In online data markets, run by individuals from the Balkans, purchased goods were not sent by mail and payments were not made in dollars or euros.
On these websites, thousands of people created accounts and deposited cryptocurrencies to purchase packages of stolen personal data.
These packages contained names, addresses, and phone numbers, as well as banking information and login details for various subscription websites.
One of these markets was called OLVX.
A 20-year-old man from the village of Reçicë e Madhe, Tetovo, North Macedonia, was arrested in October for running the platform. The arrest was preceded by a joint investigation by local authorities and the US Federal Bureau of Investigation (FBI). According to the FBI, between 2023 and 2025, there were more than 1,500 accounts on the platform that sold stolen data.
The arrest of the young man in North Macedonia came nearly two years after the arrest in Kosovo of two brothers, Ardit and Jetmir Kutleshi.
They ran Rydox, another illegal marketplace that sold stolen data and software to commit online fraud. A third Kosovo citizen, Shpend Sokoli, was arrested in Albania as an associate of the Kutleshi brothers.
Rydox operated from 2016 to 2024. According to the FBI, over 7,600 transactions were made through it, while the US Department of Justice estimates the proceeds at at least $232,000. Both brothers pleaded guilty in US court. One was convicted, while the other is awaiting sentencing.
The Rydox market was managed by three Kosovar citizens, but the Kosovo Special Prosecution Office told Radio Free Europe that the investigation into this case "has not provided any evidence that any Kosovo citizen was harmed."
According to US authorities, in both cases the victims were American citizens whose personal data was stolen and sold.
Authorities in Kosovo have not provided Radio Free Europe with data regarding cases specifically investigated for data theft and their criminal prosecution.
Meanwhile, North Macedonian authorities told REL that reports of computer fraud have increased from 12 in 2022 to 79 in 2025, more than sixfold.
Megjithatë, rasti i Rydox dhe arrestimi i të riut nga Maqedonia e Veriut ngrenë pyetje për shtrirjen e krimit kibernetik në Ballkanin Perëndimor: si sigurohen të dhënat personale, si përfundojnë në shitje online dhe çfarë ua mundëson këtyre tregjeve ilegale të funksionojnë?
Si funksionon tregtia?
Thomas Holt, profesor i drejtësisë penale në Universitetin Shtetëror të Miçiganit, shpjegon se këto tregje furnizohen kryesisht nga rrjedhje të të dhënave në përmasa të ndryshme, të shkaktuara nga sulme hakerësh, përfshirë ato që kryhen me ndihmën e softuerëve të specializuar.
Holt studion hakimin dhe organizimin e tregjeve kriminale online, si dhe drejton qendrën e universitetit për hulumtimin e krimit kibernetik dhe trajnime.
“Pasi informacioni sigurohet, ai shitet. Dhe kjo shpesh bëhet përmes ndërmjetësve”, thotë ai për Radion Evropa e Lirë. Holt sqaron se administratorët e këtyre tregjeve nuk janë domosdoshmërisht edhe shitës apo blerës të të dhënave.
Një mënyrë tjetër për të siguruar të dhëna për këto tregje është mashtrimi i vetë përdoruesit.
Instituti Kombëtar amerikan i Standardeve dhe Teknologjisë, NIST, shpjegon se mesazhet mashtruese, të njohura si “phishing”, mund të duken sikur vijnë nga banka.
Përmes tyre, marrësi nxitet të hapë një faqe të rreme dhe të shkruajë emrin e përdoruesit dhe fjalëkalimin. Kështu, pa e kuptuar, ia dorëzon këto të dhëna sulmuesit. Mesazhe të tilla mund ta nxisin përdoruesin edhe të shkarkojë programe që vjedhin të dhëna nga pajisja e tij.
Në muajt e fundit, në Kosovë janë raportuar mashtrime përmes SMS-ve të rremë në emër të bankave, që synojnë vjedhjen e të dhënave dhe parave të qytetarëve.
Edhe në Maqedoninë e Veriut, mesazhet e rreme përmes SMS-ve dhe postës elektronike janë ndër format më të përhapura të mashtrimit, sipas Ministrisë së Punëve të Brendshme të këtij vendi. Ministria përmend gjithashtu vjedhjen e të dhënave bankare, mashtrimet me investime në kriptovaluta dhe përdorimin e videove të falsifikuara me inteligjencë artificiale, të njohura si “deepfake”.
Sipas NIST-it, përdorimi i të njëjtit fjalëkalim në disa llogari e shton rrezikun: nëse ai zbulohet në njërën prej tyre, mund të përdoret për të hyrë edhe në të tjerat.
Holt paralajmëron se dokumentet personale të publikuara në rrjete sociale mund të përdoren nga të tjerët për mashtrime në emër të personit që u përkasin. Ai e krahason këtë publikim me shfaqjen e pasaportës apo patentë-shoferit para të tjerëve në një bar apo kafene.
“Por, për çfarëdo arsye, disa njerëz mendojnë se është në rregull ta bëjnë këtë në internet”, thotë ai.
Një pjesë e furnizimit të këtyre tregjeve vjen edhe nga programe që vjedhin automatikisht informacion nga pajisjet, të njohura si “infostealers” apo vjedhës të të dhënave.
KELA, kompani e specializuar në mbledhjen dhe analizimin e informacionit për kërcënimet kibernetike, gjatë vitit 2024 identifikoi mbi 4,3 milionë pajisje të infektuara dhe mbi 330 milionë të dhëna të komprometuara për hyrje në llogari. Gjetjet i publikoi në prill 2025, në raportin “Brenda epidemisë së programeve që vjedhin të dhëna”.
Pavarësisht vështirësive për ta matur në formë të strukturuar tregtinë ilegale të të dhënave, sipas ekspertëve, mënyra si organizohet kjo tregti ka ngjashmëri me bizneset e zakonshme online.
“Shumica e tregjeve të të dhënave aktualisht funksionojnë si çdo platformë tjetër e tregtisë elektronike”, thotë Holt për Radion Evropa e Lirë.
Sipas tij, aty ofrohet zbritje për klientët e rregullt, ka komente nga blerësit dhe ndërmjetës që mund ta mbajnë pagesën deri në përfundimin e marrëveshjes. Meqë veprimtaria është ilegale, pjesëmarrësit kanë nevojë të ndërtojnë besim brenda rrjetit.
“Në përgjithësi, besimi ndërtohet duke krijuar një reputacion rreth emrit tuaj të përdoruesit ose pseudonimit”, shpjegon Holt.
Megjithëse kjo tregti e paligjshme shpesh lidhet me pjesët e fshehura të internetit, të njohura si dark web, sipas Holt, për të hyrë në këto tregje nuk nevojitet gjithmonë qasje në rrjete të fshehta. Shumë të dhëna personale ofrohen edhe në uebsajte të zakonshme.
Çfarë është dark web-i? 1
David Maimon, profesor i drejtësisë penale dhe kriminologjisë në Universitetin Shtetëror të Xhorxhias dhe drejtues i kompanisë për siguri kibernetike, SentiLink, pajtohet se tregtia nuk zhvillohet vetëm në anën e fshehur të internetit. Sipas tij, tregjet si këto të Ballkanit ishin të qasshme në internetin e zakonshëm, të njohur si “clearnet”.
Maimon studion tregjet ilegale dhe përpjekjet për t’i përdorur identitetet e vjedhura në institucione financiare duke përfshirë ato sikurse Rydox-in dhe OLVX-in, që sipas tij ishin tregje “të vogla dhe të lira”
“Ato ofronin identitete për shitje nga 2 deri në 20 dollarë”, thotë ai për Radion Evropa e Lirë.
Me “identitet” ai nënkupton një paketë informacionesh për një person: emri, datëlindja dhe numri i sigurimit shoqëror, që përdoret për identifikim në SHBA. Çmimi ndryshon nëse përfshihen edhe të dhëna të patentë-shoferit apo historisë kreditore. Vlera për blerësin qëndron te mundësia për ta përdorur informacionin më tej.
“Ata përpiqen t’i përdorin identitetet tona për të krijuar biznese dhe pastaj për të aplikuar për karta të reja krediti ose kredi të reja”, shpjegon Maimon.
Ai përshkruan raste kur mashtruesit hapin llogari bankare me identitete të vjedhura. Fillimisht bëjnë pagesa të zakonshme për të krijuar besueshmëri mbi aktivitetin e tyre. Pastaj kërkojnë kredi dhe largohen me paratë. Por blerja nuk garanton sukses.
“Fakti që identiteti është ofruar për shitje në këtë treg dhe dikush madje e ka blerë, nuk do të thotë domosdoshmërisht se dikush ka arritur ta përdorë me sukses”, thekson ai. Kjo, sipas Maimonit, e vështirëson edhe llogaritjen e dëmeve financiare nga kjo industri.
Deri më tani, sipas ekspertëve, nuk janë bërë analiza të detajuara se kush janë viktimat më të mëdha të rrjedhjes së të dhënave nga e gjithë bota. Megjithatë, në tregjet e analizuara nga NordVPN, kompani e njohur që ofron shërbimin e rrjetit privat virtual (VPN), shumica e paketave të plota të identitetit vijnë nga SHBA-ja.
Nga vjedhja te shitja, një zinxhir ndërkombëtar
Mundësia për të fituar para dhe perceptimi se ligji nuk zbatohet sa duhet e bëjnë tregtinë e të dhënave të vjedhura tërheqëse edhe për persona nga Ballkani, sidomos të rinjtë, sipas Alex Holden.
Holden është ekspert i sigurisë kibernetike me bazë në SHBA dhe themelues i kompanisë Hold Security, i specializuar në hulumtimin e rrjeteve kriminale dhe tregjeve të të dhënave të vjedhura.
Ai shpjegon se gjuha e përbashkët, afërsia kulturore dhe njohjet personale ndihmojnë në krijimin e komuniteteve lokale të krimit kibernetik. Me kalimin e kohës, këto komunitete mund të krijojnë lidhje përtej kufijve dhe ta zgjerojnë veprimtarinë e tyre ndërkombëtarisht.
“Kjo është arsyeja pse shohim shumë shembuj të krimit kibernetik nga rajoni i Ballkanit”, thotë ai për Radion Evropa e Lirë.
Vështirësitë në luftimin e kësaj veprimtarie i thekson edhe Holt.
Ai shpjegon se shtetet me burime të kufizuara hetimore “mund të mos u kushtojnë shumë vëmendje tregjeve të të dhënave të vjedhura dhe, në vend të kësaj, të përqendrohen në probleme të tjera”.
Në një analizë për Evropën Juglindore, të publikuar në gusht 2024, Iniciativa Globale kundër Krimit të Organizuar Transnacional (GI-TOC) evidentonte mungesë burimesh dhe ekspertize te vendet e Evropës Juglindore për hetimin dhe ndjekjen penale të krimit kibernetik, çka i bën më të cenueshme.
Pagesat me kriptovaluta i ndëlikojnë hetimet e këtyre krimeve online. Në Ballkanin Perëndimor, hetimet vështirësohen edhe nga mungesa e ekspertizës dhe e procedurave të qarta për trajtimin e rasteve që përfshijnë kriptovaluta, sipas GI-TOC-ut.
Rastet e zbuluara në Evropë tregojnë se kjo tregti shtrihet përtej platformave të lidhura me Ballkanin.
Në janar 2025, një operacion ndërkombëtar mbylli Cracked dhe Nulled, dy prej forumeve më të mëdha të krimit kibernetik në botë, me administratorë të dyshuar që jetonin edhe në Gjermani e Spanjë.
Sipas raportit të Europoli-t në vitin 2025, këto dy tregje kishin miliona përdorues dhe po aq fitime vjetore. Departamenti amerikan i Drejtësisë tha se veprimtaria e Cracked kishte prekur të paktën 17 milionë viktima në SHBA.
Europol explains that the report covers the part of the activity visible to investigators, as many transactions take place in closed communication channels. Within this chain, according to experts, participants perform different tasks and not all of them are involved in data theft or misuse.
“Some of them are just great salespeople and promote their goods or services, or lead these communities from a communications perspective,” says Holden.
But the difficulties in combating this trade do not end with the closure of illegal markets. For data that has already been stolen, closing a market does not necessarily end the circulation.
Europol's 2026 report on organised crime on the internet found that the average lifespan of criminal markets has shortened, while international police action has made administrators "more inclined to avoid risks".
However, after the interventions, users are moving to other markets. The report also highlights the shift from large forums to smaller communities, where entry is by invitation only.
“In most cases, very popular markets continue to exist in various forms even after closing,” says Holden.
Meanwhile, for the victim, Maimon explains, the risk of identity misuse is constant.
"If your identity is offered for sale, don't think that if someone sold it once, that's it," he says. /Taken from Radio Free Europe
