Tien maanden handhaving in 2026: eerst de infrastructuur, direct daarna de beheerders
Tien maanden na het begin van 2026 wordt het openbare beeld van opsporing tegen darknet- en cybercrime-infrastructuur niet gedomineerd door spectaculaire klappen tegen marktplaatsen, maar door gestage slijtage aan de leidingen: servers, domeinen, botnets en de diensten die ze verhuren. Dit artikel verzamelt alleen acties die tot half oktober door instanties met eigen verklaringen zijn aangekondigd - Europol, het Amerikaanse ministerie van Justitie, het BKA, de Nederlandse politie en de FBI - en zoekt het patroon eronder. Elke zaak verwijst naar een bron die we zelf hebben geopend; geruchten en beweringen uit één blog haalden de selectie niet.
Eerst de infrastructuur
De grootste gecoördineerde actie van de periode was de juniklap van Operation Endgame tegen de verspreiding van malware. Op 24 juni aangekondigd door de internationale coalitie achter de langlopende campagne, richtte de klap zich op de dropper- en infostealer-toolkits SocGholish, Amadey en StealC: in twee weken werden 326 servers en 142 domeinen overgenomen, criminele crypto-activa ter waarde van meer dan 41 miljoen euro gemarkeerd en bevroren, en werden 27 miljoen gestolen inloggegevens teruggewonnen. De deelnemerslijst - Canada, Denemarken, Duitsland, Nederland, het Verenigd Koninkrijk, de VS en Microsoft, gecoördineerd door Europol en Eurojust - laat zien hoe routineus het publiek-private formaat is geworden (operation-endgame.com). Ter indicatie van de schaal: alleen de novemberfase van de campagne in 2025 schakelde toen al 1.025 servers uit. Dagen eerder had de Nederlandse politie First VPN offline gehaald, een criminele VPN-dienst die op cybercrimeforums werd geadverteerd. In de actie van het Team High Tech Crime met de Franse autoriteiten op 19 en 20 mei zijn 33 servers ontmanteld, werd de vermoedelijke beheerder in Oekraïne op verzoek van Frankrijk verhoord, en zijn gebruikers van de dienst geïnformeerd - in feite dat ze de hele tijd waren gevolgd. De steuneenheid van Europol produceerde 83 analytische producten voor het gezamenlijke onderzoeksteam (politie.nl). In juli was de FBI aan de beurt: op 2 juli zijn honderden domeinen in beslag genomen die bij NetNut hoorden, een commercieel residentieel proxynetwerk dat verbonden is met de Popa-botnet op meer dan twee miljoen consumentenapparaten; de homepage van het bedrijf werd vervangen door een inbeslagnamebanner van de FBI. NetNut wordt geëxploiteerd door Alarum Technologies, een beursgenoteerd Israëlisch bedrijf - een herinnering dat 'botnetinfrastructuur' en 'aan de Nasdaq genoteerd product' dezelfde machine kunnen beschrijven. Volgens KrebsOnSecurity telde de threat-intelligencegroep van Google 316 verschillende actorencentra die in één junieweek NetNut-exitknooppunten gebruikten (KrebsOnSecurity).Beheerders, geen verkopers
De acties tegen markten in 2026 waren smal en chirurgisch. Begin mei schakelden de ZIT in Frankfurt en het BKA de herlancering van Crimenetwork uit, het Duitstalige handelsplatform waarvan de voorganger in december 2024 viel; de vermoedelijke operator, een 35-jarige Duitser, werd op 6 mei op Mallorca aangehouden op basis van een Europees aanhoudingsbevel. De herlancering was gegroeid naar meer dan 22.000 gebruikers en meer dan 100 verkopers, accepteerde Bitcoin, Litecoin en Monero, en liet bewijs van omzet zien dat boven de 3,6 miljoen euro uitkomt, met ongeveer 194.000 euro voorlopig in beslag genomen. Merk op wat niet gebeurde: geen massale aanhouding van verkopers. De gegevens van 22.000 gebruikers werden bewijsmateriaal, geen cijfer voor een persbericht (BKA/ZIT-verklaring). De oktoberaankondiging van Europol over KillSec leest hetzelfde. Operatie KillSwitch, geleid door de landelijke recherche van Hamburg en het Openbaar Ministerie daar, nam op 30 september de leaksite van de ransomwaregroep over en beveiligde ten minste 110 terabyte aan gegevens. De vermoedelijke hoofdoperator is zestien jaar oud; de vermoedelijke ontwikkelaar werd in augustus achttien. Drie voorlopige aanhoudingen en acht huiszoekingen waren verdeeld over Griekenland, Roemenië, Spanje en het Verenigd Koninkrijk, en de domeinen van de groep verwijzen nu door naar een inbeslagnamebericht. Europol meldde bovendien dat de groep AI-tools gebruikte om zijn infrastructuur op te bouwen en te onderhouden en om potentiële slachtoffers te vinden - een detail dat evenveel over 2026 zegt als welk arrestatietal dan ook (Europol).De lange staart van de rechtszaken
Oudere zaken rijpen door tot vonnissen. Op 7 oktober maakten federale aanklagers in Chicago bekend dat Raheim Hamilton, medeoprichter van de dark web-marktplaats Empire Market, tot veertig jaar federale gevangenis en een boete van vijf miljoen dollar is veroordeeld. Empire bestond van 2018 tot 2020 en verwerkte meer dan vier miljoen transacties ter waarde van ruim 430 miljoen dollar. De verbeurdverklaring - ongeveer 1.230 bitcoins plus drie panden in Virginia - kwam jaren nadat de marktplaats zelf verdween, en dat is precies het punt: inbeslagnames zijn direct, verantwoording is traag (justice.gov).De stille vierde baan: sanctielijsten
Sanctions liepen parallel aan de strafrechtelijke spoor. Op 8 oktober heeft het Verenigd Koninkrijk Cryptomus aangewezen, een crypto-betaalplatform dat eerder bekend stond als Certa Payments en Xeltox, onder zijn Rusland-sanctieregime, samen met VexPay, TokenSpot en Tsunami Payments (KrebsOnSecurity). Het bevriezen van het bereik van een betaalplatform gebeurt zonder banner, maar voor cash-outinfrastructuur kan zo'n aanwijzing harder knijpen dan een inbeslagname.Wat de banners zeggen - en wat ontbreekt
De grammatica van de inbeslagnamebanners is intact: de domeinen van KillSec verwijzen door naar een melding van justitie, de homepage van NetNut draagt de FBI-banner, Crimenetwork en First VPN verdwijnen gewoon. De afwezigheden zijn net zo informatief als de acties. In het verzamelde openbare beeld voor 2026 tot nu:- is geen marktplaats van de grootste internationale klasse in beslag genomen - de enige sluiting was een Duitstalige herlancering die ongeveer anderhalf jaar had overleefd;
- is geen van de hier verzamelde acties een sanctie tegen een mixer, en de enige sanctiestap in de set richt zich op een betaalplatform, niet op een mixdienst;
- was er geen massale aanhouding van verkopers zoals die eerdere golven markeerde.