Odido waarschuwt voor datalek (cyberaanval/hack)

[ernstoud]

A.Haag2001 schreef op dinsdag 29 september 2026 @ 17:31:
Was al wel een tijdje bekend dat Pepijn van der S hier achter zou zitten toch?

[ Voor 2% gewijzigd door F_J_K op 29-09-2026 19:13 ]

[Wim1147]

Het AD heeft weer eens een scoop. Verslaggever Sebastiaan ontdekte, volgens het artikel, de link tussen de heftige inval en ‘Shinyhunters-leider’. Een citaat:"„Als kind had hij geen vriendjes. Althans, niet in het echte leven. Terwijl klasgenootjes buiten speelden of op voetbal zaten, las hij boeken voor volwassenen over meesteroplichters. Hij was dus al op jonge leeftijd gefascineerd door oplichting en cybercrime.". Daarnaast valt er iets in te lezen dat lijkt op een vorm van framing: "Dat hij dus ‘s nachts of in het weekend een internationale organisatie zou kunnen aansturen, is voor zijn baas niet te bevatten. Hij oppert zelfs dat, mocht de politie het mis hebben of er sprake zijn van een opzetje binnen de cyberwereld, dit de grootste gerechtelijke dwaling op techgebied in de Nederlandse geschiedenis zou zijn.". Het artikel is hier te vinden.

Verder is het opmerkelijk dat ook de website van de persoon die is aangehouden nog altijd gewoon bereikbaar is. Op die website staan ook een aantal 'aanbevelingen' van een aantal interessante grote organisaties.

[Jerie]

asing schreef op dinsdag 29 september 2026 @ 18:21:
[...]

Een reden kan geld zijn. Nu zal hij als hoofd van de offensive afdeling best lekker verdienen, en het kost allemaal niet zoveel als je nog bij je moeder woont, maar hij moest zijn eerdere slachtoffers ook nog schadeloos stellen.

Een tweede reden die ik kan bedenken : "bragging rights". Even aan je matties laten zien dat je het nog hebt.

En de derde : wie weet werd hij onder druk gezet om mee te doen. Het blijven criminelen. Pepijn is te goed om een disposable te zijn en ongetwijfeld weet hij teveel.

Wat ik er wel uit opmaak is dat zijn OPSEC heeft gefaald. Datadragers, laptop, de politie heeft hun handen vol (pun intended ).

Nul verbazing over OPSEC fail. Ten eerste veel activiteit, de kans op fout (ook van iemand binnen Shinyhunters) is hoog. En één OPSEC foutje kan al voldoende zijn. Ten tweede de DSI; Shinyhunters kan zeggen dat onze politiële diensten incompetent zijn maar er zijn zoveel expertises (noem het Dutch police, scheer 65k werknemers met allerlei expertises over één kam *rolleyes*), en deze specifieke heeft inderdaad o.a. dit doel (relatief kleine vijver, wel met hoge success rating).

Ik vind bragging rights op eerste gezicht niet zo realistisch omdat als jij hoofd red teaming bent, dat wordt je niet zomaar, zo simpel is het. Hij weet van zichzelf best dat hij goed is. Het zou wel kunnen, bijvoorbeeld als gevolg van psychische terugval, ervan uitgaande dat hij achter de gebruikte identiteit zit. Als hij dat niet was, dan riekt dit naar swatting, en als hij dan toch niet zuiver is gebleken na zijn tweede kans een fishing expedition plus naaistreek van zijn ex-handlangers.

Ook financieel gewin, zou kunnen, maar dat is dan allemaal zwart/heet geld dat je niet zomaar om kunt zetten in wit. De kans is dus groot dat dat ook in criminele circuit blijft. Daar kun je het immers relatief vrij spenderen. Maar zijn schulden gaat hij hier niet mee afbetalen, en bepaalde uitgaven gaan opvallen. Het zou kunnen dat hij niet al zijn wallets heft afgestaan. Dan heeft hij niet volledig open kaart gespeeld, om zo een backstopping te hebben om weer in het wereldje te rollen alsof je nog een pakje sigaretten ergens in huis hebt liggen als ex-roker zijnde (been there, done that). Cryptocurrency geldstromen achterhalen is de FIOD kundig in. Daarnaast, dus naast eerdergenoemde twee redenen, kan de politie ook getipt zijn middels ambtsbericht AIVD, of de FBI. Die hebben geavanceerde offensieve capaciteiten, en toegang tot meer datastromen vanwege informatiepositie. Denk bijvoorbeeld aan Tor of andere specifieke (netwerk)activiteit op specifieke tijdstippen, zoals in de nacht. Ook kan men waarschijnlijk stroomverbruik meten en correleren (dit kan tegenwoordig zeer nauwkeurig). Hij zal de beveiliging van zijn smartphone op orde hebben gehad, daarom is AFU ook belangrijk in zo'n context. Wat voor hardware zijn laptop en smartphone betreft, is vooralsnog niet publiek bekend, maar het is algemeen bekend dat onze diensten o.a. middels TR-69 remote in kunnen loggen op routers. Qua smartphone kan iemand GrapheneOS gebruiken; dan nog kan het LTE modem lek zijn, bovendien kan men datastromen zien en correleren. Voor een expert op dit gebied een leuke uitdaging bij zo'n high profile subject.

Dat hij geen fijne jeugd heeft gehad is de positieve omschrijving van een hechtingsstoornis. Dat is onderdeel van een persoonlijkheidsstoornis (ik meen uit mijn hoofd cluster B.), en dat los je niet 'eventjes' op met wat therapie. Daar is structurele verandering voor nodig, therapie is een mogelijk middel, maar een intelligent subject kan een therapeut (en zelfs zichzelf) om de tuin leiden. Zelfs met de beste intenties zijn terugvallen in oude patronen hierbij realistisch, maar dat hoeft niet. Hoe om te gaan met deze toch wel zware vorm van criminaliteit, wat mij betreft actieve monitoring op digitale middelen, of een ban op deze middelen (zoals bij Mitnick).

Wat me ook nog bijstaat bij gesprek van der S. met Verlaan is dat van der S. specifiek onderschrijft dat één van zijn kwaliteiten is veel hebben van bedrijfsstructuren. Dat is van grote waarde bij bepalen van mark voor social engineering. Denk hierbij aan (varianten op) phishing. De hypothese dat hij wel medeplichtig/betrokken is aan Odido hack, is in geval van contact met de Shinyhunters gang dan ook niet zo vergezocht als het lijkt.

[W00fer]

Data bemachtigen is 1, het verkopen is 2.

Wat mij vooral verbaasd is dat deze man op zijn website het heeft over zeer verregaande exploit technieken en de hack bij Odido een relatief eenvoudige social engineering phishing attack betrof. Of, daarvoor is een stroman ingezet en de data extractie uit de Salesforce omgeving gebeurde wel met geavanceerdere software. Ik vraag me af waarom phishing is ingezet als dit level hackers ongelofelijke getalenteerd zijn en sporen achterlaten not done is.

Voor mij is het dus niet te rijmen dat hij bij de Odido hack zat/zit.

Als Odido een responsible disclosure heeft/had/gaat hebben dan valt daar meer uit te halen?

Dit soort databases rondstrooien gaat vragen opleveren.

[ Voor 18% gewijzigd door W00fer op 30-09-2026 02:09 ]