Поліція Нідерландів затримала 24-річного чоловіка з Амстердама у справі ShinyHunters

Поліція Нідерландів підтвердила затримання 24-річного чоловіка з Амстердама у зв'язку з хакерським угрупованням ShinyHunters.

Затримання в Амстердамі

У понеділок національний підрозділ розслідувань і втручань Politie Landelijke Opsporing en Interventies повідомив у дописі на X: "Справді, цього місяця в Амстердамі затримали 24-річного чоловіка в межах розслідування щодо хакерського угруповання ShinyHunters". За словами поліції, він має постати перед окружним судом Роттердама 29 вересня 2026 року.

Хто підозрюваний

Незалежний журналіст із безпеки Brian Krebs і сайт DataBreaches.Net, що відстежує витоки даних, ідентифікували затриманого як Pepijn van der Stap, відомого також під псевдонімом Umbreon. Раніше його вже затримували у 2023 році у справі про серію крадіжок даних і вимагань. За даними DataBreaches.Net, останнє затримання відбулося 15 вересня 2026 року.

Публікації 2023 року показали, що van der Stap працював у кібербезпековій компанії Hadrian і волонтерив у Нідерландському інституті розкриття вразливостей (DIVD). "Робота в Hadrian і волонтерство в DIVD зробили мене параноїком щодо того, як я виглядаю збоку", сказав він у червні 2023 року. У профілі на LinkedIn він указаний як керівник напряму наступальної безпеки в нідерландській компанії Neo Security.

Ширша кампанія

Затримання відбулося на тлі того, що ShinyHunters узяла на себе відповідальність за злом сайту вакансій Федерального бюро розслідувань США apply.fbijobs.gov, де, за повідомленнями, викрали терабайти чутливих даних. Представник угруповання сказав 404 Media, що операція була "маркетинговою кампанією", а не вимаганням, а в заяві для The Hacker News група наполягла, що атака на FBI "не була вимаганням, не була погрозою, не була викупом і не мала фінансових мотивів".

За словами групи, вона використала раніше невідому вразливість Oracle PeopleSoft. Нині слідчі вважають, що насправді вона застосувала трюк із URL-кодуванням, щоб обійти правила web application firewall, які захищали вразливу кінцеву точку PSEMHUB, пов'язану з CVE-2026-35273, критичною вразливістю з оцінкою CVSS 9,8. За даними Google, активність спрямована на організації вищої освіти, технологій, охорони здоров'я та державного сектору.

Атака на PeopleSoft це останній епізод ширшої кампанії вимагань. Від 2025 року пов'язані з ShinyHunters зловмисники використовують голосовий фішинг і викрадені OAuth-токени, зокрема через інтеграції Salesloft і Drift, щоб потрапляти до корпоративних середовищ Salesforce. Дослідники Google і Microsoft відстежують цю активність під назвами UNC6040 і UNC6240, а група заявляє про понад 1,5 млрд викрадених записів Salesforce з більш ніж 1000 організацій.

Для захисників картина незмінна: точкою входу рідко стає вада самої платформи, а радше довірене з'єднання чи скомпрометований токен.