Niederländische Behörden haben laut Berichten, die sich auf mit den Ermittlungen vertraute Personen berufen, einen 24-jährigen Mann festgenommen, der verdächtigt wird, die Hackergruppe ShinyHunters bei Datendiebstahl und Erpressungsaktivitäten unterstützt zu haben. Die Quellen identifizierten den Verdächtigen als Pepijn van der Stap, einen niederländischen Staatsbürger, der zuvor wegen anderer Cybercrime-Delikte verurteilt worden war.
Van der Stap wurde 2023 im Zusammenhang mit einer Reihe von Datenschutzverletzungen und Erpressungskampagnen verurteilt, die nach Angaben der Staatsanwaltschaft zwischen 1,5 Millionen und 2,7 Millionen Euro einbrachten. Er räumte ein, beim Verkauf gestohlener Informationen oder bei der Drohung, diese auf Cybercrime-Foren zu veröffentlichen, das Online-Pseudonym „Umbreon“ verwendet zu haben. Er erhielt eine vierjährige Haftstrafe, davon ein Jahr auf Bewährung, und wurde im Dezember 2025 entlassen.
Vor seiner früheren Verurteilung hatte van der Stap im Softwarebereich gearbeitet und sich an Aktivitäten zur Offenlegung von Schwachstellen beteiligt. Anfang dieses Monats erklärte er öffentlich, er wolle sein Leben neu aufbauen und noch offene Forderungen früherer Opfer begleichen. Berichten zufolge reagierte er kurz darauf nicht mehr auf Nachrichten. Die niederländische Polizei hat weder seine Identität noch die gemeldete Festnahme oder den Umfang möglicher Vorwürfe öffentlich bestätigt.
Social-Engineering-Fall bei Odido
Die gemeldete Festnahme folgt auf einen Aufruf der niederländischen Polizei, bei der Identifizierung eines niederländischsprachigen Anrufers zu helfen, der mit einem Einbruch beim Telekommunikationsanbieter Odido im Februar 2026 in Verbindung gebracht wird. Ermittler erklärten, der Angreifer habe Social Engineering eingesetzt, um einen Mitarbeiter dazu zu bewegen, sich auf einer betrügerischen Website zu authentifizieren, wodurch Daten von mehr als 6,2 Millionen Menschen gestohlen werden konnten.
ShinyHunters erklärte, die in der Aufzeichnung zu hörende Person sei eines seiner Mitglieder, und behauptete, rechtliche Unterstützung zu organisieren. Die Gruppe drohte zudem mit weiteren Angriffen auf Organisationen in den Niederlanden. Ob die Polizei den Anrufer identifiziert hat, ist weiterhin unklar.
Breitere Kampagne gegen PeopleSoft-Nutzer
In den Tagen nach der gemeldeten Festnahme übernahm ShinyHunters die Verantwortung für einen Angriff auf eine FBI-Website für Stellenbewerbungen. Medienberichten zufolge enthielten die gestohlenen Datensätze persönliche Informationen sowie Beschäftigungs-, medizinische und psychiatrische Daten zu Tausenden von Menschen. Das FBI bestätigte einen Cybervorfall, veröffentlichte jedoch nur wenige Details.
Sicherheitsforscher von Mandiant und der Google Threat Intelligence Group erklärten, ShinyHunters habe CVE-2026-35273, eine kürzlich gepatchte Oracle-PeopleSoft-Schwachstelle, gegen Organisationen in mehreren Branchen ausgenutzt. Oracle veröffentlichte ein Update, während Forscher warnten, dass eine Kodierungstechnik einige veröffentlichte Maßnahmen zur Umgehung von Web Application Firewalls umgehen könne. Organisationen mit betroffenen PeopleSoft-Implementierungen sollten Hersteller-Patches einspielen, exponierte Systeme überprüfen und verdächtige Zugriffsaktivitäten untersuchen.