Drie Oekraïense verdachten staan terecht voor het stelen van toegang tot meer dan 610.000 accounts van het online platform Roblox en het doorverkopen daarvan aan kopers in Rusland, meldt de Oekraïense politie. Volgens het openbaar ministerie in de westelijke regio Lviv vond de operatie plaats tussen mei 2025 en april 2026. De groep gebruikte gestolen digitale credentials om zonder wachtwoorden toegang te krijgen tot de accounts.

De verdachten maakten gebruik van software om te bepalen welke accounts waardevolle virtuele valuta, zeldzame items of andere digitale assets bevatten die op de doorverkoopmarkt hogere prijzen konden opleveren. Roblox is een online gaming- en sociaal platform dat vooral populair is onder kinderen en tieners, waar gebruikers games kunnen spelen, avatars kunnen bouwen en virtuele items kunnen kopen met de platformvaluta.

Volgens het openbaar ministerie was een 19-jarige man uit Drohobych de organisator van de operatie, die twee 22-jarige medeverdachten rekruteerde. De autoriteiten maakten de zaak in april bekend, toen zij de vermoedelijke organisator identificeerden en het volledige bereik van de operatie onderzochten. De aanvallers verspreidden malware die informatie stal, vermomd als software met gamingvoordelen of gratis in-game bonussen.

De groep verdeelde de taken onderling: de organisator gaf opdrachten, betaalde voor servers, hield toezicht op de verkoop en verdeelde de opbrengsten. Zijn medeverdachten beheerden de website en Telegram-kanalen waar de gestolen accounts werden aangeboden, communiceerden met kopers en verzorgden de financiële transacties. Centraal stonden gestolen sessietokens, ook wel cookies genoemd, waarmee een actieve account kon worden overgenomen zonder het wachtwoord van het slachtoffer.

De gestolen tokens werden ingevoerd in software die controleerde of ze nog geldig waren. Werkende tokens werden geanalyseerd op de inhoud van de bijbehorende Roblox-accounts, zoals virtuele valuta en zeldzame in-game items. De meest waardevolle accounts werden afzonderlijk verkocht, terwijl minder waardevolle accounts in bundels of met korting werden aangeboden. De groep adverteerde via Russische online platforms en ontving betalingen via cryptowallets. Sommige accounts werden verkocht voor ongeveer 70 Russische roebel (ongeveer 0,80 dollar) per stuk.

Het openbaar ministerie schat dat de verkoop van de gecompromitteerde accounts ongeveer 480.000 dollar heeft opgebracht. Onderzoekers traceerden bijna 54.000 dollar aan cryptobetalingen die waren omgezet in Oekraïense valuta en overgemaakt naar de bankrekeningen van de verdachten. Alle drie de verdachten zitten vast en worden vervolgd voor diefstal, witwassen, ongeautoriseerde toegang tot computersystemen en de illegale verkoop van beperkte informatie. De maximale straf voor deze misdrijven is 12 jaar gevangenisstraf.