Op 28 september 2026 werd een 24-jarige man uit Amsterdam gearresteerd op verdenking van deelname aan het internationaal opererende criminele collectief ShinyHunters. De politie maakte de aanhoudingsactie bekend via een bericht op X, zonder verdere details te verschaffen. De verdachte moet volgens de uitspraak morgen, op 29 september, verschijnen voor de raadkamer van de Rotterdamse rechtbank waarbij zal worden besloten of hij in voorlopige hechtenis blijft.
Onder de voorgestelde verdachte bevindt zich een naam die al eerder in de media opdook: Pepijn van der S.. In 2023 kreeg hij een celstraf van vier jaar opgelegd voor onder meer extorsie witwassen en het hacken van verschillende bedrijven. Na het uitzitten van een deel van de straf zat hij begin dit jaar weer op vrije voeten, waarna hij zich opnieuw zou hebben geprofileerd als een legitieme beveiligingsspecialist. Hij werkte onder andere voor security-bedrijf Hadrian en leverde onderzoek aan de ethische hackersgroep DIVD alvorens later gestolen datasets, waaronder persoonsgegevens van autobedrijfklanten, op de zwarte markt te gaan verhandelen.
ShinyHunters: recente digitale overvallen en eisen
De criminele groep ShinyHunters heeft in de loop van het afgelopen jaar meerdere grootschalige aanvallen uitgevoerd. In februari 2026 braken zij in op de telecomprovider Odido waarbij gegevens van miljoenen Nederlanders werden buitgemaakt. De hackers eisten een losgeldbedrag in de miljoenen, maar Odido weigerde te betalen. In reactie publiceerden de criminelen een deel van de gestolen bestanden op het darkweb, waardoor er nationale discussie ontstond over de paraatheid van bedrijven tegen dergelijke aanvallen.
Een ander opvallend incident vond plaats in mei 2026, toen ShinyHunters de moedermaatschappij van het onderwijssysteem Canvas, Instructure afmaakte. Na een hevige onderhandeling kwam het bedrijf tot een overeenkomst met de groep, waarbij een (niet openbaar gemaakt) bedrag werd betaald om verdere publicatie van de gelekte data te voorkomen. De gelekte informatie omvatte onder andere gegevens van studenten en medewerkers van Nederlandse universiteiten, waaronder de VU en de UvA. Het incident leidde tot een afgesproken vernietiging van alle verkregen data door Canvas.
Politie-inval en reactie van de hackersgroep
De arrestatie van de Amsterdammer vond plaats tijdens een politie-inval bij het Amsterdamse cybersecurity-bedrijf Neo Security op 15 september 2026. Volgens anonieme bronnen werden flitsgranaten ingezet tijdens de actie, wat duidt op een hoogsturgente operatie. De gedetineerde werd vervolgens meegenomen naar Rotterdam, waar de rechtbank hem morgen zal horen.
Na de arrestatie weigerde de hackersgroep ShinyHunters elke band met Pepijn van der S. en gaf ze via een verklaring aan BNR en RTL aan dat de Nederlandse politie “op zoek is naar publiciteit na de blamage rond de Odido-hack”. De groep stelde dat men een indruk probeer te wekken dat zij nu zelfs de FBI onder druk zetten, een bewering die door de autoriteiten niet werd bevestigd.
