Opsporing nieuws

Interpol heeft onlangs bekendgemaakt dat de strijd tegen frauduleuze betalingen wordt geïntensiveerd door middel van een wereldwijd netwerk van wetshandhavingsinstanties en financiële organisaties. Dit initiatief, bekend als het Interpol Global Rapid Intervention of Payments (I-GRIP) mechanisme, is ontworpen om de tijd tussen het melden van fraude en het stoppen van betalingen drastisch te verkorten, nog voordat cybercriminelen de kans krijgen om buitgemaakte gelden op te nemen.

Eerder deze maand onthulde Interpol dat autoriteiten in Singapore en Oman I-GRIP hebben ingezet om een uitbetaling van 6,6 miljoen dollar uit een business email compromise (BEC) scam te blokkeren. Dit was onderdeel van Operatie First Light 2026, een grootschalige actie die onder meer leidde tot het blokkeren van meer dan 31.000 bankrekeningen die gelinkt waren aan fraude. Het mechanisme verbindt nationale wetshandhavingsbureaus in 196 landen met lokale en internationale financiële instellingen, wat de snelheid van verzoeken om fraude te bestrijden aanzienlijk verhoogt.

Tomonobu Kaya, directeur van het Interpol Financial Crime and Anti-Corruption Center, benadrukt het belang van deze samenwerking. Hij stelt dat I-GRIP de operationele verbindingen van Interpol's National Central Bureaus uitbreidt naar financiële instellingen, waardoor een snelle uitwisseling van informatie mogelijk wordt. "Om de effectiviteit van ons stop-betalingsmechanisme te maximaliseren, moeten lidstaten snel en op elk moment kunnen handelen," aldus Kaya, die de 24/7 paraatheid als essentieel beschouwt voor de directe overdracht van informatie.

De verliezen door cybercriminaliteit voor individuen en de winsten voor transnationale criminele organisaties (TCO's) zijn de afgelopen vijf jaar fors gestegen. Naar schatting veroorzaakten TCO's in Zuidoost-Azië in 2025 ongeveer 100 miljard dollar aan schade, met schattingen variërend van 88 miljard tot 114 miljard dollar. Een aanzienlijk deel hiervan betreft directe kosten voor slachtoffers via legitieme en illegale geldtransfers. Soms werken lokale politie en overheidsfunctionarissen zelfs samen met deze criminele syndicaten, waarvan velen door de VS en West-Europese landen zijn gesanctioneerd.

I-GRIP streeft ernaar deze successen voor criminelen moeilijker te maken door verdedigers en financiële instellingen efficiënter te laten samenwerken. Een voorbeeld van het succes van I-GRIP is een gecoördineerde actie in augustus 2024 tussen Singapore en Oost-Timor (Timor Leste). Hierbij werd 40 miljoen dollar aan fondsen onderschept nadat een investeringsmaatschappij een valse aanvraag ontving om de bankgegevens van een leverancier bij te werken. De overdracht werd gestopt, zelfs vier dagen nadat de transactie was geïnitieerd.

Kaya merkt op dat, hoewel er bilaterale overeenkomsten bestaan voor dergelijke samenwerking, I-GRIP zich onderscheidt als de enige wereldwijde, real-time oplossing voor grensoverschrijdende fraudebestrijding. "De echte uitdaging is het waarborgen van onmiddellijke, 24/7 informatie-uitwisseling over de grenzen heen," legt hij uit. "Zonder snelle coördinatie kunnen fraudeurs illegale fondsen wereldwijd in minuten verplaatsen, waardoor slachtoffers weinig hoop op herstel hebben."

Eric Jardine, hoofd onderzoek bij Chainalysis, bevestigt het kritieke belang van snelle transactieblokkering. Hij wijst erop dat programma's voor fraude regelmatig jurisdicties overschrijden, met bankrekeningen in verschillende landen en geldtransfers via niet-bancaire financiële diensten. "Een slachtoffer kan in het ene land zijn, de ontvangende rekening in een ander, het netwerk voor witwassen in een derde, en de scam-operators elders," zegt Jardine. "Een mechanisme dat de tijd tussen detectie en interventie verkort, kan de resultaten materieel verbeteren." De reactietijd is hierbij de belangrijkste factor.

Bron: Interpol

Op 05 augustus 2026 is bekend geworden dat het cybercrimeforum Ramp4u vermoedelijk is gehackt, waarbij een aanzienlijke hoeveelheid gevoelige gebruikersdata is gepubliceerd. De dreigingsactor, bekend onder de naam 'kitta', heeft naar verluidt IP-logs, privéberichten en andere persoonsgegevens van forumleden openbaar gemaakt. De inbreuk dateert van maart 2024.

De gelekte dataset omvat maar liefst 340.333 IP-logboekvermeldingen en data van 7.709 gebruikers, waaronder gebruikersnamen, e-mailadressen, gehashte wachtwoorden met salts, en de eerdergenoemde IP-adressen. Daarnaast zijn 3.875 privéberichten, posts en discussies, registratietijdstippen, tijdstippen van laatste bezoeken, tijdzone-instellingen en accountstatusvlaggen gepubliceerd. Het forum telde ten tijde van de inbreuk 7.784 posts verdeeld over 1.732 discussies.

De meest significante asset in de gelekte informatie is de tabel met IP-logboeken. Hoewel forumleden vaak verbinding maken via VPN's of Tor, is de kans groot dat bij 340.000 logboekvermeldingen minstens één keer een onbeveiligde login heeft plaatsgevonden. Een dergelijke onbeschermde login is voldoende om een schuilnaam te koppelen aan een daadwerkelijk persoon. De ouderdom van de data (maart 2024) doet weinig af aan de attributiewaarde, aangezien dergelijke informatie niet snel veroudert.

De privéberichten versterken de potentiële impact, aangezien operationele onderhandelingen en discussies vaak openhartiger zijn dan openbare posts. Hergebruikte e-mailadressen kunnen worden gecorreleerd met andere datasets, wat verdere identificatie mogelijk maakt. Hoewel enkele voorbeeldgebruikersnamen verwijzen naar bekende ransomwaremerken, bewijst een gekozen schuilnaam op zichzelf geen identiteit.

De status van de claim is momenteel onverifieerd. De gepubliceerde voorbeelden tonen een standaard gebruikerstabel van forumsoftware, wat consistent is met een database-export. De data is ongeveer twee en een half jaar oud en kan mogelijk al eerder privé hebben gecirculeerd voordat deze nu openbaar werd gemaakt. De dreigingsactor die deze data publiceerde, heeft in de afgelopen twee weken ook twee andere, niet-gerelateerde databases gepubliceerd. Onafhankelijke bevestiging van de inbreuk is nog niet verkregen, en de beheerders van het forum zijn niet in een positie om de claim te bevestigen of te ontkennen.

Bron: Cybercrimeinfo

Een blockchainanalist heeft een cluster van digitale portemonnees geïdentificeerd met daarin 28.555 bitcoin, een geschatte waarde van 1,8 miljard dollar. Volgens de analyse zijn deze portemonnees te herleiden naar adressen die eerder in verband werden gebracht met de grootschalige witwaszaak rondom Zhimin Qian. Aanleiding voor deze ontdekking was een specifieke bitcoinportemonnee die sinds 2017 inactief was en onlangs weer in beweging kwam.

De onderliggende strafzaak tegen Zhimin Qian, ook bekend als Yadi Zhang, is bevestigd. Zij werd in november 2025 door de Southwark Crown Court in Londen veroordeeld tot elf jaar en acht maanden gevangenisstraf, nadat zij schuld bekende aan het witwassen van bitcoin. De Metropolitan Police heeft in het kader van deze zaak een recordvangst gedaan van ruim 61.000 bitcoin, wat destijds de grootste cryptovangst ooit in het Verenigd Koninkrijk betrof.

De fraude, die Qian pleegde tussen 2014 en 2017 in China, trof meer dan 128.000 slachtoffers. Velen van hen verloren hun spaargeld en pensioen, met een totaal schadebedrag van ongeveer 600 miljoen pond. Na de fraude vluchtte Qian naar het Verenigd Koninkrijk. Het Britse High Court boog zich in juli 2026 over de vraag welk recht van toepassing is op de inbeslaggenomen bitcoin, waarbij een uitspraak nog wordt afgewacht. De koppeling van het vermeende slapende vermogen aan deze zaak benadrukt de complexiteit van het traceren van illegaal verkregen cryptovaluta.

Bron: Cybercrimeinfo

De Duitse justitie heeft op 3 augustus 2026 een 31-jarige Duitse man aangeklaagd op verdenking van het oprichten en beheren van de darknet marktplaats Archetyp Market. Ten tijde van zijn activiteit was Archetyp Market de grootste handelsplaats ter wereld voor verdovende middelen. De aanklacht, ingediend door het Bundeskriminalamt (BKA) en het openbaar ministerie in Frankfurt, stelt dat de verdachte het platform vanaf juli 2020 heeft beheerd. Vanaf juni 2022 zou hij in georganiseerd verband hebben samengewerkt met minstens twee andere personen.

Over de gehele looptijd van de darknet marktplaats, die in juni 2025 uit de lucht werd gehaald, is voor een geschatte waarde van 330 miljoen euro aan Monero verhandeld. De verdachte zou persoonlijk ongeveer 20 miljoen euro hebben verdiend aan commissies en andere kosten die via het platform werden geheven. Het uitgebreide aanbod op Archetyp Market omvatte een breed scala aan illegale middelen, waaronder cocaïne, heroïne, crystal meth, fentanyl en crack. Daarnaast werden er cannabisproducten, receptgeneesmiddelen, prestatiebevorderende middelen en nieuwe psychoactieve stoffen aangeboden.

De ontmanteling van de marktplaats in juni 2025 was het resultaat van een grootschalige internationale operatie, waarbij het BKA nauw samenwerkte met Europol en Eurojust. De vermeende beheerder werd destijds in Barcelona aangehouden en later uitgeleverd aan Duitsland om vervolgd te worden. Dit soort internationale operaties, die gericht zijn op de ontmanteling van criminele activiteiten op het darknet, zijn van groot belang. Nederlandse en Belgische opsporingsdiensten leveren structureel een bijdrage aan dergelijke initiatieven, aangezien de handel via deze markten ook gebruikers in de Benelux rechtstreeks raakt.

Bron: Bundeskriminalamt

Connor Riley Moucka, een 26-jarige inwoner van Kitchener, Ontario, heeft in de federale rechtbank van Seattle schuld bekend aan computerfraude, wire fraud, zware identiteitsdiefstal en een gerelateerde samenzwering. Dit betreft de inbreuken uit 2024 op klantaccounts van cloudopslagprovider Snowflake. De intrusies troffen minstens 165 organisaties en legden gegevens van zeker 100 miljoen mensen bloot. Moucka heeft persoonlijk minstens 495.000 dollar verdiend aan losgeld en de verkoop van gestolen data. Zijn veroordeling staat gepland voor 27 oktober, waarbij hij een verplichte minimumstraf van twee jaar riskeert voor de identiteitsdiefstal en tot 30 jaar voor de overige aanklachten.

De aanvallers kregen toegang door middel van oude, eerder via infostealer malware buitgemaakte wachtwoorden die nooit waren gewijzigd. Bovendien hadden de getroffen accounts multi-factor authenticatie (MFA) uitgeschakeld. Er was geen sprake van een exploit of een kwetsbaarheid in het Snowflake-platform zelf. Het Amerikaanse ministerie van Justitie heeft de getroffen SaaS-provider nooit bij naam genoemd, noch in de aankondiging van woensdag, noch in de aanklacht van oktober 2024. Snowflake en Mandiant hebben het platform in 2024 zelf benoemd.

Aanklagers stelden dat Moucka ten minste één slachtoffer opnieuw heeft gechanteerd, waarbij hij dreigde met verdere openbaarmaking van gestolen gegevens van een overheidsfunctionaris en diens directe familieleden. Ook hierbij noemde het ministerie van Justitie geen namen. W. Mike Herrington, speciale agent van de FBI's Seattle field office, omschreef de tactieken als "berekend en roofzuchtig".

Mandiant, dat samen met Snowflake onderzoek deed en de actor volgt onder de naam UNC5537, ontdekte dat elk onderzocht incident terug te voeren was op klantgegevens die waren gestolen door infostealers. Sommige van deze gegevens waren al in november 2020 buitgemaakt en bleven jaren later nog geldig. Minstens 79,7% van de accounts die de groep gebruikte, had eerder te maken gehad met blootstelling van inloggegevens, en de gecompromitteerde instanties hadden geen netwerk allow lists. De campagne, zo schreef het bedrijf, "is niet het resultaat van bijzonder nieuwe of geavanceerde tools, technieken of procedures." Het succes werd toegeschreven aan de omvang van de infostealer markt en aan inloggegevens die tot wel vier jaar ongewijzigd bleven.

Het aantal van 165 organisaties heeft sinds 2024 een andere betekenis gekregen. Oorspronkelijk was dit het aantal organisaties dat Mandiant en Snowflake als potentieel blootgesteld hadden geïnformeerd; aanklagers gebruiken het nu voor daadwerkelijk gecompromitteerde klanten. De recentste bekendmaking van het ministerie van Justitie geeft geen eenduidig cijfer, waarbij in de tekst wordt gesproken over "meer dan 165 organisaties" terwijl adjunct-procureur-generaal A. Tysen Duva in zijn verklaring "meer dan 150" noemt. De getroffen bedrijven leden meer dan 9,5 miljoen dollar aan daadwerkelijke verliezen, exclusief verliezen voor hun eigen klanten.

Tot de buitgemaakte gegevens behoorden onder andere niet-inhoudelijke bel- en tekstgeschiedenis, salarisadministratiegegevens, Drug Enforcement Administration (DEA) registratienummers, paspoort- en burgerservicenummers. AT&T bevestigde in juli 2024 dat records van gesprekken en sms-berichten van vrijwel al zijn mobiele klanten tussen 1 mei en 31 oktober 2022 waren ontvreemd uit hun werkruimte op een extern cloudplatform.

Van de twee mannen die in 2024 werden aangeklaagd, bevindt alleen Moucka zich in Amerikaanse hechtenis. Medeverdachte John Erin Binns is volgens de update van de rechtbank op 4 augustus nog steeds niet in Amerikaanse hechtenis. Cameron John Wagenius, de voormalige legerofficier die door aanklagers in verband is gebracht met dezelfde intrusies, pleitte in juli 2025 schuldig in een gerelateerde zaak.

Snowflake heeft sinds oktober 2024 multi-factor authenticatie standaard ingeschakeld voor menselijke gebruikers op nieuw aangemaakte accounts. Echter, inloggen met alleen een wachtwoord is nog niet volledig uitgefaseerd. De documentatie van Snowflake, gecontroleerd door The Hacker News op 6 augustus, geeft aan dat de laatste fase tussen augustus en oktober 2026 account per account zal worden uitgerold. Pas dan worden wachtwoorden als enige factor geblokkeerd voor alle resterende menselijke en servicegebruikers. Reader- en proefaccounts zijn hiervan vrijgesteld.

Bron: U.S. Department of Justice

Maksim Silnikau, de oprichter en beheerder van de Ransom Cartel ransomware-operatie, is veroordeeld tot zestien jaar gevangenisstraf. De veertigjarige Wit-Rus kreeg deze straf opgelegd voor zijn rol in ransomware-aanvallen die minstens achttien bedrijven wereldwijd troffen. Het Amerikaanse Ministerie van Justitie (DOJ) maakte vandaag bekend dat Silnikau schuldig is bevonden aan samenzwering tot het plegen van misdrijven tegen de Verenigde Staten, samenzwering tot draadfraude en gekwalificeerde identiteitsdiefstal.

Silnikau was volgens het DOJ al sinds 2005 actief op Russischtalige cybercrimeforums, waar hij de aliassen "J.P. Morgan," "xxx," en "lansky" gebruikte. Tussen 2011 en 2016 was hij tevens lid van de cybercrime-website Direct Connection, die werd gesloten na de arrestatie van de beheerder.

Uit rechtbankdocumenten blijkt dat Silnikau in mei 2021 begon met de ontwikkeling van de Ransom Cartel ransomware-operatie. Hij rekruteerde andere cybercriminelen via ondergrondse forums om deel te nemen aan de aanvallen. Silnikau voorzag hen van informatie en middelen, waaronder gestolen inloggegevens en software voor het versleutelen van computers van slachtoffers.

Daarnaast beheerde Silnikau een affiliate-website. Hier konden leden van de ransomware-operatie aanvallen beheren, communiceren, losgeldeisen onderhandelen en opbrengsten verdelen na een betaling. Tussen 2021 en 2023 vielen Ransom Cartel affiliates ten minste achttien bedrijven wereldwijd aan, waaronder organisaties in Californië, New York en Nebraska. Tijdens deze aanvallen stalen de dreigingsactoren bedrijfsgegevens en eisten betalingen in ruil voor decryptiesleutels of de belofte de gestolen informatie niet te lekken.

Federale aanklagers stelden dat de ransomware-operatie minstens 5,2 miljoen dollar probeerde af te persen. De Verenigde Staten identificeerden meer dan 6,7 miljoen dollar aan geleden verliezen bij de achttien bekende slachtoffers, hoewel het totale bedrag waarschijnlijk hoger was door niet-gemelde aanvallen.

Een voorbeeld van een aanval was in augustus 2022, toen Ransom Cartel de activiteiten van een medische technologie startup, gespecialiseerd in robotchirurgische technologie, twee maanden lang verstoorde. In mei 2023 viel de groep ook infrastructuur aan die werd gebruikt door een groep advocatenkantoren. Dit leidde tot bedrijfsverstoringen van enkele dagen tot meerdere maanden. Eén advocatenkantoor betaalde 125.000 dollar losgeld na bijna een maand verstoring, terwijl een ander bijna een maand staakte voordat het 300.000 dollar losgeld betaalde. De gecombineerde verliezen hiervan bedroegen volgens de aanklagers ongeveer 2,2 miljoen dollar.

Ransom Cartel werd in december 2021 publiekelijk gelanceerd en vertoonde codeovereenkomsten met de REvil ransomware-encryptor. Onderzoekers vermoedden dat de operatie mogelijk was opgezet door een voormalig kernlid van REvil dat geen toegang had tot de volledige broncode, gezien het ontbreken van bepaalde REvil-obfuscatiekenmerken.

Silnikau had naar verluidt een centrale rol in de ransomware-as-a-service-operatie. Hij rekruteerde affiliates, werkte samen met initial access brokers voor toegang tot gecompromitteerde bedrijfsnetwerken, communiceerde met slachtoffers en beheerde losgeldbetalingen. Om het traceren van fondsen door wetshandhavers te bemoeilijken, verzond hij de losgeldbetalingen via cryptocurrency mixers.

Silnikau werd oorspronkelijk op 18 juli 2023 in Spanje gearresteerd als onderdeel van een internationale wetshandhavingsoperatie. Hij vluchtte echter terwijl hij wachtte op uitlevering aan de Verenigde Staten en werd later opnieuw opgepakt toen hij probeerde terug te keren naar Wit-Rusland. "De verdachte ontvluchtte de Spaanse autoriteiten terwijl hij wachtte op uitlevering aan de Verenigde Staten en werd aangehouden toen hij probeerde de grens van Polen naar zijn geboorteland Wit-Rusland over te steken," aldus de aanklagers. Silnikau stemde uiteindelijk in met uitlevering en werd van Polen naar de Verenigde Staten overgebracht voor vervolging in het Eastern District of Virginia.

Bron: U.S. Department of Justice

Bij darkweb monitoring is op 6 augustus 2026 een significante wijziging waargenomen in de domeinstatus van het Russischtalige forum voor cybercriminaliteit XSS. Het domeinregister voor XSS toonde een nieuwe status van blokkade, wat inhoudt dat het domein nu ook is vastgezet. Voorheen stond de status alleen op 'verwijderen en overdragen verboden'.

Een dergelijke vastzetting wordt doorgaans geïnitieerd op verzoek van een registrar of een bevoegde autoriteit. Deze ontwikkeling valt samen met meldingen van het forum zelf over operationele problemen. Het is niet de eerste keer dat het XSS-forum te maken krijgt met ingrijpen van autoriteiten.

In juli 2025 namen Franse autoriteiten en Europol al een eerder domein van het forum over. Dit gebeurde nadat de vermeende beheerder van XSS in Kiev werd aangehouden. Na die actie keerde het forum terug op een nieuw adres.

Voor de meest recente statuswijziging van 6 augustus 2026 is er momenteel geen officiële bevestiging van een opsporingsdienst beschikbaar, en de exacte oorzaak van de vastzetting is nog niet vastgesteld. De blokkade van het domein en de gemelde storingen duiden echter op mogelijke verstoringen van de infrastructuur van dit prominente forum voor cybercriminaliteit.

Bron: Cybercrimeinfo