Rydox-beheerder bekent schuld voor Amerikaanse rechter

Ardit Kutleshi, een van de mannen die ervan worden beschuldigd de cybercriminele marktplaats Rydox te hebben gerund, heeft in de Verenigde Staten schuld bekend aan zware identiteitsdiefstal en witwassen.

De 28-jarige werd vorig jaar uitgeleverd door zijn thuisland Kosovo. Volgens Amerikaanse aanklagers runde hij samen met zijn oudere broer Rydox, een illegaal platform waar cybercriminelen gestolen persoonsgegevens, onrechtmatige toegang tot apparaten en ander gereedschap voor fraude kochten.

De strafmaat wordt in februari bepaald. Op zware identiteitsdiefstal staat een verplichte minimumstraf van twee jaar cel. Voor witwassen geldt een maximumstraf van 20 jaar.

Een winkel voor gestolen identiteiten en fraudepakketten

Volgens de aanklagers hielp Kutleshi bijna tien jaar lang bij het runnen van Rydox. In die periode verwerkte de site meer dan 7.600 transacties, goed voor $232.000.

De marktplaats had zo'n 18.000 gebruikers. Zij konden er Social Security-nummers kopen, het Amerikaanse identificatienummer dat gekoppeld is aan werk, belastingen en krediet, maar ook handleidingen over het bouwen van oplichtingspagina's en andere producten. Door die combinatie van gestolen gegevens en praktische handleidingen kregen kopers zowel de grondstof voor fraude als instructies om die te gebruiken.

Rydox stond niet open voor iedereen die zomaar langskwam. Gebruikers moesten eerst geld storten bij de site voordat ze toestemming kregen om iets te kopen dat op het platform werd aangeboden. Die eis diende waarschijnlijk om toevallige bezoekers te weren en zorgde ervoor dat kopers al geld hadden ingelegd voordat ze bij de waar konden.

Amerikaans aanklager Troy Rivetti zei dat de broers "honderdduizenden dollars verdienden aan de marktplaats waar cybercriminelen informatie en gereedschap konden kopen om hun onlinecriminaliteit uit te voeren en uit te breiden."

Rivetti ging ook in op de schade voor slachtoffers die verder gaat dan het geld dat ze kwijtraken.

"Dit soort cybercriminaliteit veroorzaakt niet alleen financieel verlies, maar ook blijvende psychische schade bij de slachtoffers, die zowel geld verliezen als hun vertrouwen in instellingen en de infrastructuur van de onlinemarkt," zei hij.

Brett Leatherman, adjunct-directeur van de cyberafdeling van de FBI, zei dat het platform iedereen toegang gaf tot grote verzamelingen gestolen identiteiten en inloggegevens van duizenden mensen.

Een actie in vier landen

De actie tegen Rydox gaat terug tot december 2024. Die maand namen de FBI en andere opsporingsdiensten het domein in beslag waarop de marktplaats draaide. Tegelijkertijd arresteerde de Kosovaarse politie Kutleshi.

De operatie bleef niet beperkt tot de VS en Kosovo. In Albanië arresteerden opsporingsdiensten nog iemand die betrokken was bij het runnen van Rydox, en de politie in Maleisië nam meerdere servers in beslag die voor de site werden gebruikt.

Met die gecoördineerde aanpak werd het platform van meerdere kanten tegelijk aangepakt: het domein waarmee gebruikers de site bereikten, de mensen die hem runden en de servers die hem online hielden.

Broer veroordeeld en uitgezet

Kutleshi's oudere broer had al eerder schuld bekend. Volgens Rivetti werd de broer veroordeeld tot de tijd die hij al in voorarrest had gezeten en daarna in december teruggestuurd naar Kosovo.

Of Ardit Kutleshi dezelfde weg zal gaan, is nog onduidelijk. Recorded Future News vroeg of ook hij zal worden uitgezet. Een woordvoerder van het ministerie van Justitie verwees het medium door naar het Department of Homeland Security, de Amerikaanse instantie die toeziet op de handhaving van het immigratiebeleid. DHS reageerde niet op verzoeken om commentaar.

Het ministerie van Justitie wilde ook niet zeggen of Kutleshi nog in hechtenis zit.

Onze kijk

De zaak-Rydox laat zien hoe klein de cijfers achter een al jaren draaiende criminele marktplaats op papier kunnen lijken. $232.000 uit meer dan 7.600 transacties komt neer op bescheiden bedragen per verkoop. De echte kosten worden gedragen door de mensen van wie de Social Security-nummers en inloggegevens werden doorverkocht, en door wie later doelwit werd van de oplichtingspagina's die kopers leerden bouwen. Rivetti's opmerkingen over verloren vertrouwen wijzen precies op die schade verderop in de keten.

De zaak past ook in een vast patroon waarin Amerikaanse aanklagers verdachten van cybercriminaliteit in het buitenland aanpakken via uitlevering en gezamenlijke operaties, een trend die ook zichtbaar is in zaken als de aanklachten tegen bestuurders van Oxygen Forensics. Het tegelijk in beslag nemen van het domein, arresteren van de beheerders en offline halen van de servers wijst op een poging om het platform moeilijker ergens anders te laten opduiken.

Voor verdedigers is de les een bekende. Persoonsgegevens die buitgemaakt worden bij datalekken en telefonische oplichting belanden vaak te koop op sites als deze, waar ze verdere fraude aanwakkeren.

Het is de moeite waard om in de gaten te houden welke straf Kutleshi in februari krijgt, en of hij net als zijn broer uiteindelijk wordt teruggestuurd naar Kosovo. De uitkomst kan laten zien hoe Amerikaanse rechtbanken in dit soort uitleveringszaken de tijd meewegen die iemand al in hechtenis heeft doorgebracht.