De Nationale Recherche kon een jaar geleden het Bredolab-botnet ontmantelen dankzij het onderscheppen van cookie. Dat blijkt uit onderzoek van Merel Koning, die haar afstudeerscriptie schreef voordat ze bij Bits of Freedom aan de slag ging. Koning maakte een juridische analyse van het "terughacken" door politie. In augustus 2010 meldde een deelnemer van het Community Outreach Project dat een cluster LeaseWeb servers mogelijk het mothership van een botnet vormden. De hostingprovider stelde dat het waarschijnlijk om het Bredolab-botnet

Het hostingcontract voor de 143 servers was afgesloten op naam van John Datri. Uit onderzoek bleek dat John Datri begin jaren negentig in de Amerikaanse staat Florida was overleden en zodoende postuum slachtoffer van identiteitsfraude is geworden. LeaseWeb besloot alvorens stappen tegen Bredolab te nemen, tot een melding van het verdachte verkeer bij het Team High Tech Crime (THTC). Het THTC valt onder de Dienst Nationale Recherche (DRN) van het KLPD.

Cookie
Het HTCT startte met verschillende partijen Project Tolling, met als doel de ontmanteling van het botnet. In de eerste plaats leverde het onderzoek weinig resultaat op, omdat de hele infrastructuur versleuteld was. De encryptie was echter niet toegepast op een op de pc van de botherder opgeslagen cookie. Bij het opzetten van de VPN-verbinding werd dit cookie met het wachtwoord van de botherder, naar de getapte communicatie server gestuurd.

Dit wachtwoord verschafte de opsporingsdiensten toegang tot de VPN-verbinding, waar de overige toegang- en decryptiesleutels werden afgevangen. De handelingen van de botherder konden zo op de servers worden onderzocht en gemonitord. Op deze manier werd gedurende ongeveer tien weken over de schouder van de botherder meegekeken.

Facebook
De identiteit van de verdachte en de kenmerken van Bredolab werden toegevoegd aan het procesdossier. Uit de datastroom werd het Facebook-account van de vriendin van de verdachte achterhaald. Op een onbewaakt moment logde zij in via de VPN-verbinding met de getapte communicatie server, waardoor haar account gegevens en identiteit bij het KLPD bekend raakten. Dit leidde uiteindelijk naar de vermoedelijke botherder.