Hackers opgepakt voor stelen miljoenen persoonsgegevens

De politie Amsterdam heeft drie mannen aangehouden op verdenking van onder meer datadiefstal van bedrijven, afpersing en witwassen. Ze werden al op 23 januari opgepakt, maar de arrestaties zijn vanwege het onderzoek vandaag pas bekendgemaakt.

De verdachten zijn een 21-jarige man uit Zandvoort, een 21-jarige man uit Rotterdam en een 18-jarige man zonder vaste woon- en verblijfplaats. De verdachten waren in het bezit van tientallen miljoenen privacygevoelige gegevens van mensen. Het gaat bijvoorbeeld om geboortedata, bankrekeningnummers, creditcards, wachtwoorden, kentekens, bsn-nummers, paspoortgegevens, adressen en telefoonnummers.

In maart 2021 startte het cybercrimeteam van de politie een onderzoek na een aangifte van datadiefstal en chantage bij een groot Nederlands bedrijf. Uit het onderzoek bleek dat verschillende nationale en internationale bedrijven de afgelopen jaren slachtoffer zijn geworden van hacken en datadiefstal.

Dreigmails met betaling in bitcoin

Nadat de hackers toegang hadden gekregen tot de data van de bedrijven, ontvingen die een e-mail om een betaling te doen in bitcoin. Als een bedrijf niet betaalde, werd gedreigd met het openbaar maken van de gegevens en het vernielen van het digitale netwerk.

Veel bedrijven betaalden uiteindelijk. Sommige firma's liepen miljoenen euro's schade op. Het losgeld liep op tot meer dan 100.000 euro per bedrijf, met een uitschieter van meer dan 700.000 euro.

In veel gevallen werden de gestolen gegevens na betaling van het losgeld alsnog verkocht. De chantage heeft de hoofdverdachte de afgelopen jaren vermoedelijk 2,5 miljoen euro opgeleverd.

Sjoerd Bakker, directeur van Ticketcounter, was één van de slachtoffers. "Ik ben heel opgelucht" zegt hij tegen de NOS nadat het nieuws over de arrestaties bekend was geworden. "Ik kreeg een e-mail waarin stond dat ik 72 uur kreeg om 7 bitcoin te betalen. Dat was toen een bedrag van ongeveer 300.000 euro."

Bakker betaalde niet. Hij deed aangifte en maakte een melding bij de Autoriteit Persoonsgegevens van een datalek:

De datasets die zijn verkocht aan andere criminelen kunnen tot op de dag van vandaag nog misbruikt worden, zegt Barend Frans, digitaal specialist van de politie Amsterdam. "Voor zover bekend is het misbruik binnen de perken gebleven." Toch waarschuwt Frans voor de gevaren.

"Het risico is dat een cybercrimineel de gestolen data gaat gebruiken om je in de val te lokken. Diegene kan zich voordoen als een bepaald bedrijf, zoals een bankmedewerker, en kent jouw gegevens."

Om internetoplichting te voorkomen adviseert Frans om gebruik te maken van een wachtwoordmanager en tweestapsverificatie.