Operatie Endgame: politie haalt 235 servers offline en stelt 6,4 miljoen gestolen gegevens veilig

De politie heeft samen met Europol een flinke klap uitgedeeld aan cybercriminelen. In een nieuwe fase van Operatie Endgame gingen 235 servers en 257 domeinen offline die hoorden bij drie malwarenetwerken. Daarbij werden 6,4 miljoen datasets met gestolen gegevens veiliggesteld. De Nederlandse politie en het Openbaar Ministerie deden mee aan de actie, die op 12 november 2026 werd aangekondigd.

Het gaat om gegevens zoals wachtwoorden, inloggegevens en digitale identiteiten. Die informatie was gestolen van computers van slachtoffers en werd door criminelen verhandeld of gebruikt voor nieuwe aanvallen, waaronder ransomware. De kans is reeel dat er ook Nederlandse gegevens tussen zitten, al is niet bekend hoeveel slachtoffers er precies zijn.

Wat is er precies gebeurd?

Operatie Endgame is een internationale aanpak van de criminele infrastructuur achter malware. Europol en Eurojust coordineren de samenwerking tussen politiediensten uit negen landen: Bulgarije, Canada, Denemarken, Duitsland, Moldavie, Nederland, Polen, het Verenigd Koninkrijk en de Verenigde Staten. Ook private partners hielpen mee om de infrastructuur op te sporen en te blokkeren.

In deze fase richtte de actie zich op drie malwarenetwerken: Gootloader, CastleRAT en StealC. De servers en domeinen die daarbij hoorden, werden in beslag genomen of uitgeschakeld. Daarmee verliezen criminelen een groot deel van de technische basis waarmee ze slachtoffers maakten en aanvallen uitvoerden.

Europol meldde dat er in de in beslag genomen infrastructuur 6,4 miljoen datasets met slachtoffergegevens werden gevonden. Daaronder zitten meer dan 6 miljoen gestolen inloggegevens. Belangrijk om te weten: dat aantal staat niet gelijk aan 6,4 miljoen unieke personen. Een dataset kan meerdere gegevens van dezelfde persoon bevatten, en een persoon kan in meerdere datasets voorkomen. Het echte aantal slachtoffers is dus niet bekend.

De drie malwarenetwerken: Gootloader, CastleRAT en StealC

De drie netwerken hadden elk een eigen rol in de criminele keten. Samen vormden ze een soort dienstverlening voor andere criminelen, een model dat wel cybercrime-as-a-service wordt genoemd. Wie betaalde, kon de tools gebruiken zonder zelf veel technische kennis te hebben.

Gootloader is een zogeheten loader. Deze malware opent de deur op een besmette computer, zodat er daarna andere schadelijke software kan worden binnengebracht. Op die manier werd een eerste besmetting de opstap naar grotere aanvallen, zoals ransomware.

CastleRAT is een trojan voor toegang op afstand, bekend sinds 2025. Zodra deze malware op een computer staat, kunnen criminelen op afstand meekijken en handelingen uitvoeren alsof ze zelf achter het toetsenbord zitten. Dat maakt het een gevaarlijk hulpmiddel voor spionage en diefstal.

StealC is een infostealer met een zogeheten dropperfunctie. De malware werd op verschillende manieren verspreid en was vooral gericht op het stelen van opgeslagen wachtwoorden, inloggegevens en digitale identiteiten van besmette computers. Die gegevens werden vervolgens verkocht of gebruikt voor fraude en nieuwe aanvallen. De actie tegen StealC is een vervolg op een eerdere actie in juni 2026, toen ook al servers van dit netwerk werden uitgeschakeld.

De Nederlandse rol: politie en Openbaar Ministerie

Nederland was een van de negen deelnemende landen. De Nederlandse politie en het Openbaar Ministerie werkten mee aan de operatie. Europol leverde onder meer inlichtingen, financieel speurwerk en ondersteuning bij het waarschuwen van slachtoffers via het European Cybercrime Centre, het EC3.

Dat Nederlandse diensten meedoen, is geen toeval. Nederland is al jaren een belangrijk knooppunt in internationale cyberonderzoeken, onder meer omdat er veel internetinfrastructuur in het land staat en omdat de politie hier veel ervaring heeft met dit soort zaken. Eerdere fases van Operatie Endgame leverden ook al grote aantallen in beslag genomen servers op.

In deze fase zijn geen arrestaties aangekondigd. De nadruk lag op het uitschakelen van de infrastructuur en het veiligstellen van de gestolen gegevens. De onderzoeken naar de mensen achter de netwerken lopen nog door.

Wat er gebeurt met de gestolen gegevens

De veiliggestelde gegevens worden gedeeld met organisaties die slachtoffers kunnen waarschuwen. Daaronder zijn Have I Been Pwned, DIVD, Check je Hack, NoMoreLeaks, Sekoia, de Shadowserver Foundation en het Nationaal Cyber Security Centrum van Nederland, het NCSC.

Via die diensten kun je zelf controleren of jouw e-mailadres of wachtwoord voorkomt in bekende datalekken. Have I Been Pwned is daarvoor de bekendste internationale dienst, terwijl Check je Hack zich specifiek richt op Nederlandse slachtoffers. Het is verstandig om zo'n controle af en toe te doen, zeker na een groot lek als dit.

Komt jouw e-mailadres voor in een lek, verander dan direct het wachtwoord van dat account. Gebruik daarnaast voor elk account een ander wachtwoord en zet waar mogelijk tweefactorauthenticatie aan. Een wachtwoordmanager helpt om al die unieke wachtwoorden bij te houden zonder ze zelf te hoeven onthouden.

Waarom deze actie ertoe doet

Operatie Endgame wordt door Europol omschreven als de grootste internationale inspanning tegen de diensten die ransomware mogelijk maken. Elke fase haalt een stuk infrastructuur weg waar criminelen op leunen. Dat lost het probleem niet in een keer op, want nieuwe servers en domeinen kunnen worden opgezet, maar het maakt aanvallen duurder en lastiger.

Voor gewone internetgebruikers is de les vooral praktisch: gestolen wachtwoorden blijven jarenlang rondgaan in criminele kringen. Een wachtwoord dat ooit is gelekt, kan later alsnog worden misbruikt. Daarom is het zo belangrijk om wachtwoorden regelmatig te controleren en te vernieuwen, en om nooit hetzelfde wachtwoord voor meerdere diensten te gebruiken.

De actie laat ook zien dat internationale samenwerking werkt. Negen landen, Europol, Eurojust en private partners moesten tegelijk in actie komen om de servers en domeinen in een keer uit te schakelen. Dat soort coordinatie kost tijd, maar het resultaat is een netwerk dat in een klap een groot deel van zijn slagkracht kwijt is.

Veelgestelde vragen

Wat is Operatie Endgame?

Operatie Endgame is een internationale politieactie tegen de criminele infrastructuur achter malware en ransomware. Europol en Eurojust coordineren de samenwerking tussen politiediensten uit meerdere landen en private partners. De actie richt zich op de servers, domeinen en diensten die criminelen gebruiken om aanvallen uit te voeren.

Zijn mijn gegevens gestolen bij deze netwerken?

Dat is niet met zekerheid te zeggen zonder controle. De gestolen gegevens worden gedeeld met diensten zoals Have I Been Pwned en Check je Hack, waar je met je e-mailadres kunt nagaan of je voorkomt in bekende lekken. Komt je adres voor in een lek, verander dan direct je wachtwoorden en zet tweefactorauthenticatie aan.

Wat moet ik doen als mijn wachtwoord is gelekt?

Verander het wachtwoord van het betreffende account meteen en gebruik voortaan een uniek wachtwoord voor elke dienst. Controleer ook of je hetzelfde wachtwoord elders gebruikt en pas die accounts eveneens aan. Zet waar mogelijk tweefactorauthenticatie aan en overweeg een wachtwoordmanager om je wachtwoorden veilig te bewaren.