Nizozemská policie zatkla muže podezřelého z působení v ShinyHunters

Jeden z nejvýraznějších kyberzločineckých příběhů posledních týdnů má novou evropskou stopu. Nizozemská policie zatkla 24letého muže z Amsterdamu, kterého podezírá z role uvnitř skupiny ShinyHunters. Samotní ShinyHunters ale jeho spojení se skupinou popírají.

Nizozemská policie 29. září oficiálně oznámila, že už 15. září zatkla 24letého muže z Amsterdamu. Podle policie je podezřelý, že hrál roli uvnitř hackerské skupiny ShinyHunters.

Při zásahu policisté zabavili několik datových nosičů, které nyní analyzují. Vyšetřování pokračuje a policie výslovně uvedla, že nevylučuje další zatčení.

Rotterdamský soud navíc 29. září rozhodl, že muž zůstane ve vazbě nejméně dalších 90 dní.

Policie jméno neřekla. Jeho zaměstnavatel ano

Nizozemská policie identitu zadrženého veřejně neuvedla. Několik zdrojů obeznámených s vyšetřováním ale novináři Brianu Krebsovi řeklo, že jde o Pepijna van der Stapa, v hackerské komunitě dříve známého pod přezdívkou Umbreon.

Identitu následně agentuře Reuters potvrdil také Benjamin Korper, šéf společnosti Neo Security, kde Van der Stap pracoval jako vedoucí offensive security.

Nejde přitom o člověka, který by byl nizozemským vyšetřovatelům neznámý.

V roce 2023 byl Van der Stap odsouzen za rozsáhlou kyberkriminalitu. Soud jej uznal vinným mimo jiné z neoprávněných průniků do počítačových systémů, vydírání, nakládání s neveřejnými daty a praní peněz. Dostal čtyři roky vězení, z toho jeden rok podmíněně.

V prosinci 2025 byl propuštěn a následně se vrátil do kyberbezpečnostního prostředí. Ještě 9. září letošního roku v rozhovoru pro KrebsOnSecurity vystupoval jako bývalý hacker, který se snaží svou minulost napravit.

O šest dní později jej policie zatkla.

Umbreon se objevil i u údajného útoku na FBI

Právě přezdívka Umbreon přidává případu další zajímavou vrstvu.

Van der Stap tuto identitu v minulosti používal při své kyberkriminální činnosti. Stejný Pokémon se ale v posledních týdnech výrazně objevoval také v materiálech ShinyHunters.

Když skupina oznámila údajný průnik do infrastruktury související s náborovým portálem FBI, na kompromitované stránce se objevilo ASCII vyobrazení Umbreona. Stejný motiv použili ShinyHunters také při napadení leak webu ransomwarové skupiny Cl0p.

To ovšem není důkaz, že za těmito útoky stál Van der Stap.

Podle KrebsOnSecurity se prakticky stejná grafika s Umbreonem objevila při defacementu spojovaném se ShinyHunters už v roce 2020, tedy ještě předtím, než Van der Stap podle dostupných informací začal svou známou identitu Umbreon používat.

Krebs navíc s odkazem na své zdroje popisuje spor mezi Van der Stapem a dalším aktérem vystupujícím jako „Rey“. Podle těchto zdrojů mohlo být výrazné používání Umbreona dokonce snahou spojit nedávné útoky právě s nizozemským hackerem.

Jde však o interpretaci Krebsových zdrojů, nikoli o závěr nizozemské policie.

ShinyHunters tvrdí: Není jedním z nás

Do příběhu vstupuje ještě jedna důležitá okolnost.

Samotní ShinyHunters podle Reuters popírají, že by Van der Stap byl součástí skupiny.

Je proto důležité rozlišovat mezi tím, co dnes víme, a tím, co je stále předmětem vyšetřování.

Policie potvrzuje zatčení a uvádí, že muže podezírá z role uvnitř ShinyHunters. Média a jeho zaměstnavatel jej identifikují jako Pepijna van der Stapa. Jeho členství ani konkrétní role ve skupině ale zatím nebyly prokázány před soudem.

Zajímavé je také načasování.

Po Van der Stapově zatčení aktivita připisovaná ShinyHunters neskončila. V následujících dnech skupina přišla s tvrzením o kompromitaci systémů souvisejících s FBI a pokračovala také v konfliktu s ransomwarovou skupinou Cl0p.

Samotné zatčení jednoho podezřelého tedy rozhodně neznamená konec ShinyHunters.

Na notebooku policie našla informace o dvou plánovaných vraždách

Případ má navíc další, mimořádně závažnou větev.

Nizozemská policie uvedla, že po zatčení našla na notebooku podezřelého informace týkající se dvou vražd, které měly být spáchány v zahraničí. Podle vyšetřovatelů existují indicie, že k nim měl podezřelý dát pokyn.

Muž je proto podezřelý také z pokusu o zosnování dvou vražd.

Policie současně výslovně uvádí, že toto podezření nesouvisí s vyšetřováním ShinyHunters. Další podrobnosti zatím nezveřejnila.

ShinyHunters jsou pod stále větším tlakem

Zatčení přichází v době mimořádně vysoké aktivity kolem ShinyHunters.

Skupina je v posledních měsících spojována s rozsáhlými krádežemi dat a útoky souvisejícími s prostředím Salesforce. V posledních týdnech bezpečnostní výzkumníci sledovali také její útoky proti systémům Oracle PeopleSoft.

ShinyHunters zároveň tvrdí, že prostřednictvím PeopleSoft získali přístup k systémům souvisejícím s náborovým portálem FBI a odcizili velké množství dat. FBI potvrdila, že vyšetřuje tvrzení o neoprávněné aktivitě související s FBIJobs.gov, nepotvrdila ale veřejně všechny technické detaily ani rozsah, který ShinyHunters deklarují.

Vedle toho se skupina pustila do otevřeného konfliktu s ransomwarovou operací Cl0p. ShinyHunters napadli její leak web, změnili jeho obsah a následně začali samotný Cl0p vydírat.

Zatčení v Nizozemsku proto může být důležitým krokem v rozkrývání lidí, které policie spojuje se současnou podobou ShinyHunters.

Teprve další vyšetřování ale ukáže, jakou roli – pokud vůbec nějakou – v této struktuře Van der Stap skutečně měl.

Zdroje

• Nizozemská policie – oznámení o zatčení a aktuálním vyšetřování
• Reuters – identifikace podezřelého a vyšetřování ShinyHunters
• Reuters – nové informace z 29. září
• KrebsOnSecurity – Van der Stap, Umbreon a možné vazby na ShinyHunters
• BleepingComputer – potvrzení zatčení v rámci vyšetřování ShinyHunters
• Rechtbank Amsterdam – rozsudek z roku 2023