24-летнего нидерландского хакера Pepijn van der Stap задержали по подозрению в помощи группировке ShinyHunters, а сразу после этого атаки ShinyHunters стали заметно наглее: среди заявленных целей оказался сайт вакансий ФБР. Для русскоязычной IT-аудитории это не просто криминальная драма с никнеймами и покемонами, а напоминание: уязвимость в HR-системе может внезапно стать проблемой уровня государства, бизнеса и персональных данных сотрудников.
По данным Krebs on Security, van der Stap был задержан нидерландскими властями примерно 16 сентября 2026 года и с тех пор находился под стражей для допросов. Речь идет не о случайном персонаже из даркнета: в 2023 году его уже осудили за кражи данных и вымогательство, которые, по версии обвинения, принесли от 1,5 млн до 2,7 млн евро. Тогда он признал, что под ником Umbreon торговал базами и давил на жертв на англоязычных хакерских форумах, а в обычной жизни работал software engineer в амстердамском стартапе Hadrian и волонтерил в Dutch Institute for Vulnerability Disclosure.
Суд назначил ему четыре года лишения свободы, один из них условно. В декабре 2025 года van der Stap вышел из тюрьмы, а 9 сентября 2026-го в разговоре с журналистом представлял себя человеком, который пытается завязать с криминалом, закрыть гражданские иски и вернуться в нормальную профессиональную жизнь. На тот момент он, как утверждается, работал offensive security lead в Neo Security; компания на запросы не ответила. Через несколько дней после интервью он перестал выходить на связь, а источники сообщили о задержании и изъятии вещей из его жилья.
Ключевой эпизод, вокруг которого сейчас крутится расследование в Нидерландах, связан с атакой на Odido, крупнейшего мобильного оператора страны. В феврале 2026 года злоумышленник, говоривший по-нидерландски как носитель языка, через социальную инженерию убедил сотрудника Odido войти на поддельный сайт. После этого ShinyHunters, по данным расследования, получила доступ к данным более чем 6,2 млн жителей Нидерландов. Полиция публично просила помочь опознать голос на записи звонка. Сама группировка заявляла местным СМИ, что человек на аудио действительно связан с ними, и обещала ему юридическую и финансовую поддержку. Звучит почти как корпоративная соцпрограмма, только KPI измеряются украденными базами.
После предполагаемого задержания van der Stap история резко ушла из режима обычного расследования в режим демонстративной эскалации. ShinyHunters заявила о взломе apply.fbijobs.gov, сайта для кандидатов на работу в ФБР. 404 Media и Reuters сообщали, что среди похищенных данных были Social Security numbers и персональная информация более чем 5 тыс. сотрудников и кандидатов, включая должности и команды: special agent, threat intake examiner, подразделения по крупным киберпреступлениям и группы, работающие с угрозами от иностранных государственных акторов. Reuters также писал о чувствительных медицинских и психиатрических документах сотрудников ФБР. Само бюро подтвердило инцидент коротким заявлением, без деталей, что для таких историй почти отдельный жанр.
Техническая часть выглядит знакомо всем, кто занимается эксплуатацией корпоративного ПО: старая связка «важная система плюс поздний патч плюс обход временной защиты». ShinyHunters утверждала, что получила доступ к сайту ФБР и другим жертвам через уязвимость CVE-2026-35273 в PeopleSoft, платформе Oracle, которую используют для найма, HR, льгот и зарплатных процессов. Oracle выпустила исправление, а Mandiant подготовила правила для web application firewall на случай, если патч нельзя поставить сразу. Но затем BleepingComputer сообщил, что злоумышленники применили трюк с URL-кодированием, чтобы обойти предложенные WAF-правила. 25 сентября Mandiant и Google Threat Intelligence Group подтвердили массовую эксплуатацию PeopleSoft-уязвимости в разных отраслях: образование, технологии, здравоохранение, сельское хозяйство, транспорт и госсектор.
Отдельная деталь выглядит почти театрально: на дефейс-странице взломанного сайта ФБР использовался ASCII-арт с Umbreon, тем самым персонажем Pokemon, который совпадает с прежним хакерским псевдонимом van der Stap. Источники, близкие к расследованию ShinyHunters, считают, что это мог быть не автограф, а попытка подставить нидерландца. По их версии, после задержания внутри группировки обострился конфликт за бренд и данные, а управление перехватил подросток из Аммана, известный как Rey и связанный с ScatteredLapsussHunters — смесью участников и тактик Scattered Spider, LAPSUS$ и ShinyHunters. Если эта оценка верна, атаки ShinyHunters после ареста стали не только криминальной операцией, но и публичной борьбой за репутацию внутри подпольного рынка.
Для бизнеса главный вывод скучнее, но полезнее всей драмы. HR-системы, порталы найма и SaaS-платформы с персональными данными давно перестали быть «второстепенной инфраструктурой». Там лежат паспорта, налоговые идентификаторы, медицинские сведения, сведения о должностях и командах, а иногда и данные людей, работающих с чувствительными расследованиями. Разработчикам и security-командам стоит относиться к таким системам как к полноценному периметру: быстро ставить патчи, проверять временные WAF-правила на обходы, логировать подозрительные запросы, ограничивать доступы и регулярно тренировать сотрудников против фишинга. Особенно когда атака начинается не с эксплойта, а с убедительного звонка в поддержку или HR.
История van der Stap пока оставляет больше неприятных вопросов, чем аккуратных ответов. Был ли он действительно связан с новыми атаками или стал удобной фигурой в конфликте ShinyHunters, должны установить следствие и суд. Но тренд уже виден: группы, выросшие на утечках и вымогательстве, всё чаще действуют как гибрид криминального стартапа, медийной команды и токсичного комьюнити, где арест одного участника может не остановить операцию, а подтолкнуть остальных к более рискованной демонстрации силы.
