De cybercriminele groep ShinyHunters heeft de verantwoordelijkheid opgeëist voor een mogelijke datalek met het online leerplatform Udemy, en beweert dat zij meer dan 1,4 miljoen gegevens met gevoelige informatie heeft verkregen. De claim is nog steeds niet geverifieerd en er is geen officiële bevestiging door het bedrijf afgegeven.
Volgens het dreigingsbericht dat op de dark web-leksite van de groep werd gepubliceerd, zeggen de aanvallers dat ze persoonlijk identificeerbare informatie samen met interne bedrijfsgegevens hebben geëxfiltrerd. De groep stelde een ultimatum “pay or leak” en waarschuwde dat de gegevens openbaar gemaakt kunnen worden als aan de eisen niet binnen een gestelde deadline wordt voldaan.
Het bericht, geplaatst op 24 april 2026, bevat een deadline van 27 april voor Udemy om te reageren. De dreiging volgt een patroon dat vaak wordt geassocieerd met ShinyHunters, dat een reputatie heeft opgebouwd rond afpersingscampagnes gericht op grote organisaties.
Ten tijde van de claim had de groep geen ondersteunend bewijs geleverd, zoals datasamples of screenshots die doorgaans zouden helpen om het lek te valideren. Het ontbreken van bewijs laat onzekerheid bestaan over de omvang en legitimiteit van het incident, hoewel soortgelijke beweringen van de groep in het verleden soms voorafgingen aan bevestigde onthullingen.
ShinyHunters staat bekend om het targeten van SaaS-platforms en grote ondernemingen, waarbij vaak datadiefstal wordt gecombineerd met afpersingstactieken. De groep heeft eerder verantwoordelijkheid opgeëist voor datalekken die grote organisaties treffen en is in verband gebracht met incidenten waarbij miljoenen blootgestelde records in meerdere sectoren betrokken zijn.
Het vermeende Udemy-incident weerspiegelt een bredere trend in cybercrime-operaties, waarbij aanvallers data-exfiltratie boven systeemverstoring stellen. Door zich te richten op gevoelige datasets zoals gebruikersinformatie en interne documenten, kunnen dreigingsactoren reputatieschade en regelgevingsrisico benutten om organisaties onder druk te zetten losgeld te betalen.
Als dit wordt bevestigd, kan het lek gevolgen hebben voor de wereldwijde gebruikersbasis van Udemy, die miljoenen leerlingen en docenten omvat. Blootstelling van persoonlijke gegevens kan het risico op phishingaanvallen, identiteitsdiefstal en andere vormen van gerichte fraude vergroten.
Op dit moment bevindt de situatie zich nog in de claimfase, zonder onafhankelijke verificatie of gedetailleerde technische analyse. Beveiligingsexperts adviseren doorgaans voorzichtigheid bij het interpreteren van dergelijke aankondigingen totdat aanvullend bewijs of officiële verklaringen de omvang en impact van de vermeende inbreuk bevestigen.