美国联邦调查局（FBI）局长卡什·帕特尔（Kash Patel）于10月9日表示，FBI又逮捕了一名与网络犯罪团伙ShinyHunters有关的嫌疑人。帕特尔在社交媒体X上发文称，警方逮捕了“另一名涉嫌与ShinyHunters团伙同谋的人”，并指该团伙被认为对近期FBI求职网站（FBIjobs.gov）被入侵事件负责。
这个名为ShinyHunters的臭名昭著的暗网勒索软件团伙长期以来一直以世界各地的大型企业为攻击目标，专家认为该黑客团伙主要由年轻的、讲英语的黑客组成，他们专注于数据窃取和勒索。
路透社对ShinyHunters分享的部分从FBI求职网站窃取的数据进行分析后发现，这些数据包含大量FBI员工的个人身份信息、敏感的工作角色信息以及精神病和医疗信息。
🚨 Our agents in the field have arrested another suspected co-conspirator of the ShinyHunters group – the group believed to be responsible for the recent https://t.co/RG0D4I5KFS incident, which occurred on a platform managed by a third-party vendor.
This is the latest arrest…
— FBI Director Kash Patel (@FBIDirectorKash) October 9, 2026 联邦调查局局长的最新表态 帕特尔表示：“本周早些时候，我们的一线特工逮捕了另一名涉嫌与ShinyHunters团伙同谋的人——该团伙被认为对近期FBIjobs.gov事件负责，该事件发生在由第三方供应商管理的平台上。”
他补充说，这是FBI在数日内针对该犯罪团伙采取的最新一次逮捕，“我们正不眠不休地摧毁该团伙、追查新线索与证据，并迅速行动。”帕特尔还称，将继续与合作伙伴密切协作，“无论他们在何处活动，都要瓦解ShinyHunters团伙残余力量及其关联人员。”
帕特尔的声明未公布嫌疑人姓名、具体指控，也未说明其在入侵中的具体角色。FBI未立即回应媒体关于更多细节的问询。
媒体透露：加拿大籍嫌疑人在宾夕法尼亚州被捕 《纽约时报》率先报道此次逮捕，援引两名知情人士称，嫌疑人为一名加拿大籍男子，在宾夕法尼亚州被拘留。CBS新闻等亦援引未具名消息来源称，该人被认为直接参与了黑客行动。
另有CNN等报道称，与FBI入侵案有关的嫌疑人中，有人被指为Edward Dubrovsky：近日在费城一带被捕，周四在联邦法院出庭，由联邦公设辩护人代理；面临与勒索、威胁相关的指控，并已被移交得克萨斯州东区，等待羁押听证会。路透社后续报道亦将一名加拿大勒索软件谈判人Dubrovsky的逮捕与FBI对相关黑客团伙的清剿联系起来，并指出FBI在被问及时转而指向帕特尔关于逮捕“涉嫌ShinyHunters同谋”的声明。官方尚未在公开声明中点名确认上述身份。
此前分别在荷兰与约旦逮捕两人，其中一人涉嫌窃取FBI数据 自9月下旬FBI求职网站入侵消息曝光以来，这是第三起公开宣布的相关逮捕。
此前，“暗网下/AWX”曾报道，荷兰当局宣布逮捕一名男子，其身份为荷兰人佩皮恩·范德斯塔普（Pepijn van der Stap）。此人曾因数据窃取服刑，获释后一度以网络安全从业者身份示人，并被指与ShinyHunters调查有关。FBI网络事务助理局长Brett Leatherman曾称其为该团伙“涉嫌领导人之一”，并指该团伙及同谋自去年以来涉嫌入侵140多家机构、取得至少7000万美元勒索款项。
荷兰警方与美国联邦调查局（FBI）合作，逮捕一名24岁的网络罪犯，他涉嫌协助臭名昭著的黑客组织ShinyHunters进行数据窃取和勒索。多方消息指认其为荷兰人佩皮恩·范德斯塔普（Pepijn van der Stap）。逮捕发生在约9月15日至16日，时间早于ShinyHunters公开宣称入侵FBI求职网站并窃取人员数据。FBI网络事务助理局长布雷特·莱瑟曼（Brett Leatherman）随后发布一段关于ShinyHunters调查的简短视频声明，将嫌疑人描述为该组织“涉嫌领导人之一”，并警告仍在逃的其余ShinyHunters成员尽早投案。
Today, our partners at the Dutch National Police announced the arrest of one of the alleged leaders of ShinyHunters, a group linked to cyberattacks in the United States, the Netherlands, and around the world.
The Dutch High-Tech Crime Unit arrested the suspect under Dutch law.… pic.twitter.com/EdfWJpVx2n
— FBI Cyber Division (@FBICyberDiv) September 29, 2026 ShinyHunters是一个活跃的网络勒索组织，成员遍布全球。他们经常入侵公司系统窃取敏感数据，然后威胁称，除非支付赎金，否则就会将这些数据泄露到暗网上。上周，ShinyHunters在其网站上宣布，他们入侵了FBI的招聘门户网站，并窃取了大量特工的个人信息。该组织要求FBI撤回5月份发布的关于他们的公共服务公告，并设定了9月29日的最后期限。不过，“暗网下/AWX”看到，ShinyHunters已经明确表示不会公布窃取的FBI数据。
荷兰警方的逮捕行动与官方表态 荷兰国家警察高科技犯罪调查部门根据荷兰法律执行逮捕，荷兰警方在Twitter/X上发表的声明中证实，一名来自阿姆斯特丹的24岁男子因与ShinyHunters调查有关而被捕，并将于9月29日星期二在鹿特丹地方法院出庭。法院已裁定至少羁押90天。警方表示，在其笔记本电脑上发现大量信息，其中包括关于境外两起谋杀的相关内容，并指有迹象显示嫌疑人曾下达相关指令；该部分与ShinyHunters案件分开处理。
FBI网络事务助理局长布雷特·莱瑟曼在官方视频中说，荷兰高科技犯罪调查部门在FBI全力支持下迅速行动，以保护受害者并保全关键证据。他表示，自去年以来，该网络犯罪分子及其同谋涉嫌入侵140多家机构，并取得至少7000万美元勒索款项收益。他们常以云平台第三方供应商为目标，窃取敏感数据并以公开相要挟。
莱瑟曼同时向仍在逃的ShinyHunters成员喊话：“你们已经知道同事被捕。我们相信你们看到或听到了公众尚未知晓的情况。其他团伙曾以为匿名或朋友能保护他们，结果错了。逮捕行动会改变谁愿意开口，查获的基础设施也会让我们看清还剩下哪些人。你们待在这里的时间越长，我们对你的了解就越多。你们知道如何找到我们，我们也知道怎么找到你们。我建议你们先联系我们，趁选择权还在自己手里。”
荷兰警方未公开点名。KrebsonSecurity援引三名知情人士指认嫌疑人为范德斯塔普；路透社亦援引其所在公司Neo Security负责人Benjamin Korper的说法，确认被带走的是该公司进攻性安全负责人范德斯塔普。
据两名知情人士透露，范德斯塔普于9月16日左右被荷兰当局逮捕，并一直被拘留接受讯问。其中一位消息人士称，他们的同事亲眼目睹荷兰当局从范德斯塔普的住所搬走物品。还有报道透露，9月15日晚荷兰警方调查人员曾到该公司办公室，逮捕行动中使用了闪光震撼弹。
周二，在鹿特丹举行的听证会上，尽管有报道称一名男子是涉嫌黑客，但荷兰警方仍未公布其姓名。警方也否认了逮捕的嫌疑人与荷兰电信公司Odido遭黑客攻击有关的说法。当天，法院下令将嫌疑人继续拘留 90 天。
一个名为Nexus的暗网身份盗窃服务网站本周上线，声称正在出售超过1.53亿份美国和加拿大公民的驾照数字扫描件。安全记者Brian Krebs率先披露此事，并追踪到路易斯安那州一家广泛使用的身份验证公司idscan.net可能是数据来源。美国联邦调查局（FBI）新奥尔良外勤办公室已正式启动对这些图像来源的调查。
据称，Nexus暗网网站提供的记录中包括美国国防部长皮特·赫格塞斯（Pete Hegseth）的驾驶执照，他是驾驶执照可以出售的几位美国高级政府官员之一。
Nexus暗网网站泄露的数据规模与内容 8月31日，有消息来源向KrebsOnSecurity提示，俄罗斯网络犯罪论坛——暗网网站Exploit上出现一名新用户发布的广告，声称可提供超过1.7亿北美居民的身份证件数字扫描件。该来源之所以联系Krebs，是因为该身份盗窃服务的运营者在初始销售帖中将Krebs本人的弗吉尼亚州驾照作为免费样本展示。
这个名为Nexus的暗网服务声称拥有超过1.53亿份美国和加拿大居民的驾照，以及超过1000万份身份卡、超过300万份旅行证件和/或国际身份证明，以及至少57.9万份医疗卡。
简单检索显示，其宣称的1.53亿这一数字可能并不夸张：在Nexus中进行空白搜索（不输入任何搜索参数）会返回约1150万页结果，每页大约显示15条记录。数据涵盖加拿大和美国居民，但以美国人为主：仅搜索加拿大驾照约返回110万条结果，其中安大略省数量最多（473,673条）。
有趣的是，这些身份记录不仅包括驾照，还包括大麻药房会员卡。部分记录的“来源”标注为“CDL”，推测是商业驾照的缩写。另一些记录标注为“CAC”，可能指通用访问卡（Common Access Cards），即用于进入政府建筑和安全房间的政府发放身份卡。
Nexus背后的人声称，这些驾照图像来自“一家主要身份验证公司”的持续入侵，该公司客户包括多家《财富》500强企业。Nexus的运营者在Exploit网站的介绍帖中表示：“一年多来，我们一直在持续地将新数据导入我们的私有数据库，购买前可以预览记录，相关信息已被隐去。如有客户照片，也会显示出来。”
事实上，在过去24小时内，Nexus列出的可用驾照记录数量增加了近40万条，这表明新近被盗的驾照数据正在被收集并定期上传到该服务中。
泄露数据的真实性与时间戳线索 Krebs本人的驾照记录包含六个图像文件：三组驾照正反面照片，包括一张基本图像扫描件、同一图像的红外线和紫外线版本。每个图像文件都附有日期和时间戳，其时间戳对应2025年6月他飞往美国中西部参加家庭葬礼的日期。
为查明并验证数据来源，Krebs征得十余位亲友同意，在该服务中搜索他们的驾照。九名找到驾照的人确认，自己曾在图像时间戳当天或非常接近的日期出行。时区尚不清楚，但根据几位协助研究者提供的租车记录，时间戳似乎设置为格林威治标准时间（GMT）。
起初有人怀疑与机场有关，但数据集中没有护照信息，这一理论被排除。协助研究的人中，只有部分表示在出行当天在机场出示了驾照。有一人近期并未飞行，但在时间戳前后数月内从赫兹（Hertz）租了车。
提供帮助的两名联邦雇员表示，他们在通过机场安检时出示了其他形式的政府身份证明，然而，这两人均表示，当天晚些时候在各自目的地租车时，他们出示了州政府颁发的驾照，而且两人都是从赫兹租车公司租的车。
Krebs回忆，自己当天在里根国家机场安检时因尚未持有Real ID而出示了护照，并未出示驾照。他母亲的驾照也出现在该服务中，两人图像的时间戳仅相差几秒——当天他们同时将驾照交给了赫兹租车代表。
指向idscan.net的证据链 安全与隐私研究者扎克·爱德华兹（Zach Edwards）的驾照扫描件也在Nexus上可供购买。爱德华兹表示，其记录上的时间戳对应他上个月前往拉斯维加斯参加DEFCON安全会议的行程中期。他在拉斯维加斯没有租车，但在运输安全管理局（TSA）检查站、一家大麻药房以及酒店（Aria酒店）出示了驾照。他表示，三者中唯一确定用某种设备扫描了身份证的是那家药房。
爱德华兹当天去的药房是Planet13，这是一家在加利福尼亚、佛罗里达、伊利诺伊和内华达等地运营的连锁店。2022年，总部位于新奥尔良的身份提供商idscan.net发布新闻稿，宣布与Planet13各门店达成全国独家身份验证协议。IDScan称其为19个美国州的1000多家大麻药房处理身份验证。
idscan.net的“信任”页面显示，该公司为众多大品牌提供身份验证服务，包括赫兹（Hertz）、Target、联邦快递（FedEx）、摩托罗拉解决方案、金融服务巨头Jack Henry以及凯撒娱乐（Caesars Entertainment）。该公司自身文档也表明，其技术使用红外线和紫外线扫描身份证。idscan.net称其系统和技术每月在全球超过2万个地点完成超过2100万次验证。
Krebs联系idscan.net后，公司表示正在调查此事，但尚未就通过邮件发送的具体问题给出正式声明或实质性回复。公司营销与运营负责人Jillian Kossman写道：“目前我无法分享更多信息，但您提供的更新对我们团队的调查很有帮助。”
凯撒娱乐发言人随后表示，凯撒并非IDScan.net的客户，自2025年2月起未再使用VeriScan，尽管IDScan.net在其网站上将其列为客户。该发言人称，事件发生时凯撒没有活跃的VeriScan账户，也未授权IDScan.net保留其账户数据，并表示IDScan.net称此次事件不应影响凯撒娱乐。
FBI介入与高调人物记录 在研究过程中，美国联邦调查局（FBI）获悉Krebs正在追查该身份盗窃服务的数据来源。可能的原因是，Krebs向可信消息来源透露，Nexus网站也在出售FBI助理局长的驾照信息，但Krebs未在Nexus服务中找到FBI局长卡什·帕特尔（Kash Patel）的驾照。
当天下午，Krebs加入了与六名FBI特工的电话会议，其中包括该局网络部门的高级领导。通话中，FBI表示，新奥尔良外勤办公室当天已就涉及idscan.net的疑似入侵正式立案调查。
美国国防部发言人表示，该部“已获悉这些报告并正在评估”。FBI发言人确认该局“正在调查此事件”，但拒绝进一步置评。
数据集中据报道包含美国国防部长皮特·赫格塞斯以及FBI助理局长的驾照，但未包含FBI局长的驾照。
本次安全事件的影响与专家看法 安全公司Cybera首席情报研究员拉里·鲍德温（Larry Baldwin）表示，其在Nexus上可获得的驾照正反面扫描件时间戳，对应他近期度假时从赫兹租车的日期。Baldwin指出，Nexus身份盗窃服务带来多重严重安全和隐私威胁，州发驾照常被用作开设新信贷额度时的身份证明。该服务还可能危险地暴露许多不希望被找到、却无法有效改变外貌（至少不足以欺骗当今基于AI的图像匹配工具）的人，包括逃离家庭暴力者，甚至被纳入联邦政府证人保护计划的人。
鲍德温说：“正当我们似乎通过驾照验证系统在改进身份认证控制方面取得一些进展时，这种事情发生了，而这些改进所依赖的东西本身却遭到了破坏。”
爱德华兹表示，随着越来越多线下和线上场景要求出示驾照，收集这些敏感数据的供应商需要被要求达到更高标准。“这一事件应进一步坚定那些反对在线身份验证方案的人的决心。这些方案正要求无数提供商以保护儿童为名索要驾照才能访问服务。这些系统正在把敏感数据放入越来越多的第三方供应商手中，而我们远没有足够的监管来确保它们是安全的。”
暗网网站Nexus的服务已经下线与后续 故事发布后不久，Nexus身份盗窃服务网站从暗网消失，登录页面被替换为一行纯文本信息：“本服务已不再可用。”
身份验证系统要求出示驾照，正在把敏感数据扩散到不断扩大的第三方供应商网络中，而监管机制未能跟上步伐。每一家酒吧、酒店、租车柜台、药房和年龄验证系统在扫描身份证时，都在创建该图像的副本，而持卡人无法评估这些系统的安全状况。
如果idscan.net事件在所报道的规模上得到确认，它将成为近年来已知规模最大的政府发放身份证件图像泄露事件之一。
美国德克萨斯州一名阿马里洛男子因被控通过暗网购买并访问儿童性剥削材料（CSAM），面临联邦指控。
现年39岁的何塞·阿德里安·博斯克兹（Jose Adrian Bosquez）上周被关押进兰德尔县监狱，罪名是“以查看为目的获取儿童色情制品”。
联邦刑事起诉内容 根据联邦刑事起诉文件，一名联邦调查局（FBI）雇员在调查一个可通过Tor访问的暗网网站。该暗网网站将自己宣传为“最大的免费儿童色情视频和图片开放图书馆”。
该暗网网站提供多种订阅服务以获取相关内容，支付方式为加密货币，支付加密货币后可以获取该网站的访问权限。调查人员提取了用于向该暗网网站付款的加密货币钱包地址，并据称追踪到一笔2024年4月的付款，该笔款项来自一个登记在博斯克兹名下的Coinbase账户。
文件显示，2024年4月5日，从博斯克兹的钱包向该网站支付了访问费用。起诉书称，博斯克兹的出生日期、社会安全号码和地址与该加密货币钱包在Coinbase上的记录相符。支付金额约为价值16.61美元的比特币，用于购买该暗网网站的日订阅服务，该金额与该暗网网站广告价格相符。
警方对博斯克兹的住所进行了搜查 基于上述信息，联邦搜查令于今年8月19日在博斯克兹家中执行。
文件显示，联邦特工对博斯克兹进行了一次双方同意、非羁押性质的问话。他承认曾向该暗网网站发送加密货币以获取访问权限，并承认大约查看过该网站五次，最近一次访问发生在2月或3月。
另据法庭记录，他表示最近一次是通过PayPal向某人付款，以获取一个Telegram群组的访问权限，该群组中有相关材料发布。
博斯克兹目前仍被关押在兰德尔县监狱，处于联邦羁押状态，等待下一次出庭。他面临最高10年的联邦监禁。初步审查和羁押听证会定于周三上午9时30分举行。
在美国联邦调查局（FBI）的努力下，臭名昭著的俄罗斯暗网论坛RAMP的暗网和明网网站已被美国执法部门查封。RAMP，即“俄罗斯匿名市场”（Russian Anonymous Marketplace）的缩写，是一个以俄语为主的在线交易平台，自称是“唯一允许勒索软件存在的地方”，深受勒索软件即服务团伙、敲诈勒索者、初始访问经纪人和其他从事网络犯罪的不法分子青睐的
在其他一些论坛（例如XSS）被查封后，RAMP已成为少数几个仍能逍遥法外的网络犯罪论坛之一。XSS的领导人去年被欧洲刑警组织逮捕。这一真空使得RAMP成为传播勒索软件和其他网络威胁的人员买卖或交易产品和服务的主要场所之一。
美国联邦调查局 (FBI) 与佛罗里达州南区联邦检察官办公室和司法部计算机犯罪与知识产权部门协调，执行了此次查封行动。目前访问RAMP的暗网Tor域名（rampjcdlqvgkoz5oywutpo6ggl7g6tvddysustfl6qzhr5osr24xxqqd[.]onion）及其明网域名（ramp4u[.]io），两个域名显示内容完全相同，为一个醒目的页面，页面显示执法部门的横幅广告，上面写着：“本网站已被查封”，意味着FBI已接管RAMP的域名。
扣押横幅上写着，FBI与美国佛罗里达州南区检察官办公室和美国司法部（DoJ）计算机犯罪和知识产权科（CCIPS）合作查封了该网站。该通知还嘲讽了RAMP运营商，上面写着“勒索软件唯一允许的地方！”，并配上了一张俄罗斯卡通人物玛莎（俄罗斯热门儿童动画片《玛莎和熊》中眨眼的玛莎）眨眼的图片。这份扣押横幅上没有像其他类似行动那样印有任何其他国际执法机构的标志，只列出了FBI和司法部的印章，似乎强调本次查封是美国当局独立完成的。
经“暗网下/AWX”测试，RAMP明网网站的域名服务器（DNS）记录已经重定向到FBI经常用于打击非法活动的域名服务器：
Name Server: ns1.fbi.seized.gov
Name Server: ns2.fbi.seized.gov 由于RAMP的暗网域名也被查封，本站（anwangxia.com）认为，FBI应已获取了RAMP论坛用户数据库和其他敏感的网站信息，如电子邮件地址、IP地址、私人消息和其他可能构成犯罪证据的信息，也就意味着经常访问与使用该网站的用户可能会被执法部门追踪到。
目前尚无任何关于RAMP运营者或用户被捕或拘留的消息。查封通知邀请公众通过FBI的IC3门户网站提交线索。
RAMP的查封行动与此前针对其他网络犯罪论坛的类似行动相呼应，表明执法部门正持续努力打击犯罪基础设施。虽然官方尚未确认任何逮捕行动，但此次行动凸显了勒索软件即服务（RaaS）运营及其相关生态系统面临的日益严峻的压力。
RAMP宣称是唯一允许勒索软件传播的暗网论坛 RAMP于2012年创建，最初是一个运行在Tor网络上的暗网网站，但直到2021年才开始声名鹊起，其运营者与现已解散的Babuk勒索软件团伙有关联。RAMP论坛目前的形态是在XSS和Exploit（俄罗斯网络犯罪领域两大主要暗网论坛）以及英语论坛BreachForums禁止讨论勒索软件之后形成的。
RAMP（俄罗斯匿名市场）宣称是暗网上唯一能允许勒索软件的论坛，该平台服务于俄语、中文和英语用户，拥有超过14000名注册用户，尤其受到勒索软件组织及其附属机构的青睐。所有用户在注册前都经过严格审核，或支付500美元匿名参与。该论坛提供讨论组、网络攻击教程以及恶意软件和服务市场。其首席管理员表示，该网站在2024年的年收入为25万美元。
RAMP最初旨在连接勒索软件运营者、关联方和中间商，如今已发展成为勒索软件生态系统的核心枢纽，成为威胁行为者协作、招募和交易的场所。目前RAMP不仅仅是一个交流平台，它更是一个勒索软件市场，DragonForce、Qilin、Medusa、GLOBAL Group、Eldorado和LockBit等勒索软件团伙都在此活跃。这些团伙积极招募技术娴熟的成员，宣传新的勒索软件变种，并共享行动情报，所有这些都是为了扩大自身的影响力和能力。
RAMP论坛的管理员中有一位名叫米哈伊尔·马特维耶夫（Mikhail Matveev）的俄罗斯公民，他也使用过Orange、Wazawaka和BorisElcin等化名，他于2022年表示，已经该论坛的所有权将转移给一位名叫“Stallman”的黑客。马特维耶夫于2024年在俄罗斯被捕。
2023年，马特维耶夫因参与多起勒索软件攻击活动（包括Babuk、LockBit和Hive）而被美国司法部起诉，这些攻击的目标是美国医疗保健机构、执法机构和其他关键基础设施。他还受到美国财政部外国资产控制办公室的制裁，并被列入联邦调查局的通缉名单，美国国务院悬赏高达1000万美元，征集能够逮捕或定罪他的信息。
网名为“Stallman”的黑客在RAMP论坛被关闭时仍然是该论坛的管理员，网络安全情报显示，Stallman“在维护信任、执行规则和管理平台的技术运营方面发挥了核心作用”。
在被查封后，情报公司Red Sense的联合创始人Yelisey Bohuslavskiy在LinkedIn上发帖解释说，RAMP是由与俄罗斯安全部门关系密切的人员创建的，目的是为了应对勒索软件即服务（RaaS）的蔓延。
他表示，直到2020年，俄罗斯、白俄罗斯和乌克兰的执法部门对Ryuk、Conti、REvil、Maze、Ragnar、Netwalker等传统且组织严密的网络犯罪集团都有很强的可见性。
“这种可见性部分来自于安全相关管理员对漏洞利用和跨站脚本攻击的控制。随后，RaaS（风险即服务）呈爆炸式增长。这种模式失控地蔓延：甚至论坛管理员也对关联方完全没有控制权。而RAMP正是为了解决这个问题而开发的，”他补充道。
据专家称，RAMP是新兴的、中低层级的勒索软件组织宣传自身、提供服务并“尽可能提高知名度”的主要中心。
Flare的高级威胁情报研究员Tammy Harper将RAMP描述为“网络犯罪生态系统中最值得信赖的勒索软件相关论坛之一”。
她解释说，该平台“被广泛认为是一个高度可信的托管环境”，并且是勒索软件运营商、中间人和关联方的主要讨论中心。
CybaVerse的安全运营中心 (SOC) 经理Ben Clarke解释说，RAMP成功的原因是“它为犯罪分子提供了一个支持整个攻击链的市场，从购买被盗凭证、推广恶意软件到出售和购买勒索软件服务。”
据了解，包括LockBit、ALPHV/BlackCat、Conti、DragonForce、Qilin、Nova、Radiant和RansomHub在内的许多臭名昭著的勒索软件组织都曾在不同时期在这个论坛上活动过。
Stallman承认FBI已经控制RAMP论坛，暂无重建计划 THE RAMP ADMINISTRATOR CONFIRMED THE ATTACK. A user with the nickname Stallman on the forum XSS confirmed that the forum administration had lost control. Here is the text of the statement: To whom it may concern.
今日，FBI查封了勒索软件团伙Scattered Lapsus$ Hunters使用的BreachForums域名（Breachforums.hn），正如前期“暗网下/AWX”报道，勒索组织针对Salesforce及其客户开展黑客攻击后开设了暗网泄密网站，而该域名是数据泄露网站在明网的镜像。
今年夏天，Breachforums[.]hn域名曾用于重新启动暗网数据泄露论坛Breachforums，但在一些核心运营管理员被捕后，该网站很快再次下线。根据“暗网下/AWX”之前的报道，今年6月份，法国执法部门逮捕了包括ShinyHunters、Hollow、Noct和Depressed在内的四名BreachForums成员，美国起诉了另一名BreachForums成员IntelBroker。7月份，ShinyHunters曾宣布重新启动 BreachForums，一个月后，新BreachForums论坛下线，ShinyHunters发布了一条带有PGP签名的消息，称该论坛的基础设施已被法国BL2C部门和FBI查封，并表示不会再重启。
本月初，该域名被Scattered Lapsus$ Hunters团伙转变为针对Salesforce数据泄露的网站，目的是勒索Salesforce以及受到影响的客户公司。根据“暗网下/AWX”之前的介绍，Scattered Lapsus$ Hunters团伙由与Scattered Spider、Lapsus$和ShinyHunters勒索软件团伙有关联的成员组成。
本周，Breachforums[.]hn域名已经无法访问，10月8日，该团伙在Telegram频道宣布不再运营明网域名。10月9日，Breachforums[.]hn域名被FBI接管，域名的NS服务器被切换为ns1.fbi.seized.gov和ns2.fbi.seized.gov，目前访问该域名显示巨大的扣押横幅。
根据扣押信息，在Scattered Lapsus$ Hunters团伙开始泄露Salesforce被盗数据之前，美国和法国的执法部门合作控制了BreachForums的所有网络基础设施。
FBI在X上称，联邦调查局及其合作伙伴已查封与BreachForums相关的域名。该犯罪市场平台被ShinyHunters、Baphomet和IntelBroker等团伙用于贩卖窃取数据并实施敲诈勒索。此次行动切断了犯罪分子利用该枢纽平台牟利、招募同伙及跨行业锁定受害者的关键通道，彰显了国际执法协同行动的威慑力——必将让网络犯罪幕后黑手付出代价。
The FBI and our partners have seized domains associated with BreachForums, a major criminal marketplace used by ShinyHunters, Baphomet, and IntelBroker to traffic stolen data and facilitate extortion.
This takedown removes access to a key hub used by these actors to monetize… pic.twitter.com/aiTRzFCIYU
— FBI (@FBI) October 12, 2025 对此，Scattered Lapsus$ Hunters团伙在Telegram频道挑衅道，扣押一个域名不会影响其行动，FBI还需要更加努力。
Scattered Lapsus$ Hunters团伙在Telegram频道发布声明回应明网域名被扣押 10月10日，Scattered Lapsus$ Hunters团伙在Telegram频道、暗网网站以及pastebin同步发布带有PGP签名的声明，确认Breachforums[.
美国联邦调查局（FBI）长期以来以渗透犯罪团伙、将其彻底摧毁而闻名。然而，随着犯罪手段的日新月异以及匿名方法的越来越难以被攻克，FBI现在寻求渗透到网络犯罪的黑暗世界，将其特工全面嵌入数字犯罪组织，甚至全身心投入来运作这些组织，作为其蜜罐来运营。
虽然之前包括“暗网下/AWX”在内的许多媒体认为暗网论坛Breachforums可能是FBI的蜜罐，但是没有证据。这次从另外一个案件中印证了FBI设置蜜罐的常规执法操作。
本站（anwangxia.com）获悉，网络安全媒体404 Media对FBI针对“ElonmuskWHM”洗钱案的执法工作进行了调查，并揭露了FBI的蜜罐手段。
通过运营蜜罐，联邦调查局得以在“ElonmuskWHM”洗钱案中逮捕了更多的毒贩、加密货币黑客等犯罪分子。然而，运营蜜罐的手段也招来了人们对政府越权的批评。
“ElonmuskWHM”是通过暗网宣传并运营的一个加密货币洗钱业务 名为“ElonmuskWHM”的暗网洗钱业务经常在已经关闭的暗网论坛“白宫市场”（White House Market，简称 WHM）上宣传，允许网络犯罪分子将通过犯罪手段获取的加密货币“套现”。“ElonmuskWHM”的客户通常是毒贩和黑客，他们会将加密货币发送给该机构，然后该机构会通过邮件将现金寄给他们。“ElonmuskWHM”会从其服务中收取20%的费用。404 Media的记者约瑟夫·考克斯（Joseph Cox）写道：
查阅了数百页法庭文件、ElonmuskWHM的在线帖子以及其他研究资料，首次揭示了FBI此次行动的轮廓。这进一步证实了这样一种观点：如果能为犯罪分子提供调查途径，FBI愿意为其提供实施犯罪计划所需的基础设施，有时甚至会持续很长时间。
通过仔细阅读这些法庭文件，考克斯了解到该业务为地下暗网的网络犯罪分子提供了不可或缺的服务。他解释道：
这项洗钱服务在犯罪圈中的实用性不容小觑。在美国，允许加密货币与法定货币交易的公司必须向政府注册成为货币转账公司。反过来，这些公司也需要依法收集用户的身份信息，就像普通银行一样。这对犯罪分子来说是一个问题，因为如果他们注册币安（Binance）或Coinbase等更合法的交易所，就需要提供身份证明（KYC）。如果收到法院命令，这些交易所会将这些信息交给当局。ElonmuskWHM提供了一种匿名替代方案，无需身份证明。
FBI通过长期调查抓获“ElonmuskWHM”背后的罪犯 FBI于2021年开始调查该服务，并聘请邮政局协助调查网络犯罪分子与运营商之间的现金交易。调查显示，“价值近9000万美元的加密货币”通过ElonmuskWHM的网络进行交易，该运营商一度吹嘘其业务收入高达3000万美元。
考克斯补充道，联邦调查局还“采取了极端且可能违宪的措施，以揭露‘ElonmuskWHM’的运营者，包括要求谷歌交出八天内观看过某个YouTube视频的所有人的身份信息”。具体而言，FBI探员通过Telegram向“ElonMuskWHM”背后的犯罪分子发送了一些观看次数较少的YouTube视频，然后要求谷歌提供观看这些视频的所有人的数据，从而锁定“ElonmuskWHM”背后的罪犯。
最终，警方找到并逮捕了这名罪犯，他是一名30岁的印度公民，名叫阿努拉格·普拉莫德·穆拉卡（Anurag Pramod Murarka）。据联邦调查局估计，穆拉卡在不到两年的时间里通过暗网洗钱总额超过2400万美元。美国司法部的一份新闻稿称，穆拉卡于今年1月被判处121个月监禁。
参与此案的美国检察官卡尔顿·S·希尔四世（Carlton S. Shier, IV）表示：“被告利用互联网为无数其他犯罪分子提供协助，帮助他们隐瞒赃款和非法毒品所得。此案凸显了网络犯罪的全球性，以及打击洗钱活动对勤勉和合作的必要性。”
FBI接管并继续运营“ElonmuskWHM”以识别更多网络犯罪分子 逮捕穆拉卡后，FBI接管了该服务并花了近一年时间秘密运营暗网洗钱业务“ElonmuskWHM”。
据肯塔基州东区联邦检察官办公室公共事务专家加布里埃尔·杜吉恩（Gabrielle Dudgeon）透露，联邦调查局运营了“ElonmuskWHM”洗钱业务不到一年（约11个月），她曾与考克斯谈论过此事。考克斯查阅的法庭文件显示，该蜜罐行动显然让联邦政府得以了解其与“贩毒案件（包括佛罗里达州迈阿密的一起）、加利福尼亚州旧金山的持刀抢劫案调查以及多起计算机黑客调查（其中一些调查涉及数百万美元的犯罪收益）”之间的联系。
尽管联邦调查局成功逮捕了通过“ElonmuskWHM”进行洗钱的更多地下客户，但其手段也招致了批评，称FBI的卧底策略并不十分巧妙，而且可能不符合宪法。
美国司法部已经停止针对加密货币犯罪的积极调查 这只是政府秘密渗透网络犯罪活动以了解其结构并调查其客户的最新例证。考克斯此前曾撰写过一本关于联邦调查局（FBI）古怪的“特洛伊盾牌”行动的书，该行动中，FBI收编并运营了一家名为“ANOM”的加密电话公司，据说该公司专门向职业罪犯出售设备。ANOM使FBI能够监控90个国家/地区的约11,800台设备，为了解多达300个跨国犯罪组织的高层犯罪活动提供了窗口。
美国联邦调查局此前还入侵并渗透了一个名为“Hive”的勒索软件团伙，该团伙参与了多起破坏性的恶意软件攻击。这项行动于2023年1月宣布，使该机构能够监控该团伙的活动，收集有关其商业模式的信息，并最终识别其受害者。
但是，运营蜜罐的手段也招来了人们对政府越权的批评。“暗网下/AWX”看到，美国司法部已经宣布，计划停止针对加密货币交易所、钱包和加密货币混合器的执法行动和积极调查。尽管美国司法部声称仍将追捕犯罪分子，但这将阻止像追踪“ElonMuskWHM”这样的长期诱捕行动。
2月21日，45岁的卡什·帕特尔（Kash Patel）宣誓就任令人垂涎的局长职位，目前他是FBI约38,000名员工的负责人，其中包括10,000多名特工和遍布全球的60多个办事处和分支机构。
几天后，俄罗斯背景的暗网勒索软件团伙LockBit向新任FBI局长帕特尔留言称提供所谓的“机密信息”，并声称这些信息一旦公开，可能会“摧毁”该机构。
这个公开的博文是在2月25日通过LockBit的暗网博客（暗网泄密网站）发布的，伪装成一封贺信，然后试图让新任FBI局长帕特尔与FBI的员工对立起来。网络安全研究媒体vx-underground在X上报道了LockBit发布的博文。
Today Lockbit ransomware group issued a message to Kash Patel, the new Director of the United States Federal Bureau of Investigation. He requested Kash Patel contact him via Tox and offered him a file titled "personal_gift_for_new_director_FBI_Kash_Patel.7z".
The file is…
— vx-underground (@vxunderground) February 26, 2025 “亲爱的卡什·帕特尔！祝你生日快乐！我也祝贺你担任联邦调查局的第九任局长，并祝你事业成功，因为这对你来说并不容易，”博文开头写道。“你周围都是骗子、职业操纵者，尊敬的卡什·帕特尔。你手下的所谓“特工”都是狡猾的操纵者，他们操纵你的目的就是让你无所作为，但你必须有所作为，卡什·帕特尔先生。”
该博文进一步解释，虽然LockBit经常被称为“敲诈者”和“勒索者”，但自己其实是“美国祖国的杰出儿子”，并声称LockBit的勒索软件行动实际上是为了加强美国国家安全而建立的，而国际执法部门却将其描述为“世界上最具危害性的网络犯罪集团”。
”我的生意，我已经缴纳了很多税，我创建的目的只是为了让我们所有人，在我们的美利坚合众国，成为一个更安全的居住地。“
”我是一个诚实的商人，向美国财政部缴纳了那么多的税款，却从未退过税，而是让黑人帮我退税。“
在将自己描述为“诚实的商人”之后，作者继续指责联邦调查局是“真正的威胁”。
博文继续写道：“这些真正的敲诈者、骗子、勒索者、操纵者，也就是你们所熟知的下属——联邦调查局特工，他们用假货充斥着我们的国家，并宣称我是一个威胁。“
最值得注意的是，该博文最后试图引诱帕特尔直接联系LockBit，并承诺向他提供一份为他个人准备的“机密信息档案”，据称该档案将揭露联邦调查局内部的腐败行为。
“我决定给你最好的礼物——一份机密信息档案，供你个人使用，卡什·帕特尔先生，”博文写道。“一份指南、一份路线图和一些友好的建议。只有您才能访问，密码是有限的。这些信息是为了美国国家安全，为您提供如何找到真相的信息，我们的兄弟美国总统唐纳德·特朗普也想找到真相。”
作者将所谓的机密数据描述为“对抗谎言的关键，对抗虚假的良药”，然后要求帕特尔与其取得联系。
“请亲自联系我，我非常不愿意公布这些信息，因为这不仅会对FBI的声誉产生负面影响，还会破坏其结构，”作者补充道。“因为我真的希望您，尊敬的卡什·帕特尔，不仅是FBI的局长，而且也是FBI历史博物馆的馆长。让您讲述我们的故事——我们如何打败虚伪和腐败的FBI特工。”
这番言论似乎针对的是帕特尔去年的言论，当时他表示，他将“在第一天”关闭联邦调查局总部，并将其变成“深层政府博物馆”。
在博文最后，LockBit提供了联系方式——一串Tox的ID：3085B89A0C515D2FB124D645906F5D3DA5CB97CEBEA975959AE4F95302A04E1D14E41080A105，以便帕特尔与其联系。
LockBit称：“请亲自联系我，我非常不愿意发布这些信息，因为这不仅会对FBI的声誉产生负面影响，还会破坏它的结构。”
在该博文下面，LockBit勒索软件团伙已公开提供下载名为“personal_gift_for_new_director_FBI_Kash_Patel.7z”的文件，大小约2.06MB。由于该文件收到受密码保护，”暗网下/AWX“暂时看到其内容。
网络安全分析师Dominic Alvieri一直在追踪LockBit等勒索软件团伙，他表示，该团伙在美国和英国等国机构的国际联合执法行动后于2024年2月被瓦解，现在该团伙只不过是想引起关注，然后重建。
Alvieri表示：“目前LockBit提供的任何信息要么是公开数据，要么就是彻头彻尾的虚假声明。”目前还不清楚LockbBit拥有哪些机密数据，而帕特尔作为FBI局长似乎也无法访问这些数据。
LockBit长期以来一直是网络犯罪领域的主要参与者，采用勒索软件即服务 (RaaS) 模式运营，其中附属机构（通常是独立黑客）部署恶意软件以换取部分赎金。
近期，本站（anwangxia.com）获悉，中国台湾男子林逸松等三名电脑专家因涉嫌在暗网市场Genesis Market网站上非法贩卖台湾公民个人信息而被起诉。
台北地方法院审理后，于11月底进行了宣判，依违反个人资料保护法判处林逸松有期徒刑6个月，并处罚金8万元新台币。林逸松表示，他已向法院提出上诉。
此外，法官黄文昭依违反个人资料法，判处同案被告陈伟志有期徒刑5个月并处罚金5万元新台币，并判处虞修志有期徒刑6个月及有期徒刑3个月，6个月部分并处罚金5万元新台币，合并执行有期徒刑8个月，并处罚金5万元新台币。二者均可上诉。
去年6月份，台湾警方调查部分接到美国联邦调查局（FBI）情报，暗网网站“创世纪市场”（Genesis Market）上有人非法出售台湾公民个人信息，调查局的资安工作站接到线索后，深入追查发现，该暗网市场的注册用户除通过网络溯源防护技术隐藏真实身份外，还利用虚拟货币追踪防御技术制造资金流断点。
臭名昭著的暗网市场“创世纪市场”（Genesis Market）是专门贩售网站帐号权限的非法交易市场，提供注册用户以虚拟货币购买遭黑客窃取的登录凭证，包含密码、网络指纹（浏览器历史纪录、cookie、自动填充表数据、 IP位置等信息）；若购买“权限搜集资料库机器人”，搭配特定网络浏览器，即可使用外泄数据，模仿受害者的电脑，冒充合法用户，登录受害者的网上银行、电子邮件、购物平台、社群媒体，甚至可更改密码。
“暗网下/AWX”去年曾报道，2023年4月份，大型暗网市场Genesis Market被美国联邦调查局领导的国际执法机构查封，据此推断，FBI通报给台湾的情报应系查封网站后获得并分析暗网网站的后台得出。
台湾检调接获美方FBI通报的信息后，调查发现，“权限搜集资料库机器人”除了储存社群平台或商用平台（如Amazon、Microsoft、Facebook、Netflix、Paypal）等合法用户相关登录凭证外，也包含台湾公民的身份证编号、手机、各大网站登入帐号密码等个人资料信息，甚至包含台湾“政府机关”的存取权限，比如“科技部”、“劳动部劳发署”、“卫福部”、“疾管署”、“中央健保署”、“电子发票整合平台”等各政府网站，或591租赁、虾皮等各大购物网站的后台管理员帐号及密码。
经过取证和交叉比对，发现台湾的三名电脑专家林逸松、陈伟志、虞修志在暗网市场Genesis Market购买了一批台湾公民使用的社交平台或虾皮、露天等商业平台的账号密码、手机号码、身份证统一编码等数据资料，遂向台北地检署报案，检肃黑金专组检察官指挥侦办。
经调查发现，自2020年至2022年期间，林逸松在Genesis Market购买了11个“权限搜集资料库机器人”，陈伟志购买了18个，于秀芝购买了29个，三人利用购买的凭证登录相应网站浏览信息，造成对被入侵的政府机关、学校、购物平台用户的损害。
今年4月18日和7月2日，检察官指挥新北市调查处、台北市调查处和花莲县调查站分两波展开搜查，查获涉案人员相关主机和电磁记录等证物，同时约谈了林逸松、陈伟志、虞修志等3人到案。
台北地检署侦查后认为，三人涉及《个人资料保护法》及《刑法》规定的妨害计算机使用罪，依法提起公诉。
此外，林逸松的辩护律师杜佳燕，涉嫌利用陪同侦查之机，向同案犯泄漏侦查内容，而林逸松还涉及其他违反《个人资料法》的案件，检方正另案签发侦办。
美国联邦调查局周一宣布，经过国际联合执法调查，FBI已查封了名为Radar（又名Dispossessor）勒索软件团伙的服务器和网站。
此次联合行动由英国国家打击犯罪局、班贝格检察官办公室和巴伐利亚州刑事警察局（BLKA）合作开展。这对美国联邦调查局来说是一次罕见的胜利，它正在与全球执法机构一起努力遏制勒索软件日益严重的威胁。
美国联邦调查局俄亥俄州克利夫兰办事处发表声明称，执法部门查获了3台美国服务器、3台英国服务器、18台德国服务器、8个美国域名和1个德国域名，其中包括radar[.]tld、dispossessor[.]com、cybernewsint[.]com（虚假新闻网站）、cybertube[.]video（虚假视频网站）和dispossessor-cloud[.]com。目前访问这些网站，会显示一条来自执法部门的消息，内容为：“该网站已被查封。”
该勒索软件团伙的暗网泄密网站地址为：http://e27z5kd2rjsern2gpgukhcioysqlfquxgf7rxpvcwepxl4lfc736piyd.onion，经“暗网下/AWX”测试，目前也已无法访问。
自2023年8月成立以来，Radar/Dispossessor勒索软件团伙由名为“Brain”的头目领导，将目标锁定在世界各地各个行业的中小型企业，他们会利用受害公司系统的安全漏洞，窃取大量数据，并用加密技术扰乱公司数据。该团伙声称对美国、阿根廷、澳大利亚、比利时、巴西、洪都拉斯、印度、加拿大、克罗地亚、秘鲁、波兰、英国、阿拉伯联合酋长国和德国的数十家公司发动了攻击，其中FBI确定了至少43名受害者。
美国联邦调查局称，勒索软件团伙利用漏洞、弱密码以及账户缺乏多因素身份验证等手段入侵网络。在获得受害企业网络访问权限后，他们会窃取数据并部署勒索软件来加密公司的设备。
联邦调查局表示：“一旦犯罪分子获得系统访问权限，他们就会获得管理员权限并轻松访问文件。然后实际的勒索软件被用于加密。结果，这些公司无法再访问自己的数据，一旦公司受到攻击，如果他们没有联系犯罪分子，该团伙就会通过电子邮件或电话主动联系受害公司的其他人。这些电子邮件还包含之前被盗文件播放的视频平台链接。”这是敲诈勒索团伙常用的手段，被称为“双重敲诈”。
该网络犯罪团伙成立之初，以勒索软件团伙的身份进行活动，转载在LockBit勒索软件攻击期间窃取的旧数据，并声称自己是LockBit勒索软件团伙的附属机构。Radar/Dispossessor还转载了其他勒索软件行动的泄密信息，并试图在各种数据交易市场和黑客论坛（如BreachForums和XSS）上出售这些信息。
“Dispossessor最初宣布重新提供大约330名LockBit受害者的数据。据称这是以前可用的LockBit受害者的重新发布数据，现在托管在Dispossessor的网络上，因此不受LockBit可用性限制，”SentinelOne在4月份的一份报告中表示。
“Dispossessor似乎正在重新发布之前与其他勒索软件团伙相关的数据，例如Cl0p、Hunters International和8base。我们知道Dispossessor上列出的受害者至少有十几个之前也被其他团伙列出过。”
从2024年6月开始，威胁行为者开始利用泄露的LockBit 3.0加密器[VirusTotal]用于他们自己的加密攻击，大大扩大了他们的攻击范围。
“暗网下/AWX”看到，在过去的一年里，美国及其盟友的执法部门渗透、破坏和打击了ALPHV/Blackcat勒索软件团伙（一个部署LockerGoga、MegaCortex、HIVE和Dharma的勒索软件团伙）、Ragnar Locker勒索软件团伙、Hive勒索软件团伙以及LockBit勒索软件团伙，取得了多次重大胜利。然而，勒索软件攻击如同雨后春笋，在某些国家的庇护下，总是能够春风吹又生。