Le autorità olandesi hanno fermato un uomo di 24 anni sospettato di aver assistito il gruppo di hacker ShinyHunters in attività di furto di dati ed estorsione, secondo notizie che citano persone a conoscenza dell'indagine. Il sospettato è stato identificato da tali fonti come Pepijn van der Stap, cittadino olandese già condannato per distinti reati di cybercriminalità.
Van der Stap è stato condannato nel 2023 in relazione a una serie di violazioni dei dati e campagne di estorsione che, secondo i pubblici ministeri, hanno generato tra 1,5 e 2,7 milioni di euro. Ha ammesso di aver usato l'alias online “Umbreon” mentre vendeva o minacciava di pubblicare informazioni rubate su forum di cybercriminalità. Ha ricevuto una condanna a quattro anni, di cui uno con sospensione condizionale, ed è stato rilasciato nel dicembre 2025.
Prima della precedente condanna, van der Stap aveva lavorato nel software e partecipato ad attività di divulgazione delle vulnerabilità. All'inizio di questo mese, ha dichiarato pubblicamente di voler ricostruire la propria vita e affrontare le richieste di risarcimento pendenti delle precedenti vittime. Secondo quanto riportato, poco dopo ha smesso di rispondere ai messaggi. La polizia olandese non ha confermato pubblicamente la sua identità, il fermo riportato o la portata di eventuali accuse.
Il caso di ingegneria sociale ai danni di Odido
Il presunto arresto segue un appello della polizia olandese per ottenere assistenza nell'identificazione di un chiamante di lingua olandese collegato a un'intrusione del febbraio 2026 presso il fornitore di telecomunicazioni Odido. Gli investigatori hanno affermato che l'aggressore ha usato tecniche di ingegneria sociale per convincere un dipendente ad autenticarsi su un sito web fraudolento, consentendo il furto di dati relativi a oltre 6,2 milioni di persone.
ShinyHunters ha affermato che la persona ascoltata nella registrazione era uno dei suoi membri e ha dichiarato di stare organizzando assistenza legale. Il gruppo ha inoltre minacciato ulteriori attacchi contro organizzazioni nei Paesi Bassi. Non è ancora chiaro se la polizia abbia identificato il chiamante.
Campagna più ampia contro gli utenti PeopleSoft
Nei giorni successivi al fermo riportato, ShinyHunters ha rivendicato la responsabilità di una violazione di un sito web dell'FBI dedicato all'impiego. Secondo notizie dei media, i dati rubati includevano informazioni personali, lavorative, mediche e psichiatriche relative a migliaia di persone. L'FBI ha riconosciuto un incidente informatico, ma ha diffuso pochi dettagli.
I ricercatori di sicurezza di Mandiant e del Google Threat Intelligence Group hanno affermato che ShinyHunters aveva sfruttato CVE-2026-35273, una vulnerabilità Oracle PeopleSoft corretta di recente, contro organizzazioni di diversi settori. Oracle ha rilasciato un aggiornamento, mentre i ricercatori hanno avvertito che una tecnica di codifica potrebbe aggirare alcune mitigazioni pubblicate per i web application firewall. Le organizzazioni che utilizzano implementazioni PeopleSoft interessate dovrebbero applicare le patch del fornitore, esaminare i sistemi esposti e investigare sulle attività di accesso sospette.