Dutch Police Arrest ‘Reformed’ Hacker in Shiny Hunters Investigation
Krebs on Security · 28 sept, 17:08
Qué hacer: Actualiza Oracle PeopleSoft a la versión parcheada de CVE-2026-35273 o aplica las reglas de cortafuegos de aplicaciones web de Mandiant si la actualización no es inmediata.
La policía holandesa ha arrestado a Pepijn van der Stap, un ciberdelincuente de 23 años previamente condenado, sospechoso de colaborar con el grupo de hackers ShinyHunters en robos de datos y extorsiones. Tras su detención a mediados de septiembre, los miembros restantes de ShinyHunters intensificaron dramáticamente sus ataques, robando datos sensibles del FBI y extorsionando al grupo de ransomware Cl0p mediante la explotación de una vulnerabilidad zero-day en PeopleSoft de Oracle.
Van der Stap, de Almere y Leystad, fue condenado en 2023 a cuatro años de prisión por robo de datos y extorsión bajo el alias "Umbreon", delitos que generaron entre 1,5 y 2,7 millones de euros. Durante el día trabajaba como ingeniero de software en la startup de ciberseguridad Hadrian de Ámsterdam y se ofrecía voluntario en el Instituto Holandés para Divulgación de Vulnerabilidades (DIVD). Fue liberado en diciembre de 2025 y en septiembre de 2026 se presentaba como un hacker reformado empleado como responsable de seguridad ofensiva en Neo Security.
Días después de su arresto el 16 de septiembre, ShinyHunters explotó CVE-2026-35273 en PeopleSoft (que habían usado como zero-day desde junio) para robar datos del sitio de solicitudes de empleo del FBI (apply.fbijobs.gov), incluyendo números de seguridad social e información médica y psiquiátrica de más de 5.000 funcionarios federales. Los datos robados identificaban trabajos específicos como agentes especiales, examinadores de amenazas y unidades de ciberdelitos. ShinyHunters también extorsionó al grupo de ransomware Cl0p y robó datos de más de 6,2 millones de holandeses de Odido, el mayor proveedor de telecomunicaciones móviles del país, mediante ingeniería social en febrero de 2026.
Puntos clave
- Pepijn van der Stap arrestado por colaboración con ShinyHunters; previamente condenado a 4 años en 2023 por extorsión como "Umbreon"
- Explotación de CVE-2026-35273 en PeopleSoft de Oracle como zero-day desde junio de 2026
- Robo de datos del FBI: 5.000+ funcionarios, incluida información médica y psiquiátrica sensible
- 6,2 millones de registros holandeses robados de Odido mediante suplantación de identidad; ingeniería social de febrero de 2026
- ShinyHunters utilizó ofuscación de URL para eludir reglas WAF de Mandiant
Figuras de la fuente
