Aangehouden cybercrimineel was lid van vrijwillige securityorganisatie DIVD

Eén van de cybercriminelen die afgelopen maandag werden aangehouden door de politie was onderdeel van het DIVD. Het DIVD - voluit het Dutch Institute for Vulnerability Disclosure - is een vrijwilligersorganisatie die het internet scant op bekende kwetsbare systemen en daarvan op verantwoorde wijze melding maakt bij de organisaties en ICT-leveranciers. Sinds eind 2021 krijgt de organisatie ook subsidie van de overheidsorganisatie Digital Trust Center.

Eveline MeijerRedacteurMeer van deze auteur

De drie cybercriminelen werden maandag aangehouden in een onderzoek naar computervredebreuk, datadiefstal, afpersing, bedreiging en witwassen. Het gaat om twee mannen van 21 jaar oud en één van achttien jaar oud.

Nu blijkt dat één van de drie criminelen de afgelopen jaren actief was als vrijwilliger voor het DIVD, zo maakt de organisatie zelf bekend op zijn website, na berichtgeving van de NOS. Het DIVD zegt in dat bericht geen kennis of vermoedens te hebben gehad van criminele activiteiten. "We zijn erg geschrokken van de feiten die nu naar buiten zijn gekomen", aldus de organisatie. "De missie van DIVD is het veiliger maken van het internet. De zaken waarvan hij wordt verdacht staan lijnrecht op deze missie."

Het DIVD zegt dat er een crisisteam gevormd is, dat onmiddellijk het account van de persoon in kwestie geblokkeerd heeft. Ook is zijn toegang tot de systemen van het DIVD ontzegd en is hij geschorst als vrijwilliger. "Kort hierna hebben wij ook een intern onderzoek gestart om te kijken of er misbruik gemaakt is van DIVD kennis of middelen tegen de DIVD code of conduct in. Hiervoor zijn geen concrete aanwijzingen gevonden."

2,5 miljoen euro

Het drietal wordt verdacht van meerdere aanvallen en afpersingszaken. “De bedrijven en andere instanties die vermoedelijk slachtoffer zijn geworden, zijn heel divers en komen voor in nagenoeg alle denkbare branches; van horeca, opleidingsinstituten, webshops tot aan softwarebedrijven, sociale media en instellingen die behoren tot de vitale infrastructuur", aldus de politie. Slachtoffers kregen na datadiefstal een dreigmail waarin bitcoins werden geëist. Werd er niet betaald, dan werd gedreigd de digitale infrastructuur van het bedrijf te vernielen of om de data openbaar te maken. Volgens de politie hebben de drie van bijna iedere Nederlander wel privacygevoelige gegevens weten te verzamelen.

De losgeldeisen varieerden van 100.000 euro tot ruim 700.000 euro. Volgens de politie heeft de hoofdverdachte zo vermoedelijk 2,5 miljoen euro weten te verzamelen. In veel gevallen is de gestolen data bovendien alsnog online verkocht, ook al betaalden de getroffen bedrijven wel.