Полиция Нидерландов подтвердила арест ShinyHunters: 24-летнего жителя Амстердама задержали в рамках расследования деятельности хакерской группы. Для русскоязычных IT-команд это не просто очередная криминальная хроника: в деле снова всплывают социальная инженерия, фишинговые страницы, захват внутренних учеток и старый добрый вопрос — кто на самом деле стоит за громкими никнеймами.
О задержании сообщает BleepingComputer со ссылкой на Politie Landelijke Opsporing en Interventies — нидерландское подразделение, которое занимается национальными расследованиями и оперативными вмешательствами. По данным полиции, подозреваемый должен появиться в окружном суде Роттердама во вторник, 29 сентября 2026 года. Там же власти обещают раскрыть больше деталей. Пока официальная формулировка аккуратная: мужчина задержан «в расследовании хакерской группы ShinyHunters», а не назван ее участником или лидером.
Имя задержанного официально полиция в приведенном сообщении не раскрыла, но KrebsOnSecurity и DataBreaches идентифицировали его как Пепейна ван дер Стапа — нидерландского хакера, ранее известного онлайн под псевдонимом Umbreon. Это имя уже появлялось в уголовной хронике: в январе 2023 года ван дер Стапа арестовали по делу о взломах и вымогательстве у более чем десятка компаний в Нидерландах и за их пределами. Позже он признал вину и получил четыре года тюрьмы, из которых один год был условным, плюс трехлетний испытательный срок с дополнительными ограничениями.
По данным DataBreaches, новый эпизод начался 15 сентября 2026 года. Тогда тактическое подразделение нидерландской полиции пришло с обыском в амстердамскую квартиру, где ван дер Стап жил вместе с матерью, и изъяло электронные устройства. KrebsOnSecurity пишет, что источники, знакомые с расследованием, подтвердили интерес властей к возможной связи ван дер Стапа с ShinyHunters. Формально это пока именно возможная связь, а не доказанный факт. В таких историях разница между «использовал тот же образ» и «управлял инфраструктурой группы» может стоить человеку нескольких лет свободы — и репутации следствия тоже.
Самая кинематографичная деталь здесь — псевдоним Umbreon и покемон-символика. По данным KrebsOnSecurity, образ Umbreon ранее использовался ван дер Стапом на BreachForums еще в 2021 году. Тот же персонаж недавно всплывал в двух заметных эпизодах, связанных с ShinyHunters: в истории с компрометацией, затронувшей ФБР, и при дефейсе сайта утечек группировки Clop. Но линия не такая прямая, как хотелось бы любителям красивых схем на доске. Такой же персонаж появлялся и раньше — при дефейсе HackForums в 2020 году, то есть за год до создания аккаунта Umbreon, который связывают с ван дер Стапом.
Отдельно в деле фигурирует взлом Odido. Нидерландская полиция ранее публиковала запись голоса нидерландскоязычного мужчины, которого подозревают в причастности к этой атаке. По версии следствия, он позвонил сотруднику службы поддержки Odido, представился работником IT-отдела и убедил жертву ввести логин, пароль и код подтверждения на поддельной странице входа. После этого атакующие получили доступ к внутренним системам компании. Для защитников корпоративной инфраструктуры это неприятно знакомый сценарий: MFA есть, страница входа есть, сотрудник обучен — а потом звонит «коллега из IT», и вся защита превращается в проверку человеческого доверия.
DataBreaches, однако, добавляет важную оговорку: издание несколько раз общалось с ван дер Стапом и утверждает, что голос на полицейской записи не похож на его голос. К такому же выводу, по данным DataBreaches, пришел близкий друг ван дер Стапа. Это не доказывает невиновность и не отменяет интереса полиции к устройствам, изъятым при обыске. Но для редакций, исследователей и компаний, которые отслеживают такие дела, это напоминание: атрибуция в киберпреступности редко бывает чистой. Никнеймы переходят из рук в руки, визуальные маркеры копируются, а участники группировок могут специально смешивать следы.
Представитель ShinyHunters в комментарии BleepingComputer вообще отверг связь с задержанным и заявил, что этот человек «не имеет к нам отношения». Верить на слово хакерской группе, которая живет за счет утечек, вымогательства и информационного шума, — занятие для очень смелых людей. Но сам факт такого отрицания важен: ShinyHunters пытается управлять публичной интерпретацией дела. Для группировок такого типа бренд не менее ценен, чем доступ к украденным базам. Репутация «мы везде и нас не поймали» помогает давить на жертв, торговаться и поддерживать интерес к новым утечкам.
Арест ShinyHunters, если связь подтвердится в суде, станет заметным эпизодом в более широкой охоте на участников англоязычных и европейских хакерских сообществ, связанных с BreachForums, вымогательством и продажей данных. Для бизнеса практический вывод скучнее, но полезнее: фокусироваться только на патчах и EDR уже недостаточно. Нужны устойчивые процессы проверки личности внутри компании, тренировки help desk, ограничения для сервисных учеток, журналирование подозрительных входов и быстрый разбор фишинговых инцидентов. Особенно там, где поддержка, подрядчики и внутренний IT регулярно общаются голосом и в мессенджерах.
Следующий важный момент — заседание в Роттердаме 29 сентября 2026 года. Там должно стать понятнее, идет ли речь о ключевом участнике ShinyHunters, о человеке из периферии расследования или о совпадении цифровых следов вокруг псевдонима Umbreon. Но уже сейчас дело показывает главный тренд: громкие хакерские бренды все чаще раскручиваются не только через вредоносный код, а через комбинацию утечек, форумной репутации, социальной инженерии и театральных символов. И защищаться от этого приходится не пресс-релизами, а дисциплиной доступа внутри компании.