Hoe een telefoontje uitmondde in 8 miljoen aan cryptolosgeld

Een 19-jarige man die door de Amerikaanse autoriteiten in verband wordt gebracht met de hackersgroep Scattered Spider is uitgeleverd aan de Verenigde Staten. Hij wordt verdacht van betrokkenheid bij een cyberaanval op een juweliersbedrijf, waarbij een losgeld van 8 miljoen dollar in cryptomunten werd geëist.

Het Amerikaanse ministerie van Justitie maakte bekend dat Peter Stokes, die zowel de Amerikaanse als de Estse nationaliteit heeft, in april werd aangehouden in Finland op basis van een internationaal opsporingsverzoek van Interpol. Vorige week werd hij uitgeleverd aan de Verenigde Staten, en dinsdag moet hij voor een federale rechtbank in Chicago verschijnen.

Aanval begon met een telefoontje naar de helpdesk

Volgens de openbaar gemaakte aanklacht begon de cyberaanval in mei 2025 met een vorm van social engineering, waarbij criminelen medewerkers misleiden om toegang te krijgen tot computersystemen. De verdachten belden de IT-helpdesk van het juweliersbedrijf en deden zich voor als medewerkers die hun inloggegevens wilden laten resetten. Volgens justitie kregen zij daardoor binnen ongeveer twee uur toegang tot drie werknemersaccounts, waarvan er twee van IT-beheerders waren. Daardoor konden de aanvallers ook accounts met uitgebreide bevoegdheden overnemen en uiteindelijk doordringen tot de systemen van het bedrijf.

Enkele dagen na de inbraak verstuurden de hackers vanuit een gekaapt e-mailadres van het bedrijf een losgeldbericht. Daarin dreigden zij gestolen betaal- en creditcardgegevens openbaar te maken als er geen 8 miljoen dollar in cryptomunten werd betaald. Het juweliersbedrijf wist de aanvallers uit het netwerk te verwijderen en besloot niet op de eis in te gaan. Volgens de aanklacht liep het bedrijf desondanks ongeveer 2 miljoen dollar schade op door de verstoring van de bedrijfsvoering.

Justitie koppelt de verdachte aan Scattered Spider

Volgens de Amerikaanse autoriteiten is Stokes lid van Scattered Spider, een internationaal opererende hackersgroep die ook bekendstaat onder namen als Octo Tempest en 0ktapus. De groep wordt in verband gebracht met meer dan honderd cyberaanvallen op bedrijven, waarbij meer dan 100 miljoen dollar aan losgeld zou zijn buitgemaakt.

In de aanklacht staat dat Stokes online de schuilnamen “Bouquet” en “Jordan” gebruikte, en dat hij betrokken zou zijn geweest bij meerdere aanvallen op verschillende bedrijven. Tijdens het onderzoek namen de autoriteiten een opslagapparaat in beslag dat volgens hen aan Stokes is gekoppeld. Daarop zouden bestanden staan van een virtuele server die volgens Microsoft werd gebruikt bij cyberaanvallen, en gestolen gegevens van meerdere getroffen bedrijven.

Daarnaast verwijst de aanklacht naar het Snapchat-account van de verdachte, waarop hij volgens justitie een opvallend luxe levensstijl toonde, met foto’s van verre reizen en kostbare bezittingen.

Stokes wordt vervolgd voor zes strafbare feiten, waaronder computervredebreuk, cyberafpersing, fraude en samenzwering. Hij moet zijn proces nog krijgen en geldt tot een veroordeling als onschuldig.

Ransomware blijft een van de grootste dreigingen

De zaak onderstreept volgens de Amerikaanse autoriteiten dat cybercriminelen steeds vaker internationaal opereren, en dat de opsporing inmiddels net zo grensoverschrijdend is. Ransomware blijft wereldwijd een van de grootste digitale dreigingen. Uit recente cijfers blijkt dat de totale opbrengst uit ransomwarebetalingen vorig jaar met ongeveer 8 procent daalde tot ruim 820 miljoen dollar, terwijl het aantal aanvallen juist met ongeveer 50 procent toenam. Steeds meer organisaties worden dus doelwit, maar slachtoffers betalen minder vaak, precies zoals het juweliersbedrijf in deze zaak deed.