荷兰查封800台服务器逮捕2人：打击俄罗斯网络攻击基础设施

2026年5月18日，荷兰金融犯罪调查局（FIOD）逮捕了两名涉嫌为俄罗斯网络攻击提供基础设施支持的嫌疑人，并查封了约800台服务器。这是欧盟打击俄罗斯混合战争行动的最新重大进展。

事件始末

被逮捕的两人分别是来自阿姆斯特丹的57岁男子Youssef Zinad和来自海牙的39岁俄罗斯裔男子Andrey Nesterenko。他们运营着两家关联的互联网托管公司——MIRhosting和WorkTitans BV，被指控违反欧盟制裁法，直接或间接向受制裁实体提供经济资源。

这两家公司的核心问题在于：它们接管了Stark Industries Solutions的技术基础设施。Stark Industries是一家在俄罗斯入侵乌克兰前两周突然出现的互联网服务提供商，迅速成为针对欧洲目标的大规模DDoS攻击的主要来源，并为俄罗斯情报机构关联的黑客组织提供代理和匿名服务。

时间线梳理

• 2022年2月：Stark Industries Solutions在俄乌战争爆发前两周突然成立
• 2024年5月：KrebsOnSecurity发表深度调查，揭露Stark的网络架构及摩尔多瓦Neculiti兄弟的PQHosting是其两大互联网出口之一
• 2025年5月：欧盟制裁PQHosting和Neculiti兄弟。制裁消息提前两周泄露，Stark的网络资产被紧急转移到新实体the.hosting，由WorkTitans BV控制
• 2025年9月：KrebsOnSecurity发现制裁并未切断Stark的另一条互联网通道——由Nesterenko运营的荷兰公司MIRhosting
• 2026年5月18日：FIOD逮捕Nesterenko和Zinad，搜查了恩斯赫德和阿尔梅勒的三处商业地点，以及德隆滕和斯希普霍尔-赖克的两个数据中心

影响范围

此次行动查封了约800台服务器，直接打击了俄罗斯在欧洲的网络攻击基础设施。根据调查，这些服务器被用于：

• 针对欧盟国家的大规模DDoS攻击
• 为俄罗斯支持的黑客组织提供代理和匿名服务
• 影响力操作和虚假信息宣传
• 绕过欧盟制裁的经济活动

对站长的启示

这起事件给站长和技术从业者带来了几个重要教训：

1. 选择托管商要看背景：不要只看价格和配置，要了解托管商的实际运营方和网络架构。一些看似正规的托管公司可能只是更大网络的前端。

2. 地缘政治风险需要考虑：在当前国际形势下，选择托管服务时需要考虑服务商所在地的地缘政治风险。一旦服务商被制裁或查封，你的数据和服务可能受到直接影响。

3. 多地域备份是基本功：不要把所有鸡蛋放在一个篮子里。关键数据和服务应该有跨地域的备份和容灾方案。

4. 关注网络安全情报：定期关注KrebsOnSecurity等安全媒体的报道，了解最新的网络安全威胁和基础设施风险。

后续发展

荷兰当局表示，此次调查仍在继续，不排除有更多逮捕行动。欧盟也在考虑进一步加强对俄罗斯网络基础设施的制裁措施。对于使用欧洲托管服务的站长来说，这是一个提醒：在选择服务商时，合规性和透明度同样重要。

本文参考来源：Krebs on Security – Netherlands Seizes 800 Servers, Arrests 2 for Aiding Cyberattacks