Die niederländische Polizei hat bestätigt, dass sie im Rahmen von Ermittlungen gegen die Erpressergruppe ShinyHunters einen 24-jährigen Amsterdamer festgenommen hat. Die Festnahme erfolgte am 16. September. Nach übereinstimmenden Berichten handelt es sich um Pepijn van der Stap, der bereits 2023 verurteilt worden war — wegen mehrerer Einbrüche in Unternehmensnetze, anschließendem Datendiebstahl und Erpressung.
Van der Stap hatte drei Jahre seiner vierjährigen Haftstrafe verbüßt und stand zum Zeitpunkt der erneuten Festnahme unter Bewährungsauflagen. Beruflich ist er inzwischen als Leiter für offensive Sicherheit bei Neo Security tätig. Der Ermittlungsjournalist Brian Krebs berichtet, dass er vor seiner Verurteilung unter dem Online-Pseudonym Umbreon bei Erpressungen auftrat — parallel zu einer Anstellung als Softwareentwickler beim Cybersecurity-Start-up Hadrian.
Krebs zufolge soll der jüngste Angriff von ShinyHunters auf das FBI van der Stap von der derzeitigen Führungsfigur der Gruppe zugeschoben worden sein: einem jugendlichen Cyberkriminellen aus Amman in Jordanien, der unter dem Spitznamen Ray auftritt und zugleich der Gruppierung ScatteredLapsussHunters angehört.
Bei diesem Angriff drang ShinyHunters in die Job-Website des FBI ein, vermutlich über einen modifizierten Exploit für CVE-2026-35273, eine Schwachstelle in Oracle PeopleSoft. Die Gruppe hatte diese Lücke im Juni als Zero-Day ausgenutzt. Auf der veränderten Seite platzierten die Angreifer ein überdimensioniertes Bild des Pokémon Umbreon — ein direkter Verweis auf van der Staps früheres Pseudonym.
Unabhängig davon hatte die niederländische Polizei Anfang September die Öffentlichkeit um Mithilfe bei der Identifizierung einer Stimme gebeten. Die Tonaufnahme stammt aus einem Social-Engineering-Angriff auf den Telekommunikationsanbieter Odido, bei dem Daten von 6,2 Millionen Menschen entwendet wurden. ShinyHunters bestätigte Berichten zufolge, dass eines ihrer Mitglieder den Anruf getätigt habe, erklärte aber, die Polizei werde die Stimme keiner realen Person zuordnen können. Laut DataBreaches handelt es sich bei der Stimme in der Aufnahme nicht um die von van der Stap.
Die niederländische Polizei erklärte am Montag, der Festgenommene solle noch am selben Tag vor Gericht erscheinen. Weitere Angaben stellten die Ermittler nach der Anhörung in Aussicht.