Nederlandse hacker aangehouden om groep achter Odido-hack

Een 24-jarige Nederlander die in 2023 werd veroordeeld voor afpersing en het witwassen van €1,5 miljoen aan cryptomunten, zit sinds 16 september opnieuw vast. Dat werd vandaag bekend. Hij is aangehouden op verdenking van hulp aan ShinyHunters, het hackerscollectief dat in februari bij telecombedrijf Odido de gegevens van ruim 6,2 miljoen Nederlanders buitmaakte.

Wat hij de vorige keer deed, staat in het vonnis van eind 2023. Hij drong met ransomware binnen bij een zorginstelling en gijzelde patiëntgegevens; die kwamen pas vrij na een betaling van $12.000 in bitcoin. Een ander bedrijf betaalde bijna twee jaar lang $5.000 per maand om te voorkomen dat zijn klantenbestand op straat kwam, meldt Het Parool, dat het vonnis inzag. Op zijn computer stonden namaaksites van banken en bestanden vol gestolen inloggegevens. Het Openbaar Ministerie schatte de totale opbrengst op €1,5 tot €2,7 miljoen. Hij kreeg vier jaar cel, waarvan een jaar voorwaardelijk, en bekende ruim €1,5 miljoen aan cryptogeld te hebben witgewassen.

Overdag deed hij iets anders. In diezelfde jaren werkte hij als softwareontwikkelaar bij het Amsterdamse beveiligingsbedrijf Hadrian, en was hij vrijwilliger bij het Dutch Institute for Vulnerability Disclosure, een stichting die lekken opspoort en meldt. Na zijn vrijlating vond hij opnieuw werk in de beveiliging: bij het Nederlandse Neo Security leidde hij het team dat klanten aanvalt om hun zwakke plekken te vinden. Negen dagen voor zijn aanhouding vertelde hij KrebsOnSecurity dat hij zijn leven had omgegooid.

Hoe Odido werd binnengekomen

ShinyHunters steelt klantenbestanden en vraagt er losgeld voor. De groep wordt verantwoordelijk gehouden voor inbraken bij onder meer Ticketmaster en Pornhub, en kwam in Nederland in beeld door Odido. Daar werd in februari geen software gekraakt maar een medewerker gebeld: die logde op verzoek in op een nagemaakte inlogpagina, en met die toegang gingen de gegevens van ruim 6,2 miljoen Nederlanders de deur uit. Odido weigerde te betalen. Privégegevens van klanten belandden daarna op het darkweb.

Van dat telefoongesprek heeft de politie een geluidsfragment vrijgegeven, met de vraag wie de Nederlands sprekende beller is. ShinyHunters bevestigde aan Nederlandse media dat de stem van een lid is. Of de aangehouden Nederlander die beller is, is niet vastgesteld.

Wie er baat had bij zijn arrestatie

Zes dagen na de aanhouding schakelde ShinyHunters een tandje bij. De groep claimde de gegevens van 5.000 FBI-medewerkers te hebben gestolen, en zette op de vacaturepagina van de FBI een afbeelding van de pokémon Umbreon — de bijnaam waaronder de Nederlander in 2023 werd veroordeeld. Daarna perste ze Cl0p af, zelf een Russische ransomwarebende.

Volgens KrebsOnSecurity, dat de aanhouding als eerste meldde, heeft de huidige leider van ShinyHunters een conflict met de Nederlander. Die leider is een tiener in Amman, Jordanië, die de groep samenvoegde met twee andere collectieven. Bronnen rond het onderzoek houden er rekening mee dat het opvoeren van die bijnaam een poging is om de schuld zijn kant op te schuiven.

De groep zelf liet aan NL Times weten haar teamlid volledig te steunen, emotioneel, mentaal en financieel, en dat er een strafrechtadvocaat is geregeld. In dezelfde verklaring schreef ze haar mensen met respect te behandelen en uitstekend voor ze te zorgen, en noemde ze de Nederlandse politie incompetent en irrelevant.

De politie en het Openbaar Ministerie zwijgen over de aanhouding. Dat wijst erop dat de man in beperkingen zit en alleen zijn advocaat mag spreken. Morgen beslist de raadkamer in Rotterdam of hij vast blijft.

Eén ding weet de politie zeker over de beller bij Odido: hij sprak Nederlands. Verder is het een stem op een bandje.

Naschrift. Het Parool en Protos houden het op een 24-jarige, KrebsOnSecurity schrijft 23. Krebs plaatst hem in Almere en Lelystad, Het Parool in Amsterdam.