オランダのサイバーセキュリティ業界に衝撃が広がっている。オランダ警察とFBIは、現地のサイバーセキュリティ企業で幹部を務めていた24歳のオランダ人、ペピン・ファン・デル・スタップ（ハンドルネームUmbreon）を逮捕した。

容疑者は、ハッカー集団ShinyHuntersの中核メンバーだった疑いが持たれている。さらに警察は、押収したパソコンなどから、海外で2件の殺人を依頼した疑いを示す情報を発見した。

FBI採用サイトに大規模攻撃　オランダ警察が自宅を急襲

今回の逮捕が注目されているのは、ShinyHuntersが最近、FBIの採用サイト「apply.fbijobs.gov」を攻撃したとされるためだ。

ShinyHunters側は、数TBに及ぶ機密データを盗み出したと主張している。データには、5千人を超えるFBI職員の社会保障番号、医療記録、情報活動に関する資料、家族情報などが含まれているという。

FBIの内部メモによると、同局は「職員全員のデータが流出した」との最悪の事態を想定して対応を進めている。

9月15日に行われた逮捕について、FBIのカシュ・パテル長官は29日、Xで「FBIと我々のパートナー、オランダ国家警察が共同でShinyHuntersの主要メンバーの一人を逮捕した」と発表した。

パテル氏は、ShinyHuntersについて、米欧で起きた複数の大規模サイバー攻撃に関与してきた国際的なサイバー犯罪集団だと説明した。FBIは各国の捜査当局と連携し、今回の逮捕を手掛かりに関係者の追跡を進めていると強調した。

FBIサイバー部門のブレット・レザーマン部長も同日、異例の動画声明を公開した。

レザーマン氏はハッカーらに対し、「あなたたちは私たちを見つける方法を知っている。私たちもあなたたちを見つける方法を知っている。まだ選べるうちに、自ら連絡してくることを勧める」と警告した。

サイバー犯罪で有罪判決　その後セキュリティ企業幹部に

ファン・デル・スタップ容疑者は、サイバーセキュリティ業界では知られた存在だった。

2023年にはUmbreonの名前で複数の大手企業のシステムに侵入し、恐喝や資金洗浄などに関与したとして、オランダの裁判所から4年の刑を言い渡された。その後、減刑と仮釈放を受けた。

本人はその後、サイバー犯罪から手を引くと公言。自身のウェブサイトには、過去の経験から「知識は壊すためではなく、築き、守るために使うべきだと学んだ」と記していた。

その後、サイバーセキュリティ業界に復帰し、逮捕前にはアムステルダムのNeo Securityで、侵入テストなどを担当するオフェンシブ・セキュリティ責任者を務めていた。

同社のベンジャミン・コーパー氏はロイターに対し、警察が9月15日夜、閃光弾を使ってファン・デル・スタップの自宅を急襲し、身柄を拘束したと説明した。その後、捜査員は同社のオフィスにも入り、捜索を行ったという。

コーパー氏は、採用前にファン・デル・スタップの過去について詳しく調べたうえで、再出発の機会を与えたと説明。今回の逮捕について「非常にショックを受け、裏切られた思いだ」と語った。

海外で2件の殺人を依頼した疑いも

捜査では、サイバー犯罪とは別の疑惑も浮上した。

オランダ警察によると、押収したノートパソコンなどの記憶媒体を調べたところ、海外での2件の殺人計画に関する詳しい情報が見つかった。

警察は声明で「容疑者がこれらの殺人を依頼したことを示す形跡がある」と説明し、2件の殺人を他人に実行させようとした疑いでも捜査している。

この容疑は、ShinyHuntersをめぐるサイバー犯罪とは別件として扱われている。

ファン・デル・スタップは現在も拘束されており、外部との接触を厳しく制限された状態にある。