Cybercriminelen lekken gestolen data Odido #4

quote:

Op dinsdag 29 september 2026 13:13 schreef Gajes_Octavianus het volgende:

[..]
Nederland levert wel degelijk onderdanen uit naar de VS.

I stand corrected. Met als kanttekening kennelijk dat een eventuele straf in Nederland uitgezeten mag worden.

quote:

Op dinsdag 29 september 2026 13:11 schreef Chillegast het volgende:

[..]
Ja dat zal het zijn
[..]
Nederland levert alleen uit op basis van een verdrag. En dat verdrag is er niet.

Waar lees je dat?

quote:

Dat er een verdrag is, klopt helemaal. Er is een bilateraal Uitleveringsverdrag tussen Nederland en de Verenigde Staten (van kracht sinds 1983 en herzien in 2010).

De aanwezigheid van dat verdrag betekent echter niet dat uitlevering een automatisme is. Verdragen bevatten regels en voorwaarden waaraan gehouden moet worden:

* Uitlevering van eigen onderdanen mag (Artikel 4)
Waar Nederland naar veel landen buiten de EU in principe geen eigen staatsburgers uitlevert, bevat het specifieke verdrag met de VS de regel dat uitlevering van een Nederlander niet geweigerd mag worden enkel vanwege de nationaliteit.

* De "Garantie van Terugkeer" (Garantieverklaring)
Hoewel de nationaliteit de uitlevering naar de VS dus niet blokkeert, stelt de Nederlandse Uitleveringswet (Artikel 4) een belangrijke voorwaarde voor Nederlanders. Nederland eist dat de VS belooft dat als de Nederlander daar tot een gevangenisstraf wordt veroordeeld, hij of zij die straf in Nederland mag uitzitten via de Wet overdracht tenuitvoerlegging strafvonnissen (WOTS).

* Toetsing van het verdrag

Het verdrag geeft de VS het recht om een verzoek in te dienen, maar de Nederlandse rechter en minister moeten vervolgens toetsen of aan de eisen in het verdrag is voldaan:

* Is er sprake van dubbele strafbaarheid?
* Lopen er in Nederland geen voorrang hebbende strafzaken over dezelfde feiten?
* Worden de mensenrechten van de verdachte voldoende gewaarborgd?

Het verdrag is dus de juridische basis die uitlevering mogelijk maakt, maar bevat tegelijkertijd de spelregels en voorwaarden waaronder Nederland verplicht of juist gerechtigd is om 'nee' te zeggen.

Je weet echter wel wat voor consequenties er bij kunnen komen als Nederland of EU dit zullen tegenhouden, als hij echt huisvredebreuk bij de FBI heeft gepleegd gaan ze hem echt wel berechten in US.

En ookal levert EU hem dan niet uit, dan komt hij op een nationale lijst en gaat Interpol naar hem zoeken. Kan hij nooit meer veilig reizen. Voor je het weet pakken ze hem er tussen uit.

quote:

Op dinsdag 29 september 2026 13:08 schreef epicbeardman het volgende:

[..]


Nederland moet hem uitleveren als FBI dat wil.

Kun je het publiek dan hier eens het wetsartikel laten zien dat Nederland dat moet bij een fbi verzoek...

Umbreon.

WEEB

Ach Pepijn.
https://en.wikipedia.org/wiki/Pepijn_van_der_Stap

quote:

Op dinsdag 29 september 2026 14:07 schreef Basp1 het volgende:

[..]
Kun je het publiek dan hier eens het wetsartikel laten zien dat Nederland dat moet bij een fbi verzoek...

Nouja moet is natuurlijk deels overdreven, maar als wij dat niet doen zou hypothetisch een Nederlandse crimineel misdaad plegen op Nederlandse SaaS of andere services, fok forum b.v. hacken.

En omdat dan het meest populaire forums van Nederland gehackt is willen de rechters hem hier straffen. Maar als wij niet uitleveren waarom zou Amerika dat dan wel doen aan Europa? Zij hebben meer leverage dan wij helaas.

Wij hebben de afgelopen jaren al tal van mensen uitgeleverd, ook hackers, ook Silk Road mensen, ook terroristen.

En zoals eerder gezegd, als NL het niet doet, vinden ze wel een manier.

quote:

21-jarige Nederlandse hacker is 10 juni via Roemenië uitgeleverd aan de Verenigde Staten op verdenking van grootschalige creditcardfraude. Maar over zijn uitlevering zijn nogal wat onduidelijkheden. Waar wordt David S. van beschuldigd en wat is er gebeurd in Roemenië?

Geheim agenten van de Amerikaanse Secret Service hielden David S. wekenlang in de gaten. Om hem te arresteerden lokten ze hem naar Roemenie waar hij een maand in een ondergrondse kerker verbleef, een zelfmoordpoging deed, en na herstel direct naar de VS werd gevlogen. Advocaat Bart Stapert is onthutst en verbijsterd over de handelswijze, de familie is in shock.

https://eenvandaag.avrotr(...)eleverd-aan-vs-40604

Obama does not fuck around

Pepijn wilde ook nog eens 2 mensen om laten leggen:

quote:

Verdachte ShinyHunters wilde ook twee moorden laten plegen
De Amsterdammer die is opgepakt in het onderzoek naar hackerscollectief ShinyHunters wordt ook verdacht van een poging tot het uitlokken van twee moorden.

Op zijn laptop is informatie gevonden over twee moorden die in het buitenland zouden moeten worden gepleegd. "Er zijn aanwijzingen dat de verdachte hiertoe opdracht heeft gegeven. Daarom wordt de man ook verdacht van een poging tot uitlokking van twee moorden", schrijft de politie in een persbericht.

De politie heeft ook andere gegevensdragers in beslaggenomen. Die worden onderzocht. Nieuwe aanhoudingen zijn niet uitgesloten.

Pepijn van der S.
De arrestatie van de man van 24 was op 15 september en kwam gisteren naar buiten. Het gaat om Pepijn van der S., zo meldden bronnen aan de NOS. Hij werd in 2023 veroordeeld tot vier jaar celstraf voor afpersing, witwassen en het hacken van bedrijven. Hij was begin dit jaar weer vrijgekomen.
https://nos.nl/artikel/26(...)moorden-laten-plegen

quote:

Op dinsdag 29 september 2026 13:05 schreef Chillegast het volgende:
Ik denk trouwens dat hij niet meer dan een loopjongen is, iemand die het vuile werk opknapt zodat als er sporen naar iemand terug te leiden zijn de organisatie overeind blijft.

Denk je dit nu nog steeds nu Pepijn verdacht word van het beramen van 2 moorden?

Die is het haasje.

quote:

Op dinsdag 29 september 2026 16:59 schreef voetbalmanager2 het volgende:
Pepijn wilde ook nog eens 2 mensen om laten leggen:
[..]
[..]
Denk je dit nu nog steeds nu Pepijn verdacht word van het beramen van 2 moorden?

Dat is wel een shocker, maar ik zie nergens dat dat iets te maken zou hebben met zijn rol bij ShinyHunters.

quote:

Op dinsdag 29 september 2026 17:35 schreef Chillegast het volgende:

[..]
Dat is wel een shocker, maar ik zie nergens dat dat iets te maken zou hebben met zijn rol bij ShinyHunters.

Dat weten we niet zeker inderdaad, maar dat ligt wel voor de hand.
Daarnaast noemt de FBI hem 1 van de leiders van Shinyhunters en wordt Pepijn ook in verband gebracht met andere hacks van die organisatie waar grote sommen geld mee is afgeperst.

Wel woonde hij nog bij zijn moeder en is is zijn moeder gewond geraakt door een flitsgranaat bij de inval van het arrestatieteam.

quote:

Op dinsdag 29 september 2026 17:40 schreef voetbalmanager2 het volgende:

[..]
Dat weten we niet zeker inderdaad, maar dat ligt wel voor de hand.

Niet echt:

quote:

Van der S. werd op 15 september aangehouden. Op zijn laptop is informatie gevonden over twee moorden die in het buitenland gepleegd zouden worden, schrijft de politie. Er zijn aanwijzingen dat de verdachte hiervoor opdracht heeft gegeven. Deze verdenking staat los van het onderzoek naar ShinyHunters.

quote:

Op dinsdag 29 september 2026 17:43 schreef Chillegast het volgende:

[..]
Niet echt:
[..]

volgens de FBI is Pepijn van der Stap een mogelijke leider van ShinyHunters.
https://www.bnr.nl/nieuws(...)oorden-in-buitenland

quote:

Op dinsdag 29 september 2026 18:52 schreef spectrumanalyser het volgende:

[..]
volgens de FBI is Pepijn van der Stap een mogelijke leider van ShinyHunters.
https://www.bnr.nl/nieuws(...)oorden-in-buitenland

Wat op zich niks over die moordplannen zegt.

Hij heeft zelfs een eigen wikipedia-pagina met vermelding van een eerdere veroordeling.
https://en.wikipedia.org/wiki/Pepijn_van_der_Stap

Nou die kerel heeft heel veel mensen benadeeld, staat met naam, toenaam en foto online; die mag wel uitkijken als die weer vrijkomt.

Voor hem nog 30 anderen.

Buitengewoon amateuristisch ook, wat je niet verwacht van zo'n groep.

quote:

Op dinsdag 29 september 2026 20:03 schreef spectrumanalyser het volgende:
Hij heeft zelfs een eigen wikipedia-pagina met vermelding van een eerdere veroordeling.
https://en.wikipedia.org/wiki/Pepijn_van_der_Stap

Hij heeft ook zijn eigen website. En die staat nog online.

quote:

Op dinsdag 29 september 2026 12:34 schreef epicbeardman het volgende:
Fbi zal hem uitgeleverd krijgen naar Amerika en daar zal hij 'straf' uitzitten (lees recruited bij cia/fbi) als hij geluk heeft.

De EU loopt weer eens te slapen, dit soort jongens moet je aannemen.

Je hebt duidelijk zitten slapen want de serie Cyberwar van Vice laat zien dat dit soort gasten niet op het rechte pad met witte betalingen te belonen zijn. Op de zwarte markt kopen overheden en aan overheid gelieerde organisaties exploit en 0days.

Veel van die organisaties zijn verwant aan de staatsveiligheid en/of onder invloed van allerlei groeperingen

https://irpimedia.irpi.eu(...)-intelligence-elite/

Dit soort mensen zijn nauwelijks op het rechte pad als white hat te houden. Allerlei groeperingen betalen goud voor de achterdeurtjes.

Als je een beetje de CCC bijeenkomsten volgt in Duitsland weet je dat er maar een handvol mensen zijn in de wereld die echt cryptografie en de versleuteling daarachter begrijpen (zoals AES-CBC).

Als voorbeeld heb je Geohot, de bekende hacker van Sony, Luca, die iPhones hackte zoals in het artikel hierboven en Pepijn, die misschien infostealers gebruik(te) en doormiddel van technieken zoals fuzzing lekken vindt in software en achterdeurtjes in inlegschermen.

Aan de andere kant worden dit soort gasten ook extreem goed geholpen omdat de beveiliging soms alleen

inlognaam:admin
wachtwoord: admin

is

In de Odido hack werd gebruik gemaakt van social engineering om middels phishing achter de inloggegevens van het klantenbestand van Odido bij Salesforce te komen. Als we hier te maken hebben met een superhacker die heeft die social engineering niet nodig. Die weet van de vulnerabilities en 0days in de Salesforce omgeving. En die weet ook dat social engineering sporen oplevert.

Overigens is hij gevonden (destijds) in 2023 doordat zijn mailadres op een verkoopforum stond voor te koop aangeboden lijsten met wachtwoorden. Organisaties die (in opdracht van) overheden werken gaan niet op een lullig forumpje een lijstje verkopen of verhandelen. Valt veel te veel op. Bovendien weten velen dat dat soort sites een honeypot zijn van opsporingsdiensten.

Zoals met elke diefstal kan die technisch perfect zijn, maar je moet het nog maar zien te slijten. Goud kun je nog omsmelten, genummerde biljetten wordt al lastiger en data in de vorm van csv bestanden is vaak pas wat waard als het te gelde gemaakt kan worden in phishing aanvallen, credential stuffing attacks of op andere manieren.

Het is allemaal niks nieuws wat ik vertel, het staat overal al op internet.

[ Bericht 18% gewijzigd door W00fer op 30-09-2026 01:50:46 ]

quote:

Op woensdag 30 september 2026 01:39 schreef W00fer het volgende:

[..]
Je hebt duidelijk zitten slapen want de serie Cyberwar van Vice laat zien dat dit soort gasten niet op het rechte pad met witte betalingen te belonen zijn. Op de zwarte markt kopen overheden en aan overheid gelieerde organisaties exploit en 0days.

Veel van die organisaties zijn verwant aan de staatsveiligheid en/of onder invloed van allerlei groeperingen

https://irpimedia.irpi.eu(...)-intelligence-elite/

Dit soort mensen zijn nauwelijks op het rechte pad als white hat te houden. Allerlei groeperingen betalen goud voor de achterdeurtjes.

Als je een beetje de CCC bijeenkomsten volgt in Duitsland weet je dat er maar een handvol mensen zijn in de wereld die echt cryptografie en de versleuteling daarachter begrijpen (zoals AES-CBC).

Als voorbeeld heb je Geohot, de bekende hacker van Sony, Luca, die iPhones hackte zoals in het artikel hierboven en Pepijn, die misschien infostealers gebruik(te) en doormiddel van technieken zoals fuzzing lekken vindt in software en achterdeurtjes in inlegschermen.

Aan de andere kant worden dit soort gasten ook extreem goed geholpen omdat de beveiliging soms alleen

inlognaam:admin
wachtwoord: admin

is

In de Odido hack werd gebruik gemaakt van social engineering om middels phishing achter de inloggegevens van het klantenbestand van Odido bij Salesforce te komen. Als we hier te maken hebben met een superhacker die heeft die social engineering niet nodig. Die weet van de vulnerabilities en 0days in de Salesforce omgeving. En die weet ook dat social engineering sporen oplevert.

Overigens is hij gevonden (destijds) in 2023 doordat zijn mailadres op een verkoopforum stond voor te koop aangeboden lijsten met wachtwoorden. Organisaties die (in opdracht van) overheden werken gaan niet op een lullig forumpje een lijstje verkopen of verhandelen. Valt veel te veel op. Bovendien weten velen dat dat soort sites een honeypot zijn van opsporingsdiensten.

Zoals met elke diefstal kan die technisch perfect zijn, maar je moet het nog maar zien te slijten. Goud kun je nog omsmelten, genummerde biljetten wordt al lastiger en data in de vorm van csv bestanden is vaak pas wat waard als het te gelde gemaakt kan worden in phishing aanvallen, credential stuffing attacks of op andere manieren.

Het is allemaal niks nieuws wat ik vertel, het staat overal al op internet.

W00fer 🙌

En hoe gaat het met het daten? Zie je nooit meer in dat topic.

quote:

Op woensdag 30 september 2026 02:22 schreef epicbeardman het volgende:

[..]
W00fer 🙌

En hoe gaat het met het daten? Zie je nooit meer in dat topic.

Ik voel me niet geroepen het daar met jou over te hebben maatje.

quote:

Op woensdag 30 september 2026 01:39 schreef W00fer het volgende:

[..]
Je hebt duidelijk zitten slapen want de serie Cyberwar van Vice laat zien dat dit soort gasten niet op het rechte pad met witte betalingen te belonen zijn. Op de zwarte markt kopen overheden en aan overheid gelieerde organisaties exploit en 0days.

Veel van die organisaties zijn verwant aan de staatsveiligheid en/of onder invloed van allerlei groeperingen

https://irpimedia.irpi.eu(...)-intelligence-elite/

Dit soort mensen zijn nauwelijks op het rechte pad als white hat te houden. Allerlei groeperingen betalen goud voor de achterdeurtjes.

Als je een beetje de CCC bijeenkomsten volgt in Duitsland weet je dat er maar een handvol mensen zijn in de wereld die echt cryptografie en de versleuteling daarachter begrijpen (zoals AES-CBC).

Als voorbeeld heb je Geohot, de bekende hacker van Sony, Luca, die iPhones hackte zoals in het artikel hierboven en Pepijn, die misschien infostealers gebruik(te) en doormiddel van technieken zoals fuzzing lekken vindt in software en achterdeurtjes in inlegschermen.

Aan de andere kant worden dit soort gasten ook extreem goed geholpen omdat de beveiliging soms alleen

inlognaam:admin
wachtwoord: admin

is

In de Odido hack werd gebruik gemaakt van social engineering om middels phishing achter de inloggegevens van het klantenbestand van Odido bij Salesforce te komen. Als we hier te maken hebben met een superhacker die heeft die social engineering niet nodig. Die weet van de vulnerabilities en 0days in de Salesforce omgeving. En die weet ook dat social engineering sporen oplevert.

Overigens is hij gevonden (destijds) in 2023 doordat zijn mailadres op een verkoopforum stond voor te koop aangeboden lijsten met wachtwoorden. Organisaties die (in opdracht van) overheden werken gaan niet op een lullig forumpje een lijstje verkopen of verhandelen. Valt veel te veel op. Bovendien weten velen dat dat soort sites een honeypot zijn van opsporingsdiensten.

Zoals met elke diefstal kan die technisch perfect zijn, maar je moet het nog maar zien te slijten. Goud kun je nog omsmelten, genummerde biljetten wordt al lastiger en data in de vorm van csv bestanden is vaak pas wat waard als het te gelde gemaakt kan worden in phishing aanvallen, credential stuffing attacks of op andere manieren.

Het is allemaal niks nieuws wat ik vertel, het staat overal al op internet.

Ik ben zelf (ethisch) hacker, en ben het helemaal met je eens, er word gedaan of dit een enorm genie is, mwoah dat valt denk ik erg te bezien, een vlijtig baasje, maar lijkt me ook een enorme autist die maar wat doet.
Wat me trouwens ook opvalt, was dat in het bericht werd gemeld dat het bedrijf waar hij werkte onderzoekt of hij de data heeft misbruikt van bedrijven waar hij toegang toe had, hoezo toegang tot data? Als je je security goed op orde heeft, hebben personal accounts nooit toegang tot productie data, dat mag alleen via gecontroleerde systemen zodat je een fatsoenlijke audit trail hebt.

quote:

Op woensdag 30 september 2026 03:58 schreef raptorix het volgende:

[..]
Ik ben zelf (ethisch) hacker, en ben het helemaal met je eens, er word gedaan of dit een enorm genie is, mwoah dat valt denk ik erg te bezien, een vlijtig baasje, maar lijkt me ook een enorme autist die maar wat doet.
Wat me trouwens ook opvalt, was dat in het bericht werd gemeld dat het bedrijf waar hij werkte onderzoekt of hij de data heeft misbruikt van bedrijven waar hij toegang toe had, hoezo toegang tot data? Als je je security goed op orde heeft, hebben personal accounts nooit toegang tot productie data, dat mag alleen via gecontroleerde systemen zodat je een fatsoenlijke audit trail hebt.

Zijn bedrijf is gespecialiseerd in pentesten, dan krijg je ook toegang tot klanten om te zien of hun eindgebruiker omgeving wel veilig is. Iemand zal daar een laatste klap op moeten geven voordat die weer gevuld worden met productiedata. Ik betwijfel trouwens of Pepijn wel bij Shinyhunters zit of zat.

Wat het rare is in dit soort zaken is dat dit soort gasten heel goed zijn in data, scripten, opslag, databases, fuzzing, automatiseren maar op een OPENBAAR forum data zouden verhandelen.

Alsof je voor het Politiebureau lawinepijlen gaat afsteken. Iedere aap weet toch dat wat je op het openbare web zet meegelezen kan worden? Het rijmt niet met elkaar.

Komt nog bij, de hacks die hij deed (honderd duizenden volgens de podcast) zijn volgens hem 99% legaal. Welk bedrijf heeft honderdduizenden betalende klanten?

Zijn moeder komt bij hem over de vloer en hij heeft 6 ton aan cash geld thuis liggen, maar zij verklaard dat het hem niet om geld ging? Zij weet van zijn afpersing van het bedrijf van Sebastiaan, hij moet 3 ton terugbetalen maar hij koopt niets? Het ging hem alleen om de data?

Onzinverhalen.

Het is net als vissen. Je wilt de mooiste vis, de beste vis en de sterkste vis aan je hengel. Je haalt hem met trots uit het water. Maar je zet hem ook weer terug want als je hem opeet heb je de volgende keer niks meer.
Zelfde met deze afpersingen. Leuk joh 6 ton aan geld binnenhalen voor 20 minuten werk, maar ooit val je door de mand.

Ik ben geen hacker, ik ben geen pentester maar ik weet wel een beetje van dit wereldje af. Ook van de stoerdoenerij, de combolijsten met namen en wachtwoorden die worden verhandeld (en vaak ook snel niks meer waard zijn omdat wachtwoorden worden veranderd) en ik weet ook van de technieken zoals bruteforcing.

De exploits waar Krebsonsecurity het over heeft, die Shinyhunters gebruikt: CVE-2026-35273
Dat is niet zomaar iets. https://cloud.google.com/(...)ng-oracle-peoplesoft

Wat rijmt dat met Shinyhunters die via een slecht sprekende niet Nederlander die iemand op een linkje laat klikken? Een kwetsbaar deel van de hack, zeker voor opsporing.

De werkgever van Pepijn heeft het op de website over zero footprint hacks. Waarbij je niets achterlaat. Erin en zo snel mogelijk met de data eruit.

[ Bericht 3% gewijzigd door W00fer op 01-10-2026 01:04:41 ]

Voor de mensen die nog willen kijken

Bekijk deze YouTube-video

Bekijk deze YouTube-video

Bekijk deze YouTube-video

Serie is nu 10 jaar oud maar zijn tijd ver vooruit.

quote:

Op woensdag 30 september 2026 22:43 schreef W00fer het volgende:

[..]
Zijn bedrijf is gespecialiseerd in pentesten, dan krijg je ook toegang tot klanten om te zien of hun eindgebruiker omgeving wel veilig is. Iemand zal daar een laatste klap op moeten geven voordat die weer gevuld worden met productiedata. Ik betwijfel trouwens of Pepijn wel bij Shinyhunters zit of zat.

Wat het rare is in dit soort zaken is dat dit soort gasten heel goed zijn in data, scripten, opslag, databases, fuzzing, automatiseren maar op een OPENBAAR forum data zouden verhandelen.

Alsof je voor het Politiebureau lawinepijlen gaat afsteken. Iedere aap weet toch dat wat je op het openbare web zet meegelezen kan worden? Het rijmt niet met elkaar.

Komt nog bij, de hacks die hij deed (honderd duizenden volgens de podcast) zijn volgens hem 99% legaal. Welk bedrijf heeft honderdduizenden betalende klanten?

Zijn moeder komt bij hem over de vloer en hij heeft 6 ton aan cash geld thuis liggen, maar zij verklaard dat het hem niet om geld ging? Zij weet van zijn afpersing van het bedrijf van Sebastiaan, hij moet 3 ton terugbetalen maar hij koopt niets? Het ging hem alleen om de data?

Onzinverhalen.

Het is net als vissen. Je wilt de mooiste vis, de beste vis en de sterkste vis aan je hengel. Je haalt hem met trots uit het water. Maar je zet hem ook weer terug want als je hem opeet heb je de volgende keer niks meer.
Zelfde met deze afpersingen. Leuk joh 6 ton aan geld binnenhalen voor 20 minuten werk, maar ooit val je door de mand.

Ik ben geen hacker, ik ben geen pentester maar ik weet wel een beetje van dit wereldje af. Ook van de stoerdoenerij, de combolijsten met namen en wachtwoorden die worden verhandeld (en vaak ook snel niks meer waard zijn omdat wachtwoorden worden veranderd) en ik weet ook van de technieken zoals bruteforcing.

De exploits waar Krebsonsecurity het over heeft, die Shinyhunters gebruikt: CVE-2026-35273
Dat is niet zomaar iets. https://cloud.google.com/(...)ng-oracle-peoplesoft

Wat rijmt dat met Shinyhunters die via een slecht sprekende niet Nederlander die iemand op een linkje laat klikken? Een kwetsbaar deel van de hack, zeker voor opsporing.

De werkgever van Pepijn heeft het op de website over zero footprint hacks. Waarbij je niets achterlaat. Erin en zo snel mogelijk met de data eruit.

Ik heb redelijk veel met dit soort partijen te maken, en de kwaliteit verschilt nogal, doorgaans zijn het niet echt hoogvliegers, als in: ze doen hun werk, maar het is niet zo dat ze heel creatief opzoek gaan naar zaken die een goede haceker wel zou kunnen misbruiken, is ook niet nodig want vaak is een Pentest meer een compliance ding dan dat het echt nodig is. Hoe ik de rol van Pepijn inschat? Groepen als Shinyhunters leven op zero days van webapplicaties, daar zijn ze bereid om goed geld voor te betalen, en wellicht dat hij er af en toe 1 aanleverde, is ook niet zo spannend tenzij je echt > 8/10 CVE kwetsbaarheden kan vinden op heel veel gebruikte software en dat is schaars. Dat hij achter de Odido hack zit? Geen idee, maar het zou wel uitermatige knullig zijn omdat dit gewoon een simpele hack is die je vanuit een willekeurige PC met VPN had kunnen uitvoeren, om dan sporen te achterlaten is wel heel naieef.

Pepijn schat ik gewoon iemand in met een enorm autistisch/narcistische inslag die zich makkelijk laat misbruiken.

quote:

Op donderdag 1 oktober 2026 03:46 schreef raptorix het volgende:
Pepijn schat ik gewoon iemand in met een enorm autistisch/narcistische inslag die zich makkelijk laat misbruiken.

Precies dit inderdaad.

Ik heb ooit ook zo'n jongen gekend. Deed ook veel hacken en dingen zoals fraude. Was prima jongen, maar er was gewoon iets mee mis.

quote:

Op donderdag 1 oktober 2026 07:09 schreef Discombobulate het volgende:

[..]
Precies dit inderdaad.

Ik heb ooit ook zo'n jongen gekend. Deed ook veel hacken en dingen zoals fraude. Was prima jongen, maar er was gewoon iets mee mis.

Het is doorgaans ook helemaal niet spannend, het is vooral heel veel blind testen en dan hopen dat iemand iets vergeten is, want dat is het meestal, ik zal een voorbeeld geven wij hadden een API en daar zat een list users methode in, dat gaf een lijst van users met hun gegevens, nu moest die developer wat functionaliteit maken om te controleren of een gebruikersnaam al bestond bij het maken van dat account, wat had die knul nou gedaan, in de frontend had hij een call gemaakt naar die API, welke deze user api aanriep, natuurlijk gaat dat fout omdat een gebruiker die API niet mag gebruiken, heeft die gozer dus het Authenticatie attribuut eraf gesloopt zodat het wel werkt

Gelukkig dat een tweede collega die de change moest goed keuren het wel zag, anders had dit voor veel ellende kunnen zorgen, is trouwens ook best wel een dingen, vrijwel alle organisaties hebben een 4 eyes principle, maar als ik af en toe zie wat voor enorme change goedkeuringen ik krijg dan is het niet vreemd dat veel mensen blind: op aproove klikken.

Misschien komt dat ook omdat het allemaal snel snel moet en vooral niks mag kosten.
Pentesten kan je ook laten doen door goedkope krachten uit India, Pakistan of waar dan ook.
Het gros van de rapportage zal wel door duurdere consultants geschreven worden.