Нидерландская полиция арестовала 24-летнего жителя Амстердама по делу ShinyHunters — группировки, которую ФБР связывает с более чем 140 взломами и минимум $70 млн вымогательских выплат. Для русскоязычных IT-команд это не просто криминальная хроника: история снова бьет по больному месту — подрядчики, облачные платформы, WAF и человеческий фактор в security.
О задержании сообщает The Hacker News со ссылкой на нидерландскую полицию, ФБР и собственную переписку с представителями ShinyHunters. По данным полиции, подозреваемый должен был предстать перед окружным судом Роттердама 29 сентября 2026 года. Имя официально не раскрывали, но журналист Брайан Кребс и DataBreaches.Net идентифицировали задержанного как Пепейна ван дер Стапа, известного под псевдонимом Umbreon.
Фигура неудобная для красивой пресс-картинки. Ван дер Стап уже попадал в поле зрения правоохранителей: в 2023 году его задерживали по делу о кражах данных и вымогательстве. Тогда же стало известно, что он работал в компании Hadrian, занимающейся кибербезопасностью, и волонтерил в Dutch Institute for Vulnerability Disclosure. По данным LinkedIn, сейчас он числится offensive security lead в нидерландской Neo Security. Редкий случай, когда фраза «видел безопасность с обеих сторон терминала» звучит не как маркетинг, а как материал для суда.
После публикации появились уточнения от ФБР и Национальной полиции Нидерландов: задержанный подозревается в том, что был одним из предполагаемых лидеров ShinyHunters. ФБР заявило, что продолжает работать с партнерами и проверяет новые зацепки, появившиеся после ареста. Нидерландская полиция отдельно указала, что мужчину также подозревают в попытке подстрекательства к двум убийствам, но это обвинение не относится к расследованию ShinyHunters. Там же подчеркнули: задержание не связано со взломом Odido.
Сами ShinyHunters связь с ван дер Стапом отрицают. В ответе The Hacker News группировка заявила, что он не имеет к ним отношения, а полиция якобы пытается отыграть репутационные очки после истории с Odido. Это ожидаемая линия защиты: киберпреступные группы давно ведут себя не только как операторы атак, но и как небольшие PR-службы с токсичным стилем, контролем нарратива и вечной попыткой объяснить, что все вокруг неправильно поняли их благородные намерения.
Контекст у ареста громкий. ShinyHunters незадолго до этого заявила о взломе сайта apply.fbijobs.gov, через который ФБР принимает заявки на вакансии. Группировка утверждала, что получила терабайты чувствительных данных. Представители ShinyHunters при этом настаивали, что атака на системы ФБР не была вымогательством, угрозой или финансово мотивированной операцией. По их версии, это была «маркетинговая кампания» для защиты собственного бизнеса и борьбы с дезинформацией. Формулировка, конечно, смелая: обычно маркетинг все-таки обходится без заявлений о краже данных федерального ведомства.
Техническая часть тоже показательна. ShinyHunters сначала говорила об эксплуатации нового zero-day в Oracle PeopleSoft. Позже оценка сместилась: речь, по данным The Hacker News, могла идти не о новом неизвестном баге, а о трюке с URL-encoding, который позволил обойти правила WAF, настроенные против CVE-2026-35273. Для защитников это важная деталь. Наличие WAF и закрытого CVE в тикете не равно реальному снижению риска, если правила можно обойти кодированием запроса, а проверка ограничилась галочкой в отчете.
Для бизнеса дело ShinyHunters — еще одно напоминание, что атакуют не только «главную систему». ФБР прямо говорит о частом фокусе на сторонних поставщиках и облачных платформах: через них крадут чувствительные данные, а потом давят угрозой публикации. Это знакомый сценарий для компаний любого размера. В цепочке может быть CRM, HR-платформа, сервис подбора персонала, подрядчик по аналитике, забытый интеграционный аккаунт или SaaS, который когда-то подключили «на пару недель» и оставили жить.
Разработчикам и security-командам из этой истории стоит вынести не мораль про плохих хакеров, а более приземленный чек-лист. WAF нужно тестировать на обходы, а не только включать. Уязвимости в enterprise-платформах — особенно в старых кадровых, финансовых и интеграционных системах — требуют не пресс-релиза о патче, а проверки фактической экспозиции. Доступы подрядчиков и облачных сервисов должны иметь владельца, срок жизни и логирование. И да, offensive security в резюме не отменяет нормальной проверки сотрудников с доступом к критичным данным.
Самое неприятное в этой истории — не один арест и даже не спор ShinyHunters с полицией о том, кто кому кем приходится. Неприятно то, что граница между легальной экспертизой, серым рынком и криминальной инфраструктурой снова выглядит тоньше, чем хотелось бы индустрии. Следующий этап расследования покажет не только роль задержанного, но и то, насколько правоохранители научились разбирать распределенные кибергруппы, где рядом живут эксплуатация CVE, облачные цепочки поставок, вымогательство и публичный спектакль вокруг каждого взлома.
