Når infrastruktur bliver en belastning: Stark Industries' fald

Et nyt navn skjuler ikke nødvendigvis en ny virkelighed. Det lærte vi, da FIOD i maj 2026 slog til mod det, der reelt var en bulletproof hosting-virksomhed under dække af Stark Industries Solutions Ltd.

Sagen viser, hvor langt kriminelle er villige til at gå for at skjule deres spor – og hvor hurtigt det hele falder fra hinanden, når myndighederne kigger ordentligt efter.

Et selskab uden substans

Selskabet blev stiftet i februar 2022 – kun 14 dage før Ruslands invasion af Ukraine. Officielt skulle det give resellers et neutralt navn, så IP-adresser ikke kunne spores tilbage til PQ Hosting, som var de samme personers tidligere projekt.

Bag virksomheden stod brødrene Ivan og Iurie Neculiti fra Transnistrien. De havde drevet lignende aktiviteter siden 2008 under forskellige identiteter, blandt andet brugernavnet "dfyz" på russiske cyberkriminalitetsfora. Deres speciale var at levere servere, der kunne bruges til ulovligt indhold uden at blive lukket ned.

Stark Industries var ikke ny hardware. Det var et mellemled, der skjulte ejerskabet, mens den underliggende infrastruktur fra PQ Hosting fortsatte uændret.

To ASNumre afslørede det hele

Da EU sanktionerede Stark Industries i 2025, flyttede brødrene driften til et nyt hollandsk selskab kaldet WorkTitans B.V. under navnet THE.Hosting. Nyt firma, ny hjemmeside, ny branding.

Men JA4T-fingerprinting afslørede, at det var de samme fysiske servere. Metoden matcher trafikmønstre og hardware-signaturer på tværs af autonome systemer. De to ASNumre – det oprindelige Stark ASN og det nye WorkTitans ASN – viste identiske fingeraftryk. Rebrandingen var kun på papiret.

Det er en vigtig pointe for enhver hosting-udbyder: Du kan ikke skjule infrastruktur med et nyt CVR-nummer alene. Uden en reel flytning af serverne vil moderne netværksforensik finde sammenhængen.

Hvad kørte på serverne?

De 800 beslaglagte servere blev brugt til alt andet end almindelige hjemmesider. Blandt andet:

• NoName057(16) – pro-russiske DDoS-angreb
• Sandworm – russisk GRU-enhed
• Callisto Group – knyttet til russisk efterretning
• FIN7 – cyberkriminel gruppe med fokus på finansielle institutioner
• Doppelganger-kampagnen – desinformationsoperation rettet mod europæiske målgrupper

CORRECTIV's undersøgelse viste, at infrastrukturen i Holland direkte understøttede en statsstøttet desinformationskampagne. Det var ikke bare kriminel hosting – det var en del af informationskrig.

Ny retspraksis i Holland

Anholdelserne og sigtelserne efter den hollandske sanktionslov sender et klart signal: At stille infrastruktur til rådighed for sanktionerede aktører er nu en strafferetlig handling.

To mænd blev anholdt – en 57-årig direktør og en 39-årig med ansvar for netværksdriften. En tredje anholdelse i forbindelse med Mirhosting viser, at anklagemyndigheden ser udbydere som direkte ansvarlige, ikke som neutrale formidlere.

For seriøse hosting-udbydere betyder det, at KYC og sanktionsscreening ikke længere er valgfrit. Det er en grundlæggende sikkerhedsforanstaltning.

Tre ting at tage med

Hvis du driver hosting, domæneregistrering eller cloud-tjenester, er der tre ting at lære af sagen:

1. Teknisk dygtighed erstatter ikke juridisk compliance. De drev et netværk på tværs af mange lande med over 120.000 kunder. Det beskyttede dem ikke mod moderne forensik.

2. Rebranding uden at flytte serverne er nytteløst. Netværksfingeraftryk afslører identisk hardware på tværs af selskaber og ASNumre.

3. Jurisdiktionen strammes. Holland har markeret sig som et vanskeligt land for bulletproof hosting. For legitime udbydere er det en fordel.

Hvad sagen siger om fremtiden

Sagen viser, hvordan forskellige discipliner – finansiel efterforskning, netværksanalyse, OSINT og traditionel politiarbejde – arbejder sammen. Razziaen var ikke tilfældig. Den kom efter et års overvågning.

Bulletproof hosting bygger på antagelsen om, at man kan gemme sig bag jurisdiktionsgrænser. Den antagelse holder ikke længere.

For den legitime branche er det faktisk positivt. Hver beslaglagt server er en mindre mulighed for kriminelle. Hver dom, der styrker sanktionerne, gør det dyrere at operere ulovligt.

I sidste ende viste Stark Industries endnu en gang, at du ikke kan omdøbe dig ud af beviser. Serverne husker, hvad de har kørt – og moderne forensik lader dem ikke glemme det.