Le autorità olandesi hanno arrestato un professionista della cybersecurity di 24 anni nell’ambito di un’indagine su ShinyHunters, l’operazione di hacking ed estorsione dati collegata a una serie di gravi violazioni.
La polizia ha confermato che un uomo di Amsterdam è stato arrestato all’inizio di settembre ed era previsto che comparga davanti al Tribunale Distrettuale di Rotterdam il 29 settembre. Le autorità non hanno ufficialmente reso il suo nome né fornito accuse dettagliate riguardo al suo sospetto ruolo in ShinyHunters.
Diverse segnalazioni hanno identificato l’uomo arrestato come Pepijn van der Stap, un ricercatore di sicurezza precedentemente condannato per crimini informatici prima di presentarsi pubblicamente come riformato. Il suo datore di lavoro, la società di cybersecurity con sede ad Amsterdam Neo Security, ha confermato separatamente la sua identità.
Van der Stap lavorava come responsabile della sicurezza offensiva di Neo Security. Il CEO dell’azienda Benjamin Korper ha dichiarato che gli investigatori forensi hanno visitato gli uffici dello studio il 15 settembre, la stessa notte in cui Van der Stap è stato arrestato.
La sua detenzione ha attirato ulteriore attenzione a causa della sua storia criminale. Nel 2023, Van der Stap è stato condannato per reati di hacking, furto di dati ed estorsione. In seguito si è allontanato pubblicamente dalla criminalità informatica e si è dedicato al lavoro professionale nella cybersecurity.
Neo Security ha commissionato un’indagine indipendente per determinare se la propria infrastruttura o i propri clienti siano stati colpiti da attività non autorizzate. Secondo Korper, gli investigatori finora non hanno trovato prove che Van der Stap abbia preso di mira l’azienda o i suoi clienti.
L’arresto avviene mentre le autorità olandesi indagano su gravi violazioni attribuite a ShinyHunters. Uno dei più significativi ha coinvolto il fornitore di telecomunicazioni Odido, dove gli aggressori hanno ottenuto informazioni appartenenti a oltre sei milioni di clienti.
La polizia olandese aveva precedentemente rivelato che l’intrusione di Odido era iniziata con ingegneria sociale. Un aggressore di lingua olandese si è impersonato come dipendente IT durante una chiamata con il servizio clienti e ha indirizzato un dipendente a una pagina di login falsa. L’aggressore ha ottenuto sia le credenziali di accesso sia un codice di verifica, fornendo l’accesso ai sistemi interni.
ShinyHunters ha negato che Van der Stap abbia qualsiasi legame con il gruppo. Questa negazione non è stata dimostrata in modo indipendente, mentre finora le autorità olandesi hanno rilasciato pochi dettagli sulle prove dietro l’arresto.
Il tempismo coincide anche con un’intensa vigilanza su ShinyHunters a seguito della presunta compromessa dell’ambiente di reclutamento dell’FBI e del presunto furto di informazioni sensibili sul personale. Tuttavia, le autorità non hanno stabilito pubblicamente che Van der Stap abbia partecipato personalmente all’incidente dell’FBI.