Politie en Europol rollen LeakBase op en nemen privédata van criminelen over

Cybercrimeplatform LeakBase is offline gehaald door de politie Amsterdam in samenwerking met Europol, de FBI en Europese opsporingsdiensten. Het handelsforum voor gestolen data is in beslag genomen, compleet met alle gegevens, waaronder gebruikersaccounts en privéberichten.

LeakBase heeft in totaal 142.000 geregistreerde gebruikers, meldt de Nederlandse politie. De opsporingsdiensten bezitten nu de accounts van die mensen, hun openbare en privéberichten op LeakBase, het kredietsysteem van het cybercrimeplatform en IP-logs. LeakBase was 'een van de grootste cybercriminele fora' en gebruikte onder meer een server in Amsterdam.

Het ontmantelen van dit handelsplatform voor cybercriminelen volgt op onderzoek dat in 2023 begon. Daarbij kwamen wereldwijd verdachten en gebruikers in beeld. Bij de operatie om LeakBase op te rollen zijn dinsdag 3 en woensdag 4 maart 100 gerichte acties uitgevoerd tegen 37 gebruikers. De in beslag genomen gegevens worden nu verder onderzocht om te bepalen hoeveel mensen en bedrijven slachtoffer zijn van LeakBase-gebruikers.

De aangetroffen inloggegevens zijn toegevoegd aan No More Leaks. De politie deelt via die publiek-private samenwerking gestolen inloggegevens met aangesloten bedrijven. Daarnaast verwerkt de politie de aangetroffen e-mailadressen in Check Je Hack. Eindgebruikers kunnen met die onlinetool van de Nederlandse politie controleren of hun e-mailadres voorkomt in buitgemaakte databases van cybercriminelen.

Reputatiemodel voor vertrouwen

De forumsite diende voor het delen, kopen, verkopen en weer doorverkopen van grote hoeveelheden datasets. Daarin zat gestolen informatie zoals e-mailadressen, wachtwoorden en andere persoonsgegevens. Criminelen gebruiken deze verhandelde gegevens voor onder andere oplichting, phishing, bankhelpdeskfraude, ransomware en identiteitsmisbruik. LeakBase had een intern kredietsysteem voor de criminele gebruikers en hanteerde een reputatiemodel voor het opbouwen van onderling vertrouwen.

Bron: politie

Reacties (19)

[SomerenV]

Eindgebruikers kunnen met die onlinetool van de Nederlandse politie controleren of hun e-mailadres voorkomt in buitgemaakte databases van cybercriminelen.

Alleen zie je vervolgens niet wat er nog meer in de gevonden databases staat behalve je emailadres. Althans, in het geval van de Odido hack kreeg je het volgende antwoord:

De gestolen gegevens kunnen de volgende gegevens omvatten:

Inlognaam en wachtwoord
Volledige naam
Woonadres
Telefoonnummer
E-mailadres
IBAN-nummer
En aanvullende klantgegevens, bekend bij Odido

Daar heb je dus precies niks aan.

[Martinez-]

Helemaal mee eens. Vaak weet je wel dat je gegevens gelekt zijn, maar de exacte scope ontbreekt waardoor je zelf ook niet exact weet waartegen je jezelf moet verdedigen.

[Loekzon]

Nee, kan best zijn. Ik hoor niets over deze prestatie van de politie en andere deelnemende partijen. Dus bij deze: Heel mooi werk om deze actie uit te voeren!

[avlt]

Helemaal mee eens. Bovendien vraag ik me af of ze rekening houden met het feit dat gmail-adressen (en misschien ook andere providers) geen rekening houden met '.' in de file naam. Dus [e-mail] is hetzelfde als [e-mail] of zelfs [e-mail]

Ook gebruik ik regelmatig een '+' achter mijn email adressen; ook die haalt gmail eraf, maar de ontvanger ziet het het wel in zijn email.

Dus een email aan [e-mail] komt gewoon aan bij [e-mail]

[Anonymoussaurus]

Zoals vermeld in het artikel, maar zonder bron, hebben Europol en de FBI hier ook aan meegewerkt:

• https://www.europol.europ...-against-cybercrime-forum
• https://www.justice.gov/o...lds-largest-hacker-forums

[GeleFles]

Bij checkjehack zie ik deze leakbase dataset nog niet staan in de lijst: (De telecom Breach is Odido)

1. 1 maart 2026 - Telecom Breach
2. November 2025 - Endgame (Rhadamanthys)
3. Oktober 2024 - Magnus
4. Mei 2025 - Endgame (Latrodectus)
5. 28 januari 2025 - Heart Blocker
6. 30 mei 2024 - Endgame
7. januari 2024 - Bankhelpdeskfraude
8. 29 augustus 2023 - Qakbot
9. 5 april 2023 - Genesis market

Het kan dus zijn dat je nog even moet wachten tot je kan controleren of je in deze dataset staat.

[Scribe]

Het is ook helemaal geen dataset, het is een platform waarop datasets zoals bovenstaande doorverkocht kunnen worden

[AcidBanger]

Ja dat klopt, maar volgens mij zijn er ook datasets gevonden op de server.

[Bigbadfred]

In mijn geval vertelde Odido mij dat mijn paspoortgegevens NIET gestolen waren.

Technisch gezien hebben ze waarschijnlijk gelijk, maar NordVPN wist me te vertellen dat mijn rijbewijsnummer WEL was gestolen (het nummer daarvan stond in hun bericht).

Ik kan me goed voorstellen dat mensen die dataset willen inzien om te kunnen bepalen wat er nu eigenlijk WEL allemaal is gelekt, want van Odido of haveibeenpwned krijg je alleen te horen wat er MOGELIJK is gestolen.

[watercoolertje]

Ik kan me goed voorstellen dat mensen die dataset willen inzien

Ik kan me bij bijna elke misdaad of overtreding wel indenken dat de dader een voor hem/haar goed excuus heeft om het te doen. Neemt niet weg dat het niet mag.

Ik weet dan ook niet helemaal wat je punt is van je bericht, reageer je op een bepaalde andere reactie of stelling? (dan komt dat niet over want je refereert nergens naar/aan)

[Reactie gewijzigd door watercoolertje op 5 maart 2026 14:04]

[PindaRots]

Wat ik me afvraag, in hoeverre kunnen bepaalde organisaties iets doen met die data?

Netflix zou met zo'n dataset kunnen zien welke e-mailadressen bij een bepaald IP horen en klanten kunnen dwingen een subaccount te nemen. Ze hebben immers bewijs dat iemand z'n account deelt.

Of een media waakhond die op een torrenttracker zit en de ip's verzameld van de mensen die wat aan het downloaden en delen zijn? Zoeken op IP en hoppa je hebt adresgegevens, vervolgens kunnen ze brieven sturen of mailtjes... Een deel van de mensen zou daar op ingaan.

[this]

Bewijs? Ik hoef maar mijn een tijdje router uit en weer aan te zetten en ik heb een nieuw IP adres.

En dan nog, is dit geen onrechtmatig verkregen bewijs?

[jvanhambelgium]

Je ISP heeft natuurlijk logging en weet exact de hele historiek van je public-IP toekenning enz en dat zal zeker 6 maand tot 1 jaar teruggaan.

Over de rechtsgeldigheid kan ik niks zinnigs zeggen.

[this]

Mijn ISP inderdaad, maar bv Netflix niet.

[duiveltje54]

Ik zou graag zien dat bv de politie of een andere officiële instantie de gestolen data die online is gezet beschikbaar maakt om het in te zien. Neem ik wel aan dat ze alle data al in handen hebben uiteraard.

Dus dat je langs komt bij een kantoor met duidelijk rekening afschrift of iets dergelijks met je ID bv dat je dan kan inzien welke gegevens van jouw gestolen zijn? Zodat je gerichter actie kan ondernemen dan nu in angst of onzekerheid hals over kop een nieuwe rijbewijs en dergelijke aan te schaffen ect ect......

Zoiets zou nu toch mogelijk kunnen zijn voor de gedupeerden ? ( Ja ik ben er daar ook 1tje van )

Of zie ik het allemaal verkeerd?

[arjankoole]

Daar hebben ze echt niet de crew en budgetten voor.

het beschikbaar maken (deels) via een website is al heel wat. en laagdrempelig.

[duiveltje54]

Factuur naar Odido

Snap het dat het lastig is om ergens langs te gaan en dan je gestolen gegevens in te zien , maar iets met DigiD ( DigiD is toch ook overheid ? ) moet toch kunnen om te kijken wat er precies gelekt is van jouw?

[kodak]

Bij behoorlijk dienstbaar zijn hoort ook behoorlijke transparantie naar de slachtoffers. De wens is dus wel degelijk redelijk als de politie kiest om feitelijk niet transparant naar de slachtoffers te willen zijn omdat het ze zelf beter uit komt. Men werkt immers niet voor zichzelf. Half werk is ook niet de bedoeling.

Dit is ook niet het eerste criminele platform waarbij de politie de verantwoordelijkheid over alle persoonsgegevens neemt en ze meer belangrijke informatie voor slachtoffers hebben. Men had dus allan horen te regelen dat ze geen informatie over persoonlijke gegeven en hoe deze gelekt (kunnen) zijn achter te houden. Dit is het miskennen van de belang van transparantie naar en voor de slachtoffers. Het voorkomt dat slachtoffers kunnen herleiden wie er verantwoordelijk voor de diverse lekken is. Het voorkomt dat slachtoffers hun recht bij die bedrijven, organisaties en personen kunnen halen en het voorkomt dat de slachtoffers behoorlijk melding kunnen doen bij de AP en aangifte kunnen doen via de politie. Want die sturen je gewoon weg als je niet behoorlijk kan aantonen waar welke gegevens gelekt zijn. Terwijl de toezichthouder en politie ondertussen geen blijk geven zelf belang te zien om achter alle verantwoordelijken aan te gaan zolang ze niet genoeg meldingen en aangiftes ontvangen.

[Ozzy]

Hoe zie je dat in de praktijk voor je? Dat ze alle gegevens die ze hebben mailen naar het mailadres in de dataset? Of in een envelop op sturen "naar de bewoners van"? Het koppelen van gegevens uit zo'n dataset aan een persoon is zeer complex. Als een dataset geen BSN nummer bevat of een rijbewijs/passpoortnummer, en gelukkig bevatten de meeste datasets die niet, is er niet of nauwelijks een mogelijkheid om te garanderen dat bepaalde gegevens bij een bepaalde persoon horen. Toegang tot de inbox van het emailadres (dat wel vaak in de gegevens zit) is mager bewijs dat die gegevens echt van jou zijn.

Daarnaast als de politie hier wel iets voor zou willen maken, dan gaan ze die gegevens verwerken en moeten ze daarmee aan de AVG voldoen. En dan krijg je de rare situatie dat ze gegevens werken van personen, die a) geen klant zijn van de politie, maar b) daar ook geen toestemming voor hebben, of kunnen, geven. De kans dat de politie dan zelf data gaat lekken is gigantisch.