Arresto executive incident response: il caso Dubrovsky e il…

Edward Dubrovsky, ex COO di Cypfer e associato a CyberSteward, arrestato dall'FBI per cospirazione estorsiva con ShinyHunters. Il caso solleva interrogativi

L'FBI ha arrestato Edward Dubrovsky, 54enne dirigente canadese dell'incident response, l'8 ottobre 2026 a Philadelphia mentre partecipava al Cyber Risk Summit. L'accusa è cospirazione per estorsione in relazione alla violazione del portale lavorativo dell'FBI da parte del gruppo ShinyHunters.

Dubrovsky è un professionista pubblicato, autore di Cyber Extortion Strategic Response (settembre 2026), ex COO di Cypfer e associato a CyberSteward, società canadese specializzata in negoziazione ransomware. Il suo ruolo preciso nell'operazione ShinyHunters non è stato chiarito dalle autorità.

Punti chiave

Edward Dubrovsky, 54 anni, arrestato l'8 ottobre 2026 a Philadelphia durante il Cyber Risk Summit; il caso è stato trasferito nel Texas orientale
È accusato di cospirazione per minacciare la riservatezza di informazioni al fine di estorcere denaro e di interferenza col commercio mediante minacce, secondo i documenti del tribunale
Il portale lavorativo dell'FBI è stato violato tramite CVE-2026-35273, vulnerabilità in Oracle PeopleSoft Enterprise PeopleTools, con bypass del WAF attraverso codifica URL di un singolo carattere
L'FBI ha rimosso un appaltatore Accenture per non aver applicato la patch di sicurezza rilasciata per proteggere la piattaforma
ShinyHunters ha violato oltre 140 organizzazioni dal 2025, estorcendo circa 70 milioni di dollari secondo il capo della FBI Cyber Division Brett Leatherman

Numero chiave: 140+ organizzazioni violate da ShinyHunters dal 2025, con 70 milioni di dollari estorti — dati FBI.

La tecnica del bypass: un singolo carattere

Il nucleo tecnico dell'attacco all'FBI è sorprendentemente elementare. Gli aggressori hanno sfruttato CVE-2026-35273, vulnerabilità in Oracle PeopleSoft Enterprise PeopleTools. Il bypass del Web Application Firewall è avvenuto codificando in URL un solo carattere del percorso della richiesta, permettendo il passaggio di payload dannosi.

La falla non è nel WAF in sé, ma nella combinazione di un'applicazione enterprise non corretta con un monitoraggio insufficiente a compensare la mancanza del fix. Un appaltatore Accenture, incaricato della manutenzione del portale PeopleSoft dell'FBI, non ha applicato l'aggiornamento "esplicitamente rilasciato per proteggere la piattaforma", come ha dichiarato Brett Leatherman. L'FBI ha "rimosso il contraente". I documenti pubblici non chiariscano se si tratti di licenziamento o rescissione contrattuale.

L'esposizione ha riguardato dati di personale con incarichi su Cina e Russia, tra cui ruoli lavorativi, specializzazioni e record medici/psichiatrici, secondo fonti citate da CNN che hanno avuto accesso ai dati.

L'arresto al summit: cronaca di una cattura

Dubrovsky è stato arrestato al Loews Philadelphia Hotel, sede del Cyber Risk Summit. Un mese prima, su LinkedIn, aveva postato l'entusiasmo per "servizi di advisory, negoziazione e settlement veramente agnostici a livello globale".

Il trasferimento rapido del caso nel Texas orientale indica la centralità di questa giurisdizione nell'indagine su ShinyHunters. È lo stesso distretto degli arresti di Pepijn Van der Stap (Paesi Bassi, settembre 2026) e di Saif al-Din Khader, noto come "Rey", arrestato in Giordania e ora cooperante. Rey aveva assunto il controllo del gruppo dopo la cattura di Van der Stap.

Il direttore dell'FBI Kash Patel ha annunciato l'arresto su X il 9 ottobre senza nominare Dubrovsky, riferendosi a un "presunto cospiratore". Leatherman ha aggiunto: "Gli arresti hanno il potere di cambiare chi è disposto a parlare".

Cypfer e CyberSteward: le reazioni aziendali

Cypfer, attraverso un portavoce, ha chiarito a KrebsOnSecurity che Dubrovsky era managing director, non fondatore, e che il suo mandato è terminato a novembre 2025 (non gennaio 2026 come indicato su LinkedIn). L'azienda non ha commentato la natura del rapporto con l'ex dirigente.

CyberSteward, l'altra società associata a Dubrovsky, non ha rilasciato dichiarazioni pubbliche al momento della stesura. Il libro di Dubrovsky, pubblicato poco prima dell'arresto, sosteneva che "comunicare con un criminale non è uguale a negoziare un pagamento, e negoziare non è un impegno a pagare".

Cosa cambia

Il caso solleva interrogativi sul confine tra l'industria della negoziazione ransomware e i gruppi criminali con cui questa industria comunica. Le società di incident response specializzate in estorsioni gestiscono dati delle vittime e stabiliscono linee di comunicazione con attori della minaccia. Se un operatore del settore è simultaneamente cospiratore con gli stessi gruppi, la distinzione tra servizio legittimo e complicità criminale si indebolisce.

Alcune osservazioni emergono dai fatti documentati, con il necessario condizionale:

Se confermata la cospirazione, il caso mostrerebbe che la promessa di "neutralità assoluta" dell'industria della negoziazione può essere messa in discussione dalle autorità federali
La gestione outsorcing della sicurezza dell'FBI, con un singolo appaltatore responsabile di un'omissione critica, suggerisce vulnerabilità strutturali nella catena di approvvigionamento cyber
L'arresto di un professionista visibile del settore potrebbe incidere sulla fiducia delle vittime nei confronti dei negoziatori, sebbene l'impatto effettivo dipenda dall'esito del processo

Limiti delle fonti e incognite

Questa ricostruzione si basa principalmente su Security Boulevard e KrebsOnSecurity, con integrazioni da CNN e Daily.dev. Le fonti primarie strutturate sono limitate: un'unica fonte con dettagli tecnici completi (Security Boulevard) e un'indagine di KrebsOnSecurity con riferimento a registrazioni giudiziarie su CourtListener e al BOP Inmate Locator.

Elementi non chiariti dalle fonti disponibili:

Il ruolo preciso di Dubrovsky nell'operazione ShinyHunters — le autorità non hanno specificato se fosse partecipante attivo, facilitatore o altra capacità
Eventuali accuse aggiuntive oltre alla cospirazione per estorsione
L'entità effettiva dei dati esfiltrati rispetto a quanto rivendicato dal gruppo
La presenza o meno di un avvocato difensore (KrebsOnSecurity ha riportato che non risultava nominato al 12 ottobre)

Il volume di 2-3 terabyte rivendicato da ShinyHunters è una dichiarazione del gruppo, non confermata dall'FBI.

Chiusura

Il caso Dubrovsky non è, sulla base dei fatti attualmente verificati, una storia di infiltrazione di un criminale nel mondo della sicurezza. È piuttosto l'arresto di un executive di incident response come co-conspirator di un gruppo criminale, con un ruolo che le autorità non hanno ancora definito. La distinzione è rilevante: non descrive un sistema di sicurezza penetrato dall'esterno, ma un settore professionale i cui confini con l'attività criminale appaiono, in questo caso, sfumati.

Come ha dichiarato Brett Leatherman: "Gli arresti hanno il potere di cambiare chi è disposto a parlare". L'indagine continua.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter