên đòi hỏi mã độc tinh vi. Phần lớn dựa vào việc thuyết phục một con người làm theo, đúng kiểu tấn công tâm lý (social engineering) đã được mô tả từ lâu.
Quy mô thiệt hại qua các con số
Cũng theo trang tổng hợp trên, ông Brett Leatherman nói với CBS News rằng hơn 140 tổ chức bị cho là đã bị xâm nhập và ít nhất 70 triệu USD tiền tống tiền đã được trả kể từ năm 2025. Đầu năm 2026, các báo cáo nhắc tới Crunchbase, SoundCloud và Betterment với hàng triệu bản ghi bị rao. BleepingComputer liệt kê thêm các nạn nhân của chiến dịch nhắm Salesforce như Google và Cisco, cùng vụ đánh cắp dữ liệu Instructure Canvas hồi tháng 5 gây gián đoạn nền tảng học trực tuyến này.
Cái tên ShinyHunters đã xuất hiện từ khoảng năm 2020. Mô hình hoạt động lỏng lẻo, nhiều biệt danh, thành viên ra vào liên tục, nên việc bắt một hay hai người hiếm khi chấm dứt được thương hiệu. Kiểu cấu trúc này giống nhiều cộng đồng trên diễn đàn thế giới ngầm, nơi danh tiếng gắn với cái tên hơn là với cá nhân cụ thể.
Liên minh "Scattered Lapsus$ Hunters"
Năm 2025, một nhóm tự xưng Scattered Lapsus$ Hunters xuất hiện, tuyên bố gồm cựu thành viên Lapsus$, Scattered Spider và ShinyHunters. Nhóm này nhận là tác giả vụ tấn công Jaguar Land Rover tháng 9/2025, mà BleepingComputer cho biết đã khiến hãng xe thiệt hại hơn 220 triệu USD. Chính "Rey" cũng bị liên hệ với nhiều vụ trước đó, như Telefónica và Orange Romania đầu năm 2025.
Ranh giới giữa các nhóm vì thế rất mờ. Khi đọc tin "nhóm X bị triệt phá", nên hiểu rằng kỹ năng, công cụ và quan hệ của họ có thể đã nằm sẵn ở một nhóm khác.
Doanh nghiệp rút ra được gì
Vì điểm vào là con người và quy trình xác thực, phần phòng thủ hiệu quả nhất cũng nằm ở đó:
- Quy định rõ: bộ phận IT không bao giờ gọi điện yêu cầu nhân viên đăng nhập qua đường link hay đọc mã xác thực. Nhân viên được khuyến khích cúp máy và gọi lại qua số nội bộ.
- Ưu tiên khóa bảo mật vật lý hoặc passkey cho tài khoản quản trị, vì trang giả không lấy được loại xác thực gắn với tên miền thật.
- Cảnh báo ngay khi có thiết bị mới được đăng ký vào hệ thống xác thực, đặc biệt là thiết bị giả lập.
- Rà soát quyền của các ứng dụng tích hợp với Salesforce, Microsoft 365, Google Workspace; thu hồi token không còn dùng.
- Theo dõi tải xuống bất thường từ kho tài liệu đám mây, nhất là truy vấn theo từ khóa nhạy cảm.
Với người dùng cá nhân, khi một dịch vụ bạn dùng xuất hiện trong danh sách nạn nhân, hãy đổi mật khẩu, bật xác thực mạnh và dè chừng email hay cuộc gọi "hỗ trợ khắc phục sự cố" trong những tuần sau đó.
Câu hỏi thường gặp
ShinyHunters có phải là một nhóm ransomware không?
Không hẳn. Nhóm này chủ yếu đánh cắp dữ liệu rồi đòi tiền để không công bố, thay vì mã hóa máy chủ như ransomware truyền thống. Cách làm này vẫn gây thiệt hại lớn vì dữ liệu khách hàng đã nằm trong tay kẻ gian.
Trang leak của ShinyHunters sập có nghĩa nhóm đã tan rã?
Chưa. Theo BleepingComputer, chỉ vài ngày sau khi trang cũ ngừng hoạt động, một trang leak mới mang tên nhóm đã xuất hiện, cho thấy vẫn còn thành viên điều hành.
Làm sao biết dữ liệu của mình có nằm trong một vụ ShinyHunters?
Hãy theo dõi thông báo chính thức từ doanh nghiệp bạn dùng dịch vụ và dùng các công cụ kiểm tra rò rỉ email uy tín. Không trả tiền cho bất kỳ ai tự xưng có thể 'xóa dữ liệu khỏi trang leak'.
Lưu ý: Bài viết mang tính giáo dục, giúp bạn hiểu rủi ro và tự bảo vệ. Thế Giới Ngầm không hướng dẫn truy cập trái phép, mua bán hàng cấm hay bất kỳ hành vi vi phạm pháp luật nào.
