Een vermoedelijk sleutellid van de Qilin-ransomwaregroep is uitgeleverd uit Japan aan Duitsland na een internationaal onderzoek naar cyberaanvallen op bedrijven. De 28-jarige Russische staatsburger werd vastgehouden tijdens een bezoek aan Japan en bevindt zich nu in Duitse hechtenis vanwege beschuldigingen van cybercriminaliteit en afpersing.
De Japanse autoriteiten arresteerden de verdachte in mei 2026 in een hotel in Osaka na informatie van Duitse onderzoekers. Na juridische procedures gaf het Hooggerechtshof van Tokio toestemming voor zijn uitlevering en werd hij op 2 oktober overgedragen aan Duitsland.
Onderzoekers denken dat de man een belangrijke rol speelde in Qilins operaties, met name bij het ontwikkelen en onderhouden van de infrastructuur die werd gebruikt voor ransomware-aanvallen. Berichten suggereren ook dat hij een deel van het geld ontving dat van slachtoffers werd geïnd.
Het Duitse onderzoek richt zich op een cyberaanval in september 2024 op een niet nader genoemde logistiek bedrijf. Volgens onderzoekers kregen de aanvallers toegang tot de computersystemen van het bedrijf, stalen informatie en versleutelde bestanden voordat ze ongeveer $165.000 aan cryptocurrency eisten.
De criminelen dreigden naar verluidt de gestolen informatie te publiceren als aan hun eisen werd voldaan. Deze methode, algemeen bekend als dubbele afpersing, legt extra druk op slachtoffers door systeemverstoring te combineren met de mogelijkheid van een datalek.
Qilin, ook bekend als Agenda, is actief sinds 2022 en wordt beschouwd als een van de meest actieve ransomwaregroepen. Het volgt een ransomware-as-a-service-model en levert kwaadaardige software en aanvalsinfrastructuur aan filialen die inbreken en hun opbrengsten delen met de exploitanten.
De groep is in verband gebracht met grote incidenten wereldwijd, waaronder de aanval in 2024 op pathologiedienstverlener Synnovis, die de gezondheidszorg in Londense ziekenhuizen verstoorde. Qilin nam ook de verantwoordelijkheid op zich voor een cyberaanval in 2025 op het Japanse drankbedrijf Asahi Group Holdings.
De Japanse politie zegt dat Qilin sinds de start van zijn activiteiten ongeveer 4.000 organisaties wereldwijd heeft getroffen. De doelwitten waren onder andere bedrijven, ziekenhuizen, scholen en overheidsgerelateerde organisaties.
De arrestatie van de verdachte volgde op samenwerking tussen Duitse autoriteiten en verschillende Japanse wetshandhavingsinstanties. Onderzoekers identificeerden zijn geplande bezoek aan Japan en coördineerden de inspanningen om hem te vinden voordat de arrestatie werd uitgevoerd.
De uitlevering vormt een belangrijke ontwikkeling in internationale inspanningen om ransomware-operators over nationale grenzen heen te vervolgen. De autoriteiten hebben echter niet aangekondigd dat de bredere infrastructuur van Qilin is ontmanteld.
De verdachte blijft beschuldigd in plaats van veroordeeld, en zijn precieze betrokkenheid bij individuele aanvallen zal via juridische procedures moeten worden vastgesteld. Ondertussen blijft Qilin een bedreiging vormen voor organisaties wereldwijd.