オランダ警察、ハッカー集団「ShinyHunters」関与容疑で24歳の男を逮捕 元セキュリティ機関所属の経歴も判明
要点
- オランダ警察が、著名ハッカー集団「ShinyHunters」に関する捜査でアムステルダム在住の24歳の男を逮捕したと発表した。
- 逮捕された人物は過去にもデータ窃盗等で逮捕歴があり、脆弱性開示機関や民間セキュリティ企業での活動歴を持つ。
- 被疑者は直近までセキュリティ企業で攻撃的セキュリティの責任者を務め、過去には表裏の活動による精神的重圧を語っていた。
- 今回の摘発は、ShinyHuntersが米連邦捜査局（FBI）の採用サイトから大量のデータを窃取したと主張した最中に判明した。
- グループ側はFBIへの攻撃を「金銭目的や恐喝ではない」と主張するが、手口はWAFを回避する技術的細工によるものと分析されている。
リード文
オランダ警察の国家捜査介入部（Politie Landelijke Opsporing en Interventies）は、著名なサイバー犯罪グループ「ShinyHunters」に関する捜査の一環として、アムステルダム在住の24歳の男を逮捕したことを明らかにした。警察の発表によると、男は2026年9月29日にロッテルダム地方裁判所に出廷する予定だという。捜査当局は詳細を公表していないが、セキュリティ専門メディアなどの調査により、被疑者の具体的な身元やセキュリティ業界における活動歴が明らかになっている。
逮捕された人物の身元と過去の犯罪歴
オランダ警察は公式X（旧Twitter）への投稿を通じ、今月アムステルダム在住の24歳の男をShinyHuntersの捜査に関連して逮捕した事実を認めた。ジャーナリストのブライアン・クレブス（Brian Krebs）氏やニュースサイト「DataBreaches.Net」によると、逮捕されたのはペピン・ファン・デル・スタップ（Pepijn van der Stap、通称「Umbreon」）容疑者で、拘束は2026年9月15日に行われたとされる。
同容疑者は2023年にも、一連の大規模なデータ窃盗および企業に対する恐喝行為に関与したとして逮捕・起訴された経歴を持つ。当時からサイバー犯罪組織と正規のセキュリティ業界の双方に関与していたことが知られており、今回の再逮捕によってその特異な経歴が再び注目を集めることとなった。
セキュリティ組織での活動と二面性の告白
ファン・デル・スタップ容疑者は、正規のセキュリティ組織にも深く関与していた経歴がある。2023年の報道では、同容疑者がサイバーセキュリティ企業Hadrianに勤務していたほか、オランダの脆弱性開示機関DIVD（Dutch Institute for Vulnerability Disclosure）でボランティアとして活動していたことが判明している。
同容疑者は2023年6月のDataBreaches.Netによる取材に対し、正規業務と違法行為の狭間で抱えていた精神的重圧を告白していた。Hadrianでの勤務やDIVDでの活動により「体裁を保つことに強い被害妄想を抱くようになり、長時間労働もあって過度のプレッシャーを感じていた」と述懐。合法的な仕事が増えたものの逮捕への恐怖は消えず、「常に誰かがドアをノックしに来るのではないかと怯えていた」と明かしていた。
ビジネス向けSNSのLinkedInによると、同容疑者は直近ではオランダのNeo Security社でオフェンシブセキュリティ（攻撃者の視点から脆弱性を検証する領域）のリードを務めていたとされる。プロフィール上では自身の歩みを「平坦ではなかった」と振り返り、「端末の両側からセキュリティを見てきた経験から教訓を学び、知識は破壊ではなく構築と保護のために使うべきだという確信を得た」と記していた。
FBIシステムへの攻撃主張とグループの動向
今回の逮捕劇は、ShinyHuntersが米連邦捜査局（FBI）の求人サイト「apply.fbijobs.gov」へ不正アクセスし、テラバイト規模の機密データを窃取したと主張した直後に表面化した。
ShinyHuntersの担当者はメディア「404 Media」に対し、FBIへの攻撃について「自らのビジネスを守り、偽情報に対抗するためのマーケティングキャンペーンである」と主張。通常の声明では注目されないため目立つ標的を選んだとし、「世間の批判は意に介さない」と述べている。
また同グループはThe Hacker Newsに寄せた声明で、今回の攻撃が決して恐喝や金銭目的ではないと強調した。過去の経歴からデータの売却や金銭要求が疑われることに理解を示しつつ、「脅迫や身代金要求ではなく、何も起きない」と説明している。
なお、グループ側はOracle PeopleSoftの未知のゼロデイ脆弱性（修正プログラムが提供されていない欠陥）を悪用したと主張していたが、実際には既知の脆弱性（CVE-2026-35273）に対するWAF（Web Application Firewall：不正通信を検知・遮断する防御システム）のルールを、URLエンコーディングの細工によって回避する手法を用いたと評価されている。