Cảnh sát Hà Lan bắt giữ hacker từng bị kết án trong điều tra nhóm ShinyHunters

Cảnh sát Hà Lan vừa xác nhận việc bắt giữ một cá nhân bị tình nghi có liên hệ với ShinyHunters, nhóm tội phạm mạng chuyên tống tiền các tổ chức thông qua dữ liệu bị đánh cắp. Vụ việc làm dậy sóng giới an ninh mạng châu Âu, đồng thời hé lộ những mối liên hệ phức tạp giữa các nhóm hacker đang hoạt động tại Mỹ và châu Âu.

Ảnh minh họa về hoạt động điều tra tội phạm mạng

Đối tượng bị bắt là ai?

Theo thông báo của cảnh sát Hà Lan hôm thứ Hai, một người đàn ông 24 tuổi đến từ Amsterdam đã bị bắt giữ trong khuôn khổ cuộc điều tra nhằm vào nhóm hacker ShinyHunters.

"Trong tháng này, một nam thanh niên 24 tuổi đến từ Amsterdam thực sự đã bị bắt giữ trong một cuộc điều tra về nhóm hacker ShinyHunters," cảnh sát Hà Lan cho biết.

Nghi phạm được cho là Pepijn van der Stap, kẻ từng bị kết án vào năm 2023 vì hàng loạt vụ đột nhập hệ thống kèm theo đánh cắp dữ liệu và tống tiền. Đáng chú ý, trong thời gian trước khi bị kết án, van der Stap hoạt động dưới biệt danh Umbreon trong các chiến dịch tống tiền, đồng thời đảm nhiệm vị trí kỹ sư phần mềm tại Hadrian — một startup về an ninh mạng.

Thời điểm bắt giữ và hoàn cảnh

Thời điểm bắt giữ diễn ra vào ngày 16 tháng 9. Vào lúc đó, đối tượng đang trong giai đoạn quản chế sau khi đã thụ án ba năm trong bản án bốn năm tù. Đáng nói hơn, sau khi ra tù, van der Stap được cho là đang làm trưởng nhóm an ninh tấn công (offensive security lead) tại Neo Security — một chi tiết cho thấy rủi ro khi các tổ chức tuyển dụng nhân sự có tiền án tội phạm mạng.

Cuộc bắt giữ này được nhà báo điều tra Brian Krebs đưa tin. Theo Krebs, vụ tấn công FBI gần đây mà ShinyHunters nhận trách nhiệm dường như đã bị "gán" cho van der Stap bởi thủ lĩnh hiện tại của nhóm — một tội phạm mạng tuổi teen đến từ Amman, Jordan, có biệt danh Ray, kẻ cũng là thành viên của nhóm hacker ScatteredLapsussHunters.

Vụ tấn công FBI và dấu vết Umbreon

ShinyHunters được cho là đã tấn công trang tuyển dụng của FBI, có khả năng sử dụng một khai thác đã được chỉnh sửa cho lỗ hổng CVE-2026-35273 trong Oracle PeopleSoft. Nhóm này đã khai thác lỗ hổng đó dưới dạng zero-day vào tháng 6. Đặc biệt, trong màn "đánh dấu" trang bị xâm phạm, nhóm đã chèn một hình ảnh Pokémon Umbreon với kích thước quá khổ — một chi tiết trùng khớp với biệt danh mà van der Stap từng sử dụng.

Cuộc điều tra về vụ rò rỉ dữ liệu của Odido

Minh họa an ninh mạng

Vào đầu tháng 9, cảnh sát Hà Lan đã kêu gọi cộng đồng giúp nhận diện giọng nói trong đoạn ghi âm của một cuộc tấn công kỹ thuật xã hội nhắm vào nhà mạng Odido. Vụ việc dẫn đến việc dữ liệu của 6,2 triệu người bị đánh cắp — một trong những sự cố rò rỉ dữ liệu lớn nhất tại Hà Lan trong thời gian gần đây.

ShinyHunters được cho là đã xác nhận rằng một thành viên của nhóm đã thực hiện cuộc gọi đó, nhưng tuyên bố cảnh sát sẽ không thể truy ra danh tính thật. Theo trang DataBreaches, giọng nói trong đoạn ghi âm không phải của van der Stap.

Bước tiếp theo của vụ án

Cảnh sát Hà Lan cho biết nghi phạm sẽ ra hầu tòa và hứa sẽ cung cấp thêm thông tin sau phiên xét xử. Vụ việc đang thu hút sự chú ý của cộng đồng an ninh mạng quốc tế, bởi nó đặt ra câu hỏi lớn về việc các nhóm tội phạm mạng đa quốc gia ngày càng phức tạp trong cách tổ chức, phân chia vai trò và "đổ tội" lẫn nhau để tránh bị truy vết.

Ý nghĩa đối với người dùng và doanh nghiệp tại Việt Nam

Sự việc này là lời cảnh tỉnh đối với các tổ chức tại Việt Nam, đặc biệt là trong bối cảnh các cuộc tấn công kỹ thuật xã hội và khai thác lỗ hổng zero-day ngày càng phổ biến. Một số khuyến nghị cụ thể:

• Cập nhật bản vá bảo mật cho các hệ thống ERP, CRM và đặc biệt là các nền tảng như Oracle PeopleSoft nếu đang sử dụng.
• Đào tạo nhân viên về các cuộc tấn công kỹ thuật xã hội, đặc biệt là qua điện thoại, vốn là con đường ShinyHunters khai thác để đánh cắp dữ liệu của Odido.
• Kiểm soát danh tính và quyền truy cập chặt chẽ, áp dụng mô hình zero trust cho các hệ thống quan trọng.
• Có chính sách kiểm tra lý lịch với nhân sự đảm nhiệm vai trò an ninh mạng, tránh tuyển dụng nhầm đối tượng có tiền án tội phạm công nghệ.

Vụ việc cũng cho thấy các nhóm như ShinyHunters đang nhắm đến nhiều mục tiêu lớn cả ở châu Âu và Mỹ, với động cơ chủ yếu là tống tiền dữ liệu. Đối với các doanh nghiệp Việt Nam — dù là nhỏ hay lớn — việc chủ động phòng ngừa và có kế hoạch ứng phó sự cố rõ ràng là yêu cầu không thể bỏ qua trong thời đại số hiện nay.

Biểu tượng SecurityWeek