Een Kosovaarse staatsburger die hielp bij het exploiteren van de Rydox cybercrime-marktplaats heeft in de Verenigde Staten schuldig bekend aan aanklachten in verband met het verkopen van gestolen persoonlijke informatie en tools die worden gebruikt voor online fraude.
Ardit Kutleshi, 28, pleitte op 22 september schuldig in de federale rechtbank in Pennsylvania. Hij gaf toe aan zware identiteitsdiefstal en samenzwering tot witwassen van geld, waarmee een ander belangrijk deel van de zaak tegen de Rydox-operatie dichter bij voltooiing kwam.
Rydox was sinds minstens 2016 actief en diende als een online marktplaats waar criminelen gestolen persoonlijk identificeerbare informatie, gecompromitteerde toegangsapparaten en andere middelen voor fraude en cybercriminaliteit konden kopen. Volgens gerechtelijke documenten heeft het platform meer dan 7.600 transacties afgerond en minstens $232.000 aan omzet gegenereerd tijdens de exploitatie.
De marktplaats bevatte persoonlijke informatie die van slachtoffers in de Verenigde Staten was gestolen. Door zowel gestolen identiteiten als hulpmiddelen te bieden die bij aanvullende misdrijven konden worden gebruikt, creëerde Rydox een infrastructuur waarmee klanten materiaal konden verkrijgen dat nodig was voor identiteitsdiefstal en andere vormen van online fraude.
Kutleshi exploiteerde de dienst samen met zijn broer, Jetmir Kutleshi. Jetmir pleitte eerder schuldig en werd in december 2025 veroordeeld voordat hij werd gedeporteerd naar Kosovo.
De politie begon in december 2024 met het ontmantelen van de marktplaats. De autoriteiten in Kosovo arresteerden Ardit Kutleshi die maand, terwijl Amerikaanse autoriteiten een gerechtelijk bevel verkregen om het domein van de Rydox.cc in beslag te nemen. Het overnemen van de controle over het domein voorkwam dat operators en klanten de website bleven gebruiken om gestolen informatie en cybercriminaliteitsproducten te verhandelen.
Kutleshi werd vervolgens in 2025 uitgeleverd uit Kosovo aan de Verenigde Staten. Het onderzoek betrof de FBI evenals wetshandhavings- en gerechtelijke autoriteiten in Kosovo, Albanië en Maleisië, waarmee het internationale karakter van de operatie en de inspanningen die nodig waren om de beheerders te vervolgen werden benadrukt.
Hij riskeert nu een aanzienlijke gevangenisstraf. Verzwaarde identiteitsdiefstal heeft een verplichte minimumstraf van twee jaar, terwijl de aanklacht wegens witwassen een maximale straf van 20 jaar oplevert.
Kutleshi staat gepland om op 9 februari 2027 te worden veroordeeld. De definitieve straf zal worden bepaald door een federale rechter, na overweging van de Amerikaanse strafrichtlijnen en andere wettelijke factoren.