Annotatie over (het misbruik van) het ‘Mirai-botnet’

Posted on 13/07/2019 op Oerlemansblog

In het nieuwe nummer van Computerrecht is een annotatie over het Mirai-botnet verschenen (.pdf). Ik heb een korte noot bij de zaak Rb. Den Haag 7 maart 2019, ECLI:NL:RBDHA:2019:2116 geschreven, omdat de zaak een interessant feitencomplex bevat met een veroordeling voor het eerste succesvolle botnet met IoT-apparaten. Daarnaast is de zaak vanuit juridisch perspectief interessant, omdat de rechtbank Den Haag het begrip ‘geweld’ in het artikel bij het misdrijf ‘afpersing’ in artikel 317 Sr toepast bij de ddos-aanval. De rechtbank Den Haag is daarnaast wat kort door de bocht in de bewezenverklaring van de strafbaarstellingen. Hierover zeg ik het volgende in de noot:

Bewijs van computervredebreuk en is sprake van een ‘dienst van algemene nutte’?

De rechtbank is kort door de bocht als zij stelt dat “een DDoS-aanval kan worden gekwalificeerd als overtreding van artikel 138ab Sr en artikel 138b Sr”. Van artikel 138b Sr is zonder meer sprake, in dit geval ook in gekwalificeerde vorm in artikel 138b lid 2 Sr, omdat de verdachte gebruik maakte van een botnet. Een ddos-aanval leidt echter niet direct tot overtreding van het delict computervredebreuk in artikel 138ab Sr, omdat het een geautomatiseerd werk ontoegankelijk maakt maar geen sprake is van het binnendringen in een geautomatiseerd werk.

Echter, een botnet is een netwerk van geïnfecteerde computers – in dit geval IoT-apparaten – die door een derde worden aangestuurd. Voor het creëren van een botnet moet wel computervredebreuk worden gepleegd, en wel in gekwalificeerde vorm in artikel 138ab lid 3 sub b Sr.

Daarnaast is het mij niet helemaal duidelijk waarom sprake is van artikel 161sexies Sr, omdat in dat geval is vereist dat de ddos-aanval een ‘gemeen gevaar voor goederen of voor de verlening van diensten te duchten is’. De websites zijn geen ‘diensten van algemene nutte’, zoals overheidswebsites. Volgens de rechtbank is er een ‘gemeen gevaar voor goederen of de verlening van diensten’, omdat de aanval er toe leidde dat vijf andere websites onbereikbaar waren. Het is denkbaar dat deze vijf websites op dezelfde webserver stonden als één van de websites die is aangevallen.

Sprake van ‘geweld’ bij afpersing in de zin van artikel 317 lid 1 Sr?

De rechtbank overweegt verder dat sprake is van het delict afpersing als bedoeld in artikel 317 van het Wetboek van Strafrecht (Sr). Daarbij stelt de rechtbank dat zonder meer sprake is van ‘geweld’, omdat ‘websites en servers onbruikbaar worden gemaakt’ en ‘maatregelen genomen moeten worden om de aanval af te slaan en de website en server te herstellen’.

Mijns inziens had de officier van justitie simpelweg art. 317 lid 2 Sr ten laste moeten leggen, waarbij geen sprake hoeft te zijn van geweld. Bij art. 317 lid 2 Sr bestaat de dwang bij afpersing uit ‘de bedreiging dat gegevens die door middel van een geautomatiseerd werk zijn opgeslagen, onbruikbaar of ontoegankelijk zullen worden gemaakt of zullen worden gewist’.

Het gelijk stellen van het begrip ‘geweld’ met het onbereikbaar maken van een webserver, zoals de rechtbank Den Haag in deze zaak, is juist niet vanzelfsprekend en onnodig. De officier van justitie had op de zitting de tenlastelegging nog kunnen wijzigen.

Cybersecuritybeeld Nederland 2019 gepubliceerd

Posted op 8 juli 2019 op Oerlemansblog

In juni 2019 is een nieuw ‘Cybersecuritybeeld Nederland’ (.pdf) gepubliceerd. Het cybersecuritybeeld is een product van het Nationaal Cyber Security Centrum en biedt inzicht in de dreigingen, belangen en weerbaarheid op het gebied van cybersecurity in relatie tot de nationale veiligheid. Hieronder volgt een opsomming van lezenswaardige elementen uit het rapport.

Dreiging statelijke actoren

In het cybersecuritybeeld wordt de dreiging door ‘statelijke actoren’ (voornamelijk spionage) gezien als de grootste dreiging op het gebied van cybersecurity. De omvang van de dreiging die uitgaat van statelijke actoren blijft groeien. Landen als China, Iran en Rusland hebben offensieve cyberprogramma’s gericht tegen Nederland. Dit betekent dat deze landen digitale middelen inzetten om geopolitieke en economische doelstellingen te bereiken ten koste van Nederlandse belangen.

Ook cybersabatoge door staten heeft plaatsgevonden. Als voorbeeld wordt de malware ‘GreyEnergy’ genoemd, waarmee Poolse energie- en transportbedrijven in 2018 zijn geïnfecteerd. In het verleden zorgde andere destructieve malware, zoals ‘Industroyer’, al voor verstoring van de energielevering in Oekraïne. De groep die GreyEnergy vermoedelijk heeft ontwikkeld, is door het Verenigd Koninkrijk toegeschreven aan Rusland. GreyEnergy wordt als opvolger gezien van ‘BlackEnergy’, een malwaretoolkit die in verband is gebracht met cyberaanvallen op het energienet van Oekraïne in 2015 en 2016. Ook het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) besteedde opnieuw aandacht aan cyberaanvallen op de Duitse energiesector. Duitse bedrijven in verschillende vitale sectoren zouden verscheidene malen doelwit zijn geweest van grootschalige digitale campagnes. Hierdoor hebben de aanvallers toegang verkregen tot het kantoornetwerk van verschillende bedrijven. Het vermoeden bestaat dat de aanvallers uit waren op het verkrijgen van een positie binnen het netwerk om deze op een later moment uit te buiten.

In het rapport staat heel duidelijk dat: “verreweg de grootste dreiging op het gebied van economische spionage is afkomstig van China”. Deze spionage wordt gevoed door Chinese economische beleidsplannen, zoals ‘Made in China 2025’ en de ‘Nieuwe Zijderoutes’, waarmee het land zijn economische en geopolitieke invloed kan vergroten. China zet een breed scala aan (heimelijke) middelen in die het verdienvermogen van Nederlandse bedrijven ondermijnen en die op termijn kunnen resulteren in economische en politieke afhankelijkheden. Een van deze middelen is (digitale) economische spionage.

Ten slotte hebben Nederlandse inlichtingendiensten waargenomen dat een aantal Nederlandse ambassades in het Midden-Oosten en Centraal-Azië in 2017 en 2018 doelwit zijn geweest van digitale aanvallen, uitgevoerd door een buitenlandse inlichtingendienst.

Cybercrime en dreigingen door overige actoren

Ook de dreiging van criminelen blijft groot, onder meer door de schaalbaarheid van cybercrime. In de rapportageperiode hebben DDoS-aanvallen ervoor gezorgd dat een aantal Nederlandse banken tijdelijk slecht bereikbaar waren. Ook  de Belastingdienst, de Douane en DigiD waren enkele keren slecht bereikbaar door digitale aanvallen.

In de rapportageperiode zijn geen substantiële aanvallen door hacktivisten tegen Nederland of Nederlandse belangen waargenomen. Scriptkiddies en cybervandalen hebben vooral verstorende aanvallen uitgevoerd op organisaties, meestal met DDoS-aanvallen. Net als vorig jaar lijken criminele actoren verder in te zetten op het creëren van botnets en het verspreiden van cryptominers. De opstellers van het rapport wijzen naar Microsoft die constateert dat besmettingen met ransomware en cryptominers, na een piek begin 2018, de afgelopen periode zijn teruggelopen, zowel wereldwijd als in Nederland. Bedrijven lijken beter voorbereid te zijn op het herstellen van informatie na een ransomwarebesmetting, waardoor er minder losgeld wordt betaald. De inzet van cryptominers lijkt met het teruglopen van de koers van diverse cryptocurrencies af te nemen.

Steeds vaker gegevens van websites met behulp van ‘formjacking’. In dat geval past de aanvaller een website aan zodat informatie die de bezoeker invult bij de aanvaller terechtkomt. Op deze wijze kunnen criminelen bijvoorbeeld creditcardnummers onderscheppen van gebruikers van webwinkels. Volgens het IT-beveiligingsbedrijf Symantec krijgen met name kleine en middelgrote detailhandel krijgt hiermee te maken. De dreiging van insiders is het afgelopen jaar afgenomen. Digitale aanvallen vanuit terroristen zijn ook dit jaar niet waargenomen. Terroristische groeperingen zijn meer gericht op het plegen van fysieke aanslagen.

Weerbaarheid Rijksoverheid

In het rapport wordt verder opgemerkt dat de weerbaarheid van de Rijksoverheid niet op orde is. De Algemene Rekenkamer gaf op Verantwoordingsdag in mei 2018 aan dat op het gebied van ict-beveiliging slechts twee van de elf ministeries hun zaken op orde hadden. De president van de Algemene Rekenkamer stelt dat ‘de politieke en ambtelijke top van ministeries meer aandacht moet geven aan ict-beveiliging’. De veiligheidsmaatregelen zijn niet allemaal uitgevoerd om waterkeringen beter te beveiligen.

In het rapport wordt voorzichtig afgevraagd of er voldoende prikkels bestaan bij de overheid, het bedrijfsleven en bij consumenten om cybersecurity serieus te nemen. Het rapport geeft een alarmerend beeld weer, maar – zoals ook het NRC bijvoorbeeld bericht – het belang van cybersecurity lijkt nog steeds niet helemaal in politiek Den Haag door te dringen.

Brief voortgang aanpak cybercrime gepubliceerd

Posted on 13 juni 2019 op Oerlemansblog

Op 12 juni 2019 heeft minister Grapperhaus een Kamerbrief (.pdf) verstuurd over de aanpak van Cybercrime. In 2018 zijn dat volgens het CBS 299 reguliere en 43 complexe opsporingsonderzoeken gerealiseerd, waarbij de ambitie 310 respectievelijk 50 onderzoeken betrof. In de afgelopen jaren was steeds sprake van een stijgende lijn in het aantal opsporingsonderzoeken. Ook laten voorlopige cijfers een verhoogd aantal ophelderingen en registraties van verdachten van computervredebreuk zien. Het is verder interessant te lezen dat voor het eerste de nieuwe hackbevoegdheid uit artikel 126nba Sv is ingezet bij het ‘offline halen van één van de grootste online mixers voor cryptovaluta’.

In de Kamerbrief wordt een overzicht gegeven van de maatregelen die regering heeft genomen om cybercrime beter te bestrijden. Zo wordt geïnvesteerd in de opsporingsmogelijkheden van de politie, kennisontwikkeling binnen het Openbaar Ministerie, publieksvoorlichting en ondersteuning van het lokaal bestuur op het gebied van cybercrime.

De minister geeft aan dat wordt ingezet op een preventieve aanpak van online seksueel kindermisbruik. Zo wordt een expertmeeting voor professionals van scholen, (jeugd)zorg en de strafrechtketen gehouden om de aanpak van de negatieve effecten van sexting te verbeteren. Daarnaast wordt de aanpak van downloaders van kinderporno geïntensiveerd en is de publiek-private samenwerking versterkt om kinderpornografische content sneller van internet te laten verwijderen.

Ten slotte zet de minister in op een bestuursrechtelijke aanpak, om bedrijven die kinderporno niet accuraat verwijderen met een bestuursrechtelijk handhavingsinstrumentarium hiertoe te dwingen. In de Wet computercriminaliteit is nu juist het Take down-bevel in artikel 126p Sv geïntroduceerd voor die gevallen dat bedrijven niet vrijwillige meewerken aan het offline halen van illegaal materiaal. Ik ben benieuwd hoe het bovenstaande zich hiermee verhoudt, maar het kan goed zijn dat het parallelle trajecten zijn om kinderporno te bestrijden.

Internetonderzoek door bestuursorganen

Posted on 28/05/2019

In de gemeente Amsterdam mag woonruimte niet meer dan 30 dagen per jaar mag worden verhuurd. Ter handhaving van dit beleid legt de gemeente met behulp van zogenoemde ‘scraping’-technieken elke dag de advertenties en reviews op de advertenties op AirBnB vast. Deze informatie uit ‘open bron’ vormt mogelijk bewijsmateriaal in handhavingsacties. Uit onder andere deze zaak (ECLI:NL:RBAMS:2018:4442) blijkt dat bewoners een last onder dwangsom opgelegd kunnen krijgen als zij – blijkend uit de advertentie en de reviews op AirBnB – de regels uit de Huisvestingsverordening overtreden.

De gemeente Amsterdam is zeker niet het enige bestuursorgaan dat informatie op internet verzamelt ten behoeve van de uitvoering. Zo wordt in het kader van de sociale zekerheid veelvuldig op sociale media en online handelsplatformen als ‘Marktplaats’ gezocht naar informatie die op mogelijke fraude wijst. Op sociale media verschijnen bijvoorbeeld posts die op mogelijke samenleving tussen personen kunnen wijzen, zoals “bij de liefde van mijn leven ingetrokken” (zie bijvoorbeeld ECLI:NL:RBDHA:2016:8215) en kan bij een groot aantal advertenties voor goederen of diensten op Marktplaats het vermoeden rijzen dat er verzwegen inkomsten zijn (zie bijvoorbeeld ECLI:NL:CRVB:2015:979).

Ook in het vreemdelingerecht duikt het gebruik van sociale media steeds vaker op. Posts op de tijdlijn van Facebook of de activiteiten op LinkedIn blijken inzicht te verschaffen in de politieke of religieuze activiteiten (ECLI:NL:RBDHA:2017:6180), de seksuele oriëntatie (ECLI:NL:RBDHA:2014:10266) of in de mogelijkheden om vakanties in het buitenland door te brengen, zonder problemen met de autoriteiten te ondervinden (ECLI:NL:RBDHA:2017:7852). Deze informatie kan van belang zijn voor bijvoorbeeld een beslissing over het verlenen van een verblijfsvergunning. Andere opvallende zaken die soms de publiciteit haalden, is bijvoorbeeld de sluiting van de Amsterdamse sexclub Bianca, (mede) vanwege anonieme recensies op hookers.nl (ECLI:NL:RVS:2013:792) en de grootschalige Facebookanalyse die de gemeente Amsterdam uitvoerde om meer grip te krijgen op overlastgevende hangjongeren.

Artikel

In ons artikel (.pdf) in het NJB heb ik samen met Ymre Schuursmans onderzocht in hoeverre openbronnenonderzoek op internet binnen het bestuursrechtelijk kader toelaatbaar is. Binnen het strafrecht en de Wiv 2017 worden nieuwe bevoegdheden geïntroduceerd voor ‘stelselmatig openbronnenonderzoek’, terwijl binnen het bestuursrecht dergelijke plannen ontbreken. Wij analyseren de achtergrond van dit verschil in regulering en bezien of normen en waarborgen uit het strafvorderlijk domein toepasbaar zijn in het bestuursrecht, teneinde de grondrechten van betrokkenen (beter) te beschermen.

Conclusie

In het artikel concluderen wij dat openbronnenonderzoek binnen het bestuursrecht mogelijk is op grond van de algemene onderzoeksplicht in artikel 3:2 Awb. De ernst van de privacy-inmenging bij openbronnenonderzoek verschilt echter van geval tot geval. Met het voorbeeld van de inzet van scrapers uit de inleiding in het achterhoofd, wordt volgens ons door de rechtbank te weinig gemotiveerd akkoord gegaan.

Onze aanbeveling is om in beleid en rechtspraak (en mogelijk in een bijzondere wet, zoals de Participatiewet) een nadere invulling te geven voor stelselmatig openbronnenonderzoek binnen het bestuursrecht. Dat moet duidelijk maken voor welke doelen en onder welke voorwaarden openbronnenonderzoek door bestuursorganen plaatsvindt.

Dergelijk beleid en meer rechtspraak vergroot de voorzienbaarheid van de toepassing van het instrument voor de burger en dwingt bepaalde waarborgen af. Daarbij valt te denken aan een nadere invulling van de proportionaliteitstoets in de toezichtfase (art. 5:13 Awb), het stellen van eisen aan de verslaglegging, het stellen van grenzen aan de duur van het onderzoek, het bepalen van een bewaartermijn van gegevens en de wijze waarop wordt omgegaan met de informatieplicht uit de AVG. Het protocol internetrechercheren voor gemeenten (.pdf) biedt een eerste invulling van deze waarborgen.

Digitaal bewijs in moordzaken

Posted on 19/04/2019 op Oerlemansblog

In februari en april 2019 zijn diverse uitspraken verschenen waarbij digitaal bewijs een rol speelt in zaken over zware delicten, namelijk moord en doodslag.

Compromitterende zoekopdrachten

In een zaak van 7 februari 2019 speelden de gegevensdragers van een moordverdachte bijvoorbeeld een belangrijke rol voor het oordeel over opzet en voorbedachte raad. Uit mobiele telefoon van verdachte was namelijk af te leiden dat de verdachte op 22 oktober 2015 een pagina bezocht met de titel “Ether. Kunnen we meer dan we denken?”. Op dit forum werd besproken hoe ether is te gebruiken als drugs en op welke wijze het werkt. Op 23 oktober 2015 heeft verdachte daadwerkelijk ether gekocht en gebruikt om het slachtoffer te bedwelmen. Daarnaast werd belangrijk bewijs afgeleid uit de computer op het werk van de verdachte. Uit het persoonlijk gebruikersaccount bleek dat de verdachte verschillende internetsites had bekeken die met wapens verband houden. Ook heeft de verdachte internetsites bekeken die verband houden met giftige kruiden en planten. En op 13 oktober 2015 heeft verdachte een forum bezocht met het onderwerp: “Als je de perfecte moord zou willen plegen…”. Verder heeft de verdachte op 13 oktober 2015 internetsites bezocht met ‘dodelijk gif‘ als onderwerp.

De verdachte heeft het slachtoffer om het leven gebracht door een kussen op het gezicht van de vrouw te leggen een middel om haar, na de bedwelming, de adem te ontnemen, zodanig dat dit haar dood zou worden. Het hof acht zich in het oordeel tot de veroordeling tot moord gesteund door de eerder genoemde zoekgeschiedenis op de bij de verdachte in gebruik zijnde computers en telefoon en zijn uitlatingen over de door hem gewenste dood van zijn ex-vrouw. De verdacht wordt door het Hof Arnhem-Leeuwarden veroordeeld (ECLI:NL:GHARL:2019:1177) tot 20 jaar gevangenisstraf.

Gebruik Wifi-netwerken ter localisering van verdachte

In een zaak over het delict doodslag van de rechtbank Zeeland-West-Brabant speelde digitaal bewijs eveneens een rol, omdat de telefoon van de verdachte op een bepaald tijdstip verbinding maakte met het Wifi-netwerk van het slachtoffer.

In de uitspraak wordt het tijdstip van de Wifi-verbindingen veelvuldig genoemd ter lokalisering van de verdachte. De verdachte heeft het slachtoffer in zijn eigen woning om het leven gebracht door onder meer tegen het lichaam en het hoofd te slaan en te schoppen.

Het slachtoffer is ten gevolge van dit letsel overleden. De verdachte wordt veroordeeld (ECLI:NL:RBZWB:2019:575) tot 10 jaar gevangenisstraf.

Identificatie op basis van nickname verdachte

In een zaak (ECLI:NL:RBOBR:2019:1102) van de rechtbank Oost-Brabant over een poging tot moord bestond het digitaal bewijs uit internetgeschiedenis op een iPhone die op basis van o.a. Apple-ID naam en informatie uit open bron aan de verdachte werd toegekend. In de uitspraak staat beschreven hoe de bijnaam van de verdachte kon worden afgeleid uit het Apple ID en deze overeenkwam met de bijnaam van de verdachte die de verdachte op internet gebruikte. Dit blijkt uit een ‘OSINT-rapportage’, waar verder niet op wordt ingegaan. Daarnaast straalde de Blackberry van de verdachte aan met een mast die zich bevond in een straatnaam in de pleegplaats. Deze mast stond in de buurt van de woning van aangeefster. Ten slotte is de auto van de verdachte registreert door ‘ARS-camera’s’ op de snelweg, niet lang nadat verdachte klaar is met het zoeken naar de contactgegevens op internet van het slachtoffer.

De verdachte handelde volgens de rechtbank met de koelbloedige liquidatiepoging door middel van het afvuren van een schot in opdracht van een ander. De verdachte heeft ook daarover niets willen verklaren. De verdachte krijgt een gevangenisstraf opgelegd van 12 jaar. Daarnaast adviseert de rechtbank de tbs-maatregel te doen aanvangen na de tenuitvoerlegging van twee-derde deel van de gevangenisstraf.

Verklaring ‘Facebooken op het toilet’ is onaannemelijk

Ten slotte speelde de mobiele telefoon een belangrijke rol in een moordzaak (ECLI:NL:RBMNE:2019:1362) van de rechtbank Midden-Nederland op 3 april 2019. De verdachte claimde dat de verdachte zichzelf had gestoken. De rechtbank acht dit niet aannemelijk, omdat hij verklaarde dat hij na binnenkomst in de woning van het slachtoffer direct naar het toilet is gegaan en dat hij met zijn telefoon op Facebook heeft gezeten.

Uit camerabeelden blijkt echter dat de verdachte om 14.30 uur naar de woning van slachtoffer liep en dat zijn telefoon om 14.31 uur contact maakte met de router in de woning van het slachtoffer. Uit onderzoek naar de telefoon van verdachte blijkt echter dat géén technische sporen zijn aangetroffen van Facebook-activiteit op 20 februari 2018 tussen 14.31 uur en 14.36 uur of in de minuten daarna. De Facebook-app van verdachte was die dag voor het laatst opgestart om 13.53 uur en afgesloten om 13.54 uur.

De verdachte wordt veroordeelt tot doodslag door middel van messteken van een 18-jarig slachtoffer. De verdachte krijgt een gevangenisstraf opgelegd van 10 jaar.

Richtlijn Strafvordering – Oplichting

Posted on 17/04/2019 op Oerlemansblog

Per 1 maart 2019 treedt de gewijzigde ‘Richtlijn voor strafvordering oplichting’ in werking (Stcrt. 2019, 10294. De richtlijn is gewijzigd vanwege de inwerkingtreding van de Wet computercriminaliteit III per 1 maart 2019 (Stb. 2019, nr. 67). Met de inwerktreding van deze wet is het nieuwe artikel voor online handelsfraude, artikel 326e Sr, geïntroduceerd. Het artikel maakt het strafbaar als personen een beroep of gewoonte maken van het aanbieden van goederen of diensten op het internet, zonder de intentie om die goederen of diensten daadwerkelijk te leveren.

Deze richtlijn ziet op de meest voorkomende vormen van oplichting, zoals omschreven in art 326 lid 1 Sr, waarbij een of meerdere slachtoffers worden bewogen tot de afgifte van geld of goederen, danwel tot het verlenen van (een) dienst(en). Het gaat daarbij om oplichting al dan niet via internet van burgers of bedrijven, niet van de overheid (verticale fraude).

In de gewijzigde richtlijn is de tabel voor internetoplichting vervangen voor een tabel voor online handelsfraude. Uitgangspunt daarbij is dat slachtofferschap iets zwaarder telt dan het financieel nadeel: meer slachtoffers met een laag schadebedrag levert een hogere straf op dan weinig slachtoffers met een hoog schadebedrag. In de richtlijn is rekening gehouden met de witwascomponent die zich in dit soort zaken veelal voordoet, namelijk het incasseren op de eigen rekening / de rekening van een katvanger en het vervolgens overboeken of opnemen van het geld.

Jurisprudentieoverzicht Cybercrime – april 2019

Posted on 17/04/2019 op Oerlemansblog

Veroordeling in onderzoek “Cyber 007”

Op 28 februari 2019 heeft de rechtbank Noord-Holland in een phishing-zaak geoordeeld (ECLI:NL:RBNHO:2019:1568) met de spannende operatienaam “Cyber 007”.  De verdachte wordt veroordeeld voor diefstal, computervredebreuk en deelname een criminele organisatie. Rekeninghouders van Rabobank en ABN AMRO bank zijn phishingmails verstuurd, waarin stond dat vanwege veiligheidsredenen op korte termijn een vernieuwde bankpas moest worden aangevraagd. Verder werd meegedeeld dat hun huidige bankpas binnenkort automatisch zou verlopen. In de e-mails werd daarom verzocht de aanvraag van de nieuwe bankpas te voltooien en de oude bankpas(sen) op te sturen naar een inleverpunt van de desbetreffende bank voor recycling. De adressen van deze inleverpunten betroffen adressen van verschillende woningen.

Werkwijze

De e-mails werden voorzien van een link, bijvoorbeeld genaamd ‘Nieuwe betaalpas aanvragen’. Via deze link werd men doorverwezen naar een nagebouwde, valse website van de bank, waar de rekeninghouders enkele bankgegevens, zoals hun bankrekeningnummer en pincode, moesten invullen. De opgestuurde bankpassen werden daarna weggenomen uit de brievenbussen van de zogenaamde inleverpunten. In enkele gevallen werden vervolgens de opnamelimieten van deze bankpassen verhoogd en grote geldbedragen gepind. In deze uitspraak werd door de officier van justitie geen bewijs geproduceerd van betrokkenheid bij het verzenden van de e-mails, dus daar werd de verdachte van vrijgesproken.

Kwalificering van de feiten

Door verschillende personen is vervolgens geld met bankpassen gepind, dan wel zijn (luxe) goederen met de bankpassen aangeschaft. Deze handelwijze vergt een planmatige aanpak, intensieve samenwerking en duidelijke afstemming tussen de betrokken personen. Uit de aard van deze handelwijze is volgens de rechtbank sprake geweest van een gestructureerd samenwerkingsverband met een zekere duurzaamheid, die tot oogmerk had om – door middel van oplichting – bankpassen en bijbehorende pincodes te verkrijgen, daarmee computervredebreuk te plegen (door in te loggen op de internetbankieren omgeving) en computergegevens aan te tasten (door opnamelimieten van bankpassen te verhogen), met als uiteindelijk doel de bankrekeningen van de rekeninghouders leeg te halen (diefstal door middel van valse sleutels) door geld op te nemen uit geldautomaten dan wel aankopen te doen in winkels (diefstal door middel van valse sleutels en/of witwassen).

Gedwongen ontsleuteling iPhone

In de zaak staan ook uitgebreide overwegingen omtrent het gedwongen ontgrendelen van een iPhone 4 met behulp van een vingerafdrukscan. De iPhone die verdachte bij zijn aanhouding bij zich had, is in beslag genomen en door de politie meteen in ‘Flight Mode’ gezet, zodat de telefoon niet van afstand kon worden gewist. Nadat de verdachte weigerde zijn iPhone te ongrendelen is zijn rechterduim, zonder geweld, op de vingerafdrukscanner van de iPhone geplaatst en is de iPhone ontsloten. De rechtbank acht dit rechtmatig gelet op de ernst en aard van de verdenkingen tegen verdachte, het ontbreken van zijn medewerking tot het ontgrendelen van de iPhone, de gerechtvaardigde verwachting bij de opsporingsambtenaren dat zich op de iPhone voor het onderzoek relevante gegevens zouden bevinden en een minder ingrijpend middel tot ontgrendeling van de iPhone niet voorhanden was.

Veroordeling

De verdachte wordt veroordeeld voor 218 dagen gevangenisstraf, waarvan 180 dagen voorwaardelijk en een proeftijd van twee jaar. Ook krijgt de verdachte een taakstraf opgelegd van 240 uur en moet hij een schadevergoeding van 2300 euro betalen.

Misbruik van inloggegevens voor het plegen van fraude

Op 14 februari 2019 heeft de Rechtbank Noord-Nederland een verdachte veroordeeld (ECLI:NL:RBNNE:2019:637) voor oplichting en het aftappen van gegevens. De verdachte heeft door middel gebruik van keyloggers, op grote schaal inloggegevens van studenten van de Hanzehogeschool Groningen verzameld. Zie ook dit leuke artikel ‘Cybercrime op de Hanze’.

Het delict ‘wederrechtelijk aftappen of opnemen van gegevens’ in artikel 139c Sr werd bewezen geacht, vanwege het gebruik van keyloggers waarmee de toetsaanslagen werden verzameld. Door middel van de verzamelde inloggegevens kon de verdachte binnendringen in de klantenaccounts van studenten bij webshops en heeft hij deze accounts gebruikt om frauduleuze bestellingen te plaatsen, hetgeen het delict oplichting in art. 326 Sr oplevert.

De bestelde goederen liet verdachte bezorgen op zorgvuldig uitgekozen adressen, waar hij gemakkelijk de geleverde goederen – uit het zicht van de bewoners – uit de brievenbussen kon vissen. Verdachte heeft door deze handelswijze internetbedrijven en een groot aantal particulieren financieel benadeeld. Daar komt bij dat veel van deze particulieren ook op andere wijze nadeel hebben ondervonden, omdat zij ten onrechte als wanbetaler zijn aangemerkt.

De verdachte krijgt een gevangenisstraf opgelegd van 194 dagen, waarvan 180 voorwaardelijk en een taakstraf van 240 uur.

Veroordelingen voor online drugshandel

Het Hof Amsterdam heeft op 27 februari 2019 een verdachte in het onderzoek ‘Lancashire’ veroordeeld (ECLI:NL:GHAMS:2019:587) voor grensoverschrijdende drugshandel via een darknetmarket, gewoontewitwassen en het bezit van verdovende middelen. De verdachte maakte deel uit van een organisatie van zes personen die zich bezighielden met online drugshandel.

Het digitaal bewijs bestond deels uit een aantal (verwijderde) foto’s en hun metadata op de SD-kaart van de fotocamera van de verdachte die weer zijn teruggehaald. Op de foto’s stonden onder andere de pillen die werden verkocht. De handel waarbij de verdachte betrokken was, legde zich met name toe op het bevoorraden van de ‘resellers’ en behoorde daarmee tot het hogere segment van de drugshandel. De verdachte wordt veroordeeld voor in totaal 27 maanden gevangenisstraf.

Dat online drugshandel niet altijd via het darkweb plaatsvindt, laat een uitspraak van de Rechtbank Oost-Brabant van 19 maart 2019 zien (ECLI:NL:RBOBR:2019:1837). In deze zaak ging het over het verkoop van GBL, een stof waarmee GHB kan worden gemaakt. GBL werd via internet vanuit Polen bedrijfsmatig verkocht. De verdachte heeft zijn bedrijf gepresenteerd als een bedrijf dat legaal GBL als schoonmaakmiddel verkocht, terwijl de verdachte het bedrijf in feite gebruikte om GBL als grondstof voor de bereiding van GHB aan zijn afnemers te leveren. De verdachte is bij het plegen van de feiten planmatig te werk gegaan en heeft een deel van zijn bedrijfsactiviteiten verplaatst naar Polen om uit het zicht van de opsporingsautoriteiten te blijven.

In de uitspraak staat een interessante overweging over rechtsmacht. Rechtsmacht van Nederland wordt op grond van art. 2 Sr in deze zaak aangenomen, ondanks dat slechts een deel van het feit in Nederland is gepleegd. De aansturing van strafbare feit vond in Nederland plaats en de stoffen werden in Nederland afgeleverd of opgehaald. Ook bleek uit opgevraagde verkeersgegevens dat de mobiele telefoon van de verdachte zich in Nederland bevond. Vergelijking van de locaties van de twee telefoons levert op dat zij in elk geval op negen verschillende datums beiden de zendmast in een bepaalde woonplaats aanstraalden. Nederland kan daarom als pleegplaats van het strafbare feit worden aangemerkt, waardoor op grond van artikel 2 Sr rechtsmacht bestaat, hetgeen betekent dat de officier van justitie ontvankelijk is en in zijn vervolging kan worden ontvangen. De rechtbank komt daarom niet toe aan de bespreking van het verweer van de raadsman met betrekking tot artikel 7 Sr.

De veroordeelde is veroordeeld voor het medeplegen van het voorbereiden en voorhanden van stoffen die bestemd zijn tot het plegen van een feit dat strafbaar is gesteld in de Opiumwet. De verdachte krijg een gevangenisstraf opgelegd van 15 maanden, waarvan vijf maanden voorwaardelijk en een geldboete van 25.000 euro.

Witwassen van Lindendollars en cryptocurrencies

Op 18 december 2018 werd een verdachte door de rechtbank Rotterdam veroordeeld (ECLI:NL:RBROT:2018:11321) tot het medeplegen van witwassen (art. 420bis Sr) van een bedrag van ruim 826.000 euro met behulp van virtuele currencies. De uitspraak is pas op 19 maart 2019 gepubliceerd. In dit geval bood het bedrijf ‘Virwox’ een platform aan voor het verhandelen van verschillende virtuele valuta’s, zoals bitcoins. Bij dat bedrijf is in maart 2012 een account gemaakt op naam van de verdachte. Via dit account werden bitcoins ingewisseld voor linden dollars (een andere virtuele munt). Deze linden dollars werden op hun beurt omgezet in euro’s en gestort op acht bankrekeningen op naam van de verdachte en iemand anders. Van de bitcoins die via de Virwox-account op naam van verdachte werden omgezet, waren (in elk geval) 72.605 bitcoins afkomstig van één bepaalde handelaar op Silk Road, een darknet market. Op de bankrekeningen die op naam zijn gesteld van de verdachte en iemand anders zijn – via de Virwox-account op naam van de verdachte – bedragen gestort van in totaal respectievelijk € 826.001,- en € 27.715,-. Die bedragen zijn in kleine tranches via pintransacties opgenomen van de bankrekeningen.

Hoewel er niet een (on)middellijk verband is te leggen met een nauwkeurig aangeduid misdrijf als bron van het geld, kan het naar het oordeel van de rechtbank niet anders zijn dan dat het geldbedrag van € 826.001,- een criminele herkomst heeft. Gronden voor die conclusie zijn de hoogte van dat bedrag, de omstandigheid dat het in vele kleine bedragen op acht verschillende bankrekeningen van de medeverdachten is gestort en dat het uiteindelijk grotendeels contant is opgenomen. Daar komt bij dat het geld de vorm heeft gehad van verschillende cryptovaluta’s die in het criminele circuit veel gebruikt worden om de herkomst van crimineel geld te verhullen en dat het geld, in de vorm van bitcoins, voor een groot deel afkomstig is van de online marktplaats Silk Road. Het is een feit van algemene bekendheid dat Silk Road, dat inmiddels is gesloten, veelal gebruikt werd voor criminele transacties.

De rol van de verdachte bij het witwassen is groter geweest dan het enkel contant (laten) opnemen van geld van zijn bankrekeningen. De verdachte heeft diverse bankrekeningen op zijn naam geopend terwijl hij wist wat daar het doel van was. De verdachte wist bovendien dat het om zeer grote totaalbedragen ging en hij had het vermoeden dat het geld afkomstig was van drugshandel. Daarbij komt dat de verdachte – die nauwelijks legale inkomsten had – wekelijks zo’n € 800,- kreeg. Ook zijn er (dure) vakanties voor hem betaald die niet passen bij de inkomsten van de verdachte. Daarmee heeft de verdachte ten minste willens en wetens de aanmerkelijke kans aanvaard dat hij bezig was de criminele herkomst van het geld te verhullen. Daarmee is gegeven dat bewezen kan worden dat zijn opzet, in ieder geval in voorwaardelijke zin, was gericht op witwassen.

De verdachte kreeg een gevangenisstraf opgelegd van 12 maanden waarvan 2 maanden voorwaardelijk.

In een andere zaak bij de rechtbank Rotterdam is op 13 maart 2019 een verdachte veroordeeld (ECLI:NL:RBROT:2019:2408) voor het medeplegen van gewoontewitwassen van 4182 bitcoins via bitcoinbeurs ‘Kraken’. De verdachte trad hier een jaar op als geldezel en ontving in die hoedanigheid grote hoeveelheden geld op zijn bankrekeningen tot een totaalbedrag van meer dan één miljoen euro.

De uitbetalingen door Kraken, soms meerdere op één dag, waren per transactie niet hoger dan € 8.999,91. Daarmee bleven de bijschrijvingen op de bankrekeningen van de verdachte steeds onder de meldplicht van de banken. Het totaal van deze bijschrijvingen stond in geen verhouding tot de inkomsten uit arbeid van de verdachte. De op de bankrekeningen van de verdachte bijgeschreven geldbedragen werden vrijwel direct na ontvangst – soms na een (gedeeltelijke) doorboeking naar bankrekeningen van familieleden van de verdachte – contant opgenomen, zonder kennelijke legale economische noodzaak of verklaring daarvoor. De rechtbank overweegt dat van de verdachte mag worden verlangd dat hij een concrete, verifieerbare en niet op voorhand hoogst onwaarschijnlijke verklaring geeft dat voormelde geldbedragen niet van misdrijf afkomstig zijn. De verdachte heeft zich echter zowel tijdens zijn verhoor door de FIOD als ter terechtzitting op zijn zwijgrecht beroepen. Ook in deze zaak overweegt dat de rechtbank dat het ‘een feit van algemene bekendheid is dat bitcoins dikwijls worden gebruikt in het criminele circuit, onder meer in de drugshandel’.

De verdachte wordt veroordeeld tot een gevangenisstraf van acht maanden, waarvan vijf voorwaardelijk en een taakstraf van 240 uur.

Opruiing tot terrorisme via social media

Op 12 februari 2019 heeft de Rechtbank Amsterdam een minderjarige verdachte veroordeeld (ECLI:NL:RBAMS:2019:855) voor opruiing tot terrorisme. Op zijn social media kanalen had de verdachte filmpjes geplaatst waarin strijdliederen te horen zijn met een oproep om aanslagen te plegen voor de Islamitische Staat en om zogenaamd ongelovigen de keel door te snijden en te doden. De verdachte beheerde het kanaal waarop 29 oktober 2017 tot en met 3 juli 2018 de filmpjes werden beheerd en verspreid.

In de uitspraak wordt beschreven hoe bijvoorbeeld op één van de filmpjes de keel van een geknielde persoon met zijn op hadden zijn rug werd doorgesneden, terwijl op zijn kleding de tekst “Kuffar” (ongelovige) te lezen is. Op de achtergrond is een persoon met een IS-vlag te zien. Daarna is het hoofd volledig van het lichaam doorgesneden en vervolgens te zien is dat de persoon het hoofd met kracht van het lichaam losrukt.

De rechtbank is met de officier van justitie van mening dat de verdachte niet langer hoeft vast te zitten dan de dagen die hij in voorlopige hechtenis heeft doorgebracht. Het belangrijkste is dat verdachte zich niet opnieuw met deze opruiende praktijken bezighoudt. Verdachte zit in een intensief hulptraject en heeft zich tijdens zijn schorsing goed gehouden aan de bijzondere voorwaarden gericht op begeleiding, behandeling en controle.

De rechtbank legt 210 dagen jeugddetentie op, waarvan 133 voorwaardelijk, gelet op de positieve proceshouding van de verdachte, zijn verminderde toerekeningsvatbaarheid en zijn medewerking aan de hulpverlening.

Aanwijzing grensoverschrijdende inzet hackbevoegdheid

Posted on 11/04/2019 op Oerlemansblog

Op 26 februari 2019 is de “Aanwijzing voor de internationale aspecten van de inzet van de bevoegdheid ex art. 126nba Sv” gepubliceerd (Stcrt. 2019, 10277). De aanwijzing geeft regels voor de toepassing van de hackevoegdheid (artikel 126nba Sv), omdat mogelijk via internet geautomatiseerde werken kunnen worden benaderd  die zich in het buitenland bevinden.

In de aanwijzing staat een rechtshulpverzoek het uitgangspunt voor het plegen van opsporingshandelingen buiten Nederland. In een rechtshulpverzoek moet de officier een verzoek doen de gezochte gegevens te vorderen en/of (zelfstandig) veilig te stellen op basis van de daarvoor in dat land geldende wettelijke grondslagen. Indien op het moment waarop aan de rechter-commissaris machtiging voor de inzet van de bevoegdheid van artikel 126nba Sv gevraagd wordt, bekend is dat de gegevens niet in Nederland zijn opgeslagen, wordt dat in de aanvraag vermeld. Hiermee is in een dergelijke situatie verzekerd dat het aspect van de inbreuk op de soevereiniteit van een andere staat onderwerp vormt van een expliciete afweging door de officier van justitie en de rechter-commissaris.

Als met een redelijke inspanning niet kan worden vastgesteld wat de locatie van geautomatiseerd verwerkte gegevens is, wordt gehandeld alsof de gegevens in Nederland zijn opgeslagen. Daarvan kan blijkens de aanwijzing ook sprake zijn als niet langer kan worden gewacht op een reactie of er geen reactie van het land is te verwachten op een rechtshulpverzoek. Ook kan hiervan bijvoorbeeld sprake zijn bij het gebruik van anonimiseringssoftware of opslag in de cloud. Met een ingewikkelde formulering wordt de redelijke inspanning beschreven met: ‘de tijd en moeite voor het vaststellen van een specifieke geografische locatie in een reële verhouding tot de noodzakelijkheid van onverwijld optreden, de tijdsdruk en de doorlooptijd van het onderzoek’. In de aanwijzing wordt een interne procedure bij het Openbaar Ministerie beschreven die moet worden gevolgd.

Afwegingscriteria

Als afwegingscriteria voor de (mogelijke) grensoverschrijdende inzet staan in de aanwijzing: (a) ernst of onmiddellijkheid van de gevolgen van de aanval of dreiging; (b) aard en ernst van het strafbare feit; (c) vluchtigheid van de gegevens of informatie die wordt gezocht, en of die moet worden veiliggesteld, danwel ontoegankelijk moet worden gemaakt; (d) mate van betrokkenheid van de Nederlandse rechtsorde en de gevolgen daarvoor (inclusief slachtofferbelangen) (e) de aard van de te verrichten opsporingshandelingen: afhankelijk van de mate van ingrijpendheid, mate van inbreuk op de privacy van de verdachte, mate van inbreuk op privacy van slachtoffers die middels het geautomatiseerde werk wordt gemaakt en (f) risico’s voor het geautomatiseerde werk, d.w.z. technische risico’s en een inschatting van de mogelijke schade voor derden.

Als tijdens de onderzoekshandelingen blijkt dat deze gericht zijn op gegevens die zich op het territorium van een specifieke andere staat bevinden, wordt zo snel mogelijk alsnog een rechtshulpverzoek gedaan aan de desbetreffende staat voor het gebruik van deze gegevens en het onderzoek of besloten de onderzoekshandelingen te stoppen. De uitzondering daarop is dat het belang van het onderzoek groter wordt geacht dan de mogelijke schending van de soevereiniteit van die andere staat of staten. Dat brengt mee dat de officier van justitie in alle gevallen aan de rechter-commissaris meldt wat bekend is over de locatie van de gegevens. Dat geldt dus ook in het geval dat er niets bekend is over de locatie van de gegevens.

Kort commentaar

De overwegingen en instructies in de richtlijn zijn niet verassend, omdat de wetsgeschiedenis over de Wet computercriminaliteit III soortgelijke overwegingen aangeeft. Wat mij betreft komt in de aanwijzing nu duidelijker naar voren dat de grensoverschrijdende inzet ook toelaatbaar wordt geacht als de reactie op een verzoek te lang zich laat wachten, of geen reactie van het land is te verwachten. Ook bleek in de wetsgeschiedenis nog het uitgangspunt te zijn dat het desbetreffende land altijd wordt geïnformeerd over de inzet van de hackbevoegdheid als de locatie bekend wordt, terwijl nu – als ik het goed begrijp – een uitzondering van toepassing kan zijn als ‘het belang van het onderzoek groter wordt geacht dan de mogelijke schending van de soevereiniteit van die andere staat of staten’.

Ik blijf benieuwd hoe internationaal strafrechtjuristen hierover denken die niet zozeer gespecialiseerd zijn in IT-recht, dus ik houd mij aanbevolen voor publicaties of reacties op het onderwerp.

Nieuw boek: Strafrecht en ICT

Posted on 04/01/2019 op Oerlemansblog

Vanaf nu is het boek Strafrecht en ICT beschikbaar! Het boek betreft een studieboek en naslagwerk over cybercriminaliteit.

In het boek bundelen Bert-Jaap Koops en ik onze krachten en updaten wij het boek ‘Strafrecht en ICT’ uit 2007 (destijds uitgebracht onder de redactie van Bert-Jaap Koops).

Materieel strafrecht en ICT
Wij behandelen in hoofdstuk 2 van het boek uitvoerig de strafbepalingen, wetsgeschiedenis en jurisprudentie over computercriminaliteit in enge zin (met delicten als computervredebreuk, de verspreiding van kwaadaardige software (malware) en ddos-aanvallen) en computercriminaliteit in brede zin (met delicten als fraude, oplichting en online zedendelicten). Vergeleken met de tweede druk uit 2007 is er meer jurisprudentie beschikbaar, waardoor de bepalingen beter zijn uitgekristalliseerd. Ook zijn er delicten bijgekomen of aangepast, onder andere vanwege de Wet computercriminaliteit III, zoals heling van gegevens en sextortion.

Formeel strafrecht en ICT
Hoofdstuk 3 gaat over formeel strafrecht en ICT. Het hoofdstuk behandeld alle relevante opsporingsbevoegdheden die worden in gezet in opsporingsonderzoeken naar cybercriminaliteit. Het gaat daarbij bijvoorbeeld om de Wet vorderen gegevens, de Wet bijzondere opsporingsbevoegdheden en de bepalingen omtrent de doorzoeking van plaatsen en inbeslagname van computers. Ook de hackbevoegdheid en de take down-bevoegdheid uit de Wet computercriminaliteit III komen uiteraard aan bod. Zowel in het hoofdstuk over het materieel strafrecht als het hoofdstuk over het formeel strafrecht kijken we enige tijd vooruit en spreken we enkele toekomstverwachtingen over het vakgebied uit.

Grensoverschrijdende digitale opsporing

Het laatste hoofdstuk van het boek gaat over grensoverschrijdende digitale opsporing. Ik mijn hoofdstuk bouw ik voort op mijn werk uit mijn proefschrift, Tekst en Commentaar en nieuwe jurisprudentie. In het hoofdstuk ga ik onder andere in op de grensoverschrijdende toepassing van het vorderen van gegevens, undercover bevoegdheden en de hackbevoegdheid.

Het is een genoegen geweest samen met Bert-Jaap Koops aan het boek te werken. Kennis die ik niet kwijt kon in mijn proefschrift of andere publicaties heeft nu een plek gekregen in het boek. Het boek is nadrukkelijk niet alleen als studieboek geschreven, maar ook als naslagwerk voor wetenschap en praktijk. Het boek heeft hopelijk veel waarde voor juristen die zich in de praktijk bezighouden met cybercriminaliteit en voor juristen die meer willen weten over cybercriminaliteit.