De anonimiteit van First VPN is doorbroken: politie schakelde 33 kernservers uit en identificeerde veel gebruikers. Op 19 en 20 mei 2026 voerde Team High Tech Crime van de Eenheid Landelijke Opsporing, onder gezag van het Landelijk Parket, de internationale actie uit, in samenwerking met Franse autoriteiten en Europese partners. Onderzoekers kregen toegang tot communicatie en gebruikersdata, die via Europol zijn gecentraliseerd en met andere lopende onderzoeken zijn gedeeld. De interventie leidde tot meerdere analysetrajecten binnen verschillende landen.

De operatie tegen First VPN is niet een abrupt politieoptreden, maar het sluitstuk van een onderzoek dat volgens de politie meerdere jaren duurde. Op 19 en 20 mei 2026 voerde Team High Tech Crime van de Eenheid Landelijke Opsporing, onder gezag van het Landelijk Parket, een internationale actie uit. Die vond plaats in nauwe samenwerking met Franse autoriteiten en een reeks partners in Europa.

Wat de politie vond

First VPN profileerde zich volgens het onderzoek nadrukkelijk op cybercriminele fora die bij justitie bekend zijn. De dienst bood functies die expliciet aantrekkelijk waren voor kwaadwillenden, waaronder anonieme betaalopties. Op de website stond dat er geen gebruikersdata werden opgeslagen, dat de dienst buiten jurisdictie viel en dat men niet met justitie zou samenwerken. De politie noemt deze beweringen misleidend.

Tijdens het strafrechtelijke onderzoek kregen politie en onderzoekers toegang tot de criminele communicatie en de gebruikersdata van First VPN. Daardoor konden de identiteiten van duizenden gebruikers worden onthuld. De gegevens zijn niet alleen in het lopende strafrechtelijke onderzoek gebruikt, maar ook gedeeld met andere nationale en internationale onderzoeken.

Technische details over hoe precies toegang tot het vpn-verkeer werd verkregen maakt de politie niet openbaar. Wel meldt de dienst dat in totaal 33 servers van de criminele infrastructuur zijn ontmanteld. Andere berichten rekenden servers in 27 landen tot de uitgeschakelde infrastructuur, wat de internationale schaal van First VPN illustreert.

Internationale coördinatie en vervolg

De aanpak van First VPN werd breed gecoördineerd. Europol speelde een centrale rol bij de afhandeling van de opbrengst van het onderzoek. Bij Europol is een Operational Taskforce, afgekort OTF, opgezet voor de coördinatie en analyse van de verkregen data.

Vanuit die OTF zijn 83 analysetools of producten gedeeld met andere lopende onderzoeken.

Mastheads

Eurojust ondersteunde een joint investigation team tussen Franse en Nederlandse autoriteiten. Die ondersteuning maakte het mogelijk om gelijktijdige actiedagen te faciliteren in onder meer Oekraïne, Zwitserland, het Verenigd Koninkrijk, Roemenië en Luxemburg. Op verzoek van de Franse autoriteiten is de beheerder van de dienst in Oekraïne verhoord. In berichtgeving verschillen bronnen over de bewoording van de aanhouding, maar het politiebericht spreekt van verhoor in Oekraïne.

De operationele waarde van de dataset blijkt uit voorbeelden van derden: externe instanties bevestigden grootschalig misbruik. De FBI schreef First VPN toe aan gebruik door minstens 25 ransomwaregroepen. Volgens de politie leverde inzage in het vpn-verkeer operationele aanknopingspunten voor zaken rond ransomware, fraude en andere ernstige criminaliteit.

De datasets uit First VPN zijn inmiddels onderdeel geworden van een breder strafrechtelijk offensief tegen geavanceerde cybercriminaliteit. Onderzoekers en opsporingsdiensten in verschillende landen gebruiken de gedeelde informatie voor lopende zaken. Dat maakt de opbrengst van de interventie veelomvattend: individuele onderzoeken profiteren direct, en analyses worden gedeeld zodat patronen tussen zaken zichtbaar worden.

Praktisch voor gebruikers betekent de actie concreet dat de dienst voor alle abonnees onbereikbaar is. De politie heeft volgens het bericht alle geregistreerde gebruikers een bericht gestuurd met de mededeling dat First VPN offline is gehaald en dat hun gebruik van de dienst is geregistreerd in het onderzoek. Daarmee is de anonimiteit die First VPN aan klanten beloofde voor gedetecteerde abonnees opgeheven.

De politie maakt geen technische details openbaar over de wijze waarop toegang tot het verkeer werd verkregen. Dat is gebruikelijk bij lopende onderzoeken, maar het zwijgen beperkt de mogelijkheid voor externe beveiligingsonderzoekers om de precieze kwetsbaarheden of de methoden achter de toegang te beoordelen.

Het bereik van de actie is daarnaast duidelijk internationaal. De ontmanteling van servers en de coördinatie via Europol en Eurojust duiden op een operatie die meerdere jurisdicties tegelijk wilde raken. Dat past bij de manier waarop georganiseerde cybercriminaliteit opereert: diensten zoals First VPN fungeren over landsgrenzen heen en vereisen hetzelfde type grensoverschrijdende opsporing.

Voor opsporingsdiensten levert dit zowel directe bewijzen als langere termijn voordeel. De gedeelde datasets en analysetools kunnen leiden tot nieuwe aanhoudingen, het blootleggen van netwerken en tot bewijs voor vervolgingen in verschillende landen. Tegelijk verdwijnt een infrastructuurelement dat door meerdere ransomwaregroepen en hackers werd gebruikt, wat de ruimte voor die groepen tijdelijk verkleint.

Voor gebruikers die zich zonder criminele bedoelingen bij First VPN hadden aangesloten blijft onzekerheid bestaan over welke data precies is opgevraagd en hoe lang die bewaard blijft binnen lopende onderzoeken. De politie heeft alleen bevestigd dat alle geregistreerde gebruikers zijn geïnformeerd over het offline halen en dat hun gebruik is geregistreerd.

Related Articles

De ontmanteling van de kerninfrastructuur en de centralisatie van datasets bij Europol maakten delen met lopende onderzoeken mogelijk. Alle geregistreerde gebruikers zijn door de politie geïnformeerd dat First VPN offline is.

Dit artikel is gemaakt met behulp van AI.