Dutch Police Arrest 24-Year-Old Amsterdam Man in ShinyHunters Investigation
The Hacker News · 29 sept, 10:35
Las autoridades holandesas arrestaron a un hombre de 24 años de Ámsterdam vinculado al grupo de hackers ShinyHunters, identificado como Pepijn van der Stap (aka Umbreon), quien ya había sido detenido en 2023. El mismo grupo reivindicó el robo masivo de datos del sitio de solicitudes de empleo del FBI, aunque ahora sostiene que no fue extorsión sino una «campaña de marketing» para demostrar sus capacidades. El ataque explotó una técnica de codificación URL para eludir reglas de firewall de aplicaciones web relacionadas con CVE-2026-35273.
Pepijn van der Stap fue arrestado el 15 de septiembre de 2026 y comparecería ante la Corte de Distrito de Róterdam el 29 de septiembre. Previamente, en 2023, había sido detenido por robos de datos y extorsión; en ese momento trabajaba en la empresa de ciberseguridad Hadrian y se ofrecía como voluntario en el Instituto Holandés para la Divulgación de Vulnerabilidades (DIVD). Según su perfil de LinkedIn, actualmente es responsable de seguridad ofensiva en la empresa holandesa Neo Security.
El grupo ShinyHunters confirmó que comprometió el sitio apply.fbijobs.gov del FBI, robando terabytes de datos sensibles. Ante las acusaciones de extorsión, un portavoz del grupo afirmó que fue una «campaña de marketing» para demostrar capacidades y combatir desinformación. Aunque inicialmente ShinyHunters atribuyó el ataque a una vulnerabilidad zero-day en Oracle PeopleSoft, ahora se evalúa que utilizaron un truco de codificación URL para eludir reglas del firewall de aplicaciones web destinadas a mitigar CVE-2026-35273.
Puntos clave
- Pepijn van der Stap (Umbreon) arrestado en Ámsterdam el 15 de septiembre, comparecencia el 29 de septiembre de 2026
- Fue detenido previamente en 2023 por robos de datos y extorsión mientras trabajaba en Hadrian y DIVD
- ShinyHunters robó terabytes de datos del sitio de solicitudes del FBI (apply.fbijobs.gov)
- Ataque utilizó codificación URL para eludir WAF rules de CVE-2026-35273, no zero-day como se alegó inicialmente