荷兰警方抓了一名 24 岁的黑客，怀疑他替 ShinyHunters 做数据窃取和勒索。人被带走没几天，这个组织的攻击强度明显上来了：从 FBI 的招聘网站卷走数据，转头去敲诈俄罗斯的 Cl0p 勒索团伙。
三名知情者说，被抓的是 Pepijn van der Stap，来自荷兰的阿尔梅勒和莱利斯塔德。三年前他就因为一连串数据窃取和勒索被定罪，检方认定的非法所得在 150 万到 270 万欧元之间。
庭审上他自己承认过着两种生活。暗处他用 Umbreon 这个代号行骗，在 RaidForums 和 Breached 这类英文黑客社区挂库卖数据；白天他在阿姆斯特丹的安全创业公司 Hadrian 当软件工程师，还在荷兰漏洞披露研究所（DIVD）做志愿者。五年前他挂出的一份数据库，标的是 230 万荷兰人的信息，头像用的是宝可梦里的月亮伊布。
判决是 4 年监禁，其中一年缓期。他当时选择先留在押，理由是外面找不到更好的心理治疗，自称有跟童年创伤有关的创伤后应激障碍。去年 12 月他出狱。今年九月九日，他接受 KrebsOnSecurity 采访，把自己说成改过自新的人，现任荷兰公司 Neo Security 的攻防负责人。
采访之后没多久，他就不回消息了，身边人的联络也接连落空。两个知情者说，荷兰警方在九月十六日前后抓了他，之后一直在押受审；有人的同事亲眼看到执法人员从他住处往外搬东西。
更早的线头是 Odido 那通电话。今年 2 月，一名说荷兰语的 ShinyHunters 成员用社会工程骗过荷兰最大移动运营商的员工，在钓鱼站点上登录，拿走 620 万荷兰人的数据。警方公开征集辨认录音里的人声。ShinyHunters 对荷兰媒体承认，录音里的就是他们的成员，还说律师已经安排好，团队会在情感、精神和经济上兜住。
抓人之后几天，ShinyHunters 认领了 FBI 招聘站 apply.fbijobs.gov 的入侵。404 Media 的报道说，被拿走的是 5000 多名官员的社保号和身份信息，路透看到的文件里还有精神科与医疗记录。入口是 Oracle PeopleSoft 的漏洞 CVE-2026-35273，从 6 月起被当零日用；Mandiant 给出的 WAF 规则，被一个 URL 编码技巧绕过去了。
FBI 站点被篡改的页面上留了一幅月亮伊布的字符画，顶端写着站点已被 ShinyHunters 接管。多名接近调查的人认为这更像栽赃。这个团伙现在由一个来自约旦安曼、代号 Rey 的少年主导，他的组织叫 ScatteredLapsussHunters，是 Scattered Spider、LAPSUS$ 和 ShinyHunters 三家的拼合体，他跟这个荷兰人争的是品牌和数据的控制权。
钱这条线也乱。ShinyHunters 今年的勒索进账预计接近 1 亿美元。Van der Stap 不承认自己图钱，两年前他对彭博说，驱动他的是想要一套最全的被盗数据库收藏，收集、整理、下载、建文件夹，这就是他的习惯。上游的 TeamPCP 更惨，两名头目上月在澳大利亚被捕，头目自称只赚了 2 万美元。
证据强度要说清。上面多数细节来自匿名消息源，荷兰警方起初没有回应置评请求，后来才确认抓了一名 24 岁男子，并说九月二十九日会在鹿特丹地方法院出庭。录音里的声音对应的真实身份，警方没给结论。涉嫌策划两起境外谋杀的报道出自 RTL，属于调查方的怀疑，不是判决。
按我的判断，月亮伊布出现在 FBI 篡改页上，不能当成指控这个荷兰人的证据。Rey 跟他争的是同一块招牌，把标志性图案留在现场，获益最大的是 Rey 自己。
FBI 网络部门助理局长 Brett Leatherman 在视频里说了句实话：抓人会改变谁愿意开口，扣押的基础设施会显示谁还留在里面。这句更像是说给还在里面的人听的。