Deze podcast is AI-gegeneerd. (Engels)

Hoe heartsender in beeld kwam
Aan het einde van 2022 stuitte het Team Cybercrime van politie-eenheid Oost-Brabant in Nederland op een verdachte die in een ander lopend onderzoek figureerde. Op diens computer werd phishingsoftware aangetroffen, wat in eerste instantie leek op een geïsoleerd geval van digitale oplichting. Een grondiger analyse van deze software wees echter uit dat het sporen bevatte die konden worden teruggeleid naar een groepering genaamd HeartSender. Dit bleek het begin van een veelomvattend opsporingsonderzoek te zijn, want al snel kwam aan het licht dat HeartSender niet zomaar een individueel hackercollectief was, maar een zeer professioneel opererende organisatie.
De politie ontdekte dat HeartSender wereldwijd actief was en vanuit verschillende landen werd aangestuurd. Tegelijkertijd voerde de FBI in de Verenigde Staten een soortgelijk onderzoek uit naar dezelfde groep, waardoor de autoriteiten in beide landen min of meer parallel naar hetzelfde doel toewerkten. Toen duidelijk werd dat het om dezelfde criminele infrastructuur ging, werd de samenwerking tussen Nederland en de VS geïntensiveerd. Op 29 januari 2025 resulteerde dat in een gecoördineerde politieactie, die de codenaam ‘Operation Heart Blocker’ kreeg. Hierbij werden tientallen servers en domeinnamen in beslag genomen, waarmee de kern van de HeartSender-activiteiten vooralsnog onklaar is gemaakt.
Het bijzondere aan dit onderzoek is dat het aan de Nederlandse kant relatief klein begon, met slechts een enkele verdachte in beeld. Via deze ene verdachte en zijn digitale sporen wist het Team Cybercrime echter een complex web van internationale connecties bloot te leggen. De ontdekte phishingsoftware vormde een directe link naar een uitgebreid netwerk van websites, forums en online omgevingen, waar HeartSender onder diverse namen actief was. De criminele groep hield zich onder meer bezig met de ontwikkeling en verkoop van phishingtools, spamsoftware en andere methoden om grote hoeveelheden gegevens te verzamelen of te misbruiken. Dat dergelijke software direct op de computer van een verdachte werd aangetroffen, toont aan hoe ver de reikwijdte van HeartSender in korte tijd kon gaan.
Internationale samenwerking en operatie heart blocker
Zodra de link werd gelegd met het Amerikaanse onderzoek, was duidelijk dat een internationale samenwerking onvermijdelijk was. De FBI werkte intensief aan een zaak die eveneens was terug te voeren op HeartSender, waardoor twee afzonderlijke onderzoeksteams elkaars bevindingen konden aanvullen. De FBI richtte zich voornamelijk op de mondiale reikwijdte van de groep, terwijl het Team Cybercrime in Oost-Brabant zich concentreerde op de technische details en specifieke Nederlandse aanknopingspunten.
In de aanloop naar 29 januari 2025 werd uitvoerig afgetast welke onderdelen van de HeartSender-infrastructuur cruciaal waren voor de dagelijkse operaties van de groep. Het ging om servers en domeinen in verschillende landen, elk met hun eigen rol binnen de organisatie. Zo werden sommige servers gebruikt om phishingmails te versturen, terwijl andere domeinen dienden als ‘etalage’ voor criminele webshops. In die webshops werd reclame gemaakt voor de diensten en software van HeartSender. Volgens de politie speelde bijvoorbeeld YouTube een opvallende rol in de marketingstrategie van de groep, omdat er professionele video’s en handleidingen geplaatst werden om potentiële klanten te overtuigen.
‘Operation Heart Blocker’ bestond uit meerdere acties op één dag, deels gecoördineerd vanuit Nederland en deels vanuit de Verenigde Staten. De timing was nauwgezet afgestemd om te voorkomen dat de groepering zou kunnen anticiperen. In totaal zijn tijdens de actie 39 servers en domeinnamen in het buitenland offline gehaald of in beslag genomen. Daarmee werd de digitale ruggengraat van HeartSender geraakt. De samenwerking tussen de FBI en de Nederlandse politie gold als voorbeeld van hoe internationale justitiële samenwerking de infrastructuur van een criminele organisatie kan ontwrichten.
De operatie beperkte zich niet tot het louter offline halen van servers. Op basis van de inbeslaggenomen infrastructuur werd een enorme hoeveelheid data verkregen. De autoriteiten van beide landen kregen daardoor een kans om miljoenen bestanden, gegevensbestanden en gebruikersaccounts te analyseren. De groepering achter HeartSender werd daarmee niet alleen van hun operationele middelen beroofd, maar ook blootgesteld aan diepgaande opsporingsonderzoeken die mogelijk tot nieuwe aanhoudingen en vervolgingen kunnen leiden.
Van scampages tot gehackte servers
Een van de opvallendste kenmerken van HeartSender was de enorme variatie in de aangeboden producten. De groep functioneerde als een ‘criminele markt’, waar leden en klanten software konden aanschaffen om phishing op te zetten of om spamcampagnes te lanceren. Daarbij viel het op dat HeartSender zich vooral richtte op gebruiksgemak en laagdrempeligheid, wat verklaart waarom hun klantenbestand zo groot kon worden.
De groep bood onder andere zogeheten ‘senders’ aan. Dit zijn tools die het mogelijk maken om in korte tijd enorme hoeveelheden e-mails te versturen. Hoewel er legitieme toepassingen bestaan voor dergelijk massamailverkeer, bleek uit de context duidelijk dat deze tools gericht waren op phishing en spam. Hetzelfde gold voor de ‘scampages’, malafide websites die werden opgezet om nietsvermoedende bezoekers hun gegevens te laten invoeren, bijvoorbeeld bank- of inloggegevens. Door het ontwerp van zulke sites te spiegelen aan die van bekende merken of banken, trapten veel gebruikers erin.
Naast software voor phishing richtte HeartSender zich ook op de verkoop van gehackte infrastructuur. Denk hierbij aan cPanel-accounts, waarmee criminelen volledige controle kunnen krijgen over de hostingomgeving van een website of server. Hetzelfde geldt voor smtp-servers, die essentieel zijn voor het verzenden van e-mail. Door toegang te kopen tot een gekaapte smtp-server konden criminelen phishingmails versturen via een bestaand, en voor de buitenwereld legitiem ogend e-mailadres. Ook konden WordPress-accounts worden overgenomen, waardoor daders de mogelijkheid hadden om allerlei phishingscripts en schadelijke pagina’s op andermans website te plaatsen.
Met dit brede aanbod werd HeartSender een aantrekkelijke ‘winkellocatie’ voor cybercriminelen van uiteenlopend niveau. Waar sommigen met minimale technische kennis aan de slag gingen, maakten gevorderde criminelen gebruik van de aanvullende infrastructuur om hun bestaande activiteiten verder uit te bouwen. De professionele uitstraling van HeartSender, met duidelijke handleidingen en zelfs ondersteunende video's, onderstreept de ontwikkeling binnen de cybercrimewereld: net zoals in de reguliere markt heb je dienstverleners, supportafdelingen en marketingcampagnes, maar dan allemaal in het criminele domein.
Volgens diverse bronnen had de groep een hoofdvestiging of kern in Pakistan en opereerde zij al minstens tien jaar onder de naam The Manipulaters. HeartSender was dus niet zomaar een nieuwkomer, maar een organisatie met jarenlange ervaring en connecties wereldwijd. Dat ze zo lang konden opereren, komt onder andere doordat de groep een flexibel netwerk van domeinen en servers gebruikte. Deze infrastructuur werd voortdurend aangepast of ververst wanneer opsporingsdiensten te dichtbij kwamen. De recente operatie laat echter zien dat dergelijke netwerken niet ongrijpbaar zijn als nationale en internationale handhavingsinstanties intensief samenwerken.
De omvang van de data: 100.000 nederlandse slachtoffers
Tijdens de politieactie werd een grote hoeveelheid data in beslag genomen, waaronder miljoenen inloggegevens van slachtoffers over de hele wereld. De Nederlandse politie meldde dat er naar schatting 100.000 Nederlandse datasets in die bestanden voorkomen. Dat betekent dat mensen met een Nederlands e-mailadres of Nederlandse login-gegevens mogelijk het slachtoffer zijn (of zijn geweest) van identiteitsdiefstal, spam of phishing via HeartSender. Opvallend is dat deze enorme aantallen niet alleen uit e-mailadressen bestaan, maar ook gebruikersnamen en wachtwoorden voor websites, webwinkels en andere online diensten.
De datasets geven opsporingsdiensten een duidelijker beeld van hoe groot en divers de klantenkring van HeartSender moet zijn geweest. Voor elke gelekte set inloggegevens is het denkbaar dat een klant van HeartSender hier iets mee gedaan heeft of nog steeds aan het doen is, ook al is de infrastructuur inmiddels op veel plekken offline. Het feit dat de politie in staat is om deze gegevens te koppelen aan individuele servers en domeinen van HeartSender, maakt het makkelijker om na te gaan wanneer en hoe deze gegevens zijn gestolen of misbruikt.
Het Team Cybercrime in Oost-Brabant begon, in samenwerking met andere eenheden, een grootschalige analyse van de gevonden data. Dit is een arbeidsintensief proces, omdat miljoenen gegevens moeten worden geselecteerd, gefilterd en beoordeeld op authenticiteit. De politie heeft er daarom voor gekozen een controleportaal op te zetten, waar Nederlanders kunnen nagaan of hun e-mailadres voorkomt in de database van HeartSender. Deze mogelijkheid tot zelfcontrole is een manier om mensen te waarschuwen dat hun accounts mogelijk in criminele handen zijn geweest. Bij sommige WordPress-accounts is echter geen e-mailadres als gebruikersnaam gebruikt, waardoor deze niet via een e-mailcheck kunnen worden gevonden.
De schade voor slachtoffers die hun gegevens in deze database terugvinden, kan aanzienlijk zijn. Als mailaccounts zijn overgenomen, bestaat de kans dat criminelen in naam van het slachtoffer e-mails naar contactpersonen sturen. Bovendien kunnen ze via wachtwoordresetlinks toegang krijgen tot verschillende online diensten. Met een gekaapt cPanel of WordPress-account is het zelfs mogelijk om volledige websites te manipuleren of nieuwe phishingcampagnes te lanceren. De omvang en diepgang van de datasets onderstrepen hoe belangrijk het is dat cybercrime niet alleen op individueel niveau, maar ook op systeemniveau wordt bestreden.
Nederlandse kopers en vervolgonderzoek
Met het offline halen van een groot deel van de HeartSender-infrastructuur is een forse slag toegebracht aan het criminele netwerk. Tegelijkertijd betekent dit niet dat alle betrokkenen ook al zijn geïdentificeerd of aangehouden. De politie benadrukt dat het onderzoek naar HeartSender en diens klanten nog in volle gang is. De datasets die in beslag zijn genomen, verschaffen inzicht in de manieren waarop de groep opereerde en met wie ze zaken deden. Daaruit blijkt dat ook in Nederland kopers van de phishingsoftware en criminele infrastructuur actief zijn geweest.
Voor de opsporingsdiensten is dit een volgende stap: de Nederlandse politie richt zich de komende tijd op het achterhalen en waar mogelijk vervolgen van deze kopers. Omdat HeartSender via duidelijke webshops diensten aanbood, is er kans dat er uitgebreide betaalgegevens of transactionele data bestaan. Ook kunnen chatlogs, bestelgeschiedenissen en andere digitale sporen helpen om de identiteit van de afnemers te achterhalen. Sommige kopers hebben mogelijk meerdere keren ingelogd op de webwinkels of recensies achtergelaten over de gekochte software, niet beseffend dat dit na een inbeslagname tegen hen kan worden gebruikt.
Volgens de politie is het van groot belang om dit hele netwerk van klanten in kaart te brengen. Zoals vaker in cybercrimezaken, is de dader niet per definitie alleen de maker van de software, maar ook degene die deze software afneemt en gebruikt om phishingmails te versturen of websites te hacken. Eenmaal binnen in dit criminele ecosysteem kunnen kopers op allerlei manieren hun eigen praktijken uitbreiden. Zo’n systeem functioneert als een keten: HeartSender faciliteert de technologie, de kopers voeren de aanvallen uit en andere criminelen (of zelfs dezelfde) kunnen vervolgens de buitgemaakte gegevens verkopen of gebruiken.
Het is niet uit te sluiten dat een deel van de HeartSender-groep zich elders zal hergroeperen of andere middelen zoekt om hun praktijken voort te zetten. In het verleden is vaker gebleken dat zulke netwerken weer opduiken onder een nieuwe naam, met een iets andere werkwijze. Opsporingsinstanties stellen echter dat elke goed gecoördineerde actie een belangrijke deuk in het vertrouwen van criminelen slaat. Door internationale samenwerking, grootschalige inbeslagnames en de analyse van datasets, wordt het steeds lastiger voor cybercriminelen om ongestoord te blijven opereren.
Ondanks deze tegenslag voor HeartSender is het werk van opsporingsdiensten nog lang niet voorbij. Het terugdringen van georganiseerde cybercrime vraagt om doorlopend onderzoek, nieuwe wet- en regelgeving en regelmatig internationaal overleg. Het HeartSender-dossier laat goed zien dat phishingsoftware en criminele infrastructuur niet zomaar losstaan van elkaar: het vormt een hecht netwerk waarbij kennis, middelen en doelwitten wereldwijd circuleren. Door in te zetten op wereldwijde samenwerking hoopt men criminele organisaties niet alleen te bestrijden, maar ook te ontmoedigen.
Ontdek meer over cybercrime en het darkweb in onze uitgebreide bibliotheek. Voor een gestructureerd overzicht van relevante onderwerpen kun je terecht op onze onderwerpenpagina, waar je een alfabetisch gerangschikte lijst vindt.
Bron: Politie
Reactie plaatsen
Reacties