Die Festnahmen erfolgten in Amsterdam und Den Haag. Die Verdächtigen sind ein 57-jähriger Unternehmer und ein 39-jähriger Konzertpianist, der Eigentümer eines Hostingunternehmens in Almere war. Die FIOD verdächtigt sie, gegen EU-Sanktionsbestimmungen verstoßen zu haben, indem sie digitale Dienste für Netzwerke bereitstellten, die bei russischen Cyberoperationen genutzt wurden.
Bei Durchsuchungen in Rechenzentren in Dronten und nahe Schiphol wurden hunderte Server abgeschaltet. Die Kunden der betroffenen Unternehmen bemerkten fast sofort, dass ihre Systeme nicht mehr erreichbar waren. In sozialen Medien tauchten Meldungen von Nutzern über unerwartete Störungen auf.
NoName057(16)
Im Mittelpunkt der Untersuchung steht die Hackergruppe NoName057(16). Diese pro-russische Gruppe führte in mehreren EU-Ländern digitale DDoS-Angriffe auf Webseiten von Regierungen, politischen Parteien und öffentlichen Institutionen durch.
Promotion
So hatte Dänemark im vergangenen Jahr mehrere Störungen zu verzeichnen. Webseiten von Parteien und dem Parlament fielen rund um die Kommunalwahlen aus. Auch dänische digitale Systeme für Zahlungen und Justiz waren betroffen.
Laut Forschern nutzten die pro-russischen Hacker niederländische Infrastruktur, um ihren digitalen Datenverkehr weniger sichtbar zu machen. Indem der Internetverkehr über Server in den Niederlanden geleitet wurde, erweckte es den Anschein, als kämen die Angriffe von europäischen Unternehmen statt aus Russland.
EU-Sanktionen
Eine wichtige Rolle in der Untersuchung spielt das Unternehmen Stark Industries und die moldawischen Brüder Ivan und Iurie Neculiti. Nach Angaben europäischer Behörden erleichterte dieses Netzwerk russische Cyberoperationen gegen europäische Länder. Die Europäische Union kündigte daher vor einem Jahr Sanktionen gegen Stark Industries und die Brüder an. Laut EU sollten damit Europa besser vor russischen hybriden Bedrohungen und Desinformationskampagnen geschützt werden.
Nach diesen EU-Sanktionen seien die Aktivitäten laut Recherchen von zwei niederländischen und dänischen Journalisten unter anderen Namen auf weitere Unternehmen verlagert worden. Dabei sollen auch Internetadressen und Serveraktivitäten übertragen worden sein, um die EU-Sanktionen zu umgehen.
Die betroffenen Unternehmen bestreiten bewusst an russischen Cyberangriffen mitgewirkt zu haben. Einer der Verdächtigen gab zuvor an, sein Unternehmen arbeite legal und er habe nichts zu verbergen. Es wurde auch bestritten, dass bekannt gewesen sei, dass Server für Angriffe oder die Verbreitung pro-russischer Desinformation verwendet wurden.