Het cybercrimeteam van de Amsterdamse politie heeft maandag 23 januari drie mannen aangehouden. Ze worden verdacht van computervredebreuk, datadiefstal, afpersing en witwassen. Door hun werkwijze wisten ze privacygevoelige gegevens van tientallen miljoenen mensen buit te maken.
Dat schrijft de politie in een persverklaring.
Privégegevens tientallen miljoenen slachtoffers gestolen en verhandeld
De hoofdverdachte is een 21-jarige man uit Zandvoort. Zijn medeverdachten zijn een 21-jarige man uit Rotterdam en een 18-jarige man zonder vaste woon- of verblijfplaats. Direct na hun aanhouding mochten de mannen alleen contact hebben met hun advocaat. Om die reden heeft de politie de arrestaties niet eerder aangekondigd.
Voor het begin van deze zaak moeten we terug naar maart 2021. De politie kreeg toen een aangifte van datadiefstal en afdreiging binnen. Daarop startten agenten een onderzoek. Al snel bleek de zaak groter en omvangrijker te zijn dan gedacht. Duizenden kleine en grote bedrijven, zowel in Nederland als daarbuiten, bleken de afgelopen jaren te zijn gehackt. Daarbij werden privacygevoelige gegevens van tientallen miljoenen slachtoffers gestolen en verhandeld.
Hoofdverdachte verdiende de afgelopen jaren 2,5 miljoen euro
De verdachten gingen op geraffineerde wijze te werk. Nadat ze het interne netwerk van hun slachtoffers hadden geïnfiltreerd, schreven ze een intimiderende e-mail waarin ze Bitcoin eisten. Als het slachtoffer niet zou betalen, dreigden de aanvallers de buitgemaakte gegevens openbaar te maken. Of de digitale infrastructuur van het bedrijf te vernielen.
Volgens de politie loopt de financiële schade in de vele miljoenen. Per geval vroegen de cybercriminelen gemiddeld ruim 100.000 euro aan schadevergoeding. Er was één uitschieter waarbij de daders meer dan 700.000 euro eisten. In meerdere gevallen verkochten de daders alsnog de gestolen gegevens, ook al betaalde het slachtoffer het geëiste losgeld. De hoofdverdachte heeft in de afgelopen jaren naar schatting zo’n 2,5 miljoen euro verdiend.
Impact voor getroffen bedrijven is groot
“Als gevolg van deze werkwijze zijn tientallen miljoenen privacygevoelige gegevens van mensen in handen van criminelen gekomen”, schrijft de politie. Het gaat niet alleen om namen, adressen en telefoonnummers. De daders wisten tevens de hand te leggen op geboortedata, bankrekeningnummers, creditcards, wachtwoorden, kentekens, BSN-nummers en paspoortgegevens. Informatie die goud waard is voor criminelen, zo stelt de politie.
De impact voor de getroffen bedrijven en instellingen is groot. Naast financiële schade en imagoschade kregen slachtoffers tevens te maken met kosten om de systemen weer te herstellen. En dan is er nog de emotionele schade. Eén slachtoffer zegt in voortdurende angst te leven, omdat hij bang is dat zijn persoonlijke gegevens alsnog worden verhandeld.
‘Een enorm verdienmodel voor criminelen’
Het cybercrimeteam van de Amsterdamse politie kreeg tijdens het onderzoek hulp van andere politie-eenheden en internationale opsporingsdiensten. Vrijwel in alle sectoren vallen slachtoffers te betreuren: denk aan de horeca, opleidingsinstituten, webshops, softwarebedrijven, sociale media en organisaties die actief zijn in de vitale sector.
“Datadiefstal en datahandel is een enorm verdienmodel voor criminelen. Niet alleen door het afpersen van bedrijven. De buitgemaakte data wordt bewerkt om weer verhandeld te kunnen worden aan andere criminelen”, zegt de politie. De verdachten maakten gebruik van speciale software om de buitgemaakte gegevens te rangschikken voor uiteenlopende doeleinden: van phishing tot babbeltrucs, van helpdeskfraude tot identiteitsfraude. Met zo’n database is het eenvoudig om specifieke slachtoffers te filteren.
Politie arresteerde al eerder een verdachte
Het is niet de eerste keer dat de politie een Nederlander aanhoudt voor hacking en internationale datadiefstal. Voor deze vergrijpen arresteerde agenten in november 2022 een 25-jarige man uit Almere. Hij wordt ervan verdacht persoonsgegevens te hebben gestolen van de Geburen Info Service (GIS), een instantie die kijk- en luistergelden in Oostenrijk int. Vermoedelijk zijn hierdoor privégegevens van alle Oostenrijkers in de handen van criminelen terechtgekomen. Mogelijk is de man een bekende van de drie verdachten waar de politie vandaag openlijk over spreekt.
