De opsporingsdienst van de Belastingdienst FIOD heeft maandag twee mannen in Nederland aangehouden voor hulp bij het faciliteren van pro-Russische cyberaanvallen en het handelen in strijd met Europese sancties.
is onderzoeksjournalist bij de Volkskrant met als specialisatie cybersecurity en inlichtingendiensten.
Uit onderzoek van de Volkskrant blijkt dat het om Youssef Z. (57), eigenaar van WorkTitans gevestigd in Enschede gaat en Andrey N. (39), oprichter van MIRhosting in Almere. Hun infrastructuur werd in het najaar gebruikt voor aanvallen van pro-Russische cybercriminelen tijdens de Deense gemeenteraadsverkiezingen.
Bij doorzoekingen heeft de FIOD laptops, documenten, telefoons en achthonderd fysieke servers uit datacentra in Dronten en bij Schiphol in beslag genomen. Een dergelijke hoeveelheid servers offline halen is bijzonder, in de laatste jaren is het in Nederland niet voorgekomen dat er zo veel apparaten bij een actie van een opsporingsdienst zijn meegenomen. De twee mannen zijn aangehouden voor verhoor en na twee dagen weer op vrije voeten gesteld.
Sinds september 2025 deed de Volkskrant onderzoek naar de activiteiten van de twee mannen. Ze hebben allebei een hostingbedrijf waarmee ze internetservers aanbieden. Die werden gehuurd door bedrijven gelieerd aan twee broers uit Moldavië, Ivan en Iurie Neculiti.
In mei 2025 kondigde de Europese Unie sancties aan tegen deze broers en het door hen opgerichte bedrijf Stark Industries. De EU achtte bewezen dat Stark pro-Russische cyberaanvallen tegen Europese landen faciliteerde. Onder meer de pro-Russische criminele groep NoName057(16), dat herhaaldelijk ddos-aanvallen uitvoert op Europese organisaties, ook in Nederland, maakte gebruik van de infrastructuur van Stark.
Na het instellen van die Europese sancties gingen de activiteiten van Stark verder onder andere namen. Daarbij speelden de Nederlandse entiteiten een cruciale rol.
Youssef Z. werkt als organisatieadviseur en heeft daarnaast een onderneming die internetservers aanbiedt onder de naam THE.Hosting. Zijn bedrijf fungeerde volgens de FIOD ‘in werkelijkheid als een dekmantel voor de gesanctioneerde entiteiten’. Hij is goed bekend met MIRhosting-oprichter Andrey N., een in Rusland geboren pianist die begin deze eeuw naar Nederland kwam. Z. was als salesagent aan het bedrijf van N. verbonden. MIRhosting zorgde ervoor dat de servers van THE.Hosting verbonden werden met het internet.
Volgens vertrouwelijke technische informatie, waarin de Volkskrant en de Deense publieke omroep DR inzage kregen, stonden WorkTitans en MIRhosting bovenaan een lijst van meest gebruikte netwerken bij pro-Russische aanvallen op een reeks Deense overheidsorganisaties. Dit gebeurde tussen 13 en 19 november 2025, de week waarin de gemeenteraadsverkiezingen plaatsvonden.
Het Amerikaanse agentschap CISA bestempelde NoName057(16) in december 2025 publiekelijk als een heimelijk project binnen CISM, een Russische organisatie die is opgericht en betaald door het Kremlin.
Youssef Z. reageerde de afgelopen maanden op geen enkel verzoek van de Volkskrant om openheid van zaken te geven. Andrey N. schreef voor zijn aanhouding dat hij na 20 mei 2025, toen de sancties tegen de Moldavische broers ingingen, alle diensten met hen heeft beëindigd. Hij ontkent ervan op de hoogte te zijn geweest dat zijn servers zijn gebruikt door pro-Russische cybercriminelen. ‘Ik heb daarover nooit eerder iets gehoord.’
Luister hieronder ook naar de podcast Schaduwoorlog. Al onze podcasts vind je op volkskrant.nl/podcasts.
Wilt u belangrijke informatie delen?
Mail naar tips@volkskrant.nl of kijk op onze tippagina.
Geselecteerd door de redactie
Source: Volkskrant