Investigação leva à prisão de ex-funcionário de startup de segurança

Autoridades dos Países Baixos prenderam um homem de 24 anos suspeito de auxiliar o prolífico grupo de hackers ShinyHunters em roubos de dados e esquemas de extorsão. Três fontes familiarizadas com o caso confirmaram que o detido é Pepijn van der Stap, morador de Almere e Lelystad, já condenado em 2023 por uma série de invasões e extorsões que teriam rendido entre 1,5 milhão e 2,7 milhões de euros.

Vida dupla entre segurança ofensiva e crime cibernético

Durante o julgamento no final de 2023, van der Stap admitiu levar uma existência dupla. À noite, usava o pseudônimo “Umbreon” para extorquir vítimas e vazar informações em fóruns de língua inglesa como RaidForums e Breached, ambos já desativados. Durante o dia, atuava como engenheiro de software na startup de cibersegurança Hadrian, sediada em Amsterdã, e voluntariava-se no Instituto Holandês de Divulgação de Vulnerabilidades (DIVD), organização sem fins lucrativos dedicada à pesquisa de segurança.

Condenação, liberdade e narrativa de redenção

O réu confessou os crimes e recebeu sentença de quatro anos de prisão, com um ano suspenso. Optou por permanecer sob custódia por um período alegando necessitar de tratamento para questões psicológicas, incluindo estresse pós-traumático relacionado a traumas de infância. Foi solto em dezembro de 2025. Em entrevista concedida ao KrebsOnSecurity em 9 de setembro de 2026, van der Stap apresentou-se como um hacker regenerado, empregado então como líder de segurança ofensiva na empresa Neo Security, e disse estar lidando com processos civis e restituições às vítimas anteriores.

Prisão recente e conexão com invasão à maior telecom do país

Segundo duas fontes, a nova prisão ocorreu por volta de 16 de setembro, com o suspeito mantido sob custódia para interrogatório. Uma testemunha relatou ter visto agentes retirando itens da residência do investigado. A polícia holandesa vinha pedindo ajuda pública para identificar a voz em uma ligação gravada em fevereiro de 2026, na qual um integrante nativo do ShinyHunters usou engenharia social para invadir a Odido, maior operadora móvel do país, expondo dados de mais de 6,2 milhões de cidadãos. O grupo confirmou que o suspeito do áudio é membro do coletivo.

Resposta do grupo e escalada de ataques

Em comunicado ao NL Times, o ShinyHunters declarou apoio total ao companheiro detido, incluindo advogado de defesa, e atacou as autoridades locais classificando-as como incompetentes e irrelevantes. Dias após a detenção, o coletivo assumiu a autoria de uma invasão ousada ao portal de vagas do FBI (apply.fbijobs.gov). Segundo apuração do 404 Media e da Reuters, foram subtraídos números de seguridade social e informações pessoais de mais de 5 mil funcionários, incluindo cargos sensíveis como agentes especiais e investigadores de ameaças estatais, além de arquivos psiquiátricos e médicos.

Exploração de falha zero-day no PeopleSoft da Oracle

Os invasores afirmaram ter acessado o site do FBI e outras vítimas explorando a vulnerabilidade CVE-2026-35273 no PeopleSoft, plataforma SaaS da Oracle amplamente usada para gestão de recursos humanos e folha de pagamento. A falha começou a ser explorada como zero-day em junho. A Oracle lançou correção rapidamente, e a Mandiant divulgou regras para firewalls de aplicação web (WAF) visando proteger organizações que não pudessem aplicar o patch de imediato.

Técnica de bypass e extorsão a grupo de ransomware russo

Reportagem do BleepingComputer indicou que o ShinyHunters utilizou um truque de codificação de URL para contornar as regras de WAF sugeridas pela Mandiant. Paralelamente, o grupo passou a extorquir a gangue de ransomware russa Cl0p, demonstrando capacidade de atingir até mesmo outros atores criminosos de alto escalão.

Com informações de: Krebs on Security