Op dinsdag 27 oktober 2026 maakten de FBI en de Amerikaanse aanklager bekend dat ze het domein virtualine.net in beslag hadden genomen. Een dag later meldde de Nederlandse politie dat ze in een datacentrum in Limburg tientallen servers van een bulletproof hoster in beslag had genomen, en dat ze nu gegevens heeft van meer dan 3.000 klanten. In het weekjournaal stond die actie in een paar zinnen. Inmiddels is er meer bekend, uit de Amerikaanse bekendmaking, die zich op rechtbankstukken baseert, en uit het geldspoor dat onderzoekers op de blockchain volgden. Dat verhaal gaat niet over een gewone hoster. Het gaat over wie daar huurde, en waarom.
De verhuurder die geen klachten las
Een bulletproof hoster verhuurt servers en belooft klanten dat hij klachten en verzoeken van de politie negeert. Virtualine zei dat openlijk. Volgens de Amerikaanse aanklager bood het bedrijf zijn diensten op cybercrimeforums aan voor "alle illegale activiteiten", zoals phishing, creditcardfraude en spam. In juni 2025 schepte het op HackForums op dat het "meer klachten had genegeerd dan je laatste drie therapeuten". Het bedrijf werkte ook onder andere namen, zoals Secury, Massgod, Spamhouse, Lanedo en Omegatech.
Volgens de aanklager ging het nog een stap verder. Sinds maart 2026 verkocht Virtualine een "extra beschermingsplan". Kwam er een verzoek van de politie, dan verhuisde het bedrijf de servers van de klant naar een andere lege vennootschap die niet aan Virtualine verbonden was, en zette ze daarna weer aan. Betalen kon met bitcoin via een optie die Virtualine zelf "BTC [NO-AML]" noemde. AML is de gangbare afkorting voor de controles tegen witwassen. De aanklager beschuldigt het bedrijf ervan dat het dat geld daarna verder heeft witgewassen om de herkomst te verbergen.
Het forum met de beelden
Het zwaarste deel van de beschuldiging gaat over een forum dat in de rechtbankstukken "Vendor 1" heet. Op dat forum verkochten gebruikers volgens de aanklager toegang tot naaktbeelden en seksuele beelden van minderjarigen en volwassenen. Het forum maakte ook reclame voor hackers die je kon inhuren om intieme foto's en video's uit iemands account te stelen.
Virtualine had zelf gezegd dat beelden van kindermisbruik niet waren toegestaan. Toch bleef het forum volgens de aanklager online. In januari 2026, ongeveer een maand nadat Virtualine het forum een adres op internet had gegeven, kwamen de eerste meldingen binnen. Ze kwamen van de politie in Duitsland, Canada en Australië, van het Amerikaanse meldcentrum voor vermiste en uitgebuite kinderen (NCMEC) en van de advocaat van een slachtoffer. In plaats van het forum af te sluiten, hielp Virtualine volgens de aanklager de beheerders een nieuwe site te bouwen om beelden te uploaden en te verkopen. Ook over die site kwam al minstens één melding binnen over seksuele beelden van kinderen.
De beheerder van Virtualine wijst de beschuldigingen af in een open brief op een nieuw adres. Bij de inbeslagname van het domein noemde het Amerikaanse ministerie van Justitie geen namen van de beheerders, en het maakte geen aanklacht bekend. Wat hier staat, zijn dus beschuldigingen van de aanklager, geen vonnis.
Het geld volgen
Wie wil weten wie er bij een hoster huurt, kijkt naar wie er betaalt. Het blockchainonderzoeksbureau TRM Labs volgde de bitcoinadressen van Virtualine. Volgens TRM kreeg Virtualine in 2026 tot nu toe meer geld uit criminele bron binnen dan elke andere bulletproof hoster die TRM volgt. De grootste betaler was geen ransomwarebende maar een Russische drugsmarktplaats, die TRM niet bij naam noemt. Daarna volgden een grote sextortionbende, criminelen die mensen afpersen met naaktbeelden, die tussen februari en juni 2026 betaalde, en een mixer, een dienst die het spoor van cryptomunten uitwist. Ransomwaregroepen betaalden een stuk minder.
TRM zegt er eerlijk bij dat een betaling op zich niet bewijst welke diensten er op de servers draaiden. De betalingen van de afpersers vermelden bijvoorbeeld geen doel. Maar het beeld is duidelijk genoeg. Een drugsmarkt, afpersers en een misbruikforum zochten hetzelfde, een plek op internet waar de verhuurder de deur dichthoudt als de politie aanbelt.
Wat er gebeurt met de 3.000 klanten
De politie noemt de naam van de hoster niet, maar verwijst in haar bericht van 28 oktober wel naar de Amerikaanse bekendmaking over Virtualine. In die bekendmaking staat de politie Midden-Nederland als partner, naast de Duitse politie in Hessen en het Britse National Crime Agency. Dat het om dezelfde hoster gaat, zegt de Nederlandse politie niet met zoveel woorden. Het Team Cybercrime van de politie Midden-Nederland nam de servers in Limburg in beslag, waardoor ook honderden virtuele servers offline gingen. Volgens de politie werd het bedrijf sinds 2022 in verband gebracht met ransomware, botnets, infostealers, phishing en de verspreiding van beelden van seksueel kindermisbruik.
Door de inbeslagname heeft de politie gegevens van meer dan 3.000 klanten in handen. Volgens de politie neemt ze op dit moment vervolgacties richting die gebruikers, en gebruikt ze de gegevens voor verder onderzoek. Wat die acties precies inhouden, zegt de politie niet, en daar ga ik ook niet naar raden. Wel is nu openbaar dat de gegevens van die klanten bij de politie liggen.
Is het daarmee voorbij? Niet vanzelf. TRM schrijft dat het in beslag nemen van een domein vooral verstoort hoe klanten de dienst vinden, en nog niet bewijst dat de beheerder stopt. Volgens BleepingComputer was Virtualine na de actie nog gedeeltelijk online. En volgens onderzoekers van Intel 471 dreven eerdere acties tegen zulke hosters de klanten naar nieuwere aanbieders, gerund door voormalige wederverkopers. De markt valt dan uiteen, maar verdwijnt niet.
Waarom dit ook over Nederland gaat
De servers stonden in een datacentrum in Limburg. Het is niet de eerste keer dat de politie in Nederland servers van een bulletproof hoster weghaalt, en ook in het onderzoek naar Archetyp, een grote drugsmarkt op het darkweb, speelde een server in Nederland een rol. Volgens de politie heeft de Nederlandse internetsector onlangs de eigen gedragscodes tegen misbruik vernieuwd, en stuurde het ministerie van Justitie en Veiligheid op 6 juli 2026 een brief over foute hosting. Er lopen strafrechtelijke en bestuursrechtelijke maatregelen tegen foute en bulletproof hosters.
Bescherm jezelf
Word je afgeperst met naaktbeelden, betaal dan niet, bewaar alle berichten als bewijs en doe aangifte bij de politie. In Nederland kun je voor hulp en advies terecht bij Offlimits, in België bij Child Focus op het gratis nummer 116 000.
Zie je online beelden van seksueel misbruik van kinderen, stuur ze dan niet door. Meld ze in Nederland, zo nodig anoniem, bij het meldpunt van Offlimits op https://meldpunt.offlimits.nl, of in België bij Child Focus of de politie.
Bescherm je accounts tegen inhuurhackers. Gebruik voor elk account een ander sterk wachtwoord, een wachtwoordmanager zoals MindYourPass helpt daarbij, en zet tweestapsverificatie aan op je mail en je opslag in de cloud. Daar staan bij veel mensen ook hun foto's.
Heb je een bedrijf dat servers of websites huurt, kies dan een hoster die meldingen van misbruik serieus neemt. Een belofte dat de politie buiten blijft, is geen dienst maar een waarschuwing.
Tot slot
Achter dit geldspoor zitten mensen die schade lijden, iemand die met naaktbeelden wordt afgeperst, of een kind van wie de beelden worden verkocht. Een hoster die opschept dat hij klachten negeert, kijkt weg van precies die mensen. Dat de politie nu de gegevens van de klanten heeft, is goed nieuws. Om je te kunnen verdedigen, moet je weten hoe ze werken, en samen staan we sterker dan een verhuurder die doet alsof hij niets ziet.
Lees ook
► Weekjournaal S03E14, van 30 oktober 2026, met de eerste melding van de actie tegen de hoster in Limburg.
► Een server in Nederland, een arrestatie in Spanje, het einde van Archetyp, over de drugsmarkt op het darkweb die in juni 2025 werd opgerold.
► De Russische digitale drugsmarkt, hoe technologie de onderwereld beheerst, over de Russischtalige drugsmarkten op het darkweb.
Hoor je het pas als het al te laat is? Acties tegen criminele diensten, nieuwe afpersingsgolven en organisaties in Nederland en België die zijn geraakt, de dagelijkse dreigingsupdate van de Cyber Dreigingsradar zet ze op een rij, met het actuele dreigingsniveau en wat je kunt doen.
Schrijf je gratis in voor de dagelijkse dreigingsupdate van onze partner Digiweerbaar. Van maandag tot en met zaterdag, geen kosten, opzeggen wanneer je wilt.
Reactie plaatsen
Reacties