ShinyHunters
ShinyHunters | ||
|---|---|---|
| Industrie en producten | ||
| Doel | computercriminaliteit | |
| Werkgebied | wereldwijd | |
| Status en tijdlijn | ||
| Vernoemd naar | Shiny Pokémon | |
| Opgericht | 2019 | |
| Organisatiestructuur | ||
| Type | hackersgroep | |
| Links | ||
| Website | link | |
ShinyHunters is een criminele hacker- en afpersingsgroep die omstreeks 2019 is opgericht en betrokken is geweest bij veel grote datalekken. De groep heeft de reputatie dat zij gestolen bedrijfsgegevens publiceren of inzetten voor chantage, in ruil voor enorme geldbedragen. Als het bedrijf het losgeld niet betaalt, wordt de gestolen informatie vaak gepubliceerd of verkocht op het dark web.[1][2]
Shinyhunters heeft een reputatie opgebouwd voor het hacken van diverse cloudomgevingen om gegevens te stelen. Enkele grote en noemenswaardige hacks die door de groep zijn gedaan zijn onder meer bij Microsoft, Jaguar, Qantas, SoundCloud, de Harvard-universiteit, Kering, Pornhub en Louis Vuitton.[3]
In Nederland werd de hackersgroep bekend door de Ticketmaster-inbraak uit 2024. Hierbij zijn gegevens van honderden miljoenen klanten gestolen.[4]
De kern van de groep bevindt zich volgens analisten in Frankrijk.[5] In 2026 kwam voormalig gedetineerde Pepijn van der S. in beeld als mogelijke topman van het collectief.[6] Ook hacker Saif K. uit Jordanië zou onder zijn pseudoniem Rey een van de vermeende leiders zijn van de groep.[5] Saif K. werd eind september 2026 door de FBI opgepakt.[7]
Odido-hack
[bewerken | brontekst bewerken]
Zie Cyberaanval op Odido voor het hoofdartikel over dit onderwerp.In 2026 werden er gegevens gestolen van zes tot acht miljoen Nederlandse klanten bij het telecombedrijf Odido.[8] De hackersgroep wist naast NAW-gegevens ook wachtwoorden, burgerservicenummers, bankrekeningnummers en gegevens van identiteitsbewijzen buit te maken.[9][10] Op 26 februari weigerde Odido om het losgeld van meer dan een miljoen euro te betalen aan de cybercriminelen, daarop startten de hackers met het verspreiden van de gehackte gegevens via het dark web.[11]
ShinyHunters beweerde in hun reactie dat het telecombedrijf gevoelige klantgegevens meer dan 10 jaar in externe Salesforce-systemen had laten staan, wat de omvang van een datalek zou vergroten. De Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur zijn in maart 2026 een officieel onderzoek gestart of Odido klantdata onnodig lang heeft bewaard, en of de beveiliging van deze gegevens op orde was. De maximale boete die het bedrijf kan worden opgelegd kan oplopen tot maximaal 450.000 euro, of tien procent van de jaaromzet.[12]
Canvas-hack
[bewerken | brontekst bewerken]Begin mei 2026 wist ShinyHunters opnieuw een grote hack uit te voeren. Ditmaal ging het om een aanval op onderwijsplatform Canvas. Hierbij zijn gegevens van studenten, docenten en medewerkers gestolen. Volgens het Amerikaanse moederbedrijf Instructure gaat het wereldwijd om gegevens van ongeveer 275 miljoen personen op 9000 scholen.[13] In Nederland gebruiken ongeveer 44 instellingen Canvas, in België zijn dit er zes.[14]
ShinyHunters dreigde opnieuw met 'betalen of lekken' en gaf Instructure tot 6 mei 2026 de tijd. Veel onderwijsinstellingen schakelden hierop Canvas uit. Dit had als gevolg dat duizenden studenten geen opdrachten konden maken, niet communiceren met docenten, of lesmateriaal konden bekijken.[15]
ShinyHunters hackte Instructure opnieuw en verlengde de deadline met zes dagen om het losgeld over te maken. De Nederlandse overheid gaf het dringende advies om de hackers niet te betalen, om zo het verdienmodel te stoppen.[16]
FBI-hack
[bewerken | brontekst bewerken]Eind september 2026 claimde ShinyHunters de gegevens van duizenden medewerkers van de FBI na een hack te hebben bemachtigd. Het zou gaan om gegevens van 5000 medewerkers en sollicitanten. Deze hack volgde als reactie op het advies van de FBI om ShinyHunters niet te betalen.[17]
Op 29 september 2026 werd voormalig gedetineerde Pepijn van der S. opgepakt in de Amsterdamse Rivierenbuurt als mogelijke topman van de hackersgroep.[18] Van der S. wordt gezien als een van de meest beruchte hackers van Nederland. Hij wordt door de politie ook verdacht van het geven van twee moordopdrachten.[6] Volgens de hackers zou Van der S. geen associatie hebben met de groep.[19]
De FBI had na de grootschalige hack grote belangstelling voor deze aanhouding.[20] Directeur Kash Patel liet in een bericht weten nog niet klaar te zijn met ShinyHunters.
De website van de hackers werd op het darkweb door rivalen aangevallen en ging korte tijd later offline.[21] Volgens Shinyhunters werkte de infrastructuur naar behoren en moest de website worden verhuisd door problemen bij datacenters.[6]
Varia
[bewerken | brontekst bewerken]De naam van de groep is afkomstig van de Pokémon-spellen, waar het strategisch jagen op zeldzame Pokémon met een afwijkend kleurpatroon ook wel shiny hunting wordt genoemd.[5]
Zie ook
[bewerken | brontekst bewerken]- ↑ (en) (21 mei 2020). ShinyHunters Is a Hacking Group on a Data Breach Spree. Wired . ISSN:1059-1028
- ↑ (en) Cimpanu, Catalin, "A hacker group is selling more than 100 billion user records on the dark web", ZDNet. Geraadpleegd op 25 januari 2021.
- ↑ Wie zijn de hackers van ShinyHunters?. Het Parool (24 februari 2026).
- ↑ Hoe werkt het hackerscollectief Shiny Hunters dat Ticketmaster in verlegenheid brengt?
. de Volkskrant (30 mei 2024). - 1 2 3 Hackers opgepakt, onderlinge ruzies, maar het 'merk' ShinyHunters leeft voort. RTL (1 oktober 2026).
- 1 2 3 Rivalen vallen website ShinyHunters aan, FBI-topman waarschuwt. AD (1 oktober 2026).
- ↑ 'Vermeend leider Shinyhunters die achter hack FBI zat, opgepakt in Jordanië'. RTL (3 oktober 2026).
- ↑ Cybercriminelen dreigen met lekken data Odido. RTL.nl (24 februari 2026).
- ↑ Hackers persen Odido af na datalek en eisen een miljoen euro losgeld. NU.nl (24 februari 2026).
- ↑ Odido-datalek erger dan gemeld, ook burgerservicenummers gelekt. RTL (26 februari 2026).
- ↑ Gestolen data honderdduizenden Odido-klanten gepubliceerd op dark web. RTL.nl (26 februari 2026).
- ↑ AP en RDI doen officieel onderzoek naar Odido-datalek. Tweakers (26 maart 2026).
- ↑ Gegevens van 275 miljoen studenten en docenten gestolen bij cyberaanval op Canvas. RTL Nieuws (4 mei 2026).
- ↑ Gegevens van mogelijk duizenden studenten en docenten in Vlaanderen gestolen. VRT Nieuws (6 mei 2026).
- ↑ Honderdduizenden studenten in de problemen. RTL Nieuws (8 mei 2026).
- ↑ Hackers kraken opnieuw studie-app Canvas. NOS (8 mei 2026).
- ↑ ShinyHunters zegt gegevens van duizenden FBI-medewerkers in handen te hebben. NOS (22 september 2026).
- ↑ Verdachte ShinyHunters wilde mogelijk ook twee moorden laten plegen werk=NOS (29 september 2026).
- ↑ (en) Dutch 'reformed hacker' arrested in ShinyHunters investigation. Reuters (28 september 2026).
- ↑ (en) FBI grapples with fallout from massive data breach. CNN (29 september 2026).
- ↑ (en) ShinyHunters website goes offline after FBI deadline expires. Reuters (1 oktober 2026).
