「Shiny Hunters」捜査でオランダ警察が「更生した」ハッカーを逮捕

オランダ当局は、著名なハッカー集団「ShinyHunters」によるデータ窃盗と恐喝を幇助した疑いで、23歳の元サイバー犯罪者を逮捕した。逮捕されたのはアルメーレとレーリスタット出身のペパイェン・ファン・デル・スタップ(23歳)で、過去にはデータ窃盗と恐喝で150万ユーロから270万ユーロを稼いだとされる。彼は「Umbreon」というハッカー名で活動し、過去にはハッキングコミュニティで230万人分の個人情報を含むデータベースを販売していた。2023年に有罪判決を受け、4年の懲役刑(1年は執行猶予付き)を受けたが、2025年12月に仮釈放された。ファン・デル・スタップは2026年9月のインタビューで更生したハッカーだと主張していたが、その後連絡が取れなくなっていた。逮捕は9月16日頃に行われたとみられる。一方、ShinyHuntersは逮捕の数日後、FBIの採用サイトから5,000人以上の個人情報(社会保障番号、役職などを含む)を盗み出したと主張。また、ロシアのランサムウェアグループ「Cl0p」からもデータを盗み、恐喝したと発表した。FBIへの攻撃には、OracleのPeopleSoftソフトウェアの脆弱性(CVE-2026-35273)が悪用された。ShinyHuntersは、この脆弱性をゼロデイとして6月に悪用し始めたとみられ、URLエンコーディングのトリックを用いてセキュリティ対策を回避した。この攻撃は、ヨルダン出身の10代のサイバー犯罪者「Rey」が率いる「ScatteredLapsussHunters (SLSH)」というグループが関与している可能性が指摘されている。ReyはShinyHuntersのブランドとデータを巡ってファン・デル・スタップと対立していたとされ、FBIサイトの改ざん画像にUmbreonの画像を意図的に含めた可能性がある。ShinyHuntersは、オランダ最大の通信事業者Odidoから620万人以上のオランダ国民の個人情報を盗んだことも認めている。