Page 15 of 23

Cybercrime jurisprudentieoverzicht – oktober 2019

jjoerlemans Een reactie plaatsen

Posted on 17/10/2019 op Oerlemansblog

Veroordeling voor infecteren van computers met malware

De rechtbank Rotterdam heeft op 10 september 2019 uitspraak (ECLI:NL:RBROT:2019:7259) gedaan over een malwarezaak. Veroordelingen voor de verspreiding of vervaardiging van kwaadaardige software (malware) komen relatief weinig voor, wellicht omdat de daders zich vaak in het buitenland bevinden. Het vonnis is interessant vanwege het feitencomplex en de technische details die worden vermeld.

De rechtbank Rotterdam veroordeelt de verdachte voor computervredebreuk (artikel 138ab Sr), oplichting (artikel 326 Sr), identiteitsfraude (artikel 231b Sr) en het voorhanden hebben van de malware (technisch hulpmiddel) en toegangscodes voor het plegen van computervredebreuk (artikel 139d lid 2 sub a Sr). De verdachte krijgt een straf opgelegd van twee jaar, waarvan zes maanden voorwaardelijk.

De verdachte heeft op grote schaal computers met malware geïnfecteerd, waardoor het mogelijk werd de computers ‘over te nemen’ en o.a. inloggegevens (gebruikersnamen en wachtwoorden) te verkrijgen. De verdachte maakte de infectie mogelijk door de slachtoffers te verleiding tot het klikken op een uitnodigende link op een website. Ook stuurde hij valse e-mails met daarin een link in naam van PostNL en Intrum Justitia. Bij het bezoeken van de website werden zeker tientallen computers met malware geïnfecteerd. De verdachte heeft vervolgens met overgenomen inloggevens ingelogd op de accounts van de slachtoffers om bijvoorbeeld bestellingen te plaatsen. Hij heeft ook toegang verkregen tot persoonlijke documenten, waaronder CV’s, kopieën paspoort en salarisspecificaties.  De verdachte heeft ook gegevens over de slachtoffers verkregen door een “simkaartwissel” aan te vragen, waarmee de voor het online overboeken vereiste TAN-codes werden ontvangen.

Op deze wijze werden ook ING en de betreffende telecomproviders opgelicht. De vorderingen van de banken van bijna 80.000 euro is door de rechtbank toegewezen. Het onderzoek is gaan lopen door aangifte van de ING, waarbij een verdacht IP-adres als bewijsmateriaal werd aangedragen. Via het Centraal Informatiepunt Onderzoeken Telecommunicatie (CIOT) is de tenaamstelling van het IP-adres achterhaald, wat leidde tot het adres waar ook de verdachte bleek te wonen. Bij de verdachte is een IP-tap gezet en digitaal onderzoek tijdens de doorzoeking van de woning van de verdachte uitgevoerd. Het vonnis vermeld dat daarbij is vastgesteld op welke wijze de verdachte de malware aanstuurde.

De verdediging stelde dat sprake was van een vormverzuim, omdat gebruik is gemaakt van informatie die afkomstig is uit een gelekte database. De rechtbank verwerpt dit verweer, omdat niet kan worden vastgesteld dat de ING de gegevens uit een gelekte database heeft verkregen of strafbare feiten heeft begaan. Daar komt nog bij dat de gegevens die ING met behulp van de uitgelekte database heeft weten te achterhalen, geen doorslaggevende rol hebben gespeeld bij het identificeren van de verdachte.

Handel in PayPal-accounts op het darkweb

De rechtbank Rotterdam heeft op 8 juli 2019 een verdachte veroordeeld (ECLI:NL:RBROT:2019:6548) voor de handel in gehackte PayPal-accounts. Het delict in artikel 139d Sr werd bewezen geacht.

De verdachte kocht de inloggegevens van gehackte accounts via de site ‘blackpass’. Vervolgens bood hij diezelfde accounts te koop aan op verschillende handelsplatformen op het dark web. De verdachte heeft ter zitting verklaard dat hij die gegevens na aankoop alleen nog naar het handelsplatform hoefde te kopiëren en dat de transacties daarna volledig geautomatiseerd werden afgehandeld door het handelsplatform. Uit het onderzoek is gebleken dat de verdachte meer dan 13.000 accounts heeft verkocht.

Mede vanwege de persoonlijke omstandigheden van de verdachte en zijn proceshouding wordt hem een voorwaardelijke gevangenisstraf van 2 maanden en een taakstraf van 174 uur opgelegd.

Kaartlezer is geen technisch hulpmiddel

Het Hof Den Haag heeft op 9 september 2019 een verdachte veroordeeld (ECLI:NL:GHDHA:2019:2426) tot 80 uur taakstraf voor computervredebreuk, oplichting (artikel 326 Sr) en het voorhanden tot het voorhanden hebben van een technisch hulpmiddel voor het plegen van computervredebreuk (artikel 139d lid 2 sub a Sr). De verdachte is zijn OV-chipkaart, een geautomatiseerd werk, binnengedrongen. Daarmee heeft hij vervolgens het saldo op OV-chipkaarten verhoogd tot nagenoeg het maximale bedrag dat bij een refund kon worden uitgekeerd. Daarmee heeft de verdachte oplichting en computervredebreuk gepleegd.

Het arrest is vooral interessant, omdat het hof oordeelt dat de kaartschrijver/kaartlezer waarmee het saldo kon worden verhoogd niet kan worden beschouwd als een technisch hulpmiddel in de zin van artikel 139d Sr. Het hof overweegt kortgezegd dat de kaartlezer een vrij verkrijgbaar elektronisch apparaat is, dat doorgaans wordt gebruikt voor het uitlezen en beschrijven van (onder meer) NFC chips. Niet blijkt uit de inrichting of de eigenschappen van de kaartschrijver/kaartlezer dat de producent heeft bedoeld een hulpmiddel te produceren dat hoofdzakelijk is ontworpen voor het begaan van de genoemde delicten. Evenmin blijkt dat de kaartschrijver/kaartlezer op enigerlei wijze voor dat doel is aangepast. Dit leidt tot het oordeel van het hof dat de kaartschrijver/kaartlezer – op zichzelf beschouwd – niet als technisch hulpmiddel in de zin van artikel 139d Sr kan worden aangemerkt.

De software waarmee OV-chipkaarten kunnen worden gemanipuleerd zijn wél te beschouwen als ‘technisch hulpmiddel’ in de zin van artikel 139d Sr. Het hof overweegt dat deze software immers specifiek is ontworpen om binnen te dringen in OV-chipkaarten, teneinde het saldo op OV-chipkaarten aan te kunnen passen en daarmee het plegen van computervredebreuk.

Veroordelingen voor kinderporno

Op 22 juli 2019 heeft de rechtbank Gelderland een ex-militair vrijgesproken (ECLI:NL:RBGEL:2019:3456) van het bezit van kinderpornografie. Na forensisch onderzoek werden 17 kinderpornografische afbeeldingen teruggevonden in de ‘Temporary Internet files’. De vier afbeeldingen uit de tenlastelegging werden gevonden in de ‘deleted files’. Deleted files zijn bestanden die zonder speciaal daartoe bestemde software niet meer eenvoudig door de gebruiker zijn te benaderen. Volgens vaste jurisprudentie kan ten aanzien van bestanden met kinderporno die aangemerkt zijn als ‘deleted’ dan ook niet het “bezit” in de zin van artikel 240b van het Wetboek van strafrecht worden aangenomen. Niet is gebleken dat verdachte beschikte over speciale software via welke de afbeeldingen voor hem toegankelijk waren.

De verdachte heeft op enig moment de bestanden op zijn computer gehad, maar ook op enig moment weer verwijderd. Uit de bewijsmiddelen kan echter niet worden herleid wanneer verdachte de afbeeldingen heeft gedownload, of wanneer hij deze heeft verwijderd. Dit leidt tot de conclusie dat niet bewezen kan worden dat verdachte de in de tenlastelegging genoemde afbeeldingen in de ten laste gelegde periode in zijn bezit heeft gehad. De militaire kamer heeft verdachte daarom vrijgesproken van het ten laste gelegde bezit, de verspreiding of het toegang verschaffen tot kinderpornografische afbeeldingen in de ten laste gelegde periode.

Op 10 september 2019 heeft de rechtbank Overijssel een 20-jarige man veroordeeld (ECLI:NL:RBOVE:2019:3214) tot twee jaar gevangenisstraf en tbs met dwangverpleging voor het seksueel misbruik van jonge meisjes en het maken, bezitten en verspreiden van kinderporno.

De verdachte heeft via het darkweb ‘een zeer omvangrijke hoeveelheid kinderporno’ verspreid. Daar komt nog bij dat verdachte zelf ook foto’s heeft vervaardigd en verspreid, waarmee hij een actieve rol heeft gespeeld bij het in standhouden van kinderpornografie. In lekentaal overweegt de rechtbank dat de verdachte “op zeer professionele wijze zich begaf op het internet en in de digitale wereld” (..) Hij heeft daarbij opgetreden als ‘admin/global/moderator/producer in de organisatiestructuur op het darkweb.’

In een hele droevige zaak is een (destijds) 13-jarige jongen veroordeeld voor 40 uur taakstraf (ECLI:NL:RBOVE:2019:3530) en een (destijds) 14-jarig meisje is veroordeeld (ECLI:NL:RBOVE:2019:3531) tot een voorwaardelijke taakstraf van 40 uur voor het verspreiden van een naaktfoto van een 14-jarige jongen uit Enschede. Het slachtoffer had een naaktfoto verstuurd via Snapchat dat gekoppeld was aan het e-mailaccount van de verdachte. De foto werd via WhatsApp verstuurd naar de medeverdachte. Zij heeft vervolgens de foto van het slachtoffer op haar Instagramaccount gezet en hem daarbij getagd. Toen de foto bekend werd heeft het slachtoffer zelfmoord gepleegd door vanaf grote hoogte van een kamer in een flat af te springen.

De officier van justitie had besloten niet vervolgen voor ‘dood door schuld’, omdat uit het politieonderzoek was gebleken dat beide verdachten geen strafrechtelijke verantwoordelijkheid voor de dood van het [slachtoffer kon worden verweten. Vanwege het voorhanden hebben van een naaktfoto is door de officier van justitie besloten dat verdachte en de medeverdachte een voorwaardelijk sepot zouden krijgen en een onderhoud ten parkette. Door een klachtprocedure wegens het niet instellen van vervolging (de ‘artikel 12-procedure’ kwam het tot toch tot een strafzaak.

De verdachten zijn uiteindelijk veroordeeld voor het verspreiden van kinderporno (omdat het slachtoffer minderjarig is) en belediging omdat het slachtoffer in zijn eer en goede naam is aangetast. De verdachte verdient volgens de rechtbank een onvoorwaardelijke taakstraf voor het delen van de foto. Bij de straftoemeting heeft de rechtbank er wel rekening mee gehouden dat de feiten hebben plaatsgevonden toen verdachte nog zeer jong was en hij de gevolgen niet goed heeft kunnen overzien.

Veroordeling voor het voor handen hebben van ‘jammers’

Het Hof Den Haag heeft op 25 augustus 2019 een verdachte vooroordeeld (ECLI:NL:GHDHA:2019:2385) voor het voorhanden hebben van ‘jammers’ (stoorzenders die telefoon- en internetverkeer plaatselijk onmogelijk maken). Aan één van de binnenwanden van de laadruimte van de bus waarin hennepafval werd vervoerd was een jammer bevestigd. In het dashboardkastje werd een identieke jammer gevonden. Dat is strafbaar op grond van artikel 350d jo 350c Sr. Er zijn hier niet zoveel uitspraken over, dus dat maakt de zaak interessant.

Het hof is ‘van oordeel dat jammers – die naar hun aard geen andere bestemming kennen dan het verstoren van telecommunicatie – in het criminele circuit worden gebruikt om ontdekking van criminele activiteiten te bemoeilijken. In dat licht bezien past het bij het door de verdachte vervoeren van het afval van een hennepkwekerij dat hij daarbij gebruik kon maken van jammers en dat die met dat doel zich in de door hem gebruikte bus bevonden.’ Het hof neemt daarbij in aanmerking dat de verdachte geen verklaring gegeven die de feiten konden ontzenuwen. De verdachte krijgt een taakstraf van 40 uur opgelegd.

Zoekwoorden voor vergiftiging en ‘find my iphone’ & voorbedachte rade

Het Hof Amsterdam heeft op 12 juli 2019 een verdachte veroordeeld (ECLI:NL:GHAMS:2019:2497) voor het medeplegen van moord en wegmaken van het stoffelijk overschot van het slachtoffer. Zoekwoorden op internet die zijn gevonden op de inbeslaggenomen tablet van de verdachte hebben (onder andere) geleid tot de bewezenverklaring van het vereiste ‘voorbedachte rade’.

De verdachte kreeg te maken met het slachtoffer wiens karakter door TIA’s was veranderd. Zij wilde onbezorgd haar verdere leven kunnen leiden en heeft – getuige haar zoekslagen op internet tussen 10 juni en 14 juli 2015 over dood door landbouwgif, nekslag en slaan – onderzocht hoe het slachtoffer van het leven kon worden beroofd. Daarna heeft de verdachte gezocht niet alleen gezocht naar methoden om iemand om het leven te brengen, maar bovendien aan haar zus gevraagd of zij iemand wist die tegen een beloning het slachtoffer van het leven kon beroven. Toen zij niemand konden vinden, hebben zij het slachtoffer door verstikking om het leven gebracht. De verdachte wordt veroordeeld tot 17,5 jaar gevangenisstraf.

Het Hof Amsterdam heeft daarnaast op 27 september 2019 ook een verdachte vooroordeeld (ECLI:NL:GHAMS:2019:3502) voor 16 jaar gevangenisstraf voor de moord op zijn vriendin door haar dood te schieten. De voorbedachte rade werd hier (onder andere) bewezen, omdat de inlogde op het Facebook-account van het slachtoffer en op de dag waarop zij om het leven werd gebracht haar iCloud-omgeving, waar hij  ‘find my iPhone’ en haar agenda gebruikte om te achterhalen waar het slachtoffer was. Het was bekend dat de verdachte dit deed, omdat hij was ingelogd op zijn Hotmailaccount.

Internetoplichting en gewoontewitwassen

De rechtbank Rotterdam heeft op 28 augustus 2019 een verdachte veroordeeld (ECLI:NL:RBROT:2019:6965) voor 15 maanden gevangenisstraf (waarvan 5 voorwaardelijk), voor de oplichting van 414 personen. Hij heeft een webshop opgezet en zich als bonafide verkoper voorgedaan. De beloofde goederen zijn niet geleverd. Nu niet alle consumenten aangifte doen van internetfraude en van enige levering aan wie dan ook niet gebleken is, gaat de rechtbank er zonder meer van uit dat het gehele bedrag van € 200.400,01 ziet op door oplichting verkregen gelden.

In totaal is door de kopers meer dan 200.000 euro uit criminele herkomst gestort op twee bankrekeningen waarover verdachte de beschikking had. Door anderen is het geld steeds gepind. Ook heeft de verdachte geld van deze bankrekeningen doorgesluisd naar de medeverdachten. De gelden zijn, al dan niet na doorbetaling naar andere rekeningen, al dan niet met een versluierde omschrijving, grotendeels contant gemaakt. Door deze handelingen kon het delict witwassen worden bewezen.

Privacy en bulkinterceptie in de Wiv 2017

jjoerlemans Een reactie plaatsen
Privacy-en-bulkinterceptie-in-de-Wiv-2017-Oerlemans-en-Hagens-def-1Download

Posted on 14/08/2019 op Oerlemansblog

Samen met mijn collega Mireille Hagens heb ik het artikel ‘Privacy en bulkinterceptie in de Wiv 2017’ geschreven voor het themanummer van ‘Privacy’ van Ars Aequi. In het artikel gaan we uitgebreid in op de bijzondere bevoegdheid tot het in bulk tappen van communicatie (‘bulkinterceptie’); in de Wet op de inlichtingen- en veiligheidsdiensten 2017 ‘onderzoeksopdrachtgerichte interceptie’ genoemd.

In het artikel leggen we uit hoe het stelsel van onderzoeksopdrachtgerichte interceptie precies is geregeld, met daarbij speciale aandacht voor de bijzondere bevoegdheid van ‘geautomatiseerde data-analyse’ als onderdeel daarvan. Ook bespreken we welke waarborgen daarbij in de Wiv 2017 zijn voorzien voor de rechtsbescherming van burgers en hoe deze zich verhouden tot de jurisprudentie van het Europees Hof voor de Rechten van de Mens (EHRM) over bulkinterceptie. De zaken Big Brother Watch e.a. en Centrum för Rättvisa (2018), waarin het EHRM zich baseert op eerdere jurisprudentie zoals de Grote Kameruitspraak in Roman Zakharov (2015), krijgen in onze analyse daarbij de meeste aandacht. Zie ook mijn eigen analyse van de big Brother Watch-zaak in mijn annotatie.

annotatie-Big-Brother-Watch-J.J.-Oerlemans-1Download

Stevige regeling voor bulkinterceptie

In ons artikel constateren wij dat voor onderzoeksopdrachtgerichte interceptie de Wiv 2017 sterke waarborgen biedt, waaronder het getrapte systeem van voorafgaande toestemming door de minister en de toetsing hiervan door de Toetsingscommissie Inzet Bevoegdheden (TIB) voor de interceptie zelf, maar ook voor de optimalisatie van het interceptieproces en de nadere analyse van de onderschepte gegevens uit interceptie.

Het stelsel voor onderzoeksopdrachtgerichte interceptie voldoet daarmee aan een belangrijk kritiekpunt in de Big Brother Watch-zaak over voorafgaande toestemming en toezicht op de nadere analyse van de gegevens met het oogmerk om kennis te nemen van de inhoud (het selectieproces). Overigens bestaat de mogelijkheid dat de Grote Kamer van het EHRM, waar deze zaak nu voorligt, tot een ander oordeel komt over bulkinterceptie als bijzondere bevoegdheid. De resultaten van onze analyse kunnen daardoor wijzigen, maar dat is niet onze verwachting.

Knelpunt: geautomatiseerde data-analyse

Als knelpunt in de Wiv 2017 identificeren wij de beperkte reikwijdte van de regeling voor de bijzondere bevoegdheid tot geautomatiseerde data-analyse. In de bovengenoemde EHRM-zaken legt het Hof goed uit dat dat de analyse van metadata uit telecommunicatie een zware inmenging in het recht op privacy van de betrokkenen kan inhouden. De reden is dat metadata gevoelig kan zijn, omdat het onder meer informatie kan bevatten over de identiteit van beide communicerende partijen, hun contacten, hun geolocatie en gebruikte apparatuur. Bij de opslag en analyse van deze gegevens in bulk wordt de inmenging in het recht op privacy groter, omdat het daarmee mogelijk is de contacten van een persoon, bewegingen en locaties, internetgeschiedenis en communicatiepatronen in kaart te brengen (zie par. 353-355 uit Big Brother Watch e.a)).

Geautomatiseerde data-analyse krijgt om deze reden ook een specifieke regeling in artikel 50 Wiv 2017, maar nog weinig aandacht gekregen in de literatuur. Wij wijzen er in het artikel op dat de bijzondere bevoegdheid slechts geldt voor de metadata-analyse van gegevens uit onderzoeksopdrachtgerichte interceptie (en geen andere bevoegdheden) met het doel om personen of organisaties te identificeren (en niet voor andere doelen). Het zou duidelijk moeten zijn welke data-analyses dan precies buiten de regeling van artikel 50 lid 1 sub b jo lid 4 Wiv 2017 vallen. Tot dusver is dat echter nog onduidelijk, mede door een gebrek aan nadere duiding in de toelichting op de wet.

De CTIVD en de TIB hebben in 2018 aangegeven dat de bijzondere bevoegdheid ook voor analyse van metadata afkomstig uit andere bevoegdheden zou moeten gelden. De ministers van Binnenlandse Zaken en Koninkrijksrelaties en Defensie hebben daarentegen in hun reactie (brief en  bijlage (.pdf)) aangegeven dat de bevoegdheid slechts zou moeten gelden in gevallen waarbij de analyse tot een ‘substantiële privacy-inbreuk’ leidt.

Meenemen in de evaluatie Wiv 2017?

Het is interessant om te zien of de bijzondere bevoegdheid van geautomatiseerde data-analyse in de evaluatie van de Wiv 2017 wordt meegenomen en mogelijk een andere invulling krijgt. Het onderwerp is in het nieuwe wetsvoorstel ‘Wijzigingswet Wiv 2017’ in ieder geval niet meegenomen. De evaluatie moet overigens voor 1 mei 2020 van start gaan en hiervoor moet nog een commissie worden ingesteld.

Cybercrime jurisprudentieoverzicht – augustus 2019

jjoerlemans Een reactie plaatsen

Posted on 11/08/2019 op Oerlemansblog

“Een webshop voor drugs!”

Met een vonnis “nieuwe stijl” heeft de rechtbank Rotterdam op 16 juli 2019 een verdachte veroordeeld (ECLI:NL:RBROT:2019:5630) voor drugshandel via het darkweb en het aanwezig hebben van de illegale handelsvoorraad. De verdachte heeft naar schatting meer dan 500 kg drugs verkocht en miljoenen omzet gehad. De bedenker, organisator en leidinggevende van het “bedrijf” krijgt zeven jaar gevangenisstraf opgelegd. In een afzonderlijk ontnemingsvonnis wordt bovendien ruim 1 miljoen euro afgenomen.

Het vonnis in deze zaak is op een nieuwe manier opgebouwd. Direct wordt een samenvatting van de zaak gegeven en de lezer kan aan de hand van een leeswijzer snel naar het hoofdstuk gaan waar de interesse naar uitgaat.

Als voorbeeld van deze nieuwe stijl is de nieuwe kop ‘Illustratie’ in het vonnis aardig om te lezen:

“Een webshop voor drugs! De overeenkomsten in de bedrijfsvoering tussen legale internetgiganten en de darkwebwinkel in hard- en softdrugs van de verdachte dringen zich op. Ook in zijn ‘internetbedrijf’ met meerdere ‘medewerkers’ was het iedere dag raak met online bestellingen, inpakken, verzending, levering, planning en voorraadbeheer. Het assortiment was groot. Bijna iedere populaire drug en zelfs grondstoffen voor drugs waren met één klik te bestellen en met PostNL zo bij je in huis. Ongewild en ongemerkt werd PostNL zo een internationale distributeur van Nederlandse drugs.

Nieuw arrest over doorzoeken van gegevens op smartphone

In een nieuw arrest (ECLI:NL:HR:2019:1079) over de rechtmatigheid van onderzoek aan een smartphone van 9 juli 2019 herhaalt de Hoge Raad het beoordelingskader over onderzoek aan inbeslaggenomen elektronische gegevensdragers en geautomatiseerde werken uit het smartphone-arrest (ECLI:NL:HR:2017:584).

In deze zaak was de gehele inhoud van de mobiele telefoon van de verdachte en de bij die telefoon behorende SD-kaart gekopieerd en veiliggesteld voor nader onderzoek. Tijdens het daaropvolgende onderzoek zijn alle foto’s en video’s onderzocht. Het Hof Arnhem-Leeuwarden vond dat “de politie selectief is geweest in het onderzoek aan de telefoon”, maar de Hoge Raad gaat daar niet in mee en acht dit oordeel onvoldoende gemotiveerd. Het verweer dat vervolgens tot bewijsuitsluiting moet worden overgegaan, volgt de Hoge Raad niet en verwerpt dit verweer.

Persoonlijk vind ik het nogal wiedes dat een onderzoek aan ‘alle foto’s en video’s’ niet “selectief” is en meer dan geringe inbreuk op het recht op privacy met zich meebrengt. Maar goed, de waardeoordelen van rechters m.b.t. het recht op privacy en onderzoek aan smartphones verbazen mij helaas wel vaker..

Bewijs van Google en telecommunicatie

In een opmerkelijke moordzaak is een vrouw op 11 juli door de rechtbank Noord-Nederland veroordeeld (ECLI:NL:RBNNE:2019:2986) voor de moord op haar man. De zaak is interessant, omdat de zaak sterk leunt op digitaal bewijs afkomstig uit de mobiele telefoon van de verdachte en het slachtoffer. Journalist Huib Modderkolk heeft over deze zaak een leuk artikel in de Volkskrant geschreven.

De verdachte heeft zich schuldig gemaakt aan moord op haar echtgenoot, vader van hun drie jonge kinderen. Het slachtoffer is doelbewust naar een weiland gelokt waar hij is doodgeslagen met een hard voorwerp. Uit de bewijsoverwegingen blijkt uit onder andere telecomgegevens en de gebruikersactiviteiten en locatiegegevens van het Google-account van de verdachte, dat zij op het moment van de moord vlakbij het delict worden gelokaliseerd (een weiland ter hoogte van de Bûterwei). Uit de gegevens van het Google-account van het slachtoffer kon een telecomdeskundige precies het moment afleiden waarbij de mobiele telefoon in beweging was en later tot stilstand kwam (vermoedelijk door de klap met het een hard voorwerp), bij het weiland waar het slachtoffer later is gevonden.

De verdachte heeft het slachtoffer met voorbedachte rade van het leven heeft beroofd. Zij heeft volgens een vooropgezet plan het slachtoffer naar de Bûterwei laten komen, zij heeft hem daar ontmoet en is met hem het weiland ingelopen, waar hij vervolgens op gewelddadige wijze om het leven is gebracht. De rechtbank veroordeelt de verdachte tot de gevorderde gevangenisstraf van 20 jaar.

Rechtbank laat opnieuw gebruik Ennetcom-data toe

De rechtbank Gelderland heeft op 26 juli 2019 een verdachte 15 jaar gevangenisstraf opgelegd voor moord. De uitspraak (ECLI:NL:RBGEL:2019:2833) is interessant, omdat in deze zaak (wederom) wordt geoordeeld dat de politie en het openbaar ministerie gebruik mogen maken van bewijs op de server van ‘Ennetcom’, waarop verstuurde berichten met ‘PGP-telefoons’ zijn bewaard waarvan criminelen veel gebruik maakten. In deze duidelijke uitspraak overweegt de rechtbank iets uitgebreider welke wettelijke regeling voorhanden is.

De rechtbank stelt ‘met de verdediging en de officieren van justitie vast dat het Wetboek van Strafvordering, noch enige andere wet, een procedure kent tot het afgeven van een machtiging, zoals door de Canadese rechter wordt geëist’ voor het onderzoeken van de gevorderde gegevens. De Canadese rechter had eenvoudig gezegd als voorwaarde bij het verstrekken van de gegevens aan Nederland opgenomen dat als de gegevens ook voor andere opsporingsonderzoeken worden gebruikt, daarvoor een Nederlandse rechter een machtiging moet geven. Het openbaar ministerie heeft ervoor een gekozen de rechter-commissaris deze mogelijkheid te geven op grond van artikel 181 jo artikel 179 Sv. Voor de inhoudelijke toetsing van de vordering heeft de rechter-commissaris aansluiting gezocht bij artikel 126ng Sv, de bepaling die een vordering van opgeslagen gegevens bij aanbieders van elektronische communicatieaanbieders mogelijk maakt. De rechtbank gaat hiermee akkoord, mede omdat zulke zware voorwaarden gelden voor de inzet van de bijzondere opsporingsbevoegdheid en deze als waarborg fungeren.

De verdediging stelt dat de rechten van de verdediging in het kader van een recht op een eerlijk proces in de zin van artikel 6 EVRM niet voldoende worden gerespecteerd, omdat zij (1) niet alle informatie over de gebruikte technieken hebben ontvangen, (2) de belangrijkste getuige over de technische aspecten niet heeft kunnen bevragen en (3) een ‘wezenlijke informatieachterstand’ had bij het horen van verbalisanten en getuigen.

De rechtbank reageert hierop door voorop te stellen dat ‘verdediging geen onbeperkt recht heeft op het ontvangen van alle informatie waarom zij verzoekt. Slechts die informatie die relevant is voor enige in de strafzaak te nemen beslissing moet in het dossier worden gevoegd’. De rechten van de verdediging zouden wel voldoende zijn nagekomen, omdat naast het strafdossier ook relevante stukken uit het desbetreffende onderzoek ‘26DeVink’ zijn verstrekt, alle beschikbare Ennetcom-data over de door de politie aan verdachte toegeschreven e‑mailaccounts op cd-rom hebben verstrekt en de verdediging in de gelegenheid is gesteld zelf onderzoek te doen in de datasets.

Veroordeling bommelding Amsterdam CS en bezit hacksoftware

Het Hof Amsterdam heeft op 23 juli 2019 een verdachte veroordeeld (ECLI:NL:GHAMS:2019:2749) voor valse bommelding op het Centraal Station van Amsterdam, bedreiging, creditcardfraude (voor slechts 40 euro) en het voorhanden hebben van hacksoftware. De minderjarige verdachte krijgt voorwaardelijke gevangenisstraf en een taakstraf opgelegd en houdt daarmee de opgelegde straf van de rechtbank Amsterdam in stand. Het Hof overweegt daarbij de valse bommelding onnodig veel politiecapaciteit heeft gekost en gevoelens van angst en onveiligheid inde maatschappij heeft veroorzaakt.

In de onderliggende uitspraak van de rechtbank Amsterdam (ECLI:NL:RBAMS:2019:117) zijn meer interessante feiten te vinden. De verdachte heeft via een gehackt Facebookaccount de volgende melding geplaatst:

“Vandaag om 1 uur zal Amsterdam Centraal niet meer staan en zullen alle mensen die er bij waren niet meer onder ons zijn. NOS Politie Amsterdam er zullen vershillende (sic!) explosieven tot ontploffing worden gebracht.”

Via het Facebookaccount kon het IP-adres worden achterhaald waarvandaan het bericht was geplaatst. De naam en adresgegeven van de abonneehouder bij KPN zijn gevorderd en op basis van die informatie heeft huiszoeking plaatsgevonden. Via het Facebookaccount kon het IP-adres achterhaald worden, waar vanaf het bericht was geplaatst. De naam en adresgegeven van de abonneehouder bij KPN zijn gevorderd en op basis van die informatie heeft een huiszoeking plaatsgevonden.

Op de harde schijf van de verdachte is het programma ‘Havij’ gevonden, een zogenoemd ‘SQL-injectietool’ waarmee de zwakheden in databases van websites zijn op te sporen. Boeiend is om te lezen dat op een Lenovo-laptop een IP-adres is gevonden in een snapshot-bestand van de applicatie ‘Virtual Box Virtual Machine’ en in de verwijderde bestanden geïnstalleerde software aangetroffen van onder meer programma’s waarmee anonieme VPN-verbindingen opgezet kunnen worden, programma’s waarmee een virtual machine kan worden benaderd, en het programma Havij. De stelling dat een andere dan de verdachte van de laptop gebruik maakte acht de rechtbank, zonder nadere motivering, vond rechtbank onaannemelijk.

Het waren “de Russen”

Op 30 juli 2019 heeft de rechtbank Oost-Brabant een verdachte veroordeeld (ECLI:NL:RBOBR:2019:4412) voor bedreiging, oplichting, valsheid in geschrift en computervredebreuk. De verdachte heeft twee bedrijven voor ruim 560.000 euro opgelicht. De zaak is vooral interessant vanwege het spraakmakende (hack)verweer van de verdachte.

Via het computersysteem van het bedrijf heeft de verdachte de gegevens in facturen aangepast. Daarna werd een bedrag van €561.578,81 euro op verdachtes bankrekening gestort, terwijl het slachtoffer in de veronderstelling verkeerde dat zij dit bedrag aan een ander bedrijf overmaakte. De verdachte heeft dit geldbedrag vervolgens naar meerdere op zijn naam gestelde bankrekeningen overgemaakt. Vanaf die rekeningen heeft hij een deel van dit bedrag naar bankrekeningen van in totaal 26 personen doorgesluisd. Het ging hierbij telkens om een bedrag van om en nabij € 10.000,-. De verdachte had deze personen van tevoren benaderd en gevraagd of hij tegen een vergoeding geld kon laten storten op hun bankrekeningen. De derden mochten dan € 1.000,- à 1.500,- van het bedrag houden en het overige moesten zij van de rekening halen en contant aan verdachte teruggeven. Deze modus operandi is voldoende om van een verhullingshandeling in de zin van witwassen te spreken.

De verdediging beweert dat twee Russen de handelingen hebben verricht en hem op verzoek geld hebben overgemaakt. Ook zouden de Russen advies hebben gegeven over het doorsluizen van het geld. De verdachte heeft ook verklaard dat hij in tussentijd zijn huis aan deze mannen heeft verhuurd. De mannen maakten gebruik van zijn laptops en van zijn wifi-code. De rechtbank vindt het verweer “in meer of mindere mate niet aannemelijk”. Het is aan de verdachte om redengevende feiten en omstandigheden aan te voeren. De betrokkenheid van de Russen bij de feiten is op geen enkele wijze onderbouwd door de verdachte. Bovendien, zo is de rechtbank van oordeel, wijzen alle feiten en omstandigheden in het dossier er juist op dat de verdachte het ten laste gelegde heeft begaan én dat hij hier alleen verantwoordelijk voor is. Met betrekking tot het feit van witwassen acht de rechtbank wel bewezen dat verdachte dit feit tezamen en in vereniging met anderen heeft gepleegd. Echter, niet met “de Russen” waar de verdediging op doelt. De rechtbank verwijst daarbij overigens niet het maatgevende arrest van de Hof Den Haag over het hackverweer in ECLI:NL:GHDHA:2018:3529.

De verdachte krijgt vier jaar gevangenisstraf opgelegd, waarvan 1 jaar voorwaardelijk met een proeftijd van drie jaren.

12 maanden cel voor witwassen van Bitcoins

De rechtbank Zeeland-West-Brabant heeft op 28 juni 2019 een verdachte veroordeeld (ECLI:NL:RBZWB:2019:2897 en ECLI:NL:RBZWB:2019:2898) voor het medeplegen van witwassen van bitcoins ter waarde van ruim 100.000 euro. De verdachte heeft met behulp van een ‘Bitcoinkaart’ bijna 85.000 euro gepind.

Uit de uitspraak met een medeverdachte is af te leiden dat de bitcoins zijn omgezet naar courante valuta en vervolgens zijn gepind en uitgegeven. Uit de transactiegegevens van de Bitcoinkaart is gebleken dat er in totaal 158 geslaagde geldopnames zijn uitgevoerd. Zowel de verdachte als de medeverdachte worden op camerabeelden van pinautomaten herkend terwijl er opnames worden gedaan met de Bitcoinkaart. Ook blijkt uit onderzoek dat transacties met deze bitcoins – direct dan wel indirect – via ‘Bitcoinmixers’ of ‘darkweb marketplaces’ plaatsvonden.

De verklaring van de verdachte dat het geld afkomstig was uit donaties via online advertenties acht de rechtbank volslagen onaannemelijk. De verdachte heeft deze verklaring eveneens onvoldoende verifieerbaar gemaakt. Hij krijgt een gevangenisstraf opgelegd van 12 maanden.

Veroordeling voor ‘ontucht buiten echt’, laster, bedreiging en bezit van kinderporno

Het Hof Den Bosch heeft op 5 juli 2019 een verdachte veroordeeld (ECLI:NL:GHSHE:2019:2360) voor ontucht, laster, bedreiging en bezit van kinderporno. De verdacht krijgt een straf opgelegd van. De zaak is interessant, omdat ontucht (met een minderjarige) wordt bewezen zonder dat er lichamelijk contact is geweest. Het Hof acht ‘ontucht buiten echt’ bewezen, omdat er sprake is van ‘enige voor het plegen van ontucht met die minderjarige relevante interactie tussen verdachte en die minderjarige’. Het Hof verwijst daarbij naar HR 30 november 2004, ECLI:NL:HR:2004:AQ0950 en HR 22 maart 2011, ECLI:NL:HR:2011:BP1379.

In dit geval deed de verdachte zich voor op Instagram als een 17-jarige jongen en zocht daarbij contact met een 13-jarig meisje. Hij is zelf begonnen met naaktfoto’s versturen en heeft op listige wijze het slachtoffer overtuigd om drie naaktfoto’s naar hem te sturen. Deze foto’s zijn op zijn telefoon aangetroffen.

In deze omstandigheden waarbij de verdachte ook actief seksueel getinte gedragingen van de minderjarige verlangt en/of door uitlatingen of al dan niet seksuele gedragingen van hemzelf, de ontuchtige gedragingen bevordert of aanmoedigt, is naar het oordeel van het Hof Den Bosch dan ook sprake van handelingen die – gelet op de sociaal-ethische opvattingen over deze handelingen, gepleegd in de context zoals het hof die heeft vastgesteld – zijn aan te merken als het ‘buiten echt’ plegen van ontucht met een minderjarige als bedoeld in artikel 247 Wetboek van Strafrecht.

Cybercrime jurisprudentieoverzicht – juli 2019

jjoerlemans Een reactie plaatsen

Posted on 13/07/2019 op oerlemansblog

Hoge Raad over scans en computervredebreuk

De Hoge Raad heeft op 9 april 2019 een arrest gewezen over het vereiste van ‘binnendringen’ in ene geautomatiseerd werk (HR 9 april 2019, ECLI:NL:HR:2019:560). In het arrest maakt de Hoge Raad duidelijk dat het enkele gebruik van een scan-programma om kwetsbaarheden op een website te onderzoeken niet voldoende bewijs is om te spreken van ‘binnendringen’ in een deel van een geautomatiseerd werk. Er werd ook geen bewijs geleverd dat een geslaagde aanval door verdacht had plaatsgevonden, maar slechts dat het ‘niet ondenkbaar’ is geweest. Het arrest is niet verrassend of bijzonder interessant en daarom heb ik het geen uitgebreide bespreking gegeven.

Over ‘sivven’, ‘lebben’, ‘mapsen’, ‘nippen’ en ‘spa’

De rechtbank Zeeland-West-Brabant heeft op 17 mei 2019 verschillende verdachten veroordeeld (ECLI:NL:RBZWB:2019:2195) voor de grootschalige verspreiding van phishingmails uit naam van een bank (Rb. Zeeland-West-Brabant 17 mei 2019, ECLI:NL:RBZWB:2019:2195). Daarbij zijn gevangenisstraffen tot en met vijf jaar opgelegd voor het medeplegen van oplichting, computervredebreuk, diefstal en witwassen, allen meermalen gepleegd, deelname aan een criminele organisatie en valsheid in geschrifte. Het onderzoek heeft zich alleen gericht op klanten van één bank. De door de bank geschatte totale schade, veroorzaakt door verdachte en haar mededaders, wordt geschat op meer dan een miljoen euro. De uitspraak is lezenswaardig vanwege de feiten en overwegingen omtrent het digitale bewijs.

De verdachten uit het onderzoek ‘Vari/Willis’ gingen als volgt te werk. Uit naam van een bank werden spam e-mails naar slachtoffers verstuurd. In de mail werden slachtoffers opgeroepen een nieuwe pinpas aan te vragen. Dit proces duurde langzamer dan normaal. De slachtoffers werden gevraagd hun rekeningnummer, pasnummer, pincode, telefoonnummer en e-mailadres in te voeren. Die gegevens werden door de website automatisch doorgezonden naar de medeverdachte, waarmee een nieuwe mobiele telefoonnummer werd geregistreerd voor de Bankieren-app. Als  de slachtoffers vastliepen op de nepwebsite, belde de verdachte uit naam van de bank en leidde hen door het proces. Na het aanvragen van een nieuwe pinpas, werd de pinpas uit de brievenbus van het slachtoffer gevist. Daarna werd de rekening van het slachtoffer, met gebruikmaking van money mules, leeggehaald.

Het digitale bewijs is indrukwekkend, omdat verbindingen worden gemaakt met de gebruikersnamen van verschillende inbeslaggenomen telefoons (incl. back-ups van de telefoons op computers, gegevens uit een Skype-applicaties en gebruikersnamen en berichten uit Whatsappgroepen) en vorderingen bij onder andere ‘payment service providers’. De inhoud van de berichten met woorden als ‘sivven’, ‘lebben’, ‘mapsen’, ‘nippen’, en over een ‘nip’ en een ‘spa’ hebben als bewijs gediend, omdat volgens de rechtbank in het licht van dossier duidelijk is dat slechts sprake is van het ‘achterstevoren spellen van de woorden’ en ‘vissen’, ‘bellen’, ‘spammen’, ‘pinnen’, een ‘pincode’ en ‘pinpas’. Daarbij komt nog bij dat, waar er op de phishing website gevraagd wordt om een pasnummer en pincode in te voeren, deze gegevens worden doorgestuurd met “spanr’ en ‘nip’. Ook is interessant dat één van de verdachten is getraceerd door onderzoek aan de headergegevens in de e-mail die was verzonden. Daaruit kon het IP-adres van een ‘VPS server’ worden afgeleid. Van deze dienstverlener zijn klaarblijkelijk gebruikersgegevens zijn gevorderd. Ook is onder andere bewezen dat de verdachte phishingmails vanaf een server heeft verstuurd en op die server de phishing e-mails en phishingwebsites zijn gevonden.

Uit de uitspraak blijkt dat de opsporingsautoriteiten de telefoon van de verdachte lieten overgaan ten tijde van de aanhouding, zodat deze ‘open’ was. Hier is op aanvraag van de verdediging een proces-verbaal van opgemaakt. De rechtbank bindt geen consequenties aan dit vormverzuim en acht de doorzoeking op grond van 110 Sv voldoende voor het onderzoek aan de gegevensdragers, omdat de gegevensdragers alleen in beslag zijn genomen, waarna de gegevens op de gegevensdrager zijn onderzocht.

Veroordeling voor hacken en publiceren naaktfoto’s, maar geen smaadschrift

De rechtbank Amsterdam heeft op 12 februari 2019 een verdachte veroordeeld (ECLI:NL:RBAMS:2019:2124) voor computervredebreuk (Rb. Amsterdam 12 februari 2019, ECLI:NL:RBAMS:2019:2124). De verdachte heeft de computers van drie vrouwelijke slachtoffers van een studentenhuis binnengedrongen. De verdachte heeft een gevangenisstraf opgelegd gekregen van 60 dagen, waarvan 32 dagen voorwaardelijk en een proeftijd van twee jaar.

De verdachte heeft gebruik gemaakt van de computers na van één hen toestemming te hebben verkregen. De verdachte is daarbij echter verder gegaan dan tot waar de toestemming zich uitstrekte door foto’s van die computers af te halen en verder te gebruiken. De verdachte heeft op die manier computervredebreuk gepleegd met betrekking tot die computers.

De verdachte heeft vervolgens beeldmateriaal gekopieerd door middel van een USB-stick en het downloaden van foto’s van het social media-account. Vervolgens is het beeldmateriaal gekopieerd en zijn daarbij afbeeldingen gemanipuleerd. Daarvoor is gegevensmanipulatie (art. 350a Sr) ten laste gelegd. Hoewel de naam van het delict misschien passend lijkt is hier volgens de rechtbank geen sprake van. De verdachte heeft kopieën van de gegevens verwerkt, waarbij dus de originele gegevens zijn intact gebleven. Hierdoor niet wordt voldaan aan de delictsomschrijving. De verdachte wordt aldus vrijgesproken van dit ten laste gelegde feit.

Het bewerkte beeldmateriaal is daarna terecht gekomen op verschillende pornografische websites, waardoor het lijkt alsof aangeefsters zelf op die websites staan, met alle nare gevolgen van dien voor hun privé- en werkzame leven. De verdachte krijgt ontslag van alle rechtsvervolging voor het ten laste gelegde smaadschrift, omdat de tenlastelegging niet omschrijft wat de concrete gedraging is van de verdachte. Uit deze omschrijving blijkt immers niet wat er is afgebeeld op de gemanipuleerde foto’s en/of filmpjes van aangeefsters. Daarmee is ook niet duidelijk waaruit de aanranding van de eer of goede naam heeft bestaan.

Annotatie over (het misbruik van) het ‘Mirai-botnet’

jjoerlemans Een reactie plaatsen

Posted on 13/07/2019 op Oerlemansblog

In het nieuwe nummer van Computerrecht is een annotatie over het Mirai-botnet verschenen (.pdf). Ik heb een korte noot bij de zaak Rb. Den Haag 7 maart 2019, ECLI:NL:RBDHA:2019:2116 geschreven, omdat de zaak een interessant feitencomplex bevat met een veroordeling voor het eerste succesvolle botnet met IoT-apparaten. Daarnaast is de zaak vanuit juridisch perspectief interessant, omdat de rechtbank Den Haag het begrip ‘geweld’ in het artikel bij het misdrijf ‘afpersing’ in artikel 317 Sr toepast bij de ddos-aanval. De rechtbank Den Haag is daarnaast wat kort door de bocht in de bewezenverklaring van de strafbaarstellingen. Hierover zeg ik het volgende in de noot:

Rb.-Den-Haag-7-maart-2019-m.nt_.-J.J.-Oerlemans-annotatie-Mirai-botnetDownload

Bewijs van computervredebreuk en is sprake van een ‘dienst van algemene nutte’?

De rechtbank is kort door de bocht als zij stelt dat “een DDoS-aanval kan worden gekwalificeerd als overtreding van artikel 138ab Sr en artikel 138b Sr”. Van artikel 138b Sr is zonder meer sprake, in dit geval ook in gekwalificeerde vorm in artikel 138b lid 2 Sr, omdat de verdachte gebruik maakte van een botnet. Een ddos-aanval leidt echter niet direct tot overtreding van het delict computervredebreuk in artikel 138ab Sr, omdat het een geautomatiseerd werk ontoegankelijk maakt maar geen sprake is van het binnendringen in een geautomatiseerd werk.

Echter, een botnet is een netwerk van geïnfecteerde computers – in dit geval IoT-apparaten – die door een derde worden aangestuurd. Voor het creëren van een botnet moet wel computervredebreuk worden gepleegd, en wel in gekwalificeerde vorm in artikel 138ab lid 3 sub b Sr.

Daarnaast is het mij niet helemaal duidelijk waarom sprake is van artikel 161sexies Sr, omdat in dat geval is vereist dat de ddos-aanval een ‘gemeen gevaar voor goederen of voor de verlening van diensten te duchten is’. De websites zijn geen ‘diensten van algemene nutte’, zoals overheidswebsites. Volgens de rechtbank is er een ‘gemeen gevaar voor goederen of de verlening van diensten’, omdat de aanval er toe leidde dat vijf andere websites onbereikbaar waren. Het is denkbaar dat deze vijf websites op dezelfde webserver stonden als één van de websites die is aangevallen.

Sprake van ‘geweld’ bij afpersing in de zin van artikel 317 lid 1 Sr?

De rechtbank overweegt verder dat sprake is van het delict afpersing als bedoeld in artikel 317 van het Wetboek van Strafrecht (Sr). Daarbij stelt de rechtbank dat zonder meer sprake is van ‘geweld’, omdat ‘websites en servers onbruikbaar worden gemaakt’ en ‘maatregelen genomen moeten worden om de aanval af te slaan en de website en server te herstellen’.

Mijns inziens had de officier van justitie simpelweg art. 317 lid 2 Sr ten laste moeten leggen, waarbij geen sprake hoeft te zijn van geweld. Bij art. 317 lid 2 Sr bestaat de dwang bij afpersing uit ‘de bedreiging dat gegevens die door middel van een geautomatiseerd werk zijn opgeslagen, onbruikbaar of ontoegankelijk zullen worden gemaakt of zullen worden gewist’.

Het gelijk stellen van het begrip ‘geweld’ met het onbereikbaar maken van een webserver, zoals de rechtbank Den Haag in deze zaak, is juist niet vanzelfsprekend en onnodig. De officier van justitie had op de zitting de tenlastelegging nog kunnen wijzigen.

Cybersecuritybeeld Nederland 2019 gepubliceerd

jjoerlemans Een reactie plaatsen

Posted op 8 juli 2019 op Oerlemansblog

In juni 2019 is een nieuw ‘Cybersecuritybeeld Nederland’ (.pdf) gepubliceerd. Het cybersecuritybeeld is een product van het Nationaal Cyber Security Centrum en biedt inzicht in de dreigingen, belangen en weerbaarheid op het gebied van cybersecurity in relatie tot de nationale veiligheid. Hieronder volgt een opsomming van lezenswaardige elementen uit het rapport.

Dreiging statelijke actoren

In het cybersecuritybeeld wordt de dreiging door ‘statelijke actoren’ (voornamelijk spionage) gezien als de grootste dreiging op het gebied van cybersecurity. De omvang van de dreiging die uitgaat van statelijke actoren blijft groeien. Landen als China, Iran en Rusland hebben offensieve cyberprogramma’s gericht tegen Nederland. Dit betekent dat deze landen digitale middelen inzetten om geopolitieke en economische doelstellingen te bereiken ten koste van Nederlandse belangen.

Ook cybersabatoge door staten heeft plaatsgevonden. Als voorbeeld wordt de malware ‘GreyEnergy’ genoemd, waarmee Poolse energie- en transportbedrijven in 2018 zijn geïnfecteerd. In het verleden zorgde andere destructieve malware, zoals ‘Industroyer’, al voor verstoring van de energielevering in Oekraïne. De groep die GreyEnergy vermoedelijk heeft ontwikkeld, is door het Verenigd Koninkrijk toegeschreven aan Rusland. GreyEnergy wordt als opvolger gezien van ‘BlackEnergy’, een malwaretoolkit die in verband is gebracht met cyberaanvallen op het energienet van Oekraïne in 2015 en 2016. Ook het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) besteedde opnieuw aandacht aan cyberaanvallen op de Duitse energiesector. Duitse bedrijven in verschillende vitale sectoren zouden verscheidene malen doelwit zijn geweest van grootschalige digitale campagnes. Hierdoor hebben de aanvallers toegang verkregen tot het kantoornetwerk van verschillende bedrijven. Het vermoeden bestaat dat de aanvallers uit waren op het verkrijgen van een positie binnen het netwerk om deze op een later moment uit te buiten.

In het rapport staat heel duidelijk dat: “verreweg de grootste dreiging op het gebied van economische spionage is afkomstig van China”. Deze spionage wordt gevoed door Chinese economische beleidsplannen, zoals ‘Made in China 2025’ en de ‘Nieuwe Zijderoutes’, waarmee het land zijn economische en geopolitieke invloed kan vergroten. China zet een breed scala aan (heimelijke) middelen in die het verdienvermogen van Nederlandse bedrijven ondermijnen en die op termijn kunnen resulteren in economische en politieke afhankelijkheden. Een van deze middelen is (digitale) economische spionage.

Ten slotte hebben Nederlandse inlichtingendiensten waargenomen dat een aantal Nederlandse ambassades in het Midden-Oosten en Centraal-Azië in 2017 en 2018 doelwit zijn geweest van digitale aanvallen, uitgevoerd door een buitenlandse inlichtingendienst.

Cybercrime en dreigingen door overige actoren

Ook de dreiging van criminelen blijft groot, onder meer door de schaalbaarheid van cybercrime. In de rapportageperiode hebben DDoS-aanvallen ervoor gezorgd dat een aantal Nederlandse banken tijdelijk slecht bereikbaar waren. Ook  de Belastingdienst, de Douane en DigiD waren enkele keren slecht bereikbaar door digitale aanvallen.

In de rapportageperiode zijn geen substantiële aanvallen door hacktivisten tegen Nederland of Nederlandse belangen waargenomen. Scriptkiddies en cybervandalen hebben vooral verstorende aanvallen uitgevoerd op organisaties, meestal met DDoS-aanvallen. Net als vorig jaar lijken criminele actoren verder in te zetten op het creëren van botnets en het verspreiden van cryptominers. De opstellers van het rapport wijzen naar Microsoft die constateert dat besmettingen met ransomware en cryptominers, na een piek begin 2018, de afgelopen periode zijn teruggelopen, zowel wereldwijd als in Nederland. Bedrijven lijken beter voorbereid te zijn op het herstellen van informatie na een ransomwarebesmetting, waardoor er minder losgeld wordt betaald. De inzet van cryptominers lijkt met het teruglopen van de koers van diverse cryptocurrencies af te nemen.

Steeds vaker gegevens van websites met behulp van ‘formjacking’. In dat geval past de aanvaller een website aan zodat informatie die de bezoeker invult bij de aanvaller terechtkomt. Op deze wijze kunnen criminelen bijvoorbeeld creditcardnummers onderscheppen van gebruikers van webwinkels. Volgens het IT-beveiligingsbedrijf Symantec krijgen met name kleine en middelgrote detailhandel krijgt hiermee te maken. De dreiging van insiders is het afgelopen jaar afgenomen. Digitale aanvallen vanuit terroristen zijn ook dit jaar niet waargenomen. Terroristische groeperingen zijn meer gericht op het plegen van fysieke aanslagen.

Weerbaarheid Rijksoverheid

In het rapport wordt verder opgemerkt dat de weerbaarheid van de Rijksoverheid niet op orde is. De Algemene Rekenkamer gaf op Verantwoordingsdag in mei 2018 aan dat op het gebied van ict-beveiliging slechts twee van de elf ministeries hun zaken op orde hadden. De president van de Algemene Rekenkamer stelt dat ‘de politieke en ambtelijke top van ministeries meer aandacht moet geven aan ict-beveiliging’. De veiligheidsmaatregelen zijn niet allemaal uitgevoerd om waterkeringen beter te beveiligen.

In het rapport wordt voorzichtig afgevraagd of er voldoende prikkels bestaan bij de overheid, het bedrijfsleven en bij consumenten om cybersecurity serieus te nemen. Het rapport geeft een alarmerend beeld weer, maar – zoals ook het NRC bijvoorbeeld bericht – het belang van cybersecurity lijkt nog steeds niet helemaal in politiek Den Haag door te dringen.

Brief voortgang aanpak cybercrime gepubliceerd

jjoerlemans Een reactie plaatsen

Posted on 13 juni 2019 op Oerlemansblog

Op 12 juni 2019 heeft minister Grapperhaus een Kamerbrief (.pdf) verstuurd over de aanpak van Cybercrime. In 2018 zijn dat volgens het CBS 299 reguliere en 43 complexe opsporingsonderzoeken gerealiseerd, waarbij de ambitie 310 respectievelijk 50 onderzoeken betrof. In de afgelopen jaren was steeds sprake van een stijgende lijn in het aantal opsporingsonderzoeken. Ook laten voorlopige cijfers een verhoogd aantal ophelderingen en registraties van verdachten van computervredebreuk zien. Het is verder interessant te lezen dat voor het eerste de nieuwe hackbevoegdheid uit artikel 126nba Sv is ingezet bij het ‘offline halen van één van de grootste online mixers voor cryptovaluta’.

In de Kamerbrief wordt een overzicht gegeven van de maatregelen die regering heeft genomen om cybercrime beter te bestrijden. Zo wordt geïnvesteerd in de opsporingsmogelijkheden van de politie, kennisontwikkeling binnen het Openbaar Ministerie, publieksvoorlichting en ondersteuning van het lokaal bestuur op het gebied van cybercrime.

De minister geeft aan dat wordt ingezet op een preventieve aanpak van online seksueel kindermisbruik. Zo wordt een expertmeeting voor professionals van scholen, (jeugd)zorg en de strafrechtketen gehouden om de aanpak van de negatieve effecten van sexting te verbeteren. Daarnaast wordt de aanpak van downloaders van kinderporno geïntensiveerd en is de publiek-private samenwerking versterkt om kinderpornografische content sneller van internet te laten verwijderen.

Ten slotte zet de minister in op een bestuursrechtelijke aanpak, om bedrijven die kinderporno niet accuraat verwijderen met een bestuursrechtelijk handhavingsinstrumentarium hiertoe te dwingen. In de Wet computercriminaliteit is nu juist het Take down-bevel in artikel 126p Sv geïntroduceerd voor die gevallen dat bedrijven niet vrijwillige meewerken aan het offline halen van illegaal materiaal. Ik ben benieuwd hoe het bovenstaande zich hiermee verhoudt, maar het kan goed zijn dat het parallelle trajecten zijn om kinderporno te bestrijden.

Internetonderzoek door bestuursorganen

jjoerlemans Een reactie plaatsen

Posted on 28/05/2019

In de gemeente Amsterdam mag woonruimte niet meer dan 30 dagen per jaar mag worden verhuurd. Ter handhaving van dit beleid legt de gemeente met behulp van zogenoemde ‘scraping’-technieken elke dag de advertenties en reviews op de advertenties op AirBnB vast. Deze informatie uit ‘open bron’ vormt mogelijk bewijsmateriaal in handhavingsacties. Uit onder andere deze zaak (ECLI:NL:RBAMS:2018:4442) blijkt dat bewoners een last onder dwangsom opgelegd kunnen krijgen als zij – blijkend uit de advertentie en de reviews op AirBnB – de regels uit de Huisvestingsverordening overtreden.

De gemeente Amsterdam is zeker niet het enige bestuursorgaan dat informatie op internet verzamelt ten behoeve van de uitvoering. Zo wordt in het kader van de sociale zekerheid veelvuldig op sociale media en online handelsplatformen als ‘Marktplaats’ gezocht naar informatie die op mogelijke fraude wijst. Op sociale media verschijnen bijvoorbeeld posts die op mogelijke samenleving tussen personen kunnen wijzen, zoals “bij de liefde van mijn leven ingetrokken” (zie bijvoorbeeld ECLI:NL:RBDHA:2016:8215) en kan bij een groot aantal advertenties voor goederen of diensten op Marktplaats het vermoeden rijzen dat er verzwegen inkomsten zijn (zie bijvoorbeeld ECLI:NL:CRVB:2015:979).

Ook in het vreemdelingerecht duikt het gebruik van sociale media steeds vaker op. Posts op de tijdlijn van Facebook of de activiteiten op LinkedIn blijken inzicht te verschaffen in de politieke of religieuze activiteiten (ECLI:NL:RBDHA:2017:6180), de seksuele oriëntatie (ECLI:NL:RBDHA:2014:10266) of in de mogelijkheden om vakanties in het buitenland door te brengen, zonder problemen met de autoriteiten te ondervinden (ECLI:NL:RBDHA:2017:7852). Deze informatie kan van belang zijn voor bijvoorbeeld een beslissing over het verlenen van een verblijfsvergunning. Andere opvallende zaken die soms de publiciteit haalden, is bijvoorbeeld de sluiting van de Amsterdamse sexclub Bianca, (mede) vanwege anonieme recensies op hookers.nl (ECLI:NL:RVS:2013:792) en de grootschalige Facebookanalyse die de gemeente Amsterdam uitvoerde om meer grip te krijgen op overlastgevende hangjongeren.

Artikel

In ons artikel (.pdf) in het NJB heb ik samen met Ymre Schuursmans onderzocht in hoeverre openbronnenonderzoek op internet binnen het bestuursrechtelijk kader toelaatbaar is. Binnen het strafrecht en de Wiv 2017 worden nieuwe bevoegdheden geïntroduceerd voor ‘stelselmatig openbronnenonderzoek’, terwijl binnen het bestuursrecht dergelijke plannen ontbreken. Wij analyseren de achtergrond van dit verschil in regulering en bezien of normen en waarborgen uit het strafvorderlijk domein toepasbaar zijn in het bestuursrecht, teneinde de grondrechten van betrokkenen (beter) te beschermen.

Conclusie

In het artikel concluderen wij dat openbronnenonderzoek binnen het bestuursrecht mogelijk is op grond van de algemene onderzoeksplicht in artikel 3:2 Awb. De ernst van de privacy-inmenging bij openbronnenonderzoek verschilt echter van geval tot geval. Met het voorbeeld van de inzet van scrapers uit de inleiding in het achterhoofd, wordt volgens ons door de rechtbank te weinig gemotiveerd akkoord gegaan.

Onze aanbeveling is om in beleid en rechtspraak (en mogelijk in een bijzondere wet, zoals de Participatiewet) een nadere invulling te geven voor stelselmatig openbronnenonderzoek binnen het bestuursrecht. Dat moet duidelijk maken voor welke doelen en onder welke voorwaarden openbronnenonderzoek door bestuursorganen plaatsvindt.

Dergelijk beleid en meer rechtspraak vergroot de voorzienbaarheid van de toepassing van het instrument voor de burger en dwingt bepaalde waarborgen af. Daarbij valt te denken aan een nadere invulling van de proportionaliteitstoets in de toezichtfase (art. 5:13 Awb), het stellen van eisen aan de verslaglegging, het stellen van grenzen aan de duur van het onderzoek, het bepalen van een bewaartermijn van gegevens en de wijze waarop wordt omgegaan met de informatieplicht uit de AVG. Het protocol internetrechercheren voor gemeenten (.pdf) biedt een eerste invulling van deze waarborgen.

Digitaal bewijs in moordzaken

jjoerlemans Een reactie plaatsen

Posted on 19/04/2019 op Oerlemansblog

In februari en april 2019 zijn diverse uitspraken verschenen waarbij digitaal bewijs een rol speelt in zaken over zware delicten, namelijk moord en doodslag.

Compromitterende zoekopdrachten

In een zaak van 7 februari 2019 speelden de gegevensdragers van een moordverdachte bijvoorbeeld een belangrijke rol voor het oordeel over opzet en voorbedachte raad. Uit mobiele telefoon van verdachte was namelijk af te leiden dat de verdachte op 22 oktober 2015 een pagina bezocht met de titel “Ether. Kunnen we meer dan we denken?”. Op dit forum werd besproken hoe ether is te gebruiken als drugs en op welke wijze het werkt. Op 23 oktober 2015 heeft verdachte daadwerkelijk ether gekocht en gebruikt om het slachtoffer te bedwelmen. Daarnaast werd belangrijk bewijs afgeleid uit de computer op het werk van de verdachte. Uit het persoonlijk gebruikersaccount bleek dat de verdachte verschillende internetsites had bekeken die met wapens verband houden. Ook heeft de verdachte internetsites bekeken die verband houden met giftige kruiden en planten. En op 13 oktober 2015 heeft verdachte een forum bezocht met het onderwerp: “Als je de perfecte moord zou willen plegen…”. Verder heeft de verdachte op 13 oktober 2015 internetsites bezocht met ‘dodelijk gif‘ als onderwerp.

De verdachte heeft het slachtoffer om het leven gebracht door een kussen op het gezicht van de vrouw te leggen een middel om haar, na de bedwelming, de adem te ontnemen, zodanig dat dit haar dood zou worden. Het hof acht zich in het oordeel tot de veroordeling tot moord gesteund door de eerder genoemde zoekgeschiedenis op de bij de verdachte in gebruik zijnde computers en telefoon en zijn uitlatingen over de door hem gewenste dood van zijn ex-vrouw. De verdacht wordt door het Hof Arnhem-Leeuwarden veroordeeld (ECLI:NL:GHARL:2019:1177) tot 20 jaar gevangenisstraf.

Gebruik Wifi-netwerken ter localisering van verdachte

In een zaak over het delict doodslag van de rechtbank Zeeland-West-Brabant speelde digitaal bewijs eveneens een rol, omdat de telefoon van de verdachte op een bepaald tijdstip verbinding maakte met het Wifi-netwerk van het slachtoffer.

In de uitspraak wordt het tijdstip van de Wifi-verbindingen veelvuldig genoemd ter lokalisering van de verdachte. De verdachte heeft het slachtoffer in zijn eigen woning om het leven gebracht door onder meer tegen het lichaam en het hoofd te slaan en te schoppen.

Het slachtoffer is ten gevolge van dit letsel overleden. De verdachte wordt veroordeeld (ECLI:NL:RBZWB:2019:575) tot 10 jaar gevangenisstraf.

Identificatie op basis van nickname verdachte

In een zaak (ECLI:NL:RBOBR:2019:1102) van de rechtbank Oost-Brabant over een poging tot moord bestond het digitaal bewijs uit internetgeschiedenis op een iPhone die op basis van o.a. Apple-ID naam en informatie uit open bron aan de verdachte werd toegekend. In de uitspraak staat beschreven hoe de bijnaam van de verdachte kon worden afgeleid uit het Apple ID en deze overeenkwam met de bijnaam van de verdachte die de verdachte op internet gebruikte. Dit blijkt uit een ‘OSINT-rapportage’, waar verder niet op wordt ingegaan. Daarnaast straalde de Blackberry van de verdachte aan met een mast die zich bevond in een straatnaam in de pleegplaats. Deze mast stond in de buurt van de woning van aangeefster. Ten slotte is de auto van de verdachte registreert door ‘ARS-camera’s’ op de snelweg, niet lang nadat verdachte klaar is met het zoeken naar de contactgegevens op internet van het slachtoffer.

De verdachte handelde volgens de rechtbank met de koelbloedige liquidatiepoging door middel van het afvuren van een schot in opdracht van een ander. De verdachte heeft ook daarover niets willen verklaren. De verdachte krijgt een gevangenisstraf opgelegd van 12 jaar. Daarnaast adviseert de rechtbank de tbs-maatregel te doen aanvangen na de tenuitvoerlegging van twee-derde deel van de gevangenisstraf.

Verklaring ‘Facebooken op het toilet’ is onaannemelijk

Ten slotte speelde de mobiele telefoon een belangrijke rol in een moordzaak (ECLI:NL:RBMNE:2019:1362) van de rechtbank Midden-Nederland op 3 april 2019. De verdachte claimde dat de verdachte zichzelf had gestoken. De rechtbank acht dit niet aannemelijk, omdat hij verklaarde dat hij na binnenkomst in de woning van het slachtoffer direct naar het toilet is gegaan en dat hij met zijn telefoon op Facebook heeft gezeten.

Uit camerabeelden blijkt echter dat de verdachte om 14.30 uur naar de woning van slachtoffer liep en dat zijn telefoon om 14.31 uur contact maakte met de router in de woning van het slachtoffer. Uit onderzoek naar de telefoon van verdachte blijkt echter dat géén technische sporen zijn aangetroffen van Facebook-activiteit op 20 februari 2018 tussen 14.31 uur en 14.36 uur of in de minuten daarna. De Facebook-app van verdachte was die dag voor het laatst opgestart om 13.53 uur en afgesloten om 13.54 uur.

De verdachte wordt veroordeelt tot doodslag door middel van messteken van een 18-jarig slachtoffer. De verdachte krijgt een gevangenisstraf opgelegd van 10 jaar.