Nederlandse ShinyHunters-verdachte had Signal openstaan tijdens arrestatie

Dit meldt KrebsOnSecurity op basis van bronnen rond het onderzoek. De Nederlandse politie zou bij de aanhouding flitsgranaten hebben gebruikt om Van der Stap uit te schakelen terwijl hij in verschillende online accounts was ingelogd. Volgens bronnen vormden zijn berichten ook de sleutel tot een plan voor twee huurmoorden in het buitenland dat direct na zijn arrestatie aan het licht kwam. RTL meldde dat er aanwijzingen zijn dat Van der Stap daartoe opdracht gaf. Er is geen aanwijzing dat die opdrachten zijn uitgevoerd. 

Na zijn arrestatie nam een tiener uit Amman, bekend als Rey, de leiding over het ShinyHunters-merk over. De groep werd vanaf 2019 met tientallen datalekken in verband gebracht en werd eerst vooral bestuurd door Fransen. Volgens de FBI perste ShinyHunters dit jaar al meer dan 70 miljoen dollar af. Eind september hackte de groep de wervingssite van de FBI en dreigde zij persoonlijke gegevens van personeel te publiceren. Volgens Reuters werd Rey op 3 oktober door de Jordaanse autoriteiten aangehouden en werkt hij mee met de FBI.

Canadese topman aangehouden

Op 9 oktober meldde KrebsOnSecurity dat de FBI de 54-jarige Canadese beveiligingsmanager Edward Dubrovsky had aangehouden. Hij is volgens de rechtbankstukken aangeklaagd voor het dreigen met openbaarmaking van gestolen gegevens en voor afpersing die de handel tussen staten verstoort. Dubrovsky schreef een boek over omgaan met cyberafpersing waarin hij aanraadt altijd met hackers in gesprek te gaan. Volgens een bron toonden de Signal-berichten van Van der Stap dat hij en minstens één leidinggevende van een groot Amerikaans adviesbureau vaak contact hadden met de Nederlander en soms eerder dan de slachtoffers zelf wisten dat zij waren gehackt. Ook zou Dubrovsky hebben geweten dat ShinyHunters data van FBI-servers had buitgemaakt, zonder de dienst daarover te informeren voordat de groep op Twitter/X dreigde de personeelsdossiers te publiceren. Volgens Politico eist het openbaar ministerie dat hij tot het proces vastblijft zitten, en zijn stukken in de zaak onder zegel gehouden.

Het adviesbureau en de verdachte leidinggevende worden niet bij naam genoemd omdat er nog geen aanklacht is. Volgens twee bronnen vermoedt de FBI dat minstens één leidinggevende van dat bureau een actieve rol had in de website Shinywire, die van ongeveer 3 mei tot 16 oktober online stond. De site had pagina's voor bijna honderd gehackte organisaties, met voorbeelden van gestolen bestanden en de oproep om over betaling te onderhandelen. Wie na zeven dagen niet reageerde, kreeg te maken met publicatie van de data op een blog dat alleen via Tor bereikbaar is.

Financiële prikkels in de branche

Betalen aan afpersers is in de VS niet verboden, tenzij de groep op een sanctielijst staat, wat bij ShinyHunters niet het geval is. Bedrijven als Coveware en Unit 221B raden betaling af, omdat data die zogenaamd is vernietigd vaak wordt bewaard of doorverkocht. De FBI gaf op 15 mei een soortgelijke waarschuwing. Uit Telegram-gesprekken waarvan KrebsOnSecurity delen zag, blijkt dat ShinyHunters zich ergerde aan Coveware omdat dat de betalingsbereidheid zou drukken. Coveware wilde niet reageren. Mark Camillo van brancheorganisatie CyberAcuView wijst erop dat onderhandelaars die een percentage van het losgeld rekenen, er belang bij hebben dat het bedrag hoog uitvalt, en pleit voor meer transparantie. Het Amerikaanse ministerie van Justitie vervolgde de afgelopen maanden meerdere onderhandelaars: MonsterCloud-topman Zohar Pinhasi is aangeklaagd omdat hij klanten 19 miljoen dollar rekende terwijl hij naar verluidt in het geheim 8 miljoen aan hackers betaalde, en Angelo Martino kreeg in juli 70 maanden cel voor samenwerking met de BlackCat-groep.