Page 22 of 24

Ransomware en witwassen van losgeld in Bictoin

jjoerlemans Een reactie plaatsen

Een van de nieuwste ontwikkelingen op het terrein van cybercrime is ransomware. Dit is kwaadaardige software (malware) die toegang tot iemands computer en/of bestanden daarop blokkeert. Een specifieke vorm van ransomware is zogeheten cryptoware, die de bestanden versleutelt met behulp van cryptografie. Vervolgens eisen de cybercriminelen betaling van losgeld, vaak in de vorm van Bitcoins. Deze bijdrage gaat in op de vraag hoe cybercriminelen ransomware en cryptoware inzetten om geld te verdienen en hoe de verdiende Bitcoins vervolgens worden witgewassen.

Mijn artikel ‘Ransomware, cryptoware en het witwassen van losgeld in Bitcoins’ heb ik samen geschreven met Bart Custers en Ronald Pool.

Annotatie Context-zaak

jjoerlemans Een reactie plaatsen

Rb. Den Haag, 10 december 2015, ECLI:NL:RBDHA:2015:14365, Computerrecht 2016/47, m.nt. J.J. Oerlemans.

In deze zogenoemde ‘Context-zaak’ zijn in totaal negen verdachten veroordeeld. Zes verdachten maakten deel uit van een zogenaamde Haagse ronselorganisatie en zijn vervolgd voor deelname aan een criminele organisatie met een terroristisch oogmerk. Zij maakten zich schuldig aan het opruien, ronselen en het faciliteren en financieren van jongeren die naar Syrië wilden afreizen om te gaan vechten. Tevens is in deze zaak een vrouw veroordeeld tot een celstraf van zeven dagen voor één opruiende retweet. Voor de bewijsgaring is in de zaak door de politie uitgebreid gebruik gemaakt van Facebook en Twitter. Voor IT-juristen is de uitspraak om twee redenen ook in het bijzonder interessant:

  • Ten eerste wordt in de uitspraak ingegaan op de vraag of een retweet kan leiden tot bewezenverklaring van het delict opruiing. De rechtbank is hierover helder. De Haagse rechters bevestigen de stelregel die op Twitter geldt: ‘a retweet is not an endorsement’.

Zie r.o. 11.22: “De rechtbank onderschrijft dat op Twitter het uitgangspunt geldt: retweet is not endorsement. Dat brengt mee dat het retweeten van een bericht dat op zich als opruiend wordt beoordeeld in beginsel niet strafbaar is ingevolge artikel 131 Sr. Wel valt deze gedraging onder de reikwijdte van artikel 132 Sr. Dat is anders indien uit het commentaar van verdachte bij de retweet blijkt dat hij de inhoud onderschrijft, of wanneer het geretweete bericht past binnen een reeks van berichten van verdachte van dezelfde aard en/of strekking, binnen een bepaalde periode. Hetzelfde geldt ook voor het delen van een hyperlink.”

 Eerder leidde vervolging van een retweet door Bert Brussen over een bedreiging aan Wilders tot een sepot van het Openbaar Ministerie. Echter, indien de retweet gepaard gaat met een opmerking, kan deze gedraging tot bewezenverklaring van het delict opruiing leiden, omdat dan uit de opmerking van de verdachte is af te leiden dat de strafbare inhoud wordt onderschreven. Ook kan sprake zijn van delict opruiing bij retweets indien het geretweete bericht past binnen een reeks van berichten van verdachte van dezelfde strekking, binnen een bepaalde periode.

  • Ten tweede is de zaak voor IT-juristen interessant, omdat het één van de eerste uitspraken betreft waar een oordeel wordt gegeven over het gebruik van bijzondere opsporingsbevoegdheden op internet. In dit geval moesten de rechters vragen beantwoorden omrent de juridische grondslag voor het gebruik van opsporingsmethoden op sociale media diensten. In deze noot wordt op dit tweede aspect van de uitspraak nader in gegaan.

Feiten

In deze zaak heeft de politie een online operatie op touw gezet om een betere informatiepositie op Facebook te verkrijgen en de contacten van de verschillende verdachten en hun specifieke uitingen op internet in beeld te krijgen. De politie heeft informatie via Twitter vergaard door tweets van de verdachten te bekijken en vast te leggen. Deze tweets waren door de verdachten waren gepubliceerd via profielen die voor een ieder toegankelijk waren gemaakt. De politie heeft tevens een Facebookaccount aangemaakt op de naam ‘Aboe Noewas’ en in de periode van 21 juni 2013 tot 1 september 2014 op elke doordeweekse dag berichten, foto’s en video’s op dit profiel geplaatst. Door het plaatsen van deze openbare berichten hoopte de politie in contact te komen met de verdachten onder een geloofwaardige dekmantel. Voor ongeveer een periode van een half jaar (april-augustus 2014) heeft de politie tevens een Facebookaccount onder de naam ‘Ab Bashir’ aangemaakt en gebruikt. Door het aanmaken van het account kon de politie ook kennisnemen van informatie op de Facebookprofielen van de verdachten, voor zover deze profielen voor iedereen toegankelijk waren gemaakt. De politie heeft ook vriendschapsverzoeken gestuurd naar de verdachten om kennis te nemen van de informatie van hun privéprofiel op Facebook. Enkele van deze vriendschapsverzoeken waren succesvol. Tevens heeft een opsporingsambtenaar op verzoek toegang gekregen tot een afgeschermde (werk)groep van de verdachten op Facebook. Opvallend is dat de politie deze onderzoekshandelingen op internet niet goed heeft gedocumenteerd, waardoor niet goed kon worden nagegaan met wie de politie nu precies Facebook-vrienden zijn geworden en welke berichten door de politie zelf zijn verspreid. Zie ook Marcel Haenen & Andreas Kouwenhoven, ‘Infiltratie gelukt, gegevens weg’, NRC.nl.

Digitale opsporing

De politie heeft niet voor alle opsporingsactiviteiten op internet een bevel van de officier van justitie bemachtigd voor de uitvoering van de bijzondere opsporingsbevoegdheid tot stelselmatige informatie-inwinning. De verdediging heeft aangevoerd dat deze bijzondere opsporingsbevoegdheid wel gebruikt had moeten worden in verband met de meer dan geringe privacyinbreuk die bij deze activiteiten zou hebben plaatsgevonden.

De rechtbank is van oordeel dat voor aanmaken van het Facebookaccount en de opsporingsactiviteiten die daarna door de politie zijn uitgevoerd inderdaad een bevel voor het stelselmatig inwinnen van informatie op grond van art. 126j Sv noodzakelijk was. In de operatie heeft een meer dan geringe inbreuk op de persoonlijke levenssfeer van de betrokkenen plaatsgevonden door het bekijken en veilig stellen van de informatie voor een langere periode. Daarbij is ook kennis genomen van (verbanden tussen) de sociale media contacten van de verdachten en de inhoud van die contacten in relatie tot de verdenking. De rechters nemen ook in overweging mee dat zicht werd kregen op activiteiten van de verdachten in het verleden, door het kennisneming van (mogelijk ver) in het verleden geplaatste berichten.

De politie heeft alleen een bevel tot stelselmatige informatie-inwinning van een officier van justitie verkregen voor het versturen van vriendschapsverzoeken aan de verdachten, waarmee toegang kon worden gekregen tot afgeschermde gedeeltes van Facebookpagina’s en het kennisnemen van informatie op de afgeschermde Facebook werkgroep Shaam van de verdachten. Toch wordt door de rechtbank geen sanctie toegekend aan het vormverzuim voor het ontbreken van een bevel voor stelselmatige informatie-inwinning voor de gehele operatie. De rechters nemen in hun overweging mee dat voor het versturen van de vriendschapsverzoeken wel een bevel is bemachtigd en oordelen dat kan worden volstaan met de constatering van het vormverzuim. De rechtbank overweegt verder dat geen sprake is geweest van uitlokking, omdat er geen aanwijzingen zijn dat de uitingen op sociale media oorspronkelijk afkomstig waren van de Facebookpagina’s van de fictieve personen.

In de onderhavige zaak wordt het voor eerst een uitspraak gedaan over de juiste grondslag in het Wetboek van Strafvordering voor opsporingsactiviteiten via sociale mediadiensten. Terecht stellen de rechters vast dat art. 3 Politiewet 2012 slechts een voldoende grondslag vormt voor opsporingsactiviteiten voor zover een geringe inbreuk op het recht op privacy vormt en de risico’s voor de integriteit van de opsporing beperkt blijven. Voor die opsporingsactiviteiten die een meer dan geringe inbreuk op het recht op privacy van de betrokkene opleveren en een risico voor de integriteit van opsporingsonderzoeken met zich mee brengen is toepassing van een bijzondere opsporingsbevoegdheid noodzakelijk. Deze basisnorm is af te leiden uit de wetsgeschiedenis en andere jurisprudentie met betrekking tot opsporingsmethoden. (Zie bijvoorbeeld Kamerstukken II 1996/97, 25 403, nr. 3, p. 110 en 115 en HR 19 december 1995, ECLI:NL:HR:1995:ZD0328, HR 20 januari 2009, ECLI:NL:HR:2009:BF5603, NJ 2009, 225, m.nt. Borgers, HR 13 november 2012, ECLI:NL:HR:2012:BW9338, NJ 2013, 413, m.nt. Borgers en HR 7 juli 2014, ECLI:NL:PHR:2014:623)

In dit geval stellen de rechters vast dat toepassing van de bijzondere opsporingsbevoegdheid van stelselmatige-informatie inwinning op zijn plaats is geweest. Daarbij is het interessant dat de rechters ook expliciet de kennisname van informatie over de sociale media contacten van de betrokkene en de kennisname van berichten die op het profiel in het verleden zijn geplaatst meenemen in hun beoordeling over de zwaarte van de privacy inmenging door de opsporingsmethode.

Het is toe te juichen dat in deze uitspraak zo uitgebreid wordt ingegaan op de juiste grondslag voor de toepassing van opsporingmethoden op internet. De wetgever heeft al eerder duidelijk gemaakt dat bestaande bijzondere opsporingsbevoegdheden ook op internet kunnen worden toegepast (Zie Kamerstukken II 1996/97, 25 403, nr. 3, p. 29 en p. 55 en Kamerstukken II 1998/99, 26 671, nr. 3 p. 36-37) Echter, deze wetsgeschiedenis stamt uit 1997, waardoor onduidelijkheid bestaat over de toepassing van deze bevoegdheden in de huidige internet omgeving. Terecht wordt door de rechters vastgesteld dat voor de interactie met verdachten op internet, in de vorm van vriendschapsverzoeken op Facebook om toegang te krijgen tot privéinformatie op een profiel, de bijzondere opsporingsbevoegdheid voor het stelselmatig inwinnen moet worden toegepast. In dat geval wordt een meer dan geringe inbreuk op de persoonlijke levenssfeer van de betrokkene in het opsporingsonderzoek gemaakt en kan een ‘min of meer volledig beeld van bepaalde aspecten van het privéleven’ van de betrokkene worden verkregen, hetgeen volgens de rechtsgeschiedenis stelselmatigheid en toepassing van de bijzondere opsporingsbevoegdheid voor stelselmatige observatie of stelselmatige informatie-inwinning vereist. (Zie ook Kamerstukken II 1996/97, 25 403, nr. 3, p. 26-27. Zie ook r.o. 5.18. Alhoewel dit criterium meer specifiek is gesteld voor stelselmatige observatie, kunnen de criteria voor het vaststellen van stelselmatigheid bij observatie ook tot op een zekere hoogte worden toegepast voor stelselmatige informatie-inwinning (zie ook r.o. 5.22).

De rechters gaan in deze zaak een stap verder door al vóór het aanmaken van een account toepassing van de bijzondere bevoegdheid te vereisen (zie r.o. 5.27). Daarmee wordt geanticipeerd op opsporingshandelingen die een meer dan geringe inbreuk op het recht op privacy van de betrokkene(n) maken. Mogelijk zou het aanmaken van het nepprofiel ook kunnen plaatsvinden op grond van art. 3 Politiewet 2012, waarbij voor de daadwerkelijke interactie met de verdachte pas de bijzondere opsporingsbevoegdheid van art. 126j Sv wordt toegepast. De aanvang van het moment van interactie met de verdachte(n) zal echter lastig in te schatten zijn. Voor deze meer voorzichtige benadering van de rechtbank Den Haag valt om die reden zeker te pleiten. Overigens zouden opsporingsambtenaren ook hun opsporingshandelingen op internet op grond van art. 3 Politiewet 2012 nauwgezet moeten verbaliseren. De verbalisering van de opsporingshandelingen kunnen vragen van de verdediging beantwoorden over de risico’s van uitlokking waarvan sprake kan zijn bij dit soort undercover opsporingsmethoden (EHRM 4 november 2010, Bannikova v. Russia, nr. 18757/06, § 49-50, EHRC 2015/14, m.nt. F.P.  Ölçer). In deze zaak zijn over de vastlegging van de opsporingsactiviteiten terecht vragen door de verdediging gesteld.

Conclusie

Mijns inziens was een bevel voor het toepassen van de bijzondere opsporingsbevoegdheid tot stelselmatige observatie op grond van art. 126g Sv meer op zijn plaats geweest voor het bekijken en registreren van gedragingen op publieke toegankelijke profielen van Facebook en Twitter. Observatie wordt immers gekenmerkt door het passief waarnemen van gedrag van individuen. Een undercover opsporingsmethode, zoals stelselmatige informatie-inwinning, kenmerkt zich daarentegen door het actief interfereren in het privéleven van de betrokken in een opsporingsonderzoek. Dat laatste vindt plaats bij het communiceren met de verdachten via internet of bij het toevoegen als vriend met de verdachte op Facebook. De rechters beargumenteren overigens dat toepassing van de bijzondere opsporingsbevoegdheid tot infiltratie op grond van art. 126h Sv niet noodzakelijk is geweest, omdat geen strafbare feiten door de opsporingsambtenaren zijn begaan bij het plaatsen van berichten op de Facebookpagina’s van de nepjihadi’s. Mijns inziens was een infiltratietraject echter zo gek nog niet geweest voor de undercoveracties, waarbij ook mogelijk strafbare berichten werden geplaatst door politieambtenaren om de aandacht te trekken van de verdachten.

Tot slot moet nog worden opgemerkt dat binnen het project Modernisering Strafvordering nader wordt onderzocht in hoeverre behoefte is aan de nadere normering voor het vergaren van informatie op internet over verdachten als opsporingsmethode binnen het Wetboek van Strafvordering. Dergelijk onderzoek is nuttig, zo blijkt uit deze uitspraak die aantoont dat onduidelijkheid bestaat over de juridische grondslag voor opsporingsmethoden die via internet worden uitgevoerd. Hoewel men zich kan afvragen of het bekijken en vastleggen van gegevens van personen op publiekelijk toegankelijke gegevens op internet als een aparte bijzondere opsporingsbevoegdheid moet worden geregeld, staat als een paal boven water dat er linksom of rechtsom grote behoefte is aan duidelijkheid over de toepassing van bijzondere opsporingsbevoegdheden op internet. Dit vonnis van de Rechtbank Den Haag geeft alvast enige richting aan het juridisch kader dat van toepassing is op de uitvoering van opsporingsmethoden op internet.

Deze tekst is vergelijkbare vorm verschenen in Computerrecht. De verdachten zijn ook in hoger beroep veroordeeld (Hof Den Haag 7 juli 2016, ECLI:NL:GHDHA:2016:1978).

A warrant requirement for analysing data stored on smartphones

jjoerlemans Een reactie plaatsen

Posted on 28/05/2015

On 22 April 2015, the Dutch high court of Arnhem-Leeuwarden possibly set a precedent with far-reaching consequences. In this particular criminal case, a law enforcement official seized a smartphone and subsequently read and copied WhatsApp messages stored on the smartphone. The defence successfully argued that the investigation method was in violation of the right to privacy as articulated in art. 8 ECHR. The high court of Arnhem-Leeuwarden agreed and deemed the current regulations not foreseeable.

Currently, as explained in my previous blog post, law enforcement officials can seize a smartphone and examine all data stored on it in the context of a criminal investigation to obtain evidence without any notable legal thresholds. However, the high court points out that smartphones contain “not only access to traffic data, but also the contents of communications and private information of a smartphone user” . Because the analysis of such data severely infringes in the right to privacy, the current regulations for seizing and analysing data stored on smartphones are not adequately regulated according to the court.

Right to privacy and analysis of information on smartphones

Indeed, the European Court of Human Rights (ECtHR) recently decided in the case of Prezhdarovi v Bulgaria that (1) a judicial warrant requirement and (2) a limitation of the scope of the sought after data on computers is preferable when law enforcement authorities seize computers and analyse data stored on computers. Considering the serious privacy infringement that takes place when personal data that is stored on computers is analysed by law enforcement authorities, adequate safeguards in the domestic laws of States should protect the involved individuals against arbitrary interferences of State in their personal lives according to the ECtHR.

The decisions of the high court of Arnhem-Leeuwarden and ECtHR indicate that the Dutch regulations for the seizure of computers such as smartphones require amendments in order to adequately protect the right to privacy. In June 2014, the Dutch Ministry of Security and Justice already suggested that amendments were required for analysing data on computer systems. Yet, these amendments only suggested the legal thresholds of an order of a public prosecutor, whereas the ECtHR seems to prefer a prior review of an investigating judge – i.e., basically a warrant requirement – to analyse data on computer systems.

International trend?

Interestingly, almost a year ago, the U.S. Supreme Court decided in the landmark case of Riley v. California that a judge’s warrant is required in order to seize a smartphone and analyse data stored on a smartphone. The protection of the warrant requirement was deemed appropriate, because: “Modern cell phones are not just another technological convenience. With all they contain and all they may reveal, they hold for many Americans “the privacies of life”.

Obviously, modern cell phones do not contain the ‘privacies of life’ only for Americans. So tell me, does your domestic State law require a warrant to seize computers and analyse data stored on those devices?

This is a cross-post from LeidenLawBlog.nl.

=== Updata ===

My commentary (in Dutch) on the case of 22 April 2015 is available here (in .pdf).

Note that, in the meantime, the Dutch courts of Oost-Brabant and Noord-Holland desmissed the verdict of the high court of Arnhem-Leeuwarden, stating that article 94 of the Dutch Code of Criminal Procedure allows for the seizure of smartphones and subsequent search of data stored on the device.

The court of Amsterdam decided on 18 June 2015 that art. 8 ECHR was not infringed, because law enforcement restricted the search of data stored on the smartphone to  contact details. Thefefore, the search was not deemed disproportionate. Interestingly, other judges of the court of Noord-Holland decided on 4 June 2015 in a different case that seizing a smartphone based on art. 94 DCCP does infringe art. 8 ECHR. Clearly, the courts in the Netherlands are devided on the question whether seizing a smartphone based on art. 94 DCCP infringes art. 8 ECHR. Apparently, the Public Prosecution’s Office went in appeal and the question will be brought  to the Dutch Surpeme Court.

Strafbaarheid van grooming

jjoerlemans Een reactie plaatsen

Op 11 november 2014 heeft de Hoge Raad een arrest gewezen waarin de strafbaarheid van grooming wordt verduidelijkt (ECLI:NL:HR:2014:3140). In het arrest maakt de Hoge Raad duidelijk dat voor strafbaarheid van grooming vereist is dat de verdachte ‘een ontmoeting voorstelt’ én ‘hij enige handeling onderneemt gericht op het verwezenlijken van ontmoeting’. Daarbij hoeft de ontmoeting niet daadwerkelijk plaats te vinden. Grooming is immers in feite een voorbereidingshandeling (zie ook de aangehaalde wetsgeschiedenis (Kamerstukken II 2008/09, 31 810, nr. 3, p. 9).

In de onderhavige zaak was het voldoende dat de verdachte (i) bij herhaling bij het slachtoffer heeft aangedrongen op een ontmoeting en daartoe heeft voorgesteld elkaar te ontmoeten in het bos, in het winkelcentrum en bij haar thuis, waarbij hij een concrete middag, avond dan wel een tijdstip heeft genoemd; (ii) er bij het slachtoffer herhaaldelijk op heeft aangedrongen dat de ontmoetingen snel zouden plaatsvinden en hij haar onder druk heeft gezet; en (iii) het slachtoffer in het kader van het concretiseren van een afspraak zijn telefoonnummer heeft gegeven.

De advocaat-generaal, AG Spronken, adviseerde de Hoge Raad overigens de zaak over te laten doen. Volgens haar is er meer nodig dan deze handelingen van de verdachte om hem te kunnen veroordelen voor grooming. Om van grooming te kunnen spreken moet er volgens Spronken een concreet voorstel voor een ontmoeting zijn en moet de verdachte iets doen om die ontmoeting te realiseren, zoals bijvoorbeeld  op weg gaan naar de afgesproken plaats. De Hoge Raad heeft met de uitspraak dus een lagere drempel aangehouden dan de AG adviseerde.  

Kort na het arrest van de Hoge Raad heeft de Rechtbank Oost-Brabant op 9 december 2014 een man heeft vrijgesproken van grooming (ECLI:NL:RBOBR:2014:7494). Volgens de rechtbank was slechts sprake was van een poging tot grooming, hetgeen niet strafbaar is. Alhoewel de rechtbank het sturen van seksueel getinte berichten van de docent naar een 15-jarig meisje als ‘uiterst laakbaar’  bestempeld, is voor grooming vereist dat de communicatie zich concretiseert tot een voorstel voor een ontmoeting, gevolgd door gedragingen gericht op het tot stand komen van die ontmoeting. De rechtbank merkt op dat een verdere verschuiving van strafbaarheid naar de voorfase zou betekenen dat het louter versturen van sms-berichten met seksuele toespelingen al strafbaar zou zijn.

Hacking without a legal basis

jjoerlemans Een reactie plaatsen

Posted on 30/10/2014 on Oerlemansblog

In May 2014, the Dutch Public Prosecution Office announced that the Dutch police participated in a global action against ‘Blackshades’ malware. Blackshades enables individuals to remotely take over computers and copy information (among other functionalities). The Dutch press release stated that:

“Team High Tech Crime of the Dutch police saw an opportunity to enter the Blackshades server and secure a large amount of information. The location of the server is unknown”.

This statement implies that Dutch law enforcement authorities entered the server remotely to copy data. Said in other words, Dutch law enforcement authorities hacked a server without knowing the location of the server to secure information. Indeed, recent answers to parliamentary questions confirmed the computer was ‘remotely accessed’(hacked) by law enforcement authorities during the operation in May. In addition, the Dutch Minister of Security of Justice stated in the letter to the Dutch Parliament that art. 125i of the Dutch Code of Criminal Procedural (DCCP) provides for a legal basis to access computer remotely (by hacking) and copy information.

The problem with this letter is that there is arguably no legal basis for hacking in Dutch criminal procedural law. The statement of the Minister of Safety and Justice is in my view worrisome, because a special investigation power is interpreted very broadly by the minister to suit the needs of law enforcement authorities. This undermines a fundamental principle of our criminal law system.

Art. 125i DCCP does not provide a legal basis for hacking

Art. 125i DCCP provides for an ill-understood investigation power that allows law enforcement authorities to search a place in order to secure information stored on computers. The article specifically refers to existing investigation powers for search and seizure at a particular place by law enforcement authorities. Therefore, art. 125i DCCP should always be read in conjunction with the power to search a place, seize a computer and subsequently search data on a computer. In the letter, the minister seems to ignore these explicitly referred to powers of search and seizure at a particular place.

For example, a public prosecutor can seize a computer located at hosting provider and search the data stored on a computer in an effort to secure the sought after data upon the legal basis of art. 125i DCCP jo art. 96c DCCP. These powers for search and seizure are simply different from hacking as an investigation method. The most notable difference between hacking and the search and seizure of computers is that hacking takes place remotely in secret, whereas the search and seizure of computers takes place at a particular place in the presence of witnesses.

There are good reasons to think that the Dutch legal framework to analyse data on computers is outdated. Additionally, there are good reasons why law enforcement authorities feel the need to be able to access computers remotely to acquire information relevant to a criminal investigation. But a key principle and essential to the rule of law is that law enforcement authorities are bound by the law. In my view, as I argued extensively in 2011 and 2013 (in Dutch), Dutch criminal procedural law does not provide for the investigation power to hack computers by law enforcement authorities.

Criminal procedural legality principle

In Dutch criminal procedural law, investigation methods that infringe in the right to privacy in more than a minor way or threaten the integrity of a criminal investigation require detailed regulations. This ‘criminal procedural legality principle’ with regard to the regulation of investigation methods ensures that governmental powers are controlled by the law and prevent arbitrary interferences by the government in the private lives of citizens. The principle also ensures that governmental powers to investigate crime are foreseeable to citizens. In essence, this legality principle harnesses governmental power which is essential to the rule of law.

Therefore, I find it curious our Minister of Security and Justice endorses a broad and highly debatable interpretation of the law to enable law enforcement authorities to hack computers, especially considering that a new legislative proposal is under way which aims to regulate hacking as an investigation power. This ‘Computer Crime Act III’ will be send to the Dutch Parliament in early 2015.

A democratic legislative process is required to provide Dutch law enforcement authorities with the powers that a majority of the elected representatives of the Dutch people find appropriate. Perhaps hacking computers under stringent conditions to allow for evidence gathering activities is desirable as a new investigation power. But in the meantime, the criminal procedural legality principle as a key principle in Dutch criminal procedural law should not be ignored.

This is a cross post from LeidenLawBlog.nl

Is data retention useless?

jjoerlemans Een reactie plaatsen

Posted on 03/03/2014 on Oerlemansblog

“Data retention of web data is useless” were the headlines of some news outlets in the Netherlands a few weeks ago. In my view the journalists jumped to conclusions after quickly reading the evaluation report (.pdf) of the Research and Documentation Centre of the Dutch Ministry of Safety and Justice with regard to data retention (English summary is available on p. 151-159). I think some more nuance is needed and it may be interesting to compare the report to my own research results with regard to data retention after several successful data access requests.

Retention of telephony data

The authors of the report explain that telephony data is nowadays used in almost every criminal investigation. Location data and call detail records are particularly useful according to interviewed investigators and based on case law.

Two researchers tried to obtain their own telecommunications data with a data access request, but were unable to obtain location data. My own data access request proved more successful as described is a previous blog post. I recognize the researchers experience it was too difficult to obtain the data and stress there are questions surrounding our governments plans to leave out notification requirements after certain types of data have been collected by law enforcement officials.

Retention of internet data

The retention of internet related data regards internet access, e-mail provided by ISPs and managed VoIP-telephony. The full list of data that must be retained for 6 months is available here at section “B”. Thus, search queries and visited websites are not retained by telecommunication companies, as well as the ‘contents’ of e-mail messages and other messages or conversations held using the Internet.

My own data request at broadband internet access provider revealed that in a period of three days was only one IP-address and the subscriber data was retained. Since I do no use the e-mail client provided by my ISP, there is no e-mail data available. The report tellingly quoted a law enforcement official that stated that practically “only 55-years-olds and above” still privately use e-mail of their internet access providers. Webbased telecommunication services are not obligated to retain data. The available data can only be obtained using legal aid requests. Researchers point out there are significantly less data requests in the Netherlands at these foreign providers than in other EU countries, but they cannot explain why.

Identifying internet users

An important question is how internet related data retention data is used in criminal investigations. The authors of the report explain that the retention of internet data is primarily used in cybercrime investigations (investigations in which the Internet plays a facilitating role in the commission of the crime). The retention of the assigned IP-address to the router of a broadband internet connection may enable law enforcement officials to (eventually) identify suspects. In cybercrime investigations, in some cases a logged IP-address of a device used to perpetrate a crime is the only lead available. Tracing back the IP-address may to an ISP, depending on what service is used to access the Internet and whether anonymizing services are used.

Since suspects may just as well live in a different country than the Netherlands when committing a cybercrime, the trace often leads to a foreign ISP. According to the author of the report, investigators therefore largely depend legal aid requests to collect the available data. When data retention regulations are in place, the data is at least available for a period of time. However, not all EU Member States implemented the EU Data retention directive and local regulations always differ which can be frustrating for law enforcement officials.

Most significantly, the researchers suggest it may be very difficult to identify mobile internet users solely upon the basis of an IP-address (p. 102-106). My own data access request at my telephone provider revealed that the assigned IP-addresses by the telephone company was often the same. It is likely that many people at the same time make use of the same IP-address using Network Address Translation (NAT) technologies, after which the internet traffic is distributed further through the companies infrastructure. All these people then make use of the same IP-address. When there is no additional information retained about the devices it may be difficult to identify individual users who were all assigned the same IP-address. I cannot determine upon the basis of the available information whether telecommunication providers are able to trace back individual users upon the basis of an IP-address, but if I’m reading it correctly the research report suggests they cannot. That seems as a rather significant conclusion to me.

Interestingly, the interviewed law enforcement officials unanimously agree the retention period of 6 months for internet related data is too short. Taking in consideration the amount of time criminal investigations can take I understand these statements from an investigation perspective. But the Dutch parliamentary shortened the retention of internet data from 1 year to 6 months in 2011 citing privacy concerns. The researchers report also explain how many of the interviewed law enforcement officials were unaware internet related data was retained. Internet related retention data is primarily used in cybercrime investigations. The researchers point out there is still a knowledge deficit among law enforcement officials on how to the use internet related data in criminal investigations regarding crimes of all types.

Conclusion

Contrary to what some news articles suggest, the collection of data at telecommunication providers – of which the availability is ensured by data retention legislation – is almost standard practice in criminal investigations. It is deemed as ‘very useful’ by investigators and case law suggests the data is relatively often used as evidence in criminal cases.

Data retention of internet related communications prove to be particularly useful in many cybercrime investigations, because the retention of assigned IP-addresses to broadband Internet customers may enable law enforcement officials to identify internet users. When a different internet connection than a household internet connection is used, it may be difficult to identify internet users. Perhaps internet users can even stay anonymous by using a mobile internet connection. This seems strange, because data retention legislation is specifically created to identify people and aid in criminal investigations. Indeed, the obligatory retention of mobile internet related data seems rather useless in case the information cannot be used to identify people. However, the location data that is retained every time data is transmitted through a telecommunications network still often aids in criminal investigations.

Before the legislator considers to expand data retention regulations, it may be worth considering whether there is other information available at third parties that can be collected to identify internet users. People also often have to login to make use of the internet access service which may provide for leads and there may be camera footage available for example. The regulations for the retention of internet data must be reviewed on its own merits, because it is simply not the same as telephony data. The future will tell us how the legislators respond to the research findings of the report. The Dutch minister of Security and Justice already announced he will review in the coming months whether expanding the list of data retention is desirable.

Ook Nederlanders opgepakt voor drugshandel via Silk Road

jjoerlemans Een reactie plaatsen

De Rechtbank Noord-Nederland heeft op 15 november 2013 twee personen veroordeeld voor drugshandel via ‘Silk Road’ (ECLI:NL:RBNNE:2013:6924). Begin oktober 2013 werd de baas van de geruchtmakende online drugsbazaar ‘Silk Road’ door agenten van de Amerikaanse FBI geassisteerd. Het handelsforum Silk Road was alleen bereikbaar via de anonimiseringsdienst Tor. Voor de drugs werd meestal betaalt met de virtuele valuta ‘Bitcoin’.

Getuige de onderhavige zaak bij de Rechtbank Noord-Brabant handelden ook Nederlanders in drugs via Silk Road. In de uitspraak wordt beschreven dat de verdachten xtc-pillen buiten het grondgebied van Nederland brachten door xtc-pillen per post in de vorm van DVD-hoesjes met kerkmuziek naar Duitsland te versturen voor verdere distributie.

De bewijsvoering leek relatief eenvoudig, aangezien (i) een bekennende verklaring van de verdachte omtrent de export voorhandig was; (ii) tijdens de doorzoeking verpakkingsmateriaal en xtc-pillen werden aangetroffen; (iii) uit een proces-verbaal bleek dat ‘een laptop in beslag werd genomen, waarop de internetsite “Silk Road” stond geopend, met een afbeeldingen van tabletten/pillen, en was ingelogd door de “seller”’; en ten slotte (iv) een USB-stick werd aangetroffen, waarop transacties met Bitcoins stonden vermeld.

De verdachte is veroordeelt voor een duur van 30 maanden gevangenisstraf. Opmerkelijk is dat in de uitspraak verder niet wordt aangegeven wat er met de bitcoins is gebeurd.

Mobile telephone metadata

jjoerlemans Een reactie plaatsen

Posted on 17/10/2013 on Oerlemansblog

Each time you make a phone call with your mobile phone, the (i) date, (ii) time and (iii) duration of your phone call, as well as the (iv) numbers dialed and the (v) location of the antennas (or region (Cell ID)) your mobile phone connects to are retained by your telecommunication service provider. The data is retained in order to ensure the availability of the data for serious crime investigations by law enforcement authorities.The Dutch Minister of Safety and Justice believes that data collection orders from third parties only create ‘minor infringements’ to your right to privacy. Taking this into account, he reasons that the poorly enforced requirement that law enforcement authorities must notify individuals about data collection orders when reasonably possible, causes too much of an administrative burden and should therefore be abolished. His bill proposing the measure caused some controversy last week (10 October 2013) in the Netherlands (article is in Dutch).

But ask yourself: do you know exactly what data is retained by telecommunication providers? And does data retention create only ‘minor’ privacy infringements? Is this a valid argument to get rid of the notification requirements?

Minor privacy infringements?

The European Data Retention Directive from 2006 obliges telecommunication providers  to retain subscriber data (name and address data) and ‘traffic data’ (such as the date, time and duration of the call as well as the numbers dialled) between 6 and 24 months (see article 5 of the Directive). The subjects of data collection orders are not only suspects. In some cases they could also be other individuals, on the condition that the data collected is relevant to the criminal investigation. The problem is that the categories of data described in art. 5 of the Data Retention Directive are, in my opinion, relatively abstract and leave a lot of leeway in terms of what is exactly retained by what provider.

In order to gain more clarity about exactly what data is retained by telecom providers and to get a feeling of what that might mean for the right to privacy, I conducted a few data access requests (a right provided by European privacy laws) with my telecommunication providers. Only focusing on my ‘location data’ and accompanying ‘time stamps’ related to my mobile phone in a period of 3 days, my data request revealed the following (interactive) map:

The blue, red and green points represent the antennas my mobile phone connected to on the 25th, 26th and the 27th of April 2013, each time my mobile phone made a connection with my telecommunication provider (49 times in total). The red line indicates a railway to emphasise the route I took when I travelled by train to Utrecht Central Station and back to Leiden CS (travelling via Schiphol on the 26thof April 2013). On the 27th of April I worked from home as can be seen by the green points. I used a public tool (BatchGeo) to create the map using the raw data provided by my provider, but law enforcement officials can also easily create maps as shown above and even visualise the movements the individual concerned made within a particular time frame with specialized software. It is not hard to imagine why data retention is useful for law enforcement authorities. The data can also be enriched with other data, such as public transportation data from public transportation chip cards, CCTV footage, ANPR data and other network communication data when available. This is what investigating crime in a networked world looks like. The minister stated in the explanatory report on the bill, that collecting data from third parties is now “almost standard to criminal investigations”.

So ask yourself again: does the collection of data by law enforcement authorities from third parties, as illustrated above, create only ‘minor’ privacy infringements? Personally I do have some sympathy with the argument that notification is not desirable for all investigatory methods, taking efficiency reasons into consideration. But I do not think that data collection orders create minor privacy infringements and that this would be a valid reason for abolishing notification. Also bear in mind that without notification, many individuals would not be aware that the government had collected the data, depriving them of the opportunity to object to the data collection. This raises issues relating to art. 13 of the European Convention on Human Rights (not so much art. 8 ECHR as mentioned in the explanatory report), although this aspect is not further considered here.

More transparency about data collection

Even after years of research, it is still not clear to me exactly what data (especially internet related data) is retained by what provider. In addition, the minister refuses to provide statistics on the collection of data, other than telecommunication providers, citing ‘national security interests’ and that it is ‘not in the interest of police investigations’. As I have stated in a previous blog post, I believe that more transparency, by way of providing these statistics, is essential. Parliamentary Members can then pose questions to the governmental representatives involved, in order to maintain (some) control over these far-reaching investigatory powers and try to uphold the integrity of the investigatory process.

Van een “Take down”-bevel naar internetfilters voor politiedoeleinden?

jjoerlemans Een reactie plaatsen

Posted on 23/07/2013 on Oerlemansblog

De nieuwe Wet Computercriminaliteit III (concept) is een wetsvoorstel om computercriminaliteit te bestrijden. Het conceptwetsvoorstel is vooral controversieel vanwege de voorgestelde hack-bevoegdheden voor politie en justitie. Echter, de voorgestelde ‘Notice and Take Down’ (NTD)-bevoegdheid is een ander aspect dat onze aandacht verdient.

Notice and Take Down

Notice and Take Down is een concept waarbij bedrijven of personen worden verzocht om illegale web content te verwijderen op verzoek van een derde. In Nederland heeft zelfregulering geleid tot een gedragscode (.pdf) met betrekking tot ‘Notice and Take Down’ voor aanbieders van openbare telecommuncatiediensten en –netwerken. Personen, bedrijven en opsporingsambtenaren kunnen een bedrijf vragen om online content te verwijderen wanneer de inhoud op een bepaalde website onmiskenbaar illegaal of onrechtmatig is. Kinderporno is het standaard voorbeeld van web content dat op verzoek van een derde door een beheerder van een website verwijderd zou moeten worden.

Uitvoeringsproblemen

Het op verzoek offline halen van web content op basis van de gedragscode (of algemene voorwaarden van een bedrijf) is op dit moment geen verplichting voor internetproviders. Onze minister van Veiligheid en Justitie wil dit veranderen door het mogelijk te maken ‘Notice and Take Down’ als handhavingsinstrument in te zetten (zie het nieuwe voorgestelde artikel 125p van het Wetboek van Strafvordering (Sv)). De meerwaarde van het instrument is volgens p. 44 van de Memorie van Toelichting vooral dat het voorgestelde bevel óók kan worden gericht aan hosting providers en beheerders van een website.

Het NTD-bevel

Op basis van het voorgestelde artikel 126p Sv zou een officier van justitie – met de toestemming van een rechter-commissaris – een bevel kunnen geven aan een ‘elektronische communicatie provider’ (ECP) om ‘alle redelijke maatregelen te nemen’ om gegevens ontoegankelijk te maken teneinde een misdrijf te beëindigen of nieuwe strafbare feiten te voorkomen. De maatregel is bedoeld voor alle misdrijven in het Wetboek van Strafrecht. Zoals aangeven wordt ook beoogd dat de officier van justitie het bevel aan websitebeheerders kan afgeven, maar dat blijkt niet uit de tekst van artikel 125p Sv.

Politie en justitie hadden in theorie deze bevoegdheid al voor telecommunicatieproviders op grond van artikel 54a van het Wetboek van Strafrecht (Sr). Aan artikel 54a Sr kleefden echter zoveel juridische bezwaren dat een “Take down”-bevel van illegale web content op basis dit artikel in de praktijk niet altijd door de rechtbanken werd geaccepteerd. Het voorgestelde artikel 125p Sv kan daarom als reparatie van artikel 54a Sr worden gezien. Artikel 54a Sr blijft overigens bestaan en wordt iets aangepast om de vervolgingsuitsluitingsgrond in dit artikel te verhelderen.

Als het bedrijf of de betrokken persoon niet meewerkt, kan deze worden vervolgd voor het niet nakomen van een ambtelijk gegeven bevel. Opmerkelijk is dat de tekst van de voorgestelde maatregel in artikel 126p Sv impliceert dat de tussenpersoon een ‘verdachte’ is die het recht hebben op een advocaat tijdens een hoorzitting over de maatregel. Belanghebbenden kunnen een klaagschrift bij de rechtbank indienen als ze het niet eens zijn met de opgelegde sanctie. De Take down-bevoegdheid is bedoeld als een tijdelijke maatregel die opnieuw wordt beoordeeld door een zittingsrechter aan het eind van een strafproces. De Minister wil niet een uitspraak van de zittingsrechter afwachten voordat de maatregel kan worden opgelegd, want het zou onwenselijk zijn als het enkele maanden langer zou duren voordat de gegevens ontoegankelijk worden gemaakt. Persoonlijk hoop ik dat een Notice and Take down-bevel inderdaad altijd gepaard gaat met een strafproces en niet op zichzelf wordt gebruikt als instrument om gegevens ontoegankelijk te maken die politie en justitie illegaal vinden.

Het bevel is alleen bedoelt in gevallen waarbij een NTD-verzoek niet vrijwillig wordt uitgevoerd, bijvoorbeeld in het geval van haatzaaien of laster waarbij de tussenpersoon en de officier van justitie het niet eens zijn over de vraag of de inhoud illegaal is. Naar mijn mening is de voorgestelde NTD-sanctie een vergaande en – in sommige gevallen – bruut instrument, dat slechts gedeeltelijk doeltreffend kan zijn. Soms worden namelijk veel websites gehost op één webserver. Het uitschakelen van een webserver kan dan leiden dat het ontoegankelijk maken van veel meer (legale) websites. Belangrijker vind ik nog dat een Take Down-bevel ook aan access providers kan worden opgelegd en daarmee mogelijk leidt tot door de overheid opgelegde internetfilters.

Van Notice and Take Down tot Internet filters

Op p. 84 van de Memorie van Toelichting op het conceptwetsvoorstel wordt gezegd dat “in geval het materiaal in het buitenland wordt gehost en ontoegankelijkheidsmaking noodzakelijk is, het bevel tot access providers kan worden gericht”. Die ontoegankelijkheidsmaking kan vervolgens worden uitgevoerd door IP-adressen te blokkeren (zie p. 85). De blokkering “dient voort te duren zolang de gegevens worden aangeboden”, aldus de Memorie van Toelichting. Daarbij moet de officier van justitie overigens bij het afgeven van het bevel wel rekening houden met de technische mogelijkheden en de kosten om onderdelen van pagina’s of websites ontoegankelijk te maken.

Ik leid hier uit af dat de voorgestelde NTD-bevoegdheid er onder omstandigheden toe kan leiden dat specifieke websites op last van de officier van justitie gefilterd moeten worden. Zoals we allemaal weten zijn dergelijke filters eenvoudig te omzeilen door middel van proxy- en VPN-servers, maar daar wordt in de Memorie van Toelichting niet over gesproken. Ondertussen zijn Nederlandse hosting bedrijven en ISP’s bezorgd over de kosten van de voorgestelde maatregel en hun concurrentiepositie in de industrie.

Conclusie

De voorgestelde Notice and Take Down-bevoegdheid is bedoeld voor strafzaken waarin een persoon of bedrijf gegevens offline kan halen, maar niet bereid is dit vrijwillig te doen. Met de voorgestelde bevoegdheid kan een officier van justitie (na machtiging van een rechter commissaris) aanbieders van elektronische communicatiediensten dwingen gegevens ontoegankelijk te maken onder dreiging van strafvervolging.

De voorgestelde regeling is meer vergaand dan het oude (en slecht afdwingbare) artikel 54 van het Wetboek van Strafrecht en kan resulteren in een filter-verplichting voor specifieke websites. Onze parlementsleden moeten grondig nadenken en debatteren over de voorgestelde blokkerings- en filteringsmaatregelen alvorens ze het goedkeuren als instrument voor handhavingsinstanties.

Extraterritorial use of policeware in the United States?

jjoerlemans Een reactie plaatsen

Posted on 02/05/2013 on Oerlemansblog

Last week, the story broke that a judge from Texas (United States) had published a decision  (.pdf) denying a warrant for the placement of “policeware” on a computer of an unknown suspect at an unknown location. Policeware is special surveillance software, also called “spyware”, utilized to secretly monitor all kinds of internet activities of a computer user. The decision is interesting because it sheds light on the use of policeware in the United States.

Capabilities of the software

Judge Smith explains that the FBI requested to install “data extraction software” on the “Target Computer” (presumably the computer of a suspect). This software has the capability to search the computer’s hard drive, random access memory, and other storage media (thus perform a “remote search”). Additionally, the software can “activate the computer’s built-in camera, generate latitude and longitude coordinates for the computer’s location and transmit the extracted data to FBI agents in the district”. By installing the software, the FBI wishes to obtain information such as web browsing history, e-mail contents, e-mail contacts, chat logs, photographs and correspondence. The law enforcement agency also wishes to use the built-in camera to make photographs to identify the person using the target computer.

Extraterritorial application of a warrant to install policeware

The Texan judge then ascertains whether the request complies with the warrant requirements as described in Rule 41 of the U.S. Federal Rules of Criminal procedure. This blog post does not allow to me elaborate on the judge’s decision and the requirements of a “Rule 41 warrant”, but I do want to point out that the judge establishes that Rule 41 only allows for searches “in the district of the judge”. In this case the territoriality requirement is not met, because the search does not take place within the district, “so far as the Government’s application shows”, according to the judge. Note the judge’s witty remark that the search takes place: “not in the airy nothing of cyberspace, but in the physical space with a local habitation and a name”.

U.S. digital surveillance expert Orin Kerr analyzed the court decision of judge Smith on the popular legal blog “The Volokh Conspiracy”. I found his considerations about the applicability of the warrant requirement on a potentially foreign suspect particularly fascinating. It is standing case law (under United States v. Verdugo-Urquidez, 494 U.S. 259 (1990) that the warrant requirement of the Fourth Amendment of the U.S. Constitution does not apply outside the United States. Since it is likely the physical computer will be searched overseas (because the last known IP address is traced back somewhere in Southeast Asia), the government does not need a warrant to search the physical computer. However, Kerr believes the search also takes place in the United States when the information is analyzed by U.S. law enforcement officials and therefore a warrant is required “for that part of the search that takes place in judge Smith’s home district”.  Kerr ultimately finds the arguments presented by judge Smith to deny the warrant unconvincing.

Conclusion

Kerr’s analysis of the case begs the question: is it desirable that the United States could potentially perform searches of computers and install policeware on computers in foreign territory by unilaterally applying their criminal procedural rules to foreigners? If the answer is no, keep in mind that the Dutch government suggested more or less the same thing on p. 34-35 in their announcement today (in Dutch) to amend the Dutch Code of Criminal Procedure to make hacking and the placement of spyware possible on computers “if their location is unknown” (see also this blog post).

I’m curious to hear from international criminal law legal experts and others as to what they think of this.

This is a cross post from LeidenLawBlog.nl.