Update 3 oktober 2026 — politie bevestigt aanhouding. De politie maakte op 29 september bekend dat op 15 september een 24-jarige Amsterdammer is aangehouden. De verdenking betreft deelname aan een criminele organisatie. Een afzonderlijke verdenking van poging tot uitlokking van twee moorden staat los van het ShinyHunters-onderzoek. De politie zegt expliciet dat deze verdachte niet is aangehouden in het onderzoek naar de Odido-hack.
De raadkamer van de rechtbank Rotterdam verlengde volgens dat politiebericht het voorarrest op 29 september met 90 dagen. De politie noemt geen naam of hackersalias. De afbeelding van Umbreon op de FBI-site bewijst daarom nog steeds niet wie die hack uitvoerde. De tekst en tijdlijn hieronder zijn op die officiële bevestiging aangepast.
Rond dinsdag 22 september, als het nieuws over de FBI-hack rondgaat, opent iemand in Amerika de sollicitatiesite van de FBI. In plaats van vacatures staat er een zwart vlak vol ASCII-tekens. Bovenaan: “This site has been seized by ShinyHunters”. In het midden een Pokémon met rode ogen. Voor bijna iedereen is dat een grap. Voor één man in Nederland is het een wijzende vinger.
Die Pokémon heet Umbreon. En Umbreon was jarenlang de hackersnaam van een Nederlander die door KrebsOnSecurity met de aanhouding wordt verbonden. De politie bevestigt een aanhouding op 15 september, maar noemt geen alias. Dat is vóór de later gemelde bekladding van de FBI-sollicitatiesite.
Wie is er opgepakt in de ShinyHunters-zaak?
De officiële bevestiging kwam op 29 september. De politie noemt een 24-jarige Amsterdammer en de aanhoudingsdatum 15 september. De identiteit en alias komen uit eerdere berichtgeving van KrebsOnSecurity en RTL; de politie bevestigt die niet met naam.
Het opsporingsbericht van de politie over de Odido-stem stond maandagavond nog gewoon online. “Herkent u de stem?”, met als laatste update 7 september. Dat bewijst niet dat er niemand vastzit. Sinds de politieverklaring van 29 september is de aanhouding officieel bevestigd. Het opsporingsbericht over de Odido-beller betreft een ander onderzoek.
Van der S. is geen onbekende. De rechtbank Amsterdam veroordeelde hem op 3 november 2023 tot vier jaar cel, waarvan één voorwaardelijk, voor hacken, afpersing en witwassen. Dat meldde AG Connect toen. Hij werkte in die tijd bij een cybersecuritybedrijf en was vrijwilliger bij het Dutch Institute for Vulnerability Disclosure.
Volgens Krebs kwam hij in december 2025 vrij, volgens RTL begin dit jaar. Tegen Krebs zei hij op 9 september nog dat hij zijn leven op orde bracht en bezig was met schadeclaims van eerdere slachtoffers. Kort daarna reageerde hij niet meer op berichten.
Van Opsporing Verzocht naar de FBI-site: de volgorde
- 7 september: de politie vraagt via Opsporing Verzocht hulp bij het herkennen van de beller in de Odido-zaak.
- 9 september: Van der S. vertelt Krebs volgens diens artikel over zijn leven na een eerdere veroordeling.
- 15 september: aanhouding van de 24-jarige Amsterdammer; deze datum is op 29 september door de politie bevestigd.
- Rond 22 september: media melden de bekladding van de FBI-sollicitatiesite met een Umbreon en de ShinyHunters-claim.
- 28 september: Krebs en RTL berichten over de aanhouding.
- 29 september: officiële politieverklaring en, volgens die verklaring, verlenging van het voorarrest met 90 dagen.
Een Pokémon op een gehackte site is een visitekaartje dat iedereen kan drukken
De Umbreon op de bekladde FBI-site lijkt aan te sluiten bij de hackersalias. Dat beeld koppelt twee namen aan elkaar, maar identificeert geen persoon. De bronnen van Krebs geven bovendien een andere lezing.
Volgens die bronnen is ShinyHunters overgenomen door een tiener uit Jordanië die zich Rey noemt. Rey had al langer ruzie met de Nederlander over wie de naam en de data van ShinyHunters bezat. De grote Umbreon op de FBI-site was volgens hen “likely an attempt by Rey to pin the hack on the Dutchman”.
Dat is precies waarom een logo, een mascotte of een naam nooit bewijs is. Het is het goedkoopste deel van een aanval. Wie wil dat jij naar iemand anders kijkt, plakt gewoon diens plaatje erop. Krebs meldt ook dat de FBI-afbeelding identiek lijkt aan een bekladding van ShinyHunters uit 2020. Het plaatje zelf is dus waarschijnlijk hergebruikt.
Het argument tegen Rey rust ook op anonieme bronnen
Eerlijk is eerlijk: de lezing “Rey wilde de Nederlander erin luizen” is net zo min bewezen als “de Umbreon is de Nederlander”. Beide komen uit bronnen die Krebs niet noemt. Het hardste wat er ligt is de volgorde: volgens de bevestigde aanhoudingsdatum zat de arrestatie vóór de later gemelde FBI-hack, en toch ging ShinyHunters door.
En die volgorde zegt ook niet dat Van der S. onschuldig is aan eerdere ShinyHunters-aanvallen. Hij is verdachte, niet veroordeeld. Ook is niet bekend of hij de Nederlandse beller is uit de Odido-zaak. Krebs schrijft letterlijk dat onduidelijk is of de politie die stem al aan een persoon heeft gekoppeld.
De Odido-beller sprak gewoon Nederlands
Waarom dit voor jou uitmaakt, als je bij een bedrijf werkt en niet bij de FBI? Omdat de Odido-hack in februari niet met een exploit begon, maar via de telefoon. Een Nederlandse beller deed zich voor als IT’er en liet een medewerker inloggen op een nagemaakte werkomgeving. Zo lekten gegevens van ruim 6,2 miljoen mensen.
Het opsporingsbericht noemt als kenmerken: Nederlands, kennis van ICT, Engelstalig jargon en het stopwoordje “hoor”. Een politiewoordvoerder zei dat de beller “speaks proper Dutch”, aldus NL Times. Hij klonk dus als een collega. Dat is social engineering in zijn kaalste vorm, en daar helpt geen enkele firewall tegen. Eerder schreven we al over de stemopname van de nep-collega.
ShinyHunters reageerde op die uitzending met een dreigement: de politie zou “all the luck in the world” nodig hebben om de beller te pakken “before we carry out another large-scale data theft in the Netherlands”. Een aanhouding bewijst niet dat de hele groep is gestopt. De latere FBI-claim bleef bovendien een claim die afzonderlijk onderzocht moet worden.
Hang op en bel zelf terug, op een nummer dat je zelf opzoekt
Belt er deze week iemand van “de IT-afdeling” of “de securitydienst” die je laat inloggen op een link? Hang op en bel terug via het nummer uit je eigen telefoonboek of intranet. Niet het nummer dat de beller noemt. Met dat ene gewoontje was de nep-IT’er van Odido waarschijnlijk door de mand gevallen.
Werk je in HR of bij een sollicitatieportaal? Lees dan ook ons stuk over de sollicitanten in de FBI-buit. Meer vormen staan in onze uitleg over soorten phishing, en de basis van een human firewall begint bij precies deze reflex.
ShinyHunters en Odido zijn verschillende onderzoeken
De politie heeft deelname aan een criminele organisatie als grond voor de aanhouding genoemd. De afzonderlijke moordverdenking staat los van dat onderzoek; de verdachte is volgens de politie niet aangehouden in de Odido-zaak. Nieuwe onderzoeksresultaten moeten duidelijk maken welke betrokkenheid bewezen kan worden. Een naam, alias of Pokémon-afbeelding vervangt dat bewijs niet.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, gebruik daarvoor het contactformulier. Deel geen wachtwoorden, codes of persoonsgegevens van anderen.