De FBI heeft een vermeende leider achter Ploutus ATM-malware gearresteerd. Het gaat om een man met de bijnamen “Prometheus” en “The Engineer”, die volgens de Amerikaanse autoriteiten betrokken was bij ATM-jackpotting-activiteiten die worden gekoppeld aan de criminele organisatie Tren de Aragua.
In dit artikel zetten we op een rij wat er bekend is over de arrestatie, de aanklachten en de manier waarop de malware aanvallen mogelijk maakte. Ook bekijken we welke lessen organisaties kunnen trekken als zij hun ATM- en betaalomgeving willen beschermen.
Wie is opgepakt en waarom is dit belangrijk?
De arrestatie draait om Anibal Alexander Canelon Aguirre, 50 jaar oud. Hij is opgepakt en verscheen voor de rechtbank om zich te verantwoorden voor beschuldigingen die samenhangen met zijn rol binnen Tren de Aragua (TdA).
Volgens de Verenigde Staten was hij niet zomaar betrokken, maar zou hij een sleutelrol hebben gespeeld bij de ontwikkeling of inzet van Ploutus ATM-malware. De autoriteiten noemen hem bovendien sinds maart 2026 een van de meest gezochte personen van de FBI (Top 10) — en hij zou de eerste persoon zijn die voor cybergerelateerde feiten aan die lijst werd toegevoegd.
Daarnaast wordt vermeld dat hij eerder door de Amerikaanse overheid was gesanctioneerd door het Amerikaanse Treasury Department. In december 2025 zou hij samen met 21 anderen zijn aangeklaagd voor onder meer bankinbraak, fraude en samenzwering rond witwassen.
Tren de Aragua en ATM-jackpotting in meerdere landen
Het onderzoek plaatst TdA in de categorie van een gewelddadige, internationaal opererende criminele organisatie. De beschuldiging is dat de groep zich bezighoudt met verschillende vormen van criminaliteit, waaronder fraude en afpersing, met als doelwitten ook organisaties in de Verenigde Staten.
Specifiek wordt TdA gelinkt aan ATM-jackpotting-aanvallen. De Verenigde Staten stellen dat deze aanvallen hebben plaatsgevonden in 47 staten, het District of Columbia en ook in het buitenland. Daarmee is het incident niet beperkt tot één regio of één enkele keten van geldautomaten.
Hoe werkt Ploutus ATM-malware volgens de aanklagers?
Volgens de Amerikaanse autoriteiten maakte TdA gebruik van Ploutus ATM-malware om ATM-systemen te beïnvloeden. In de berichtgeving wordt uitgelegd dat leden van het criminele team kwetsbaarheden in geldautomaten zouden hebben misbruikt om de malware te installeren.
Een kernpunt is dat de malware de systemen zou hebben kunnen dwingen om cash uit te laten betalen zonder dat er een overeenkomstige afschrijving van rekeningen plaatsvindt. Met andere woorden: het uitbetalen van geld zou kunnen plaatsvinden terwijl de financiële administratie niet (of niet tijdig) in dezelfde lijn meebeweegt.
Voor defenders is dit een belangrijk scenario om te herkennen: niet alleen het “besturen” van de geldautomaat is relevant, maar ook hoe transacties, boekingen en terugkoppelingen in de keten worden beschermd en gevalideerd.
Anti-analyse en het verbergen van sporen
Naast de directe impact op cashuitgifte noemen de autoriteiten eigenschappen die gericht zijn op het bemoeilijken van forensisch onderzoek. In de beschrijving staat dat Ploutus anti-analysis capabilities bevatte. Dat betekent dat de malware analyse probeert te hinderen, waardoor het lastiger wordt om te begrijpen hoe het gedrag precies tot stand komt.
Verder wordt vermeld dat de malware zichzelf (gedeeltelijk) zou kunnen wissen van geïnfecteerde systemen. Zo worden sporen in de omgeving minder goed vindbaar, wat de kans vergroot dat incident response en attributie vertraging oplopen.
Omdat dit soort functies standaard kunnen worden misbruikt om onderzoek te verstoren, loont het voor organisaties om niet alleen te kijken naar het exacte bestandspatroon, maar ook naar gedragingen, afwijkende processtappen en inconsistenties in logs.
Wat weten we over de arrestatie?
Over de details van hoe de verdachte is opgepakt, delen de Verenigde Staten geen technische of operationele specifics. Wel geven ze aan dat Canelon Aguirre gedetineerd blijft tot aan het proces, nadat hij op alle punten niet schuldig heeft gepleit.
Dat betekent dat de inhoud van de beschuldigingen juridisch nog wordt uitgewerkt, maar de aanwijzingen in de berichtgeving laten wel duidelijk zien waar de focus ligt: de combinatie van malware, kwetsbaarheidsmisbruik en het doelgericht manipuleren van ATM-uitgifteprocessen.
Meerdere verdachten en al uitgesproken straffen
De berichtgeving meldt dat in totaal 120 verdachten zijn aangeklaagd in verband met de samenzwering. Tegelijkertijd is er al een deel van de zaken door de rechter afgerond: drie personen zouden inmiddels gevangenisstraffen hebben gekregen.
De genoemde namen zijn:
- Oddry Arnoldo Cabrera Torrealba
- Carlos Javier Padron
- Juan Manuel Gouveia Aguilera
Dit ondersteunt het beeld dat het om een bredere operatie gaat, waarbij meerdere rollen nodig zijn: van toegang verkrijgen en malware plaatsen tot het uitvoeren van de jackpotting en het afhandelen van opbrengsten.
Praktische lessen voor organisaties met betaal- of ATM-omgevingen
Hoewel niet elke organisatie direct met ATM’s werkt, is het onderliggende risico universeel: aanvallers zoeken naar zwakheden, plaatsen tooling en proberen daarna detectie en onderzoek te saboteren.
Concreet kunnen teams bijvoorbeeld extra aandacht geven aan:
- Patch- en kwetsbaarheidsbeheer: als aanvallers kwetsbaarheden in ATM’s kunnen misbruiken, is een strakke onderhoudscyclus cruciaal.
- Validatie van uitgifte en boekingen: zorg dat gelduitgifte niet losstaat van financiële afhandeling en dat afwijkingen snel worden gesignaleerd.
- Detectie op afwijkend gedrag: anti-analyse kan signatures minder betrouwbaar maken; gedrag en correlatie worden dan belangrijker.
- Forensische voorbereidingen: stel vooraf vast welke logs en artefacten nodig zijn om snel te kunnen onderzoeken, ook wanneer malware sporen wist.
Als je dit verbindt met het bredere thema “hoe aanvallers systemen sturen via technische zwakheden”, zie je ook overeenkomsten met andere aanvallen op enterprise-omgevingen. Zo is er op onze site eerder aandacht voor hoe attackers via webshells of misbruik van kwetsbaarheden schade veroorzaken in Microsoft-ecosystemen.
Lees bijvoorbeeld ook: Bron: https://www.securityweek.com/fbi-arrests-most-wanted-developer-of-ploutus-atm-malware/
