荷兰查封800台服务器，逮捕两名涉嫌协助网络攻击者

荷兰当局逮捕了两家相关互联网托管公司的共同所有者，指控他们运营被俄罗斯用于对欧盟进行网络攻击、影响力行动和虚假信息宣传的IT基础设施。这两人是2025年KrebsOnSecurity一篇报道的焦点，该报道揭示了他们的托管公司如何接管了Stark Industries Solutions的技术基础设施——这家互联网服务提供商去年因经常成为俄罗斯情报机构网络恶作剧的跳板而受到欧盟制裁。

荷兰《人民报》报道称，荷兰金融犯罪调查局（FIOD）于5月18日逮捕了一名57岁的阿姆斯特丹男子和一名39岁的海牙男子，指控他们违反制裁法，直接或间接向欧盟制裁实体提供经济资源。荷兰的调查聚焦于Stark Industries，这是一家在俄罗斯入侵乌克兰前两周才出现的庞大托管服务提供商。正如2024年5月的深度调查所述，Stark迅速成为针对欧洲目标的大规模分布式拒绝服务（DDoS）攻击的来源，并成为代理和匿名服务的顶级供应商，这些服务一再出现在与俄罗斯支持的黑客组织相关的网络攻击中。该报告指出，两名摩尔多瓦兄弟——Ivan和Yuri Neculiti及其公司PQHosting——为Stark提供了两条通往更大互联网的主要通道之一。2025年5月，欧盟因PQHosting和Neculiti兄弟协助俄罗斯混合战争努力而对其进行了制裁。

但正如KrebsOnSecurity在2025年9月所观察到的，这些制裁未能针对Stark与互联网的剩余连接——一家名为MIRhosting的荷兰互联网服务提供商。MIRhosting由39岁的俄罗斯裔Andrey Nesterenko运营，他在荷兰经营该业务。去年，PQHosting和Neculiti兄弟即将受到欧盟制裁的消息在制裁宣布前近两周泄露。在此期间，Stark网络资产从PQHosting转移到一个名为the.hosting的新实体，该实体由荷兰公司WorkTitans BV控制。正如我们2025年9月的报告所示，WorkTitans由Nesterenko和57岁的阿姆斯特丹人Youssef Zinad控制。此外，WorkTitans完全通过MIRhosting获得与更大互联网的连接，而Zinad曾在那里工作。

5月18日，荷兰金融犯罪调查人员逮捕了Nesterenko和Zinad，并搜查了恩斯赫德和阿尔梅勒的三家企业以及德龙滕和斯希普霍尔-赖克的两个数据中心。荷兰当局的一份声明称，他们还缴获了笔记本电脑、电话和800多台服务器。荷兰当局查封其800台服务器后，the.hosting立即向客户发送了一条消息，称服务器上存储的数据已丢失且无法恢复。

《人民报》称，其审查的数据显示，WorkTitans和MIRhosting是2025年11月13日至19日（丹麦市政选举周）亲俄攻击丹麦政府机构时使用最多的网络。该报写道，在Nesterenko被捕前，MIRhosting创始人否认他知道自己的服务器被亲俄网络犯罪分子滥用。他表示，当欧盟制裁于2025年5月生效时，他已终止与Neculiti兄弟的所有服务，并保留对“有害和不正确出版物”采取行动的所有权利。

MIRhosting发布声明称，已就丹麦选举相关指控展开内部调查，并已暂停向WorkTitans提供服务作为预防措施，同时进一步审查此事。声明称：“根据初步调查结果，没有迹象表明我们控制的服务被实际用于影响丹麦选举。在出版物提及的期间内，我们的网络流量未发现异常或峰值；如果发生大规模DDoS攻击，此类活动本应显而易见。此外，在媒体报道之前，我们未收到任何关于可疑活动或滥用网络的投诉、滥用报告或官方请求。与此同时，我们的常规运营活动仍在继续，对其他客户的服务完全正常。”

Nesterenko先生出生于俄罗斯下诺夫哥罗德，童年时是钢琴神童，曾在年幼时公开表演。2004年，Nesterenko创立了MIRhosting的母公司Innovation IT Solutions Corp.，该公司因托管stopgeorgia.ru而闻名，这是一个在2008年俄罗斯军队入侵格鲁吉亚时出现的用于组织针对格鲁吉亚网络攻击的黑客活动网站。这场冲突被认为是第一次同时发生重大网络攻击和实际军事交战的战争。

通过电子邮件回复问题时，Nesterenko表示MIRhosting不支持网络犯罪、规避制裁或非法活动，荷兰当局的指控和逮捕对他和他的公司造成了极大伤害。他写道：“过渡到the.hosting并非意图规避制裁。硬件和客户组合在制裁出现之前就已转移到WorkTitans。关闭或损害一家合法的荷兰基础设施公司不会阻止网络犯罪，但会伤害许多没有做错任何事的人。”

关于57岁的Zinad，公开信息要少得多，据报道自我们去年的报道以来，他一直保持低调。《人民报》报道称，Zinad封锁了他的LinkedIn账户，数月未回复电子邮件、WhatsApp消息和电话，并告诉一名同事，疾病迫使他过着更隐居的生活。Nesterenko声称Zinad从未是MIRhosting的员工，他解释说：“他在公司之间的正常业务对业务安排下，帮助我和MIRhosting处理某些商业任务。”然而，在之前给KrebsOnSecurity的电子邮件中，Nesterenko抄送了Zinad先生（他拥有@mirhosting.com的电子邮件），解释他是公司法律团队的一员。此外，荷兰网站stagemarkt.nl将Youssef Zinad列为MIRhosting在阿尔梅勒办事处的官方联系人。Zinad先生从未回应置评请求，也没有被《人民报》找到。该报称，他们多次联系Zinad先生（此处简称为“Z”），但据报道他避开了所有形式的联系。

《人民报》报道：“2025年10月2日，WhatsApp上有一封自动回复：‘我目前不方便，但会尽快回复您的信息。’这是《人民报》数月来收到的唯一次回复。他没有接电话，也没有回电。当一位熟人通过LinkedIn请他联系记者时，他封锁了自己的LinkedIn页面。在阿尔梅勒Z的个人有限公司注册地址，四月份无人回应。这栋角落房子的百叶窗拉下，一堆垃圾袋放在外面的容器旁，仿佛有人刚离开。一位邻居说他认识这个人，但不知道他住在哪里。Z后来在阿姆斯特丹的一处住所被捕。