Het Amerikaanse ministerie van Financiën (Treasury) heeft een nieuwe stap gezet in de aanpak van grootschalige aanvallen op geldautomaten. Daarbij richten de autoriteiten zich op de vermeende maker van ATM malware Prometheus en op een deel van diens netwerk. De zaak draait om zogeheten ATM jackpotting, een methode waarbij aanvallers via malware geldautomaten op afstand forceren om cash uit te geven.
In dit artikel lees je wat er precies is gesanctioneerd, hoe de aanvallen volgens Treasury verlopen en welke gevolgen dit heeft voor betrokken personen, organisaties en financiële partijen—ook buiten de VS.
Wie is Prometheus en waarom staat hij bovenaan de lijst?
Treasury beschrijft Anibal Alexander Canelon Aguirre—bijnaam ‘Prometheus’—als de vermeende engineer achter de malware die gebruikt wordt bij ATM-jackpotting. In maart werd hij bovendien toegevoegd aan de FBI’s Ten Most Wanted Fugitives-lijst. Het opvallende: Prometheus is de eerste persoon die op die lijst wordt gezocht voor cybermisdrijven.
Volgens Treasury is de malware doorgaans gekoppeld aan aanvallen die in verband worden gebracht met Tren de Aragua (TdA). De malware wordt in die context vaak aangeduid als Ploutus.
Zo ziet de ATM-jackpotting aanval eruit
Treasury legt de aanvalsketen stapsgewijs uit. Kort samengevat gaat het om een combinatie van voorbereiding, compromis van de geldautomaat en het op afstand activeren van kwaadaardige functionaliteit.
De gebruikte werkwijze (zoals door Treasury beschreven) komt neer op het volgende:
- Reconnaissance: criminelen houden potentiële doelwitten in de gaten, waaronder specifieke ATM’s.
- Inbraak: facilitators breken in bij de getroffen geldautomaat en installeren malware.
- Remote activatie: de malware wordt later op afstand geactiveerd. Daardoor kunnen aanvallers beveiligingsmaatregelen van de ATM omzeilen.
- Afdeling van cash: de aanvallers sturen een commando dat de dispenser dwingt door te lopen tot de machine leeg is of totdat de actie wordt onderbroken.
Dit model maakt duidelijk waarom de focus van autoriteiten niet alleen op de eindstap ligt, maar ook op de infrastructuur eromheen: van toegang tot geldstromen en netwerkleden.
Groot bereik: aanvallen op Amerikaanse ATM’s, met geld buiten de VS
Het netwerk van Prometheus zou zich baseren op locaties in Mexico en Venezuela, maar richt zich op ATM’s in de Verenigde Staten. De opbrengst wordt daarna verwerkt en verplaatst via internationale routes.
Treasury geeft aan dat de gestolen cash wordt gewassen, onder meer met behulp van cryptovaluta. Vervolgens wordt het geld overgedragen aan leden van TdA in verschillende landen.
Een belangrijk detail in de berichtgeving: uit de voorliggende periode blijkt dat het om aantoonbare schaal gaat. Treasury noemt dat de gemelde verliezen in de VS tegen augustus 2025 zijn opgelopen tot meer dan 40 miljoen dollar, afkomstig van meer dan 1.500 aanvallen.
OFAC-sancties en blokkades voor personen en bedrijven
Naast Prometheus zelf heeft Treasury ook de Office of Foreign Assets Control (OFAC) ingezet. Treasury meldt dat zeven vermeende geassocieerden van Prometheus zijn aangewezen.
In de VS zijn die aanwijzingen gekoppeld aan juridische acties: de aangewezen personen zouden in Nebraska zijn geïndiceerd voor onder andere het leveren van materiële ondersteuning aan TdA, samenzwering rond bankfraude, samenzwering rond bankinbraak en samenzwering voor het witwassen van geld.
Financieel komt het erop neer dat de VS alle eigendommen die de geblacklistede personen en entiteiten in de VS bezitten of onder controle hebben, heeft geblokkeerd. Voor US persons geldt bovendien dat zij doorgaans verboden zijn om met die partijen zaken te doen.
Ook voor buitenlandse instellingen geldt een waarschuwing: wanneer zij substantiële transacties uitvoeren met deze partijen via hun constructies, kunnen zij te maken krijgen met secundaire sancties.
Crypto-koppelingen: TRON-adressen en blockchainanalyse
Uit informatie van blockchain-inlichtingenspecialist TRM Labs blijkt dat de sancties ook digitaal worden ondersteund met concrete aanwijzingen. Treasury noemt dat er binnen de designaties zeven TRON-cryptocurrencyadressen zijn gelinkt aan Prometheus, plus zes adressen gekoppeld aan zijn vermeende geassocieerden.
Dit laat zien dat de opsporingsaanpak niet stopt bij het fysieke compromis van geldautomaten. De keten wordt ook gevolgd in digitale sporen, inclusief hoe opbrengsten worden ingebracht, verplaatst en uiteindelijk weer beschikbaar komen.
Strafrechtelijke vervolging: tientallen maanden tot bijna 8 jaar
Naast sancties speelt ook vervolging door het Department of Justice (DOJ) een grote rol. Treasury stelt dat er in totaal 119 mensen zijn geïndiceerd in verband met de ATM-jackpotting-samenzwering.
Een deel van de verdachten heeft al een straf gekregen. Zo kregen in juni twee Venezolaanse mannen, Oddry Arnoldo Cabrera Torrealba en Carlos Javier Padron, elk 78 maanden gevangenisstraf.
In augustus volgde een andere zware uitkomst: Juan Manuel Gouveia-Aguilera werd veroordeeld tot 96 maanden. Volgens het DOJ betreft dit de langste federale straf die tot dan toe was opgelegd voor een rol binnen ATM-jackpotting.
Waarom dit relevant is voor organisaties met geldautomaten
Voor banken, ATM-operators en beheerders is dit soort nieuws meer dan een strafrechtelijk dossier. Het illustreert een herhaalbaar aanvallerspatroon: zodra aanvallers malware kunnen installeren en op afstand kunnen activeren, wordt de beveiliging van het systeem ondergraven.
Daarom is het zinvol om interne processen kritisch te bekijken, vooral op onderdelen als:
- toegang tot beheersystemen en onderhoudsinterfaces rond ATM’s;
- monitoring op verdachte activiteiten vóór activatie van malware;
- incidentresponsplannen die ook rekening houden met cash-dispenser gedrag;
- ketencontrole bij geldstromen, inclusief koppelingen met crypto.
Als je wilt kijken hoe sancties en cybercrime samenkomen in bredere praktijken, kan ook een artikel over het effect van gestolen credentials helpen om te begrijpen waar dergelijke aanvallen vaak beginnen.
Toenemende aandacht voor cyberdreigingen en geldstromen
Deze zaak onderstreept dat cybercriminelen niet alleen zoeken naar technische impact, maar ook naar betrouwbare routes om opbrengsten te gelde te maken. Treasury’s nadruk op blokkades, verboden transacties en blockchainkoppelingen laat zien dat de aanpak steeds vaker technologie + financieel onderzoek combineert.
Ook in het breder perspectief zie je dat autoriteiten waakzaam zijn voor de snelheid en schaal van aanvallen. In context van moderne dreigingen kan dit passen bij trends zoals de ontwikkeling van aanvalstactieken in het tempo van kwetsbaarheden en tooling. Over die brede ontwikkeling lees je meer in hoe AI het tempo van kwetsbaarheidsscanning verandert.
Conclusie
Treasury sanctioneert met de zaak rondom ATM malware Prometheus een vermeende sleutelfiguur in ATM-jackpotting. Prometheus en meerdere netwerkleden worden geraakt via sancties, blokkades en strafrechtelijke vervolging. De beschreven aanvalsketen—van het bespioneren van doel-ATM’s tot het remote activeren van malware en het forceren van cashdispensing—maakt het patroon herkenbaar en daarmee relevant voor organisaties die geldautomaten beheren.
Voor securityteams is de belangrijkste les: bescherm niet alleen de ‘laatste mijl’ van een aanval, maar ook de toegang, activatie en de financiële restketen. Alleen zo verklein je de kans dat een incident uitmondt in grootschalige schade en gemonetariseerde opbrengsten.
Bron: https://www.securityweek.com/treasury-blacklists-most-wanted-atm-malware-developer-and-his-network/
