Nederlandse autoriteiten hebben een 24-jarige cybersecurityprofessional gearresteerd als onderdeel van een onderzoek naar ShinyHunters, de hack- en dataafpersingsoperatie die in verband wordt gebracht met een reeks grote datalekken.
De politie bevestigde dat een man uit Amsterdam eerder in september was aangehouden en op 29 september voor de Rotterdamse Districtsrechtbank zou verschijnen. De autoriteiten hebben zijn naam niet officieel vrijgegeven of gedetailleerde beschuldigingen verstrekt over zijn vermoedelijke rol in ShinyHunters.
Meerdere rapporten hebben de gearresteerde man geïdentificeerd als Pepijn van der Stap, een beveiligingsonderzoeker die eerder was veroordeeld voor cybercriminaliteit voordat hij zich publiekelijk als hervormd presenteerde. Zijn werkgever, het in Amsterdam gevestigde cyberbeveiligingsbedrijf Neo Security, bevestigde afzonderlijk zijn identiteit.
Van der Stap werkte als offensieve beveiligingsleider van Neo Security. CEO van het bedrijf, Benjamin Korper, zei dat forensische onderzoekers op 15 september de kantoren van het bedrijf bezochten, dezelfde nacht dat Van der Stap werd gearresteerd.
Zijn detentie heeft extra aandacht gekregen vanwege zijn strafblad. In 2023 werd Van der Stap veroordeeld voor hacken, datadiefstal en afpersing. Later distantieerde hij zich publiekelijk van cybercriminaliteit en stapte over naar professioneel cybersecuritywerk.
Neo Security heeft een onafhankelijk onderzoek laten uitvoeren om te bepalen of de eigen infrastructuur of klanten zijn getroffen door ongeautoriseerde activiteiten. Volgens Korper hebben onderzoekers tot nu toe geen bewijs gevonden dat Van der Stap het bedrijf of zijn klanten als doelwit heeft gehad.
De arrestatie vindt plaats terwijl Nederlandse autoriteiten grote datalekken onderzoeken die aan ShinyHunters worden toegeschreven. Een van de belangrijkste betrokken telecomaanbieders is Odido, waar aanvallers informatie verkregen van meer dan zes miljoen klanten.
De Nederlandse politie had eerder bekendgemaakt dat de Odido-inbraak begon met social engineering. Een Nederlandstalige aanvaller deed zich voor als IT-medewerker tijdens een gesprek met de klantenservice en verwees een medewerker naar een nep-inlogpagina. De aanvaller verkreeg zowel inloggegevens als een verificatiecode, waarmee toegang werd tot interne systemen.
ShinyHunters heeft ontkend dat Van der Stap enige connectie met de groep heeft. Die ontkenning is niet onafhankelijk vastgesteld, terwijl de Nederlandse autoriteiten tot nu toe weinig details hebben vrijgegeven over het bewijs achter de arrestatie.
De timing overlapt ook met intense controle van ShinyHunters na de vermeende compromittering van de wervingsomgeving van de FBI en de vermeende diefstal van gevoelige personeelsinformatie. De autoriteiten hebben echter niet publiekelijk vastgesteld dat Van der Stap persoonlijk deelnam aan het FBI-incident.