Opsporing nieuws

Interpol heeft onlangs bekendgemaakt dat de strijd tegen frauduleuze betalingen wordt geïntensiveerd door middel van een wereldwijd netwerk van wetshandhavingsinstanties en financiële organisaties. Dit initiatief, bekend als het Interpol Global Rapid Intervention of Payments (I-GRIP) mechanisme, is ontworpen om de tijd tussen het melden van fraude en het stoppen van betalingen drastisch te verkorten, nog voordat cybercriminelen de kans krijgen om buitgemaakte gelden op te nemen.

Eerder deze maand onthulde Interpol dat autoriteiten in Singapore en Oman I-GRIP hebben ingezet om een uitbetaling van 6,6 miljoen dollar uit een business email compromise (BEC) scam te blokkeren. Dit was onderdeel van Operatie First Light 2026, een grootschalige actie die onder meer leidde tot het blokkeren van meer dan 31.000 bankrekeningen die gelinkt waren aan fraude. Het mechanisme verbindt nationale wetshandhavingsbureaus in 196 landen met lokale en internationale financiële instellingen, wat de snelheid van verzoeken om fraude te bestrijden aanzienlijk verhoogt.

Tomonobu Kaya, directeur van het Interpol Financial Crime and Anti-Corruption Center, benadrukt het belang van deze samenwerking. Hij stelt dat I-GRIP de operationele verbindingen van Interpol's National Central Bureaus uitbreidt naar financiële instellingen, waardoor een snelle uitwisseling van informatie mogelijk wordt. "Om de effectiviteit van ons stop-betalingsmechanisme te maximaliseren, moeten lidstaten snel en op elk moment kunnen handelen," aldus Kaya, die de 24/7 paraatheid als essentieel beschouwt voor de directe overdracht van informatie.

De verliezen door cybercriminaliteit voor individuen en de winsten voor transnationale criminele organisaties (TCO's) zijn de afgelopen vijf jaar fors gestegen. Naar schatting veroorzaakten TCO's in Zuidoost-Azië in 2025 ongeveer 100 miljard dollar aan schade, met schattingen variërend van 88 miljard tot 114 miljard dollar. Een aanzienlijk deel hiervan betreft directe kosten voor slachtoffers via legitieme en illegale geldtransfers. Soms werken lokale politie en overheidsfunctionarissen zelfs samen met deze criminele syndicaten, waarvan velen door de VS en West-Europese landen zijn gesanctioneerd.

I-GRIP streeft ernaar deze successen voor criminelen moeilijker te maken door verdedigers en financiële instellingen efficiënter te laten samenwerken. Een voorbeeld van het succes van I-GRIP is een gecoördineerde actie in augustus 2024 tussen Singapore en Oost-Timor (Timor Leste). Hierbij werd 40 miljoen dollar aan fondsen onderschept nadat een investeringsmaatschappij een valse aanvraag ontving om de bankgegevens van een leverancier bij te werken. De overdracht werd gestopt, zelfs vier dagen nadat de transactie was geïnitieerd.

Kaya merkt op dat, hoewel er bilaterale overeenkomsten bestaan voor dergelijke samenwerking, I-GRIP zich onderscheidt als de enige wereldwijde, real-time oplossing voor grensoverschrijdende fraudebestrijding. "De echte uitdaging is het waarborgen van onmiddellijke, 24/7 informatie-uitwisseling over de grenzen heen," legt hij uit. "Zonder snelle coördinatie kunnen fraudeurs illegale fondsen wereldwijd in minuten verplaatsen, waardoor slachtoffers weinig hoop op herstel hebben."

Eric Jardine, hoofd onderzoek bij Chainalysis, bevestigt het kritieke belang van snelle transactieblokkering. Hij wijst erop dat programma's voor fraude regelmatig jurisdicties overschrijden, met bankrekeningen in verschillende landen en geldtransfers via niet-bancaire financiële diensten. "Een slachtoffer kan in het ene land zijn, de ontvangende rekening in een ander, het netwerk voor witwassen in een derde, en de scam-operators elders," zegt Jardine. "Een mechanisme dat de tijd tussen detectie en interventie verkort, kan de resultaten materieel verbeteren." De reactietijd is hierbij de belangrijkste factor.

Bron: Interpol

Op 05 augustus 2026 is bekend geworden dat het cybercrimeforum Ramp4u vermoedelijk is gehackt, waarbij een aanzienlijke hoeveelheid gevoelige gebruikersdata is gepubliceerd. De dreigingsactor, bekend onder de naam 'kitta', heeft naar verluidt IP-logs, privéberichten en andere persoonsgegevens van forumleden openbaar gemaakt. De inbreuk dateert van maart 2024.

De gelekte dataset omvat maar liefst 340.333 IP-logboekvermeldingen en data van 7.709 gebruikers, waaronder gebruikersnamen, e-mailadressen, gehashte wachtwoorden met salts, en de eerdergenoemde IP-adressen. Daarnaast zijn 3.875 privéberichten, posts en discussies, registratietijdstippen, tijdstippen van laatste bezoeken, tijdzone-instellingen en accountstatusvlaggen gepubliceerd. Het forum telde ten tijde van de inbreuk 7.784 posts verdeeld over 1.732 discussies.

De meest significante asset in de gelekte informatie is de tabel met IP-logboeken. Hoewel forumleden vaak verbinding maken via VPN's of Tor, is de kans groot dat bij 340.000 logboekvermeldingen minstens één keer een onbeveiligde login heeft plaatsgevonden. Een dergelijke onbeschermde login is voldoende om een schuilnaam te koppelen aan een daadwerkelijk persoon. De ouderdom van de data (maart 2024) doet weinig af aan de attributiewaarde, aangezien dergelijke informatie niet snel veroudert.

De privéberichten versterken de potentiële impact, aangezien operationele onderhandelingen en discussies vaak openhartiger zijn dan openbare posts. Hergebruikte e-mailadressen kunnen worden gecorreleerd met andere datasets, wat verdere identificatie mogelijk maakt. Hoewel enkele voorbeeldgebruikersnamen verwijzen naar bekende ransomwaremerken, bewijst een gekozen schuilnaam op zichzelf geen identiteit.

De status van de claim is momenteel onverifieerd. De gepubliceerde voorbeelden tonen een standaard gebruikerstabel van forumsoftware, wat consistent is met een database-export. De data is ongeveer twee en een half jaar oud en kan mogelijk al eerder privé hebben gecirculeerd voordat deze nu openbaar werd gemaakt. De dreigingsactor die deze data publiceerde, heeft in de afgelopen twee weken ook twee andere, niet-gerelateerde databases gepubliceerd. Onafhankelijke bevestiging van de inbreuk is nog niet verkregen, en de beheerders van het forum zijn niet in een positie om de claim te bevestigen of te ontkennen.

Bron: Cybercrimeinfo

Een blockchainanalist heeft een cluster van digitale portemonnees geïdentificeerd met daarin 28.555 bitcoin, een geschatte waarde van 1,8 miljard dollar. Volgens de analyse zijn deze portemonnees te herleiden naar adressen die eerder in verband werden gebracht met de grootschalige witwaszaak rondom Zhimin Qian. Aanleiding voor deze ontdekking was een specifieke bitcoinportemonnee die sinds 2017 inactief was en onlangs weer in beweging kwam.

De onderliggende strafzaak tegen Zhimin Qian, ook bekend als Yadi Zhang, is bevestigd. Zij werd in november 2025 door de Southwark Crown Court in Londen veroordeeld tot elf jaar en acht maanden gevangenisstraf, nadat zij schuld bekende aan het witwassen van bitcoin. De Metropolitan Police heeft in het kader van deze zaak een recordvangst gedaan van ruim 61.000 bitcoin, wat destijds de grootste cryptovangst ooit in het Verenigd Koninkrijk betrof.

De fraude, die Qian pleegde tussen 2014 en 2017 in China, trof meer dan 128.000 slachtoffers. Velen van hen verloren hun spaargeld en pensioen, met een totaal schadebedrag van ongeveer 600 miljoen pond. Na de fraude vluchtte Qian naar het Verenigd Koninkrijk. Het Britse High Court boog zich in juli 2026 over de vraag welk recht van toepassing is op de inbeslaggenomen bitcoin, waarbij een uitspraak nog wordt afgewacht. De koppeling van het vermeende slapende vermogen aan deze zaak benadrukt de complexiteit van het traceren van illegaal verkregen cryptovaluta.

Bron: Cybercrimeinfo

De Duitse justitie heeft op 3 augustus 2026 een 31-jarige Duitse man aangeklaagd op verdenking van het oprichten en beheren van de darknet marktplaats Archetyp Market. Ten tijde van zijn activiteit was Archetyp Market de grootste handelsplaats ter wereld voor verdovende middelen. De aanklacht, ingediend door het Bundeskriminalamt (BKA) en het openbaar ministerie in Frankfurt, stelt dat de verdachte het platform vanaf juli 2020 heeft beheerd. Vanaf juni 2022 zou hij in georganiseerd verband hebben samengewerkt met minstens twee andere personen.

Over de gehele looptijd van de darknet marktplaats, die in juni 2025 uit de lucht werd gehaald, is voor een geschatte waarde van 330 miljoen euro aan Monero verhandeld. De verdachte zou persoonlijk ongeveer 20 miljoen euro hebben verdiend aan commissies en andere kosten die via het platform werden geheven. Het uitgebreide aanbod op Archetyp Market omvatte een breed scala aan illegale middelen, waaronder cocaïne, heroïne, crystal meth, fentanyl en crack. Daarnaast werden er cannabisproducten, receptgeneesmiddelen, prestatiebevorderende middelen en nieuwe psychoactieve stoffen aangeboden.

De ontmanteling van de marktplaats in juni 2025 was het resultaat van een grootschalige internationale operatie, waarbij het BKA nauw samenwerkte met Europol en Eurojust. De vermeende beheerder werd destijds in Barcelona aangehouden en later uitgeleverd aan Duitsland om vervolgd te worden. Dit soort internationale operaties, die gericht zijn op de ontmanteling van criminele activiteiten op het darknet, zijn van groot belang. Nederlandse en Belgische opsporingsdiensten leveren structureel een bijdrage aan dergelijke initiatieven, aangezien de handel via deze markten ook gebruikers in de Benelux rechtstreeks raakt.

Bron: Bundeskriminalamt

Connor Riley Moucka, een 26-jarige inwoner van Kitchener, Ontario, heeft in de federale rechtbank van Seattle schuld bekend aan computerfraude, wire fraud, zware identiteitsdiefstal en een gerelateerde samenzwering. Dit betreft de inbreuken uit 2024 op klantaccounts van cloudopslagprovider Snowflake. De intrusies troffen minstens 165 organisaties en legden gegevens van zeker 100 miljoen mensen bloot. Moucka heeft persoonlijk minstens 495.000 dollar verdiend aan losgeld en de verkoop van gestolen data. Zijn veroordeling staat gepland voor 27 oktober, waarbij hij een verplichte minimumstraf van twee jaar riskeert voor de identiteitsdiefstal en tot 30 jaar voor de overige aanklachten.

De aanvallers kregen toegang door middel van oude, eerder via infostealer malware buitgemaakte wachtwoorden die nooit waren gewijzigd. Bovendien hadden de getroffen accounts multi-factor authenticatie (MFA) uitgeschakeld. Er was geen sprake van een exploit of een kwetsbaarheid in het Snowflake-platform zelf. Het Amerikaanse ministerie van Justitie heeft de getroffen SaaS-provider nooit bij naam genoemd, noch in de aankondiging van woensdag, noch in de aanklacht van oktober 2024. Snowflake en Mandiant hebben het platform in 2024 zelf benoemd.

Aanklagers stelden dat Moucka ten minste één slachtoffer opnieuw heeft gechanteerd, waarbij hij dreigde met verdere openbaarmaking van gestolen gegevens van een overheidsfunctionaris en diens directe familieleden. Ook hierbij noemde het ministerie van Justitie geen namen. W. Mike Herrington, speciale agent van de FBI's Seattle field office, omschreef de tactieken als "berekend en roofzuchtig".

Mandiant, dat samen met Snowflake onderzoek deed en de actor volgt onder de naam UNC5537, ontdekte dat elk onderzocht incident terug te voeren was op klantgegevens die waren gestolen door infostealers. Sommige van deze gegevens waren al in november 2020 buitgemaakt en bleven jaren later nog geldig. Minstens 79,7% van de accounts die de groep gebruikte, had eerder te maken gehad met blootstelling van inloggegevens, en de gecompromitteerde instanties hadden geen netwerk allow lists. De campagne, zo schreef het bedrijf, "is niet het resultaat van bijzonder nieuwe of geavanceerde tools, technieken of procedures." Het succes werd toegeschreven aan de omvang van de infostealer markt en aan inloggegevens die tot wel vier jaar ongewijzigd bleven.

Het aantal van 165 organisaties heeft sinds 2024 een andere betekenis gekregen. Oorspronkelijk was dit het aantal organisaties dat Mandiant en Snowflake als potentieel blootgesteld hadden geïnformeerd; aanklagers gebruiken het nu voor daadwerkelijk gecompromitteerde klanten. De recentste bekendmaking van het ministerie van Justitie geeft geen eenduidig cijfer, waarbij in de tekst wordt gesproken over "meer dan 165 organisaties" terwijl adjunct-procureur-generaal A. Tysen Duva in zijn verklaring "meer dan 150" noemt. De getroffen bedrijven leden meer dan 9,5 miljoen dollar aan daadwerkelijke verliezen, exclusief verliezen voor hun eigen klanten.

Tot de buitgemaakte gegevens behoorden onder andere niet-inhoudelijke bel- en tekstgeschiedenis, salarisadministratiegegevens, Drug Enforcement Administration (DEA) registratienummers, paspoort- en burgerservicenummers. AT&T bevestigde in juli 2024 dat records van gesprekken en sms-berichten van vrijwel al zijn mobiele klanten tussen 1 mei en 31 oktober 2022 waren ontvreemd uit hun werkruimte op een extern cloudplatform.

Van de twee mannen die in 2024 werden aangeklaagd, bevindt alleen Moucka zich in Amerikaanse hechtenis. Medeverdachte John Erin Binns is volgens de update van de rechtbank op 4 augustus nog steeds niet in Amerikaanse hechtenis. Cameron John Wagenius, de voormalige legerofficier die door aanklagers in verband is gebracht met dezelfde intrusies, pleitte in juli 2025 schuldig in een gerelateerde zaak.

Snowflake heeft sinds oktober 2024 multi-factor authenticatie standaard ingeschakeld voor menselijke gebruikers op nieuw aangemaakte accounts. Echter, inloggen met alleen een wachtwoord is nog niet volledig uitgefaseerd. De documentatie van Snowflake, gecontroleerd door The Hacker News op 6 augustus, geeft aan dat de laatste fase tussen augustus en oktober 2026 account per account zal worden uitgerold. Pas dan worden wachtwoorden als enige factor geblokkeerd voor alle resterende menselijke en servicegebruikers. Reader- en proefaccounts zijn hiervan vrijgesteld.

Bron: U.S. Department of Justice

Maksim Silnikau, de oprichter en beheerder van de Ransom Cartel ransomware-operatie, is veroordeeld tot zestien jaar gevangenisstraf. De veertigjarige Wit-Rus kreeg deze straf opgelegd voor zijn rol in ransomware-aanvallen die minstens achttien bedrijven wereldwijd troffen. Het Amerikaanse Ministerie van Justitie (DOJ) maakte vandaag bekend dat Silnikau schuldig is bevonden aan samenzwering tot het plegen van misdrijven tegen de Verenigde Staten, samenzwering tot draadfraude en gekwalificeerde identiteitsdiefstal.

Silnikau was volgens het DOJ al sinds 2005 actief op Russischtalige cybercrimeforums, waar hij de aliassen "J.P. Morgan," "xxx," en "lansky" gebruikte. Tussen 2011 en 2016 was hij tevens lid van de cybercrime-website Direct Connection, die werd gesloten na de arrestatie van de beheerder.

Uit rechtbankdocumenten blijkt dat Silnikau in mei 2021 begon met de ontwikkeling van de Ransom Cartel ransomware-operatie. Hij rekruteerde andere cybercriminelen via ondergrondse forums om deel te nemen aan de aanvallen. Silnikau voorzag hen van informatie en middelen, waaronder gestolen inloggegevens en software voor het versleutelen van computers van slachtoffers.

Daarnaast beheerde Silnikau een affiliate-website. Hier konden leden van de ransomware-operatie aanvallen beheren, communiceren, losgeldeisen onderhandelen en opbrengsten verdelen na een betaling. Tussen 2021 en 2023 vielen Ransom Cartel affiliates ten minste achttien bedrijven wereldwijd aan, waaronder organisaties in Californië, New York en Nebraska. Tijdens deze aanvallen stalen de dreigingsactoren bedrijfsgegevens en eisten betalingen in ruil voor decryptiesleutels of de belofte de gestolen informatie niet te lekken.

Federale aanklagers stelden dat de ransomware-operatie minstens 5,2 miljoen dollar probeerde af te persen. De Verenigde Staten identificeerden meer dan 6,7 miljoen dollar aan geleden verliezen bij de achttien bekende slachtoffers, hoewel het totale bedrag waarschijnlijk hoger was door niet-gemelde aanvallen.

Een voorbeeld van een aanval was in augustus 2022, toen Ransom Cartel de activiteiten van een medische technologie startup, gespecialiseerd in robotchirurgische technologie, twee maanden lang verstoorde. In mei 2023 viel de groep ook infrastructuur aan die werd gebruikt door een groep advocatenkantoren. Dit leidde tot bedrijfsverstoringen van enkele dagen tot meerdere maanden. Eén advocatenkantoor betaalde 125.000 dollar losgeld na bijna een maand verstoring, terwijl een ander bijna een maand staakte voordat het 300.000 dollar losgeld betaalde. De gecombineerde verliezen hiervan bedroegen volgens de aanklagers ongeveer 2,2 miljoen dollar.

Ransom Cartel werd in december 2021 publiekelijk gelanceerd en vertoonde codeovereenkomsten met de REvil ransomware-encryptor. Onderzoekers vermoedden dat de operatie mogelijk was opgezet door een voormalig kernlid van REvil dat geen toegang had tot de volledige broncode, gezien het ontbreken van bepaalde REvil-obfuscatiekenmerken.

Silnikau had naar verluidt een centrale rol in de ransomware-as-a-service-operatie. Hij rekruteerde affiliates, werkte samen met initial access brokers voor toegang tot gecompromitteerde bedrijfsnetwerken, communiceerde met slachtoffers en beheerde losgeldbetalingen. Om het traceren van fondsen door wetshandhavers te bemoeilijken, verzond hij de losgeldbetalingen via cryptocurrency mixers.

Silnikau werd oorspronkelijk op 18 juli 2023 in Spanje gearresteerd als onderdeel van een internationale wetshandhavingsoperatie. Hij vluchtte echter terwijl hij wachtte op uitlevering aan de Verenigde Staten en werd later opnieuw opgepakt toen hij probeerde terug te keren naar Wit-Rusland. "De verdachte ontvluchtte de Spaanse autoriteiten terwijl hij wachtte op uitlevering aan de Verenigde Staten en werd aangehouden toen hij probeerde de grens van Polen naar zijn geboorteland Wit-Rusland over te steken," aldus de aanklagers. Silnikau stemde uiteindelijk in met uitlevering en werd van Polen naar de Verenigde Staten overgebracht voor vervolging in het Eastern District of Virginia.

Bron: U.S. Department of Justice

Bij darkweb monitoring is op 6 augustus 2026 een significante wijziging waargenomen in de domeinstatus van het Russischtalige forum voor cybercriminaliteit XSS. Het domeinregister voor XSS toonde een nieuwe status van blokkade, wat inhoudt dat het domein nu ook is vastgezet. Voorheen stond de status alleen op 'verwijderen en overdragen verboden'.

Een dergelijke vastzetting wordt doorgaans geïnitieerd op verzoek van een registrar of een bevoegde autoriteit. Deze ontwikkeling valt samen met meldingen van het forum zelf over operationele problemen. Het is niet de eerste keer dat het XSS-forum te maken krijgt met ingrijpen van autoriteiten.

In juli 2025 namen Franse autoriteiten en Europol al een eerder domein van het forum over. Dit gebeurde nadat de vermeende beheerder van XSS in Kiev werd aangehouden. Na die actie keerde het forum terug op een nieuw adres.

Voor de meest recente statuswijziging van 6 augustus 2026 is er momenteel geen officiële bevestiging van een opsporingsdienst beschikbaar, en de exacte oorzaak van de vastzetting is nog niet vastgesteld. De blokkade van het domein en de gemelde storingen duiden echter op mogelijke verstoringen van de infrastructuur van dit prominente forum voor cybercriminaliteit.

Bron: Cybercrimeinfo

Delta Air Lines heeft een onderzoek ingesteld naar een ongeautoriseerd Wi-Fi netwerk dat verscheen aan boord van een vlucht van Las Vegas naar Atlanta. De vlucht vervoerde passagiers die de DEF CON hackerconventie hadden bijgewoond. Het incident, dat zich gisteren voordeed op vlucht 591, had geen gevolgen voor de veiligheid van de passagiers of de operationele systemen van het vliegtuig, zo bevestigde het bedrijf aan BleepingComputer.

Een woordvoerder van Delta verklaarde dat zij zullen samenwerken met federale wetshandhavers en luchtvaarttoezichthouders om een grondig onderzoek te garanderen. Een eerste bevinding is dat een ongeautoriseerd Wi-Fi netwerk, dat niet door Delta werd geleverd, beheerd of aangeboden, korte tijd aan boord van het vliegtuig aanwezig was. Nadat het cabinepersoneel op de hoogte werd gebracht van het ongeautoriseerde draadloze netwerk, werd de Wi-Fi functionaliteit in het vliegtuig gedurende bijna 30 minuten gedeactiveerd.

Volgens online rapporten zouden meerdere passagiers, terugkerend van de DEF CON 34 hackingconferentie, een Wi-Fi deauthentication aanval hebben uitgevoerd tijdens de vlucht. Hierdoor werden andere passagiers van het draadloze in-flight netwerk van het vliegtuig losgekoppeld. Bij een deauthentication aanval ontvangen cliënten die zijn verbonden met een Wi-Fi netwerk vervalste pakketten die afkomstig lijken te zijn van het legitieme toegangspunt, met de instructie om de verbinding te verbreken. Een aanvaller kan draadloos verkeer observeren om het MAC-adres van het toegangspunt te identificeren en vervolgens deauthentication frames vervalsen met het adres van het toegangspunt als bron, om deze naar verbonden cliënten te sturen. Door continu vervalste deauthentication frames te verzenden, kan de aanvaller cliënten herhaaldelijk loskoppelen van het toegangspunt, wat potentieel een denial-of-service situatie veroorzaakt. Netwerken die Protected Management Frames (PMF) gebruiken, kunnen dit type aanval met gespoofte management frames mitigeren. Aanvallers gebruiken deauthentication aanvallen vaak om cliënten te dwingen opnieuw verbinding te maken met een malafide toegangspunt (bijvoorbeeld een evil twin), om verkeer te onderscheppen of doelwitten naar kwaadaardige pagina's te leiden.

Turbine Traveller, een vliegtuigtechnicus uit Nairobi, meldde via berichten die door de bemanning van Delta Air Lines vlucht 591 via het Aircraft Communications Addressing and Reporting System (ACARS) werden verzonden, dat passagiers de Wi-Fi van het vliegtuig konden jammen en een malafide netwerk genaamd "Delta WiFi Fast" konden uitzenden. De bemanning vermoedde dat men probeerde andere passagiers op te lichten. Mary Perrault, een lid van online frequent flyer groepen zonder formele connectie met Delta Air Lines, stelde dat het valse Wi-Fi netwerk een phishing pagina toonde die persoonlijke aanmeldgegevens en aanmeldgegevens voor Google verzamelde.

Na het aanmeren van het vliegtuig aan de gate, gingen federale autoriteiten en luchthavenpolitie aan boord om de verdachten te ondervragen en hun draagbare Wi-Fi hardware in beslag te nemen, aldus Perrault. De verdachten zouden de DEF CON 34 hackerconferentie in Las Vegas hebben bijgewoond. De woordvoerder van Delta Air Lines bevestigde dat het vliegtuig een Boeing 757 was met zes bemanningsleden en 199 passagiers, en dat er geen noodsituatie was uitgeroepen bij de luchtverkeersleiding.

Bron: Delta Air Lines

Het Openbaar Ministerie (OM) heeft straffen geëist tegen de ouders van een destijds 14-jarige en later 15-jarige zoon, die zij verdachten van criminele uitbuiting en witwassen, waaronder een gevangenisstraf voor de vader en een werkstraf voor de moeder. De ouders, die zich op 11 augustus 2026 voor de rechter moesten verantwoorden, zouden hun zoon hebben aangezet tot en geprofiteerd van diens online oplichtingspraktijken, waarbij hij aanzienlijke bedragen aan cryptovaluta wist te bemachtigen.

De zaak kwam aan het licht in april 2023, toen de jongen in beeld kwam als verdachte in een dreiging met een schoolshooting. Uit verder onderzoek bleek dat de zoon zich ook schuldig maakte aan online oplichting, waarmee hij veel geld 'verdiende'. WhatsApp-gesprekken toonden aan dat de vader zijn zoon actief aanmoedigde en onder druk zette om online geld te genereren, met opmerkingen als "Maak geld" en "Nee, eerst moet je 120k hebben als ik dat zie dan bestellen". Het OM stelde dat de vader de zoon medeverantwoordelijk maakte voor de gezinskas, aangezien de vader geen baan had en de moeder weinig verdiende.

De officier van justitie benadrukte tijdens de zitting dat de zoon de "geldboom van de familie" was die bleef leveren. Het OM acht bewezen dat de vader misbruik maakte van de afhankelijkheidsrelatie met zijn zoon om hem strafbare feiten te laten plegen, wat valt onder criminele uitbuiting. De zoon verklaarde dat hij bijna al het verdiende geld aan zijn vader gaf en door hem werd aangestuurd om achter de computer geld te verdienen.

Beide ouders worden tevens verdacht van witwassen. Het gezin, met een legaal inkomen van €40.000,- per jaar, had geen ruimte voor dergelijke uitgaven. Grote bedragen aan cryptovaluta werden overgemaakt naar de rekening van de vader, die een deel doorsluisde naar de moeder. De ouders beweerden dat zij dachten dat de zoon het geld verdiende met online games, een verklaring die het OM als ongeloofwaardig beschouwde gezien de omvang van de inkomsten en de vele uren die de zoon online actief was. Het OM stelde dat er sprake was van ouderverantwoordelijkheid en dat het verhaal op zijn minst gecheckt had moeten worden.

De vader wordt verdacht van het witwassen van een totaalbedrag van €127.031,88. De moeder wordt verdacht van het witwassen van €54.335,- en €1927,01. Hoewel de moeder ook spullen van haar zoon vroeg en op de hoogte was van de ongemelde inkomsten, achtte het OM haar rol in de uitbuiting van de zoon niet bewezen en vroeg vrijspraak voor dat deel van de aanklacht.

Bron: Openbaar Ministerie

Twee jongemannen uit de Belgische plaatsen Harelbeke en Dentergem, respectievelijk 20 en 23 jaar oud, zijn door de rechter veroordeeld voor hun betrokkenheid bij een geval van bankhelpdeskfraude. Door hun handelen verloor een vrouw uit Harelbeke een bedrag van 3.500 euro. De rechtbank stelde vast dat de veroordeelden niet degenen waren die de oplichting of het daadwerkelijke hacken uitvoerden. Hun cruciale rol in het criminele plan was het beschikbaar stellen van hun persoonlijke bankrekeningen aan een georganiseerde bende. Via deze rekeningen kon het frauduleus verkregen geld van het slachtoffer door de bendeleden worden opgenomen. Deze zaak illustreert een veelvoorkomende modus operandi binnen bankhelpdeskfraude, waarbij individuen worden gerekruteerd om hun bankrekeningen te laten misbruiken voor het witwassen van gestolen gelden. De veroordeling van deze twee mannen benadrukt de juridische aansprakelijkheid van personen die hun medewerking verlenen aan dergelijke frauduleuze praktijken, zelfs wanneer zij niet de primaire uitvoerders van de oplichting zijn.

Bron: Het Nieuwsblad

Een 56-jarige vrouw uit Doornik is door de rechtbank van Veurne veroordeeld tot een celstraf van twee jaar voor oplichting en informaticabedrog. Zij was betrokken bij een bende die tussen april 2023 en mei 2025 zeker vijftig slachtoffers maakte in diverse Belgische plaatsen, waaronder Oostende, Roeselare, Middelkerke, Knokke-Heist en Kortemark. De procureur sprak van een "golf van oplichtingsdossiers met telkens dezelfde modus operandi".

De oplichters benaderden hun slachtoffers via het online platform Marketplace, waar deze personen goederen te koop aanboden. De bende bood steevast de vraagprijs en stelde vervolgens voor dat een koerierdienst, in dit geval GLS, de spullen zou komen ophalen. Hierop ontvingen de slachtoffers een valse e-mail, zogenaamd van GLS, met het verzoek om op een link te klikken en enkele persoonlijke gegevens in te vullen. Via WhatsApp werden de slachtoffers vervolgens verder gemanipuleerd om via hun bankkaart transacties te regelen, die in werkelijkheid aankopen door de oplichters betroffen. Op deze manier konden de daders geld van de rekeningen van hun slachtoffers afhalen of gebruiken voor eigen aankopen.

Hoewel de veroordeelde vrouw en een medeverdachte niet direct betrokken waren bij het opzetten van de valse accounts, stelden zij wel hun bankrekeningen, telefoonnummers, IP-adressen en leveringsadressen ter beschikking van de bende. De 56-jarige vrouw verklaarde dat zij misleid zou zijn door iemand op wie ze online verliefd was geworden. Echter, uit het dossier bleek dat zij wel degelijk op de hoogte was van de oplichtingspraktijken. Zij werd bij verstek veroordeeld tot twee jaar gevangenisstraf en moet een schadevergoeding van 35.000 euro betalen. Daarnaast werd 10.000 euro verbeurd verklaard.

Een tweede beklaagde, een 77-jarige vrouw, had naar eigen zeggen online gezocht naar manieren om snel aan geld te komen vanwege ernstige schulden. Zij kocht in opdracht van de bende aanzienlijke hoeveelheden paysafecards en nam duizenden euro's contant op. Deze vrouw werd vrijgesproken van oplichting, maar kreeg wel een celstraf van tien maanden voor witwaspraktijken.

Bron: VRT NWS

De rechtbank Amsterdam heeft op 11 augustus 2026 een 29-jarige man veroordeeld voor het samen met anderen oplichten van veertien kopers van Pomeriaanse pups. De man bood de dieren aan via Marktplaats en deed zich daarbij voor als professionele verkoper van gezonde pups.

In zijn advertenties stelde hij dat de pups gezond waren, vrij van ziektes, ingeent en ouder dan zij in werkelijkheid waren. Als bewijs kregen kopers dierenpaspoorten met valse vaccinatiestickers. Kort na de aankoop bleek dat vaak niet te kloppen, waardoor kopers hoge kosten bij de dierenarts maakten en een aantal honden overleed.

De man haalde de pups uit Bulgarije en verkocht ze in Nederland van juli 2021 tot en met oktober 2023. Vanaf februari 2022 ontving Stichting House of Animals Foundation meldingen over een hondenhandelaar die kopers oplichtte en regels over dierenwelzijn overtrad. Ondanks klachten van kopers en een confrontatie door de politie bleef de man op dezelfde manier handelen. De rechtbank leidt daaruit af dat hij deze misleidende werkwijze vanaf het eerste moment gebruikte om de koopprijs voor de pups te krijgen.

De rechtbank acht ook bewezen dat de man opzettelijk vervalste dierenpaspoorten gebruikte. Hij verklaarde de paspoorten zelf altijd te bekijken, waardoor hij de onjuiste vaccinatiedata gezien moet hebben. Sommige van die data lagen zelfs in de toekomst. Daarnaast is de man veroordeeld voor witwassen en voor het onthouden van de nodige zorg aan de dieren.

De opgelegde straf bestaat uit een taakstraf van 240 uur en een gevangenisstraf van 180 dagen, waarvan 176 dagen voorwaardelijk. Ook mag de man vijf jaar lang geen dieren houden.

Bron: Rechtbank Amsterdam

Op 15 augustus 2026 zijn vier cybercriminelen gearresteerd in Brazilië, terwijl drie anderen in Europa zijn aangeklaagd. Zij worden verdacht van het misbruiken van een kwetsbaarheid bij een serviceprovider, waardoor zij ongeautoriseerd geld konden opnemen van bankrekeningen van klanten van Commerzbank. Deze grootschalige fraude, die in november 2023 gedurende vier dagen plaatsvond, leidde tot een verlies van ongeveer 30 miljoen euro.

Het onderzoek werd gezamenlijk uitgevoerd door de Braziliaanse Federale Politie en de Duitse Bundeskriminalamt (BKA). Hoewel de autoriteiten de getroffen Duitse financiële instelling niet expliciet noemden, identificeerden Braziliaanse media deze als Commerzbank, een belangrijke Europese bank met een jaarlijkse omzet van meer dan 11,1 miljard euro. Commerzbank heeft bevestigd dat haar klanten zijn getroffen door frauduleuze activiteiten, maar benadrukte dat de klanten zelf geen financieel verlies hebben geleden. De bank heeft nauw samengewerkt met de autoriteiten.

Volgens de Duitse autoriteiten werd de kwetsbaarheid veroorzaakt door een defecte software-update in het betalings- en transactieverwerkingssysteem van een financiële instelling. De aanvallers initieerden in november 2023 talrijke ongeoorloofde afschrijvingen van diverse Duitse online bankrekeningen. De gestolen gelden werden vervolgens naar Brazilië doorgesluisd via een uitgebreid netwerk dat was opgezet om de herkomst te verbergen. Het grootste deel van de fondsen werd in Brazilië opgenomen, terwijl een kleiner deel in vier Europese landen werd verzilverd.

De politie heeft nog eens drie verdachten in Europa geïdentificeerd, die door wetshandhavingsinstanties in Spanje en Bulgarije zullen worden vervolgd. Onderzoekers ontdekten dat de aanvallers de opbrengsten van de fraude verplaatsten en verborgen via doorstroomrekeningen, bedrijven, betalingsinstellingen, virtuele-activa-platforms en betaalkaarten die zonder toestemming van de begunstigden waren uitgegeven.

Gisteren lanceerde de Braziliaanse Federale Politie "Operatie Klonen", met ondersteuning van de Duitse BKA. Tijdens deze operatie werden 21 huiszoekings- en inbeslagnamebevelen uitgevoerd in zeven steden in Brazilië. Dit resulteerde in de arrestatie van vier verdachten op grond van preventieve hechtenisbevelen in Rio de Janeiro, Guarulhos, Goiânia en Carapicuíba. Braziliaanse autoriteiten hebben vastgesteld dat een van de verdachten in 2024 kandidaat was voor een politiek ambt en een deel van de illegale fondsen gebruikte om diens politieke campagne te financieren. Een Braziliaanse federale rechtbank heeft ook de inbeslagname bevolen van financiële activa, voertuigen en onroerend goed ter waarde van maximaal 106 miljoen Braziliaanse real (ongeveer 22,4 miljoen dollar). De gearresteerde verdachten worden geconfronteerd met aanklachten wegens gekwalificeerde diefstal door elektronische fraude, deelname aan een criminele organisatie en witwassen van geld.

Bron: Braziliaanse Federale Politie

De Franse belastingdienst, de Direction Générale des Finances Publiques (DGFiP), heeft bevestigd dat haar informatiesystemen zijn gecompromitteerd en dat data van individuen en bedrijven is geëxtraheerd. Het Franse Ministerie van Economie meldde donderdagavond laat dat een aanvaller eind juni ongeautoriseerde toegang verkreeg tot de systemen van de DGFiP. Dit gebeurde na het stelen of misbruiken van iemands identiteit.

De intrusie stelde de aanvaller in staat om "data van individuen en bedrijven te bekijken en te extraheren", aldus het ministerie. De ongeautoriseerde toegang werd eind juni gedetecteerd en afgesloten. Het incident kwam pas deze week publiekelijk naar buiten nadat een hacker de verantwoordelijkheid opeiste, wat de belastingdienst ertoe aanzette om aanvullende restricties in te voeren om verdere ongeautoriseerde toegang te voorkomen.

De autoriteiten zijn momenteel bezig met het precieze vaststellen van welke informatie is benaderd of gestolen en hoeveel individuen en bedrijven zijn getroffen. De DGFiP heeft aangegeven dat personen wier data is gecompromitteerd individueel zullen worden gecontacteerd. Zij zullen worden geïnformeerd over welke informatie mogelijk is blootgesteld en welke voorzorgsmaatregelen zij moeten nemen. De instantie zal ook de Franse gegevensbeschermingsautoriteit op de hoogte stellen, een strafrechtelijke klacht indienen en verdere informatie verstrekken naarmate het onderzoek vordert.

FrenchBreaches, een website die datalekken in Frankrijk bijhoudt, meldde dat de aanval werd geclaimd door een hacker met de alias ZeroBytes. De hacker beweerde data te hebben verkregen van meer dan 600.000 mensen, waaronder namen, andere persoonlijke informatie, belastingidentificatienummers, e-mailadressen, familieomstandigheden en details over hun belastingstatus. De claim en de authenticiteit van de vermeend gestolen data zijn nog niet onafhankelijk geverifieerd.

Volgens FrenchBreaches beweerde de hacker toegang te hebben verkregen tot interne servers, waardoor zij verbinding konden maken met het VPN van de instantie en een intern hulpmiddel konden gebruiken om informatie over individuen en bedrijven te zoeken. De aanvaller stelde dat zij begonnen met het stelen van data voordat hun toegang werd afgesloten. De DGFiP heeft de inbreuk nog niet publiekelijk toegeschreven aan een specifieke dreigingsactor of de claims van de hacker bevestigd.

Dit incident is het meest recente datalek dat dit jaar een Franse overheidsinstantie treft. In april werden de website van de Franse Nationale Dienst voor Veilige Documenten (ANTS), die aanvragen voor paspoorten, identiteitskaarten, verblijfsvergunningen en rijbewijzen afhandelt, en een systeem van het Ministerie van Onderwijs getroffen. In februari werd ook een deel van het Nationale Bankrekeningenbestand, een database met gegevens van bankrekeningen in Frankrijk, gecompromitteerd. Dit incident legde informatie bloot die gekoppeld was aan ongeveer 1,2 miljoen rekeningen. Franse autoriteiten hebben eerder dit jaar een 20-jarige man gearresteerd die verdacht werd van tientallen datalekken bij overheidsinstanties, sportfederaties en private bedrijven.

Bron: Franse Ministerie van Economie

De 27-jarige Cameron Curry uit North Carolina, ook bekend onder het alias Loot, is veroordeeld tot twee jaar gevangenisstraf voor een afpersingscampagne tegen zijn voormalige werkgever Brightly Software, een dochterbedrijf van Siemens.

Curry werkte als ingehuurd data analist bij het bedrijf. Nadat hij vernam dat zijn contract van zes maanden niet zou worden verlengd, stal hij gevoelige bedrijfsinformatie. Een dag na het einde van zijn contract op 10 december 2023 begon hij een afpersingscampagne. Tussen 11 december 2023 en 24 januari 2024 stuurde hij tientallen werknemers e-mails met een eis van 2,5 miljoen dollar in cryptovaluta. Hij dreigde salarisgegevens te lekken en het bedrijf aan te geven bij de Amerikaanse beurswaakhond SEC wegens het niet melden van een datalek, en waarschuwde dat zijn eis maandelijks met 100.000 dollar zou stijgen als er niet werd betaald.

De gestolen gegevens omvatten salarisinformatie, bedrijfsgegevens en persoonlijke informatie van werknemers, waaronder namen, geboortedata, thuisadressen en beloningsgegevens. Het bedrijf betaalde 7.540 dollar in bitcoin voordat het de zaak meldde bij justitie. De FBI doorzocht op 24 januari 2024 de woning van Curry en nam elektronische apparaten in beslag die hem aan de zaak koppelden. Curry werd in maart 2026 schuldig bevonden.

Bron: US Department of Justice

Het Amerikaanse ministerie van Justitie heeft op 18 augustus 2026 een aanvullende aanklacht met veertien punten openbaar gemaakt tegen zeventien Iraanse verdachten. De groep wordt ervan beschuldigd jarenlang te hebben ingebroken bij talloze universiteiten, bedrijven en overheidsdiensten wereldwijd. Deze grootschalige cyberdiefstalcampagne zou zijn uitgevoerd in opdracht van de Islamitische Revolutionaire Garde en andere Iraanse opdrachtgevers. De verdachten worden in verband gebracht met het in Iran gevestigde Mabna Institute.

Volgens de aanklacht drongen de verdachten binnen bij een aanzienlijk aantal instellingen. Het betreft 144 universiteiten in de Verenigde Staten en 178 universiteiten in andere landen. Daarnaast werden minstens 42 Amerikaanse bedrijven en 11 buitenlandse bedrijven getroffen. Ook minstens vijf federale en statelijke overheidsdiensten, evenals twee maatschappelijke organisaties, waren het doelwit. In totaal zou meer dan 31 terabyte aan academische data en intellectueel eigendom zijn buitgemaakt tijdens de operatie.

De gestolen onderzoeksgegevens en inloggegevens werden naar verluidt doorverkocht via twee in Iran gevestigde websites. Deze websites staan in directe verbinding met een van de verdachten, wat de georganiseerde aard van de diefstal onderstreept. De huidige aanklacht is een uitbreiding van een eerdere zaak uit 2018, waarin reeds negen verdachten werden genoemd. Met deze aanvulling zijn er nu acht namen aan de lijst toegevoegd, wat het totale aantal verdachten op zeventien brengt.

Momenteel zijn vijf van de zeventien verdachten nog voortvluchtig. Het Amerikaanse programma Rewards for Justice heeft een beloning van maximaal tien miljoen dollar uitgeloofd voor informatie die kan leiden tot hun verblijfplaats en arrestatie.

Deze campagne richtte zich uitdrukkelijk ook op universiteiten buiten de Verenigde Staten, waaronder Europese instellingen. Dit maakt de zaak ook relevant voor Nederland en België. Onderzoeksinstellingen wereldwijd zijn een aantrekkelijk doelwit voor dergelijke aanvallen, omdat zij waardevol onderzoek bewaren en tegelijkertijd een open infrastructuur moeten handhaven voor internationale samenwerking. De diefstal van dergelijke data kan aanzienlijke economische en strategische gevolgen hebben voor de getroffen landen en sectoren.

Bron: Cybercrimeinfo

De Verenigde Staten hebben zeventien Iraniërs aangeklaagd, die verdacht worden van lidmaatschap van het hackbedrijf Mabna Institute. Zij zouden betrokken zijn bij jarenlange operaties die leidden tot de diefstal van data van Amerikaanse organisaties. Negen van de beklaagden werden eerder in maart 2018 al aangeklaagd voor het hacken van meer dan driehonderd universiteiten en privébedrijven. Het Amerikaanse Ministerie van Justitie (DoJ) heeft tevens beloningen tot tien miljoen dollar uitgeloofd voor informatie die leidt tot de verblijfplaats van vijf van de zeventien Iraanse verdachten.

Volgens de Amerikaanse regering hebben de recent aangeklaagde acht individuen academisch onderzoek, intellectueel eigendom, e-mails en andere bedrijfseigen informatie gestolen. Het DoJ stelt dat de genoemde Iraniërs betrokken waren bij cyberoperaties ten behoeve van de Islamitische Revolutionaire Garde (IRGC) van de Islamitische Republiek Iran, andere Iraanse overheidsinstanties, universiteiten en betalende klanten. Onder de aangeklaagden bevinden zich Saeid Houshyar, Behzad Mesri (ook bekend als "Skote Vahshat"), Manouchehr Hashemloo, Keyvan Fayaz (ook bekend als "Achilles", "The Joker" en "bc.monster"), Amir Barati, Saber Shahbazi Ballojeh, Arman Kahzadian en Mojtaba Galekuhi (ook bekend als "Mojtaba Ghaleh Koui").

U.S. Attorney Jamie McDonald verklaarde dat deze aanklachten, die acht extra verdachten omvatten, het bredere netwerk onthullen dat vermoedelijk achter een grootschalige, door de staat gesteunde campagne zit om onderzoek en intellectueel eigendom te stelen van Amerikaanse universiteiten, bedrijven en overheidsinstellingen. McDonald benadrukte dat de tijd de autoriteiten er niet van zal weerhouden om degenen te identificeren en te vervolgen die de Verenigde Staten vanuit het buitenland aanvallen, meer dan acht jaar na de eerste openbare aanklacht.

De operatie zou rond 2013 zijn begonnen en richtte zich op de accounts van meer dan honderdduizend professoren wereldwijd, waarvan ongeveer achtduizend succesvol werden gecompromitteerd. Met toegang tot deze accounts hebben de hackers naar verluidt 31,5 terabyte aan academische data gestolen, waaronder wetenschappelijke tijdschriften, scripties, proefschriften, e-boeken en onderzoek uit tal van disciplines, met een geschatte waarde van ongeveer 3,4 miljard dollar. Deze activiteit heeft 178 universiteiten getroffen, waarvan 144 in de VS, ten minste 53 privébedrijven, waarvan 42 in de VS, twee NGO's en ten minste tien Amerikaanse staatsinstanties. Een van de slachtoffers die in de aankondiging werd genoemd, was HBO, dat naar verluidt werd afgeperst voor zes miljoen dollar aan Bitcoin.

De verdachten staan nu terecht voor samenzwering tot computerinbraak, bankfraude, ongeoorloofde toegang voor financieel gewin en gekwalificeerde identiteitsdiefstal, wat kan leiden tot maximale gevangenisstraffen van twintig jaar. Het Ministerie van Buitenlandse Zaken heeft tevens beloningen tot tien miljoen dollar aangekondigd voor informatie die leidt tot de verblijfplaats van Behzad Mesri, Mojtaba Galekuhi, Arman Kahzadian, Keyvan Fayaz en Saber Shahbazi Ballojeh. Een Tor-link is beschikbaar gesteld voor anonieme meldingen. Alle verdachten worden als onschuldig beschouwd totdat hun schuld in een rechtbank is bewezen.

Bron: U.S. Department of Justice

Het Openbaar Ministerie (OM) Limburg heeft op 19 augustus 2026 een celstraf van zes jaar geëist tegen een 26-jarige man uit Roermond. De man wordt verdacht van betrokkenheid bij bankhelpdeskfraude en de criminele uitbuiting van een 17-jarige minderjarige, die hij inzette om strafbare feiten te plegen.

Bij bankhelpdeskfraude benaderen daders slachtoffers onder valse voorwendselen, zich voordoend als bankmedewerkers. Door middel van een babbeltruc worden slachtoffers overgehaald om geld over te maken, toegang te verlenen tot hun bankrekening, of zelfs hun pinpas en pincode af te staan.

Uit onderzoek is gebleken dat de verdachte de minderjarige tussen juli en september 2024 twaalf keer heeft vervoerd naar slachtoffers van deze fraude. De jongen moest hier pinpassen, contant geld en sieraden ophalen, en vervolgens geld opnemen met de buitgemaakte passen. De minderjarige ontving hiervoor 50 euro per keer, terwijl de daadwerkelijke buit veel hoger was. De officier van justitie benadrukte ter zitting dat het financieel voordeel behalen uit criminele activiteiten verricht door minderjarigen neerkomt op uitbuiting, en dat dit ook het oogmerk van de verdachte was.

De verdachte zou betrokken zijn geweest bij twintig gevallen van bankhelpdeskfraude, uitgevoerd door zogenaamde nepagenten. In twee van deze gevallen waren de daders niet succesvol. In alle incidenten stuurde de verdachte de minderjarige naar de deuren van de slachtoffers. De jongen moest zich voordoen als bankmedewerker en de slachtoffers overtuigen om hun pinpas, pincode en waardevolle spullen af te geven. Daarna moest hij met de verkregen pinpassen pinnen en het buitgemaakte geld en goederen afdragen. De minderjarige is inmiddels onherroepelijk veroordeeld voor zijn rol in twaalf van de dertien aangiftes.

De financiële schade voor de slachtoffers varieerde. In de meeste gevallen werd 500 tot 2000 euro gestolen, maar er waren ook uitschieters. Zo werden bedragen van 500 euro en 13.500 euro aan sieraden, en 2000 euro en 15.000 euro aan sieraden buitgemaakt. De officier van justitie beschreef de feiten als "nare, brutale" daden, waarbij veelal kwetsbare ouderen het slachtoffer werden. De verdachten toonden volgens het OM geen enkel berouw en waren enkel gericht op snel en veel geld verdienen ten koste van goedgelovige slachtoffers.

Het Openbaar Ministerie ziet de verdachte als een onmisbare schakel tussen de personen die aan de deuren van de slachtoffers verschenen en degenen die via telefoongesprekken de slachtoffers overhaalden tot afgifte van waardevolle spullen. De officier stelde dat de verdachte een substantiële materiële bijdrage heeft geleverd aan de delicten. Als verzwarende omstandigheid werd aangevoerd dat de verdachte in het verleden al diverse keren is veroordeeld voor misdrijven, waaronder vermogensdelicten, en hier kennelijk geen lering uit heeft getrokken. De nu ten laste gelegde feiten werden zelfs gepleegd tijdens een lopende proeftijd en terwijl de verdachte een enkelband droeg.

Op basis van al deze omstandigheden eist het OM een gevangenisstraf van zes jaar, met aftrek van de voorlopige hechtenis. Tevens wordt geëist dat het door de verdachte verdiende geld wordt afgepakt, middels onttrokken beslag of toegewezen schadevergoedingen. De rechter zal over twee weken uitspraak doen in deze zaak.

Bron: Openbaar Ministerie

De Amerikaanse autoriteiten hebben 17 personen aangeklaagd die worden verdacht van een omvangrijke hackcampagne, gelieerd aan het Iraanse leger. De aanklachten, onthuld door het Amerikaanse ministerie van Justitie (DOJ), betreffen cyberaanvallen die sinds 2013 gericht waren op overheidsinstanties, universiteiten en bedrijven wereldwijd. De verdachten zouden namens het Islamic Revolutionary Guard Corps (IRGC) hebben geopereerd via een Iraans bedrijf genaamd het Mabna Institute.

Tot de slachtoffers behoren het Amerikaanse ministerie van Arbeid, de Federal Energy Regulatory Commission en diverse organisaties van de Verenigde Naties, waaronder UNICEF. Ook staatsinstanties in Hawaï en Indiana, 144 Amerikaanse universiteiten en 42 Amerikaanse bedrijven werden getroffen. Internationaal werden 178 buitenlandse universiteiten en minstens 11 buitenlandse bedrijven doelwit van de operatie.

De hackers kregen toegang tot e-mailaccounts van medewerkers en professoren, waarbij ze gestolen inloggegevens gebruikten. Ze worden ervan beschuldigd minstens 31 terabytes aan informatie en intellectueel eigendom te hebben gestolen, waaronder academische tijdschriften, scripties, proefschriften en e-boeken. Deze gegevens werden vervolgens aan de Iraanse overheid geleverd en via twee websites verkocht aan Iraanse universiteiten. Eén van deze websites stelde klanten in Iran in staat om via gestolen professoraccounts toegang te krijgen tot de online bibliotheeksystemen van meerdere Amerikaanse universiteiten. De getroffen universiteiten hebben naar schatting 20 miljoen dollar uitgegeven aan onderzoek en herstel na de inbraken.

Acht van de aangeklaagde personen waren reeds in 2018 in staat van beschuldiging gesteld voor hun vermeende betrokkenheid bij een eerdere hackcampagne. De Amerikaanse minister van Buitenlandse Zaken heeft een beloning van 10 miljoen dollar uitgeloofd voor informatie die leidt tot de aanhouding van Behzad Mesri, Mojtaba Galekuhi, Arman Kahzadian, Keyvan Fayaz en Saber Shahbazi Ballojeh. Zij worden ervan verdacht in dienst te zijn geweest van, of gecontracteerd te zijn door het Mabna Institute om cyberinbraken uit te voeren. Behzad Mesri werd eerder aangeklaagd voor een aanval op mediabedrijf HBO, waarbij hij naar verluidt 6 miljoen dollar probeerde af te persen.

Deze aanklachten komen te midden van een reeks eerdere beschuldigingen aan het adres van Iraanse actoren voor diverse cyberaanvallen, waaronder campagnes tegen waterzuiveringssystemen in minstens twaalf Amerikaanse staten, een prominent medisch hulpmiddelenbedrijf en de persoonlijke e-mailaccount van de FBI-directeur. Vorig jaar bood het Amerikaanse ministerie van Buitenlandse Zaken ook een beloning van 10 miljoen dollar aan voor informatie over de Iraanse hackers achter CyberAv3ngers, een groep die in 2023 en 2024 bekendheid verwierf door cyberaanvallen op Amerikaanse en Israëlische waterbedrijven.

Bron: U.S. Department of Justice

In een doorlopend onderzoek naar de grootschalige diefstal van bitcoins uit Coldcard hardwareportemonnees, hebben onderzoekers een belangrijk nieuw spoor ontdekt. Onderzoekers van Block hebben vastgesteld dat de verantwoordelijke partij achter een significante golf van diefstallen een betaald account gebruikte bij een vooraanstaande leverancier van blockchaindata. Dit account werd ingezet om de kwetsbare portemonnees te identificeren voordat deze werden leeggehaald.

De interne logboeken van deze dataleverancier vertonen een opmerkelijke overeenkomst met het aantal, de tijdstippen en de chronologische volgorde van de opvragingen rond de periode van de diefstal. Block heeft de gedetailleerde informatie over dit account overgedragen aan de relevante autoriteiten, wat de opsporing van de dader aanzienlijk kan bespoedigen.

In de aanvankelijke golf van diefstallen werd 1.082,65 bitcoin buitgemaakt uit kwetsbare portemonnees, dit alles binnen ongeveer eenenveertig minuten. Deze gestolen bitcoins zijn tot op heden vrijwel niet verplaatst, wat de kans op recuperatie mogelijk vergroot. Het totale bevestigde verlies, verspreid over meerdere golven, overstijgt de 1.700 bitcoin.

Alex Thorn van Galaxy Research heeft aangegeven dat de identiteit van de dader mogelijk al bekend is bij de opsporingsdiensten. Er is echter nog geen publieke bevestiging van de FBI over een identificatie, aanhouding of vervolging, noch is er bitcoin teruggevonden. De diefstal werd gefaciliteerd door een fout in de toevalsgenerator van de Coldcard-firmware uit 2021, waardoor voorspelbare sleutels werden gegenereerd. De ontdekking dat een betaald account bruikbaar bewijsmateriaal oplevert, onderstreept dat zelfs bij transacties op een openbare blockchain een administratief spoor wordt achtergelaten.

Bron: Cybercrimeinfo

Wetshandhavingsinstanties wereldwijd kampen met aanzienlijke uitdagingen bij de bestrijding van cybercriminaliteit, voornamelijk door een gebrek aan adequate training, financiering en prioriteitstelling. Deze problematiek, hoewel belicht met voorbeelden uit de Verenigde Staten, is universeel en geldt evenzeer voor politieorganisaties in Nederland en België. Elk hedendaags onderzoek bevat een cybercomponent, en functionarissen moeten de basisbeginselen van het beveiligen van digitaal bewijs begrijpen, stelt Justin Miller, universitair hoofddocent cyberstudies aan de Universiteit van Tulsa en voormalig speciaal agent van de U.S. Secret Service.

Een concreet incident in Texas illustreert de risico's, want malware verspreidde zich ongemerkt via een wetshandhavingssysteem, verborgen in bodycam beelden. Deze beelden werden door politieagenten geüpload naar de afdelingsserver en vervolgens gedeeld met districtsfunctionarissen, aanklagers en advocaten. Naarmate de gecompromitteerde video door de commandostructuur reisde, nam het gevaar van het blootstellen van zeer gevoelige gegevens toe. Dit benadrukt dat de aanschaf van technologie, zoals bodycams, onverwachte cyberbeveiligingsrisico's met zich mee kan brengen die hogere trainingskosten vereisen dan aanvankelijk gedacht.

Hoewel het National Computer Forensics Institute (NCFI) waardevolle training biedt aan staats- en lokale wetshandhavers, aanklagers en rechters, blijft langetermijnfinanciering een hardnekkig probleem. Miller, die van 2019 tot 2022 deel uitmaakte van de NCFI training, legt uit dat initiële apparatuur vaak wordt gefinancierd, maar na vijf of zes jaar zijn de kosten voor upgrades en onderhoud voor rekening van de politiediensten zelf, wat vaak wordt onderschat. De training richt zich op essentiële vaardigheden zoals het plaatsen van bewijs in signaalblokkerende Faraday tassen en het vastleggen van vluchtig geheugen (RAM) van computers, om te voorkomen dat cruciale gegevens verloren gaan door het uitschakelen van systemen. Zelfs de kosten voor Faraday tassen, die honderden dollars kunnen bedragen, vormen een financiële drempel. Onverwachte uitgaven, zoals de last van gegevensopslag en de zorg dat aangeschafte apparatuur al gecompromitteerd is, komen voortdurend naar voren bij het opzetten van cyberoperaties of een cyberbewuste afdeling.

Naast financiering is ook de focus een belangrijke barrière, stelt Cynthia Kaiser, SVP van Halcyon's ransomware research center en voormalig adjunct-directeur cyber van de FBI. Wetshandhavingsinstanties hebben niet alleen geld nodig voor training, maar ook beleidsmakers die bereid zijn cyberbeveiliging tot een prioriteit te maken en dit door het systeem te drukken. Zonder steun van leiderschap is vooruitgang moeilijk, vooral nu cybercriminaliteit exponentieel groeit.

Kaiser waarschuwt dat de huidige cultuur, waarbij lokale wetshandhavers zaken doorschuiven naar de FBI als ze geen technisch geschoold personeel hebben, onhoudbaar is. Het Internet Crime Complaint Center ontvangt dagelijks ongeveer 3.000 of meer meldingen, waardoor de FBI moeite heeft om alle potentiële of reële dreigingen bij te houden. Veel slachtoffers in Amerika blijven hierdoor verstoken van hulp. Het is daarom cruciaal om lokale wetshandhavingsinstanties beter op te leiden in cyberbeveiliging, zodat zij als een "force multiplier" kunnen fungeren.

Bron: University of Tulsa

Op 20 augustus 2020 heeft de politie van Lier, België, een 18-jarige jongeman gearresteerd op verdenking van poging tot oplichting van een ouder koppel. De jongeman werd opgepakt nadat hij in de nabijheid van de woning van de 80'ers was waargenomen, vermoedelijk met de intentie om bankkaarten, codes en goud op te halen. Deze items waren het beoogde resultaat van misleidende telefoongesprekken die eerder met het koppel waren gevoerd.

De werkwijze van de oplichters omvatte het benaderen van oudere personen via de vaste telefoonlijn. Zij deden zich voor als functionarissen van een bank, een verzekeringsmaatschappij of de politie. De slachtoffers werden gewaarschuwd voor vermeende verdachte transacties op hun bankrekeningen. Een 86-jarige man uit Lier ontving dinsdag driemaal een dergelijke oproep. De beller instrueerde hem om zijn bankkaarten en de bijbehorende pincodes in een envelop te stoppen en eveneens zijn goud en juwelen klaar te leggen.

De man vertrouwde de situatie echter niet en schakelde de politie in. Na elk verdacht telefoontje voerde de lokale politie van Lier observaties uit in de omgeving van de woning van het oudere koppel. Tijdens deze observaties werd de 18-jarige jongeman opgemerkt, die door een taxi in de buurt was afgezet. Bij zijn aanhouding kon de verdachte geen coherente verklaring afleggen over zijn aanwezigheid, wat leidde tot zijn formele arrestatie. De jongeman blijkt reeds bekend te zijn bij de autoriteiten voor soortgelijke feiten van oplichting of pogingen daartoe. De onderzoeksrechter heeft hem inmiddels aangehouden.

Karen Vervoort, woordvoerder van de politie van Lier, benadrukt de noodzaak van waakzaamheid, vooral voor oudere personen die gebruikmaken van een vaste telefoonlijn. Zij stelt dat oplichters zich vaak richten op deze kwetsbare demografie, mede omdat hun persoonlijke gegevens, zoals namen, adressen en vaste telefoonnummers, circuleren op basis van verouderde lijsten. Vervoort waarschuwt expliciet dat echte politieagenten, vertegenwoordigers van verzekeringsmaatschappijen, bankmedewerkers of medewerkers van Card Stop nooit aan de deur komen om bankkaarten of codes op te halen. De politie roept de bevolking op om ouders, grootouders en oudere buren die geen mobiele telefoon hebben, te informeren over deze frauduleuze praktijken en hen te adviseren uiterst voorzichtig te zijn met ongevraagde telefoontjes.

Bron: VRT NWS

Het Nederlands Forensisch Instituut (NFI) is erin geslaagd een Google Pixel-telefoon van een verdachte in een strafzaak te openen. Dit werd op 20 augustus 2026 bekendgemaakt door het Openbaar Ministerie (OM) tijdens een tussentijdse zitting. Deze doorbraak stelt onderzoekers in staat om toegang te krijgen tot beeldmateriaal en gesprekken die op het toestel stonden.

Het Openbaar Ministerie heeft tevens laten weten te verwachten dat het NFI ook de toestellen van twee andere verdachten in dezelfde zaak zal kunnen openen. De specifieke versie van het besturingssysteem van de geopende Google Pixel is niet openbaar gemaakt. De inhoudelijke details van de strafzaak zelf vallen buiten deze berichtgeving, aangezien deze ter beoordeling van de rechter zijn.

Voor professionals in de cybersecuritysector is vooral de technische implicatie van deze ontwikkeling van belang. Toestellen uit de Google Pixel-reeks staan bekend om hun relatief hoge beveiligingsniveau en worden daarom vaak aanbevolen voor gebruikers die veel waarde hechten aan afscherming van hun gegevens. Het feit dat een forensische dienst nu toch toegang heeft kunnen verkrijgen, onderstreept dat de beveiliging van mobiele telefoons geen statische eigenschap is. Het is eerder een voortdurende wedloop, waarbij de mogelijkheden voor toegang en afscherming per toestel, per softwareversie en per moment kunnen verschillen. Dit incident illustreert de dynamiek in de strijd tussen beveiliging en forensische toegang.

Bron: Cybercrimeinfo

De Amerikaanse justitie heeft de 21-jarige Jay Sunilbharthi Goswami aangeklaagd voor zijn vermeende rol als geldezel in een fraudezaak. Volgens de strafklacht haalden deelnemers contant geld en goud op bij oudere slachtoffers die via internet en telefoon waren misleid. Negen slachtoffers in New York en New Jersey verloren samen ongeveer 7,56 miljoen dollar.

De strafklacht stelt dat Goswami op ten minste negen momenten geld of goud heeft opgehaald of hielp ophalen. Onderzoekers koppelen ook meer dan 90.000 dollar aan contante stortingen aan zijn vermeende vergoeding. Na een eerste vrijlating onder voorwaarden stak hij volgens justitie de grens met Canada over. Canadese autoriteiten namen hem daarna in Toronto in bewaring en de Verenigde Staten vragen om uitlevering.

Een aanklacht is geen veroordeling. Goswami geldt als onschuldig zolang zijn schuld niet in rechte is vastgesteld.

Bron: United States Department of Justice

In een omvangrijke internationale operatie, genaamd "Operation Jackal IV", hebben wetshandhavingsinstanties uit 22 landen samengewerkt om cybercriminele netwerken te ontmantelen die gecoördineerd werden door West-Afrikaanse criminele groeperingen. De actie, die plaatsvond tussen november 2025 en juni 2026, heeft geleid tot de identificatie van 263 verdachten en de arrestatie van 58 individuen. De operatie richtte zich specifiek op het Black Axe cybercrimesyndicaat, dat bekendstaat om zijn wereldwijde betrokkenheid bij financiële fraude.

De criminele ringen zoals Black Axe richten zich voornamelijk op slachtoffers via romantische oplichting, fraude met cryptovaluta en beleggingsfraude, en Business Email Compromise (BEC) fraude. Daarnaast zijn deze groeperingen ook in verband gebracht met gewelddadige misdrijven.

Tijdens Operation Jackal IV hebben de Argentijnse autoriteiten 17 arrestaties verricht en 196 verdachten gekoppeld aan een omvangrijk Crime-as-a-Service netwerk. Dit netwerk voorzag West-Afrikaanse georganiseerde misdaadgroepen van webdomeinen en ondersteuning bij het witwassen van geld. In Zuid-Afrika werden 39 personen gearresteerd, 257 bankrekeningen geblokkeerd en 2,67 miljoen dollar in beslag genomen. Deze actie was gericht tegen een crimineel syndicaat dat gepensioneerden in Engelstalige landen viseerde met beleggingsfraude en romantische oplichting.

De Roemeense politie arresteerde elf verdachten die deel uitmaakten van een criminele groep die een callcenter exploiteerde. Via dit callcenter werden slachtoffers gelokt met beloftes van hoge rendementen op aandelen of cryptovaluta, om hen vervolgens te betrekken bij geavanceerde beleggingsfraude. Italiaanse autoriteiten identificeerden één verdachte die gelinkt was aan een pan-Europees netwerk voor het witwassen van geld, dat gebruikmaakte van lege vennootschappen, overboekingsdiensten en contante opnames.

INTERPOL benadrukt dat daders vaak minderjarigen benaderen via sociale media, hun vertrouwen winnen en hen dwingen om expliciete beelden of video's te delen. Vervolgens dreigen ze dit materiaal te verspreiden onder de contacten van het slachtoffer, tenzij er losgeld wordt betaald. Sommige van deze criminele syndicaten kochten ook Crime-as-a-Service diensten in bij externe providers, vaak via het dark web, om essentiële activiteiten zoals het witwassen van geld en andere kritieke operaties uit te besteden.

Deze operatie volgt op eerdere succesvolle acties. Tussen 8 december en 30 januari arresteerden Afrikaanse autoriteiten al 651 verdachten in "Operation Red Card 2.0", een andere door INTERPOL gecoördineerde politieactie die zestien landen omvatte. In juli kondigde INTERPOL ook de arrestatie aan van 5.811 verdachten en de inbeslagname van 293 miljoen dollar aan illegaal vermogen tijdens "Operation First Light 2026", een wereldwijde antifraudeoperatie waarbij onderzoekers uit 97 landen betrokken waren.

Bron: INTERPOL

De Amerikaanse Federal Bureau of Investigation (FBI) en het Department of Justice (DoJ) hebben twee hackplatforms, genaamd QScan en QTRouter, in beslag genomen. Deze platforms werden gebruikt door een groep die gelinkt is aan China om cyberaanvallen te verbergen en kritieke infrastructuur in de Verenigde Staten aan te vallen. Deze operatie benadrukt de trend dat statelijk gesponsorde actoren niet langer alle onderdelen van een aanval zelf ontwikkelen, maar gebruikmaken van gedeelde scangereedschappen, gecompromitteerde apparaten, commerciële proxydiensten en gehuurde servers.

De Amerikaanse autoriteiten schrijven de activiteiten toe aan een groep die bekendstaat als QTFY. Deze groep opereerde naar verluidt via het in China gevestigde bedrijf Nanjing Xinjiuwei Network Technology Company. Volgens het Department of Justice bood de groep hackdiensten aan betalende klanten, waaronder het Chinese Ministerie van Staatsveiligheid en het Volksbevrijdingsleger.

De in beslag genomen platforms, QScan en QTRouter, werden ingezet tegen diverse gevoelige netwerken en kritieke infrastructuur in de VS, waaronder NASA, de Federal Reserve, de ministeries van Energie, Justitie en Volksgezondheid en Human Services, de National Institutes of Health en de Amerikaanse Senaat. Deze doelwitten waren geen willekeurige resultaten van een brede scan, maar specifieke, strategische doelen.

QScan had als taak het internet af te speuren naar kwetsbare apparaten en automatisch duizenden blootgestelde Internet of Things (IoT) apparaten te infecteren. Deze gecompromitteerde routers, camera's, huishoudelijke apparaten en andere verbonden systemen werden vervolgens toegevoegd aan QTRouter. QTRouter functioneerde als een proxynetwerk dat kwaadaardig verkeer door systemen buiten China leidde. Deze aanpak bemoeilijkt de attributie van aanvallen en maakt het blokkeren ervan complexer, aangezien slachtoffers een aanval kunnen waarnemen die afkomstig lijkt te zijn van een lokale router, een legitieme commerciële proxy of een virtuele privéserver die in een ander land is gehuurd. Het blokkeren van verkeer op basis van land of IP-adres wordt hierdoor veel minder effectief.

De inbeslagname betrof niet slechts het offline halen van een website. De in beslag genomen domeinen waren vastgeprogrammeerd in de malware van QScan en QTRouter en werden gebruikt voor cruciale functies zoals authenticatie en commandovoering en controle (C2) communicatie. Door via een gerechtelijk bevel controle te krijgen over deze domeinen, maakte de FBI de malwareplatforms onbruikbaar. Dit illustreert een effectieve technische verstoring die verder gaat dan enkel attributie.

Lumen's Black Lotus Labs beschreef de groep als een "digitale kwartiermaker", wat betekent dat zij infrastructuur en diensten leverden die meerdere gelijktijdige operaties konden ondersteunen. De operaties van deze kwartiermaker tonen de hoge mate van industrialisatie binnen de Chinese cyberoperaties. Door over te stappen van gefragmenteerde, ad-hoc opstellingen naar gedeelde multi-tenant utility netwerken, kunnen statelijk gesponsorde actoren complexe campagnes met een hoge mate van anonimiteit en snelheid op mondiale schaal uitvoeren.

De groep exploiteerde zowel oude als recent onthulde kwetsbaarheden in veelgebruikte producten, waaronder Fortinet SSL-VPN, Citrix ADC, Microsoft Exchange, F5 BIG-IP, Apache Log4j, Atlassian Confluence, Check Point gateways, CrushFTP, Ivanti appliances en BeyondTrust Remote Support. De aanvalsketen omvatte ook webshells en remote access trojans.

Bron: U.S. Department of Justice

Het Openbaar Ministerie (OM) heeft woensdag bij de rechtbank Limburg een gevangenisstraf van vier jaar geëist, waarvan één jaar voorwaardelijk met een proeftijd van twee jaar, tegen een 52-jarige man uit Sevenum. De man staat terecht voor het verspreiden, verwerven en bezit van kinderporno over een langere periode. Volgens het OM heeft de verdachte in chatgesprekken schokkende uitspraken gedaan over sadomasochistisch gedrag ten opzichte van jonge kinderen. Deze activiteiten zouden al eerder dan 2016 zijn begonnen, maar in ieder geval vanaf 1 januari 2018 tot begin 2025 hebben plaatsgevonden.

Tijdens een doorzoeking op 23 januari 2025 in het huis en het bedrijf van de verdachte werden diverse digitale gegevensdragers, waaronder zijn telefoon, in beslag genomen. Het OM benadrukt dat de verdachte, ondanks een politiebevel om geen bewijs te verwijderen, onderweg naar huis diverse applicaties van zijn telefoon heeft gewist. Daarnaast verklaarde hij later dat hij een USB-stick en een externe harde schijf in een prullenbak op een station had gegooid. Het OM stelt dat de verdachte aanzienlijke inspanningen heeft geleverd om bewijs te vernietigen, waardoor de politie geen volledig beeld heeft kunnen krijgen van de omvang van zijn activiteiten. De officier van justitie merkte op dat de tenlastelegging waarschijnlijk slechts het topje van de ijsberg vertegenwoordigt.

Op de in beslag genomen digitale gegevensdragers zijn ruim 120 kinderpornografische afbeeldingen aangetroffen. Veel van de afgebeelde kinderen worden geschat tussen de zes en twaalf jaar oud, maar er werden ook foto's van baby's en peuters gevonden. In chats met gelijkgestemden gaf de verdachte aan reeds dertig jaar pedoseksuele gevoelens te hebben en actief te zijn met kinderpornografie. Hij heeft het verspreiden, verwerven en bezit van kinderporno bekend en verklaarde zeer actief te zijn geweest op het darkweb, waar hij spanning zocht en een manier vond om met stress om te gaan, voortkomend uit de oprichting van zijn bedrijf in 2019.

Deskundigen hebben bij de man een autismespectrumstoornis vastgesteld en adviseren rekening te houden met verminderde toerekeningsvatbaarheid. Het OM acht dit echter moeilijk te rijmen met het feit dat deze intelligente man, die succesvol was in de maatschappij, een sociaal leven en een gezin had, minstens zeven jaar lang actief was in de wereld van extreme kinderporno. De officier van justitie acht de verwijzing naar stress ongeloofwaardig en merkt op dat de verdachte zelf het lage recidiverisico tegenspreekt door aan te geven dat hij tevergeefs tweemaal heeft geprobeerd zijn gedrag te stoppen. Het OM benadrukt dat een krachtig signaal in de vorm van een gevangenisstraf de enige passende reactie is, gezien het belang van de bescherming van de lichamelijke en seksuele integriteit van minderjarigen. De rechtbank zal op 9 september uitspraak doen in deze zaak.

Bron: Openbaar Ministerie

De Amerikaanse federale recherche (FBI) en het ministerie van Justitie hebben recentelijk een gezamenlijke actie uitgevoerd waarbij domeinen zijn ingenomen die geassocieerd worden met twee hackplatforms gelinkt aan China: QScan en QTRouter. Deze platforms werden naar verluidt ingezet om diverse Amerikaanse entiteiten te viseren, waaronder de National Aeronautics and Space Administration (NASA), federale overheidsinstanties, kritieke infrastructuur en gevoelige netwerken.

Uit rechtbankdocumenten, vrijgegeven in het Zuidelijke District van Californië, blijkt dat de infrastructuur verbonden is met een door de staat gesponsorde groep van de Volksrepubliek China, bekend als QTFY. Deze groep opereert vermoedelijk vanuit Nanjing Xinjiuwei Network Technology Company, een bedrijf gevestigd in China dat naar verluidt hackdiensten leverde aan klanten, waaronder het Chinese Ministerie van Staatsveiligheid en het Volksbevrijdingsleger.

Onder de slachtoffers die in het onderzoek worden genoemd, bevinden zich naast NASA ook de Federal Reserve, het Department of Energy, het Department of Justice, het Department of Health and Human Services, de National Institutes of Health en de Amerikaanse Senaat.

QScan en QTRouter werkten naar verluidt samen om een netwerk voor verkeersversluiering op te bouwen en te exploiteren, dat de oorsprong van kwaadaardige activiteiten verborgen hield. QScan scande het internet op kwetsbare Internet of Things (IoT)-apparaten en infecteerde deze automatisch. De gecompromitteerde apparaten werden vervolgens opgenomen in het QTRouter-netwerk. QTRouter combineerde geïnfecteerde IoT-apparaten met commerciële proxydiensten en gehuurde virtuele privés servers. Deze opzet stelde QTFY-operators en andere gebruikers in staat om kwaadaardig verkeer te routeren via systemen buiten China, waardoor aanvallen afkomstig leken te zijn van gecompromitteerde apparaten in andere landen, of zelfs van systemen dicht bij het doelnetwerk.

Het ministerie van Justitie heeft aangegeven dat de in beslag genomen domeinen vast waren gecodeerd in de QScan- en QTRouter-malware. Deze domeinen ondersteunden essentiële malwarefuncties, zoals communicatie en authenticatie. Door deze domeinen via door de rechtbank geautoriseerde inbeslagnames over te nemen, hebben onderzoekers de platforms onbruikbaar gemaakt. Procureur-generaal Todd Blanche benadrukte dat de Verenigde Staten alle beschikbare middelen zullen inzetten om door de staat gesponsorde hackers te stoppen die zich richten op kritieke infrastructuur. FBI-directeur Kash Patel omschreef de actie als de verstoring van een wereldwijd botnet en hackplatform dat door Chinese staatsactoren werd gebruikt om de oorsprong van hun aanvallen te verbergen.

Deze operatie is een voortzetting van een reeks technische acties van de VS tegen infrastructuur gelinkt aan de Volksrepubliek China. In 2025 verwijderde de FBI PlugX-surveillance-malware van meer dan 4.000 geïnfecteerde Amerikaanse computers in een operatie gelinkt aan Mustang Panda. In 2024 verstoorden autoriteiten een groot IoT-botnet dat vermoedelijk werd beheerd door Flax Typhoon. Een jaar eerder ontmantelde de FBI de Volt Typhoon-infrastructuur die werd gebruikt om aanvallen op Amerikaanse en buitenlandse kritieke infrastructuur te verbergen.

Naast de verstoring hebben de FBI en de National Security Agency (NSA) een cybersecurityadvies uitgebracht met indicatoren van compromis die geassocieerd worden met QTFY-activiteit, daterend van ten minste 2018. Lumen Technologies' Black Lotus Labs publiceerde eveneens technisch onderzoek dat het infrastructuurgerichte staatsfacilitatiemodel van de groep beschrijft. De zaak onderstreept het voortdurende gebruik van onbeveiligde IoT-apparaten, proxynetwerken en gehuurde virtuele servers als hulpmiddelen voor ontwijking van attributie. Organisaties wordt geadviseerd de nieuw vrijgegeven indicatoren te bekijken, uitgaand verkeer te monitoren op ongebruikelijk proxygedrag, blootgestelde apparaten te patchen en onnodige internettoegang voor IoT-systemen te beperken.

Bron: U.S. Department of Justice

De Australische Federale Politie (AFP) heeft twee mannen uit West-Australië aangeklaagd voor in totaal veertien overtredingen. Zij worden verdacht van betrokkenheid bij TeamPCP, de cybercriminele groep die in maart 2026 verantwoordelijk was voor de compromittering van de open-source beveiligingsscanners Trivy en Checkmarx KICS, en de AI-gateway LiteLLM.

Louis Michael Gaebler (23) en Ruben Ian Thomson (21) verschenen op 27 augustus 2026 voor de rechtbank in Perth. Dit gebeurde een dag nadat de AFP en de politie van West-Australië (WAPF) huiszoekingsbevelen uitvoerden in woningen in Cottesloe, Hamilton Hill en Mandurah, waarbij elektronische apparaten in beslag werden genomen voor forensisch onderzoek. De politie beweert dat de twee mannen de hoofddaders waren binnen het syndicaat en betalingen in cryptovaluta ontvingen, waarvan de waarde nog wordt onderzocht.

Volgens Brett E. Leatherman, assistent-directeur van de Cyber Division van de Federal Bureau of Investigation (FBI), zijn de twee mannen vermoedelijk lid van TeamPCP. Hun kwaadaardige code zou potentieel meer dan duizend organisaties wereldwijd hebben gecompromitteerd. De FBI adviseerde in een waarschuwing van 2 juli organisaties die door de campagne zijn getroffen, om geëxfiltreerde data en inloggegevens als een aanhoudend risico te beschouwen, omdat gelieerde dreigingsactoren deze waarschijnlijk lang na de initiële compromittering zullen misbruiken. Het advies omvatte het roteren van alle continuous integration en continuous delivery (CI/CD) geheimen, publishing tokens en cloud-inloggegevens die toegankelijk waren tijdens de blootstellingsperiodes.

De 21-jarige man uit Cottesloe is aangeklaagd voor het bezit van data met de intentie tot het plegen van een computermisdrijf, vier aanklachten van ongeoorloofde wijziging van data met de intentie tot het plegen van een ernstig misdrijf, het leveren van data met de intentie tot het plegen van een computermisdrijf, het niet voldoen aan een sectie 3LA-bevel, en het omgaan met opbrengsten van misdaad ter waarde van $100.000 of meer. De 23-jarige man uit Mandurah is aangeklaagd voor het bezit van data met intentie, vier aanklachten van ongeoorloofde wijziging van data met de intentie tot het plegen van een ernstig misdrijf, en het leveren van data met de intentie tot het plegen van een computermisdrijf. De sectie 3LA-aanklacht, onder de Crimes Act 1914 (Cth), kent een maximale straf van tien jaar gevangenisstraf, en de aanklacht voor criminele opbrengsten een maximum van twintig jaar. Geen van de veertien aanklachten noemt een specifiek gecompromitteerd project.

Het syndicaat opereerde door publishing credentials te stelen van betrouwbare open-source projecten en vergiftigde versies via de eigen distributiekanalen van de projecten te verspreiden. De campagne strekte zich uit over vijf distributie-ecosystemen: GitHub Actions, Docker Hub, npm, PyPI en OpenVSX. De compromittering van één project leverde de inloggegevens op die dagen later werden gebruikt tegen de Checkmarx KICS actions. De build-pipeline van LiteLLM installeerde Trivy zonder deze vast te pinnen op een geverifieerde versie. De vergiftigde scanner nam vervolgens de publishing token van het project over. De aanvallers gebruikten die token om eind maart de achterdeur-releases van LiteLLM te verspreiden. LiteLLM leidt verzoeken om via grote taalmodellen (LLM) providers en bevindt zich op een punt waar de provider-sleutels van een organisatie zijn geconsolideerd.

De AFP stelde dat de kwaadaardige code potentieel meer dan duizend organisaties wereldwijd heeft gecompromitteerd, de diefstal van meer dan 500.000 inloggegevens mogelijk maakte en leidde tot de exfiltratie van minstens 300 gigabytes aan data. Unit 42 publiceerde in maart dezelfde twee cijfers, met de kanttekening dat de actor dit "mogelijk heeft geëxfiltreerd". CloudSEK en Hudson Rock publiceerden de blootstellingscijfers voor augustus van dezelfde campagne. CloudSEK schatte de gereconstrueerde blootstelling op meer dan 2.500 organisaties en ongeveer 434.000 CI/CD-pipelines. Hudson Rock schreef 118.829 CI runner dumps toe aan 2.488 bedrijfsdomeinen uit een archief van 153 GB aan geëxfiltreerde data van de aanvallers. CloudSEK merkte op dat diefstal van inloggegevens geen bewijs is dat een bedrijf succesvol is gecompromitteerd, en het bevestigde aantal slachtoffers bedraagt zestien organisaties die TeamPCP eind maart op zijn lekwebsite publiceerde.

StepSecurity's analyse van de CloudSEK-dataset toonde aan dat GitLab met 1.064 organisaties de meest getroffen platforms leidde, gevolgd door GitHub Actions met 618, Azure DevOps met 233, Jenkins met 105, Bitbucket Pipelines met 94 en CircleCI met 15. The Hacker News bevestigde op 27 augustus via PyPI dat de twee kwaadaardige LiteLLM-builds niet langer in de releasegeschiedenis van het pakket voorkomen, maar dat beide vijf maanden na verwijdering uit de index nog steeds HTTP 200 teruggeven van PyPI's content delivery network op hun directe pakket-URL's.

Infrastructuur die aan TeamPCP is gekoppeld, is terug te voeren tot 2020, zo stelde Oligo Security in een rapport van 5 augustus. Zij leggen een verband tussen de groep en activiteiten die eerder werden gevolgd als TA-NATALSTATUS en IronErn, door overlappende domeinen, malware-implementatiepaden, staging-technieken en backend-infrastructuur. Of deze continuïteit een rebranding, een gedeelde groep operators of nauwe samenwerking tussen historisch gerelateerde actoren weerspiegelt, kan niet met 100% zekerheid worden vastgesteld, aldus Oligo. De groep heeft het wormframework dat werd gebruikt in de Mini Shai-Hulud-campagne op 12 mei 2026 als open-source vrijgegeven op GitHub. Een nieuwe npm-golf met dezelfde toolkit vergiftigde op 4 augustus 2026 de keyvandcacheable-pakketten. Socket meldde dat de zelfidentificerende markers die het sample aan een benoemde campagne zouden koppelen, niet zijn teruggevonden. De FBI-waarschuwing noemt tpcp-docs en docs-tpcp als de repositorynamen die de worm creëert met gestolen inloggegevens, en adviseert verdedigers om hun organisaties op beide te doorzoeken en alle GitHub Actions-workflows vast te pinnen op geverifieerde commit SHA-hashes in plaats van zwevende versie-tags.

Bron: Australian Federal Police

Autoriteiten wereldwijd hebben recentelijk diverse succesvolle operaties uitgevoerd tegen cybercrimenetwerken en actoren die zich richten op de toeleveringsketen. Een belangrijke actie was Operation Jackal IV, gecoördineerd door INTERPOL in 22 landen, wat leidde tot de arrestatie van 58 personen en de identificatie van meer dan 200 verdachten. Deze individuen worden gelinkt aan West-Afrikaanse cybercrimenetwerken, waaronder het Black Axe-syndicaat, dat verantwoordelijk is voor wereldwijde romance-, investerings- en Business Email Compromise (BEC)-fraude. Daarnaast hebben wetshandhavingsinstanties in Zuid-Afrika, Argentinië en Roemenië belangrijke Crime-as-a-Service (CaaS)-aanbieders ontmanteld, waarbij miljoenen dollars aan illegale financiële activa werden bevroren.

In een afzonderlijke operatie hebben de FBI en het Amerikaanse ministerie van Justitie (DoJ) de wereldwijde QScan- en QTRouter-hackplatforms verstoord. Deze platforms werden beheerd door dreigingsactoren die door de Chinese staat werden gesponsord. De groep QTFY, die directe banden onderhoudt met de Chinese militaire en inlichtingendiensten, gebruikte gecompromitteerde IoT-botnets om cyberspionageverkeer te maskeren. Dit verkeer was gericht op kritieke Amerikaanse netwerken, waaronder de Federal Reserve en NASA. Wetshandhavers slaagden erin de kern command-and-control (C2)-domeinen in beslag te nemen die in de kwaadaardige frameworks waren vastgelegd.

Het Amerikaanse ministerie van Financiën lanceerde Operation Economic Outcast, waarbij ingrijpende sancties werden opgelegd aan vijf leden van het Mabna Institute en bijna 60 entiteiten met banden met Iran. Onder leiding van het Iraanse Ministerie van Inlichtingen en Veiligheid (MOIS) hebben deze aanvallers meerdere Amerikaanse organisaties voor kritieke infrastructuur, deelstaatregeringen en defensieaannemers geïnfiltreerd. Ze exfiltreerden datasets en voerden grote diefstallen van cryptovaluta uit. De betrokken staatsgesponsorde actoren zijn nu federaal aangeklaagd en er is een beloning van 10 miljoen dollar uitgeloofd voor informatie die leidt tot hun arrestatie.

De Australische Federale Politie (AFP) heeft twee personen gearresteerd en aangeklaagd voor hun leidende rol in TeamPCP, een cybercrimesyndicaat. Deze groep compromitteerde systematisch vertrouwde open source projecten, waaronder Trivy, Checkmarx KICS en LiteLLM. Dit gebeurde door het stelen van ontwikkelaarsreferenties en het distribueren van software-updates met backdoors via belangrijke distributiekanalen van het ecosysteem. Deze grootschalige campagne via de softwareleveringsketen heeft mogelijk organisaties wereldwijd gecompromitteerd en de ongeoorloofde diefstal van honderdduizenden inloggegevens gefaciliteerd.

Naast deze opsporingssuccessen is er ook een nieuwe dreiging opgedoken: 'NovaCookies'. Onderzoeksbureaus hebben details bekendgemaakt over dit phishingplatform op abonnementsbasis. NovaCookies richt zich systematisch op bedrijfsnetwerken om geauthenticeerde Microsoft 365-sessies te stelen. Het platform opereert als een Adversary-in-the-Middle (AitM)-proxy en wordt op Telegram aangeboden voor 320 dollar per maand. De campagnes hebben honderden organisaties gecompromitteerd in verschillende landen, waaronder de VS, het Verenigd Koninkrijk, Duitsland en de VAE. Aanvallers verspreiden nagemaakte lokmiddelen voor het delen van documenten binnen legitieme DocuSign-meldingen. Deze meldingen, die afkomstig zijn van legitieme servers, omzeilen standaard controles van afzenderauthenticatie en reputatiefilters. De malafide link is ingebed in het gedeelde document, onder de inspectielaag van de meeste beveiligingsgateways. Na een klik maakt de aanval gebruik van een OAuth-foutomleidingstechniek om de browser via legitieme Microsoft- of Google-eindpunten te leiden, voordat het verkeer naar de phishing-infrastructuur wordt omgeleid. Deze overgang zorgt ervoor dat elke tussenstap betrouwbaar lijkt totdat de gebruiker de proxy bereikt. NovaCookies is een variant van het Sneaky2FA-platform, dat opereert volgens een centraal beheerd model waarbij de operator de infrastructuur host in plaats van individuele aangeslotenen. De kit biedt op maat gemaakte flows die gericht zijn op veelvoorkomende identiteitsproviders.

Bron: SentinelOne