Las autoridades neerlandesas han detenido a un hombre de 24 años sospechoso de ayudar al grupo de hackers ShinyHunters en actividades de robo de datos y extorsión, según informes que citan a personas familiarizadas con la investigación. El sospechoso fue identificado por esas fuentes como Pepijn van der Stap, un ciudadano neerlandés condenado previamente por delitos de ciberdelincuencia independientes.
Van der Stap fue condenado en 2023 en relación con una serie de filtraciones de datos y campañas de extorsión que, según los fiscales, generaron entre 1,5 y 2,7 millones de euros. Admitió haber utilizado el alias en línea «Umbreon» mientras vendía o amenazaba con divulgar información robada en foros de ciberdelincuencia. Recibió una condena de cuatro años, con un año de suspensión, y fue liberado en diciembre de 2025.
Antes de su condena anterior, van der Stap había trabajado en desarrollo de software y participado en actividades de divulgación de vulnerabilidades. A principios de este mes, se describió públicamente como alguien que buscaba reconstruir su vida y resolver las reclamaciones pendientes de víctimas anteriores. Según los informes, poco después dejó de responder a los mensajes. La policía neerlandesa no ha confirmado públicamente su identidad, la detención reportada ni el alcance de las acusaciones.
Caso de ingeniería social contra Odido
El arresto reportado se produce tras un llamamiento de la policía neerlandesa para obtener ayuda en la identificación de una persona que hablaba neerlandés y que estaba vinculada a una intrusión de febrero de 2026 contra el proveedor de telecomunicaciones Odido. Los investigadores afirmaron que el atacante utilizó ingeniería social para persuadir a un empleado de autenticarse en un sitio web fraudulento, lo que permitió el robo de datos de más de 6,2 millones de personas.
ShinyHunters ha declarado que la persona que se escucha en la grabación era uno de sus miembros y afirmó estar organizando apoyo legal. El grupo también emitió amenazas de nuevos ataques contra organizaciones en los Países Bajos. Sigue sin estar claro si la policía ha identificado a la persona que llamó.
Campaña más amplia contra usuarios de PeopleSoft
En los días posteriores a la detención reportada, ShinyHunters se atribuyó la responsabilidad de una brecha en un sitio web de empleo del FBI. Informes de medios indicaron que los registros robados incluían información personal, laboral, médica y psiquiátrica relacionada con miles de personas. El FBI reconoció un incidente cibernético, pero divulgó pocos detalles.
Investigadores de seguridad de Mandiant y Google Threat Intelligence Group afirmaron que ShinyHunters había explotado CVE-2026-35273, una vulnerabilidad de Oracle PeopleSoft corregida recientemente, contra organizaciones de múltiples sectores. Oracle publicó una actualización, mientras que los investigadores advirtieron que una técnica de codificación podría eludir algunas de las mitigaciones publicadas para firewalls de aplicaciones web. Las organizaciones que utilizan implementaciones afectadas de PeopleSoft deben aplicar los parches del proveedor, revisar los sistemas expuestos e investigar actividades de acceso sospechosas.