Beheerder cybercrimemarkt OLVX opgepakt in Noord-Macedonië
De politie in Noord-Macedonië heeft de man opgepakt die vermoedelijk de beheerder is van OLVX, een ondergrondse handelsplaats waar criminelen gestolen persoonsgegevens, inloggegevens en hackingtools verhandelden. De arrestatie vond deze week plaats tijdens een gezamenlijke operatie van het Noord-Macedonische ministerie van Binnenlandse Zaken en de FBI.
De autoriteiten hebben de naam van de verdachte niet bekendgemaakt. Volgens de FBI en Noord-Macedonische functionarissen werd eerst aangifte gedaan, waarna agenten een inval deden in de woning van de man in het dorp Golema Rečica.
Een markt met meer dan 1.500 verkopersaccounts
OLVX dook voor het eerst op in 2023 en groeide al snel uit tot een veelgebruikte plek voor cybercriminelen die data en tools wilden kopen of verkopen. Volgens de FBI was de markt actief tot 2025.
"OLVX was actief tussen 2023 en 2025 en zou via meer dan 1.500 verkopersaccounts onrechtmatig persoonlijk identificeerbare informatie en inloggegevens van slachtoffers hebben verkocht", aldus de FBI in een verklaring.
De dienst benadrukte ook de gevolgen voor Amerikaanse slachtoffers: "Het bestaan van deze handelsplaats bracht de digitale veiligheid van duizenden Amerikaanse burgers die vertrouwen op de integriteit van hun accounts rechtstreeks in gevaar."
Cybersecuritybedrijf ZeroFox nam OLVX in 2023 grondig onder de loep in een uitgebreid rapport. Het bedrijf waarschuwde destijds dat de site steeds populairder werd onder verkopers van phishingkits, externe bureaubladverbindingen, inloggegevens, gestolen data en andere criminele tools.
Geen escrow, alleen cryptosaldo's
Op één punt onderscheidde OLVX zich van veel concurrenten. Talloze ondergrondse markten werken met een escrowdienst, waarbij het platform de betaling van een koper vasthoudt tot de deal rond is. OLVX deed dat niet.
In plaats daarvan zetten gebruikers cryptovaluta op de site en betaalden ze elkaar daarmee rechtstreeks. Het geld ging tussen kopers en verkopers heen en weer via saldo's die op het platform zelf werden aangehouden.
Bijverdienste op Telegram en beschuldigingen rond kindermisbruikmateriaal
De zaak reikt verder dan OLVX. Volgens de Noord-Macedonische politie beheerde de verdachte ook een Telegramgroep met de naam ONEMILI. Die groep bood tools aan voor frauduleuze terugbetalingstrucs, waarbij criminelen winkels zover krijgen dat ze geld terugstorten waar ze geen recht op hebben, en voor andere vormen van oplichting.
Onderzoekers zeggen tijdens het onderzoek bovendien iets veel ernstigers te hebben gevonden.
"Daarnaast is bewijs verkregen dat erop wijst dat de verdachte via de Telegram-applicatie materiaal van seksueel kindermisbruik (CSAM) had verworven en voor eigen gebruik in bezit had", aldus het Noord-Macedonische ministerie van Binnenlandse Zaken.
Onderdeel van een bredere aanpak
De arrestatie past in een lange reeks acties tegen criminele handelsplaatsen. De afgelopen vijf jaar hebben opsporingsdiensten tientallen van deze sites offline gehaald. Ze zijn uitgegroeid tot centrale knooppunten waar hackers gestolen data, tools en technieken uitwisselen.
Andere recente zaken wijzen dezelfde kant op. Vorige week kreeg een medeoprichter van het darkwebforum Empire Market in de VS een federale gevangenisstraf van 40 jaar.
Ook het bedrijfsleven zit niet stil. Microsoft maakte woensdag bekend dat het drie Chinese phishingplatforms uit de lucht heeft gehaald die cybercriminelen gebruikten om honderden miljoenen kwaadaardige berichten te versturen. Die berichten deden zich voor als meer dan 75.000 organisaties wereldwijd.
Onze analyse
OLVX was niet de grootste of bekendste ondergrondse markt, maar deze arrestatie laat zien dat ook middelgrote spelers niet buiten bereik zijn. De FBI werkte samen met een klein Balkanland om een beheerder te pakken die vanuit een dorp opereerde. Dat suggereert dat een bescheiden locatie weinig bescherming biedt zodra onderzoekers een beheerder aan een platform weten te koppelen.
Voor verdedigers is de les minder geruststellend. OLVX was zo'n twee jaar actief en telde meer dan 1.500 verkopersaccounts. Inloggegevens en persoonsgegevens die in die periode zijn verkocht, circuleren waarschijnlijk nog steeds, en kopers verdwijnen zelden als één markt sluit. Organisaties doen er goed aan gestolen inloggegevens nog altijd als een doorlopend risico te behandelen en te vertrouwen op sterke authenticatie en monitoring van inloggegevens.
Het is de moeite waard om in de gaten te houden of de FBI probeert de verdachte uitgeleverd te krijgen, en of in beslag genomen data van het platform leidt tot zaken tegen verkopers of kopers op OLVX. In beslag genomen gegevens van handelsplaatsen hebben vaak de basis gevormd voor latere onderzoeken, en dat zou hier ook kunnen gebeuren.