Las autoridades holandesas han arrestado a un profesional de ciberseguridad de 24 años como parte de una investigación sobre ShinyHunters, la operación de hackeo y extorsión de datos vinculada a una serie de graves brechas.
La policía confirmó que un hombre de Ámsterdam fue detenido a principios de septiembre y estaba programado para comparecer ante el Tribunal de Distrito de Róterdam el 29 de septiembre. Las autoridades no han hecho públicas oficialmente su nombre ni han proporcionado acusaciones detalladas sobre su presunto papel en ShinyHunters.
Varios informes han identificado al arrestado como Pepijn van der Stap, un investigador de seguridad que había sido condenado previamente por ciberdelitos antes de presentarse públicamente como reformado. Su empleador, la empresa de ciberseguridad Neo Security con sede en Ámsterdam, confirmó su identidad por separado.
Van der Stap trabajaba como responsable de seguridad ofensiva de Neo Security. El CEO de la empresa, Benjamin Korper, dijo que los investigadores forenses visitaron las oficinas de la empresa el 15 de septiembre, la misma noche en que Van der Stap fue arrestado.
Su detención ha atraído más atención debido a su historial criminal. En 2023, Van der Stap fue condenado por hackeo, robo de datos y delitos de extorsión. Posteriormente se distanció públicamente del cibercrimen y pasó a trabajar profesionalmente en ciberseguridad.
Neo Security ha encargado una investigación independiente para determinar si su propia infraestructura o clientes se vieron afectados por alguna actividad no autorizada. Según Korper, los investigadores hasta ahora no han encontrado pruebas de que Van der Stap atacara a la empresa o a sus clientes.
El arresto se produce mientras las autoridades holandesas investigan graves brechas atribuidas a ShinyHunters. Uno de los más significativos involucró al proveedor de telecomunicaciones Odido, donde atacantes obtuvieron información de más de seis millones de clientes.
La policía neerlandesa ya había revelado que la intrusión en Odido comenzó con ingeniería social. Un atacante de habla neerlandesa se hizo pasar por empleado de TI durante una llamada con atención al cliente y dirigió a un empleado a una página de inicio de sesión falsa. El atacante obtuvo tanto las credenciales de acceso como un código de verificación, proporcionando acceso a los sistemas internos.
ShinyHunters ha negado que Van der Stap tenga alguna relación con el grupo. Esa negación no se ha demostrado de forma independiente, mientras que las autoridades holandesas hasta ahora han dado pocos detalles sobre las pruebas detrás del arresto.
El momento también coincide con un intenso escrutinio sobre ShinyHunters tras su supuesto compromiso del entorno de reclutamiento del FBI y el presunto robo de información sensible del personal. Sin embargo, las autoridades no han establecido públicamente que Van der Stap participara personalmente en el incidente del FBI.