Categorie Nieuwsberichten

Cybersecuritybeeld Nederland 2019 gepubliceerd

jjoerlemans Een reactie plaatsen

Posted op 8 juli 2019 op Oerlemansblog

In juni 2019 is een nieuw ‘Cybersecuritybeeld Nederland’ (.pdf) gepubliceerd. Het cybersecuritybeeld is een product van het Nationaal Cyber Security Centrum en biedt inzicht in de dreigingen, belangen en weerbaarheid op het gebied van cybersecurity in relatie tot de nationale veiligheid. Hieronder volgt een opsomming van lezenswaardige elementen uit het rapport.

Dreiging statelijke actoren

In het cybersecuritybeeld wordt de dreiging door ‘statelijke actoren’ (voornamelijk spionage) gezien als de grootste dreiging op het gebied van cybersecurity. De omvang van de dreiging die uitgaat van statelijke actoren blijft groeien. Landen als China, Iran en Rusland hebben offensieve cyberprogramma’s gericht tegen Nederland. Dit betekent dat deze landen digitale middelen inzetten om geopolitieke en economische doelstellingen te bereiken ten koste van Nederlandse belangen.

Ook cybersabatoge door staten heeft plaatsgevonden. Als voorbeeld wordt de malware ‘GreyEnergy’ genoemd, waarmee Poolse energie- en transportbedrijven in 2018 zijn geïnfecteerd. In het verleden zorgde andere destructieve malware, zoals ‘Industroyer’, al voor verstoring van de energielevering in Oekraïne. De groep die GreyEnergy vermoedelijk heeft ontwikkeld, is door het Verenigd Koninkrijk toegeschreven aan Rusland. GreyEnergy wordt als opvolger gezien van ‘BlackEnergy’, een malwaretoolkit die in verband is gebracht met cyberaanvallen op het energienet van Oekraïne in 2015 en 2016. Ook het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) besteedde opnieuw aandacht aan cyberaanvallen op de Duitse energiesector. Duitse bedrijven in verschillende vitale sectoren zouden verscheidene malen doelwit zijn geweest van grootschalige digitale campagnes. Hierdoor hebben de aanvallers toegang verkregen tot het kantoornetwerk van verschillende bedrijven. Het vermoeden bestaat dat de aanvallers uit waren op het verkrijgen van een positie binnen het netwerk om deze op een later moment uit te buiten.

In het rapport staat heel duidelijk dat: “verreweg de grootste dreiging op het gebied van economische spionage is afkomstig van China”. Deze spionage wordt gevoed door Chinese economische beleidsplannen, zoals ‘Made in China 2025’ en de ‘Nieuwe Zijderoutes’, waarmee het land zijn economische en geopolitieke invloed kan vergroten. China zet een breed scala aan (heimelijke) middelen in die het verdienvermogen van Nederlandse bedrijven ondermijnen en die op termijn kunnen resulteren in economische en politieke afhankelijkheden. Een van deze middelen is (digitale) economische spionage.

Ten slotte hebben Nederlandse inlichtingendiensten waargenomen dat een aantal Nederlandse ambassades in het Midden-Oosten en Centraal-Azië in 2017 en 2018 doelwit zijn geweest van digitale aanvallen, uitgevoerd door een buitenlandse inlichtingendienst.

Cybercrime en dreigingen door overige actoren

Ook de dreiging van criminelen blijft groot, onder meer door de schaalbaarheid van cybercrime. In de rapportageperiode hebben DDoS-aanvallen ervoor gezorgd dat een aantal Nederlandse banken tijdelijk slecht bereikbaar waren. Ook  de Belastingdienst, de Douane en DigiD waren enkele keren slecht bereikbaar door digitale aanvallen.

In de rapportageperiode zijn geen substantiële aanvallen door hacktivisten tegen Nederland of Nederlandse belangen waargenomen. Scriptkiddies en cybervandalen hebben vooral verstorende aanvallen uitgevoerd op organisaties, meestal met DDoS-aanvallen. Net als vorig jaar lijken criminele actoren verder in te zetten op het creëren van botnets en het verspreiden van cryptominers. De opstellers van het rapport wijzen naar Microsoft die constateert dat besmettingen met ransomware en cryptominers, na een piek begin 2018, de afgelopen periode zijn teruggelopen, zowel wereldwijd als in Nederland. Bedrijven lijken beter voorbereid te zijn op het herstellen van informatie na een ransomwarebesmetting, waardoor er minder losgeld wordt betaald. De inzet van cryptominers lijkt met het teruglopen van de koers van diverse cryptocurrencies af te nemen.

Steeds vaker gegevens van websites met behulp van ‘formjacking’. In dat geval past de aanvaller een website aan zodat informatie die de bezoeker invult bij de aanvaller terechtkomt. Op deze wijze kunnen criminelen bijvoorbeeld creditcardnummers onderscheppen van gebruikers van webwinkels. Volgens het IT-beveiligingsbedrijf Symantec krijgen met name kleine en middelgrote detailhandel krijgt hiermee te maken. De dreiging van insiders is het afgelopen jaar afgenomen. Digitale aanvallen vanuit terroristen zijn ook dit jaar niet waargenomen. Terroristische groeperingen zijn meer gericht op het plegen van fysieke aanslagen.

Weerbaarheid Rijksoverheid

In het rapport wordt verder opgemerkt dat de weerbaarheid van de Rijksoverheid niet op orde is. De Algemene Rekenkamer gaf op Verantwoordingsdag in mei 2018 aan dat op het gebied van ict-beveiliging slechts twee van de elf ministeries hun zaken op orde hadden. De president van de Algemene Rekenkamer stelt dat ‘de politieke en ambtelijke top van ministeries meer aandacht moet geven aan ict-beveiliging’. De veiligheidsmaatregelen zijn niet allemaal uitgevoerd om waterkeringen beter te beveiligen.

In het rapport wordt voorzichtig afgevraagd of er voldoende prikkels bestaan bij de overheid, het bedrijfsleven en bij consumenten om cybersecurity serieus te nemen. Het rapport geeft een alarmerend beeld weer, maar – zoals ook het NRC bijvoorbeeld bericht – het belang van cybersecurity lijkt nog steeds niet helemaal in politiek Den Haag door te dringen.

Brief voortgang aanpak cybercrime gepubliceerd

jjoerlemans Een reactie plaatsen

Posted on 13 juni 2019 op Oerlemansblog

Op 12 juni 2019 heeft minister Grapperhaus een Kamerbrief (.pdf) verstuurd over de aanpak van Cybercrime. In 2018 zijn dat volgens het CBS 299 reguliere en 43 complexe opsporingsonderzoeken gerealiseerd, waarbij de ambitie 310 respectievelijk 50 onderzoeken betrof. In de afgelopen jaren was steeds sprake van een stijgende lijn in het aantal opsporingsonderzoeken. Ook laten voorlopige cijfers een verhoogd aantal ophelderingen en registraties van verdachten van computervredebreuk zien. Het is verder interessant te lezen dat voor het eerste de nieuwe hackbevoegdheid uit artikel 126nba Sv is ingezet bij het ‘offline halen van één van de grootste online mixers voor cryptovaluta’.

In de Kamerbrief wordt een overzicht gegeven van de maatregelen die regering heeft genomen om cybercrime beter te bestrijden. Zo wordt geïnvesteerd in de opsporingsmogelijkheden van de politie, kennisontwikkeling binnen het Openbaar Ministerie, publieksvoorlichting en ondersteuning van het lokaal bestuur op het gebied van cybercrime.

De minister geeft aan dat wordt ingezet op een preventieve aanpak van online seksueel kindermisbruik. Zo wordt een expertmeeting voor professionals van scholen, (jeugd)zorg en de strafrechtketen gehouden om de aanpak van de negatieve effecten van sexting te verbeteren. Daarnaast wordt de aanpak van downloaders van kinderporno geïntensiveerd en is de publiek-private samenwerking versterkt om kinderpornografische content sneller van internet te laten verwijderen.

Ten slotte zet de minister in op een bestuursrechtelijke aanpak, om bedrijven die kinderporno niet accuraat verwijderen met een bestuursrechtelijk handhavingsinstrumentarium hiertoe te dwingen. In de Wet computercriminaliteit is nu juist het Take down-bevel in artikel 126p Sv geïntroduceerd voor die gevallen dat bedrijven niet vrijwillige meewerken aan het offline halen van illegaal materiaal. Ik ben benieuwd hoe het bovenstaande zich hiermee verhoudt, maar het kan goed zijn dat het parallelle trajecten zijn om kinderporno te bestrijden.

Digitaal bewijs in moordzaken

jjoerlemans Een reactie plaatsen

Posted on 19/04/2019 op Oerlemansblog

In februari en april 2019 zijn diverse uitspraken verschenen waarbij digitaal bewijs een rol speelt in zaken over zware delicten, namelijk moord en doodslag.

Compromitterende zoekopdrachten

In een zaak van 7 februari 2019 speelden de gegevensdragers van een moordverdachte bijvoorbeeld een belangrijke rol voor het oordeel over opzet en voorbedachte raad. Uit mobiele telefoon van verdachte was namelijk af te leiden dat de verdachte op 22 oktober 2015 een pagina bezocht met de titel “Ether. Kunnen we meer dan we denken?”. Op dit forum werd besproken hoe ether is te gebruiken als drugs en op welke wijze het werkt. Op 23 oktober 2015 heeft verdachte daadwerkelijk ether gekocht en gebruikt om het slachtoffer te bedwelmen. Daarnaast werd belangrijk bewijs afgeleid uit de computer op het werk van de verdachte. Uit het persoonlijk gebruikersaccount bleek dat de verdachte verschillende internetsites had bekeken die met wapens verband houden. Ook heeft de verdachte internetsites bekeken die verband houden met giftige kruiden en planten. En op 13 oktober 2015 heeft verdachte een forum bezocht met het onderwerp: “Als je de perfecte moord zou willen plegen…”. Verder heeft de verdachte op 13 oktober 2015 internetsites bezocht met ‘dodelijk gif‘ als onderwerp.

De verdachte heeft het slachtoffer om het leven gebracht door een kussen op het gezicht van de vrouw te leggen een middel om haar, na de bedwelming, de adem te ontnemen, zodanig dat dit haar dood zou worden. Het hof acht zich in het oordeel tot de veroordeling tot moord gesteund door de eerder genoemde zoekgeschiedenis op de bij de verdachte in gebruik zijnde computers en telefoon en zijn uitlatingen over de door hem gewenste dood van zijn ex-vrouw. De verdacht wordt door het Hof Arnhem-Leeuwarden veroordeeld (ECLI:NL:GHARL:2019:1177) tot 20 jaar gevangenisstraf.

Gebruik Wifi-netwerken ter localisering van verdachte

In een zaak over het delict doodslag van de rechtbank Zeeland-West-Brabant speelde digitaal bewijs eveneens een rol, omdat de telefoon van de verdachte op een bepaald tijdstip verbinding maakte met het Wifi-netwerk van het slachtoffer.

In de uitspraak wordt het tijdstip van de Wifi-verbindingen veelvuldig genoemd ter lokalisering van de verdachte. De verdachte heeft het slachtoffer in zijn eigen woning om het leven gebracht door onder meer tegen het lichaam en het hoofd te slaan en te schoppen.

Het slachtoffer is ten gevolge van dit letsel overleden. De verdachte wordt veroordeeld (ECLI:NL:RBZWB:2019:575) tot 10 jaar gevangenisstraf.

Identificatie op basis van nickname verdachte

In een zaak (ECLI:NL:RBOBR:2019:1102) van de rechtbank Oost-Brabant over een poging tot moord bestond het digitaal bewijs uit internetgeschiedenis op een iPhone die op basis van o.a. Apple-ID naam en informatie uit open bron aan de verdachte werd toegekend. In de uitspraak staat beschreven hoe de bijnaam van de verdachte kon worden afgeleid uit het Apple ID en deze overeenkwam met de bijnaam van de verdachte die de verdachte op internet gebruikte. Dit blijkt uit een ‘OSINT-rapportage’, waar verder niet op wordt ingegaan. Daarnaast straalde de Blackberry van de verdachte aan met een mast die zich bevond in een straatnaam in de pleegplaats. Deze mast stond in de buurt van de woning van aangeefster. Ten slotte is de auto van de verdachte registreert door ‘ARS-camera’s’ op de snelweg, niet lang nadat verdachte klaar is met het zoeken naar de contactgegevens op internet van het slachtoffer.

De verdachte handelde volgens de rechtbank met de koelbloedige liquidatiepoging door middel van het afvuren van een schot in opdracht van een ander. De verdachte heeft ook daarover niets willen verklaren. De verdachte krijgt een gevangenisstraf opgelegd van 12 jaar. Daarnaast adviseert de rechtbank de tbs-maatregel te doen aanvangen na de tenuitvoerlegging van twee-derde deel van de gevangenisstraf.

Verklaring ‘Facebooken op het toilet’ is onaannemelijk

Ten slotte speelde de mobiele telefoon een belangrijke rol in een moordzaak (ECLI:NL:RBMNE:2019:1362) van de rechtbank Midden-Nederland op 3 april 2019. De verdachte claimde dat de verdachte zichzelf had gestoken. De rechtbank acht dit niet aannemelijk, omdat hij verklaarde dat hij na binnenkomst in de woning van het slachtoffer direct naar het toilet is gegaan en dat hij met zijn telefoon op Facebook heeft gezeten.

Uit camerabeelden blijkt echter dat de verdachte om 14.30 uur naar de woning van slachtoffer liep en dat zijn telefoon om 14.31 uur contact maakte met de router in de woning van het slachtoffer. Uit onderzoek naar de telefoon van verdachte blijkt echter dat géén technische sporen zijn aangetroffen van Facebook-activiteit op 20 februari 2018 tussen 14.31 uur en 14.36 uur of in de minuten daarna. De Facebook-app van verdachte was die dag voor het laatst opgestart om 13.53 uur en afgesloten om 13.54 uur.

De verdachte wordt veroordeelt tot doodslag door middel van messteken van een 18-jarig slachtoffer. De verdachte krijgt een gevangenisstraf opgelegd van 10 jaar.

Richtlijn Strafvordering – Oplichting

jjoerlemans Een reactie plaatsen

Posted on 17/04/2019 op Oerlemansblog

Per 1 maart 2019 treedt de gewijzigde ‘Richtlijn voor strafvordering oplichting’ in werking (Stcrt. 2019, 10294. De richtlijn is gewijzigd vanwege de inwerkingtreding van de Wet computercriminaliteit III per 1 maart 2019 (Stb. 2019, nr. 67). Met de inwerktreding van deze wet is het nieuwe artikel voor online handelsfraude, artikel 326e Sr, geïntroduceerd. Het artikel maakt het strafbaar als personen een beroep of gewoonte maken van het aanbieden van goederen of diensten op het internet, zonder de intentie om die goederen of diensten daadwerkelijk te leveren.

Deze richtlijn ziet op de meest voorkomende vormen van oplichting, zoals omschreven in art 326 lid 1 Sr, waarbij een of meerdere slachtoffers worden bewogen tot de afgifte van geld of goederen, danwel tot het verlenen van (een) dienst(en). Het gaat daarbij om oplichting al dan niet via internet van burgers of bedrijven, niet van de overheid (verticale fraude).

In de gewijzigde richtlijn is de tabel voor internetoplichting vervangen voor een tabel voor online handelsfraude. Uitgangspunt daarbij is dat slachtofferschap iets zwaarder telt dan het financieel nadeel: meer slachtoffers met een laag schadebedrag levert een hogere straf op dan weinig slachtoffers met een hoog schadebedrag. In de richtlijn is rekening gehouden met de witwascomponent die zich in dit soort zaken veelal voordoet, namelijk het incasseren op de eigen rekening / de rekening van een katvanger en het vervolgens overboeken of opnemen van het geld.

Aanwijzing grensoverschrijdende inzet hackbevoegdheid

jjoerlemans Een reactie plaatsen

Posted on 11/04/2019 op Oerlemansblog

Op 26 februari 2019 is de “Aanwijzing voor de internationale aspecten van de inzet van de bevoegdheid ex art. 126nba Sv” gepubliceerd (Stcrt. 2019, 10277). De aanwijzing geeft regels voor de toepassing van de hackevoegdheid (artikel 126nba Sv), omdat mogelijk via internet geautomatiseerde werken kunnen worden benaderd  die zich in het buitenland bevinden.

In de aanwijzing staat een rechtshulpverzoek het uitgangspunt voor het plegen van opsporingshandelingen buiten Nederland. In een rechtshulpverzoek moet de officier een verzoek doen de gezochte gegevens te vorderen en/of (zelfstandig) veilig te stellen op basis van de daarvoor in dat land geldende wettelijke grondslagen. Indien op het moment waarop aan de rechter-commissaris machtiging voor de inzet van de bevoegdheid van artikel 126nba Sv gevraagd wordt, bekend is dat de gegevens niet in Nederland zijn opgeslagen, wordt dat in de aanvraag vermeld. Hiermee is in een dergelijke situatie verzekerd dat het aspect van de inbreuk op de soevereiniteit van een andere staat onderwerp vormt van een expliciete afweging door de officier van justitie en de rechter-commissaris.

Als met een redelijke inspanning niet kan worden vastgesteld wat de locatie van geautomatiseerd verwerkte gegevens is, wordt gehandeld alsof de gegevens in Nederland zijn opgeslagen. Daarvan kan blijkens de aanwijzing ook sprake zijn als niet langer kan worden gewacht op een reactie of er geen reactie van het land is te verwachten op een rechtshulpverzoek. Ook kan hiervan bijvoorbeeld sprake zijn bij het gebruik van anonimiseringssoftware of opslag in de cloud. Met een ingewikkelde formulering wordt de redelijke inspanning beschreven met: ‘de tijd en moeite voor het vaststellen van een specifieke geografische locatie in een reële verhouding tot de noodzakelijkheid van onverwijld optreden, de tijdsdruk en de doorlooptijd van het onderzoek’. In de aanwijzing wordt een interne procedure bij het Openbaar Ministerie beschreven die moet worden gevolgd.

Afwegingscriteria

Als afwegingscriteria voor de (mogelijke) grensoverschrijdende inzet staan in de aanwijzing: (a) ernst of onmiddellijkheid van de gevolgen van de aanval of dreiging; (b) aard en ernst van het strafbare feit; (c) vluchtigheid van de gegevens of informatie die wordt gezocht, en of die moet worden veiliggesteld, danwel ontoegankelijk moet worden gemaakt; (d) mate van betrokkenheid van de Nederlandse rechtsorde en de gevolgen daarvoor (inclusief slachtofferbelangen) (e) de aard van de te verrichten opsporingshandelingen: afhankelijk van de mate van ingrijpendheid, mate van inbreuk op de privacy van de verdachte, mate van inbreuk op privacy van slachtoffers die middels het geautomatiseerde werk wordt gemaakt en (f) risico’s voor het geautomatiseerde werk, d.w.z. technische risico’s en een inschatting van de mogelijke schade voor derden.

Als tijdens de onderzoekshandelingen blijkt dat deze gericht zijn op gegevens die zich op het territorium van een specifieke andere staat bevinden, wordt zo snel mogelijk alsnog een rechtshulpverzoek gedaan aan de desbetreffende staat voor het gebruik van deze gegevens en het onderzoek of besloten de onderzoekshandelingen te stoppen. De uitzondering daarop is dat het belang van het onderzoek groter wordt geacht dan de mogelijke schending van de soevereiniteit van die andere staat of staten. Dat brengt mee dat de officier van justitie in alle gevallen aan de rechter-commissaris meldt wat bekend is over de locatie van de gegevens. Dat geldt dus ook in het geval dat er niets bekend is over de locatie van de gegevens.

Kort commentaar

De overwegingen en instructies in de richtlijn zijn niet verassend, omdat de wetsgeschiedenis over de Wet computercriminaliteit III soortgelijke overwegingen aangeeft. Wat mij betreft komt in de aanwijzing nu duidelijker naar voren dat de grensoverschrijdende inzet ook toelaatbaar wordt geacht als de reactie op een verzoek te lang zich laat wachten, of geen reactie van het land is te verwachten. Ook bleek in de wetsgeschiedenis nog het uitgangspunt te zijn dat het desbetreffende land altijd wordt geïnformeerd over de inzet van de hackbevoegdheid als de locatie bekend wordt, terwijl nu – als ik het goed begrijp – een uitzondering van toepassing kan zijn als ‘het belang van het onderzoek groter wordt geacht dan de mogelijke schending van de soevereiniteit van die andere staat of staten’.

Ik blijf benieuwd hoe internationaal strafrechtjuristen hierover denken die niet zozeer gespecialiseerd zijn in IT-recht, dus ik houd mij aanbevolen voor publicaties of reacties op het onderwerp.

Cybercrime jurisprudentieoverzicht – december 2018

jjoerlemans Een reactie plaatsen

Posted on 14/12/2018 op Oerlemansblog

De Rechtbank Groningen en Den Haag en het parket Noord-Holland hebben in november en december 2018 een themazitting cybercrime gehouden. Daarop volgende ook enige media-aandacht.

Wat een goed initiatief! Door dit soort themazittingen krijgen rechters en andere betrokken organisaties in de strafrechtketen meer ervaring met cybercrime. Het laat ook zien dat cybercrime een veel voorkomende vorm van criminaliteit is, dat ook via het reguliere strafrecht moet worden aangepakt (zeker voor zover het gaat om gedigitaliseerde criminaliteit (cybercrime in brede zin)).

Hieronder volgt een overzicht van cybercrimezaken die in mij in de afgelopen maanden opgevallen. Daarbij geef ik dit keer ook speciaal aandacht aan de digitale bewijsvoering in deze zaken (voor zover relevant).

1.     Aankoop van semtex via AlphaBay

De Rechtbank Amsterdam heeft op 23 augustus 2018 een man veroordeeld voor het bezit van vuurwapens. De zaak is echter vooral interessant vanwege de verweren van de raadsman van de verdachte.

De advocaat voert in deze zaak ter verdediging aan dat sprake was van uitlokking, omdat het dossier sterke aanwijzingen bevat dat de FBI zelf actief heeft geprobeerd om (nep)semtex te verkopen en hiertoe afspraken met de verdachte heeft gemaakt. De rechtbank verwerpt het verweer en legt uit dat van uitlokking pas sprake is als de verdachte door het handelen van de FBI tot andere handelingen is gebracht dan die waarop zijn opzet al was gericht. Hiervoor zijn geen aanwijzingen in het dossier. Interessant is ook de overweging:

“Hoewel de rechtbank net als de verdediging best wil aannemen dat de FBI als pseudo-verkoper van de semtex heeft gefungeerd, is daarmee niet zonder meer aannemelijk dat de FBI de koper ‘[naam]’ heeft gebracht tot handelen waar zijn opzet niet reeds op was gericht. In de beperkte informatie die de FBI heeft doorgegeven staat immers vermeld dat het onderzoek ermee is gestart dat deze [naam] op AlphaBay een verzoek had geplaatst om onder meer semtex te kopen. Ook de overige informatie van de zijde van de FBI wijst niet op het wekken van de interesse van [naam] voor het kopen van semtex.”

Ook merkt de rechtbank nog op dat ‘is gesteld noch gebleken’, dat het openbaar ministerie enige rol had bij of invloed had op het handelen van de FBI. Het bewijs uit het buitenland mag daarom worden gebruikt in het strafproces.

De verdachte wordt vrijgesproken van het medeplegen van voorbereiding van moord, doodslag, diefstal met geweld of brandstichting, omdat niet met voldoende bepaaldheid is gebleken welk crimineel doel verdachte met dat pakketje voor ogen had. Voor het bewijs dat de ten laste gelegde voorwerpen ‘bestemd waren tot het begaan van dat misdrijf’, moeten namelijk ook de contouren van het (feitelijk) te plegen misdrijf blijken. In deze zaak ontbraken de contouren van het feitelijk te plegen misdrijf en kon dit niet door de officier van justitie worden aangetoond. De rechtbank verwijst hier naar het arrest HR 28 januari 2014, ECLI:NL:HR:2014:179. De verdachte wordt tot drie maanden gevangenisstraf veroordeeld voor het illegale bezit van vuurwapens.

2.     Afdreiging na reactie op advertenties sekswebsites

De Rechtbank Amsterdam heeft op 12 november 2018 een aantal verdachten veroordeeld voor het medeplegen van afdreiging en gewoontewitwassen door misbruik van advertenties op sekswebsites.

De zaken in het onderzoek ‘13Malone’ richten zich tegen zeven verdachten. De verdachten pleegden afdreiging door mannen die reageerden op de door hen geplaatste advertenties te chanteren. Er is geen sprake van het delict ‘afdreiging’, om dat de verdachten niet voldoende concrete bedreigingen met geweld naar de slachtoffers hebben gestuurd.

De verdachte ging met zes medeverdachten als volgt te werk. De verdachten plaatsen een seksadvertentie op de websites speurders.nl, kinky.nl en sexjobs.nl. Nadat een slachtoffer heeft gereageerd op een seksadvertentie wordt met deze persoon contact gelegd door iemand die zich voordoet als een vrouw/prostituee. Er volgt een uitwisseling van seksueel getinte berichten en er wordt soms om een naaktfoto van het slachtoffer gevraagd waar zowel het hoofd als het geslachtsdeel van de man op staat. Intussen worden er – vermoedelijk aan de hand van het telefoonnummer van het slachtoffer via Facebook – namen van het slachtoffer en personen uit zijn omgeving achterhaald.

Dan veranderen de verdachten de berichten van toon en komt ‘de pooier’ aan het woord. Het slachtoffer moet geld betalen om bekendmaking van zijn ‘schaamtevolle’ gedrag aan de met naam genoemde personen uit zijn omgeving te voorkomen. De slachtoffers ‘moeten er van leren dit niet meer te doen’. De slachtoffers moeten vervolgens geld overmaken naar een bankrekeningnummer waarbij vaak dezelfde tenaamstelling wordt genoemd. Het geld moet door het slachtoffer snel worden overgemaakt en er moet een screenshot als bewijs van de betaling worden verzonden. Het bedrag dat op de rekening wordt gestort wordt daarna snel in cash opgenomen. De verdachten hebben de ontvangen bedragen daarmee ook witgewassen. Een aantal verdachten zijn slechts veroordeeld voor het witwassen, omdat hun betrokkenheid bij de afdreiging niet kon worden bewezen. Als slachtoffers hebben betaald, worden zij gedwongen steeds opnieuw te betalen. De bedreigingen houden overigens uiteindelijk op als de slachtoffers niet betalen of daarmee stoppen.

Interessant is ook dat de rechtbank opmerkt dat er vanwege de lage aangiftebereidheid van het delict waarschijnlijk veel meer zaken spelen, waar deze modus operandi van de criminelen wordt gebruikt. Op de mobiele telefoon van één van de verdachten stonden 4780 seksgerelateerde berichten uit de periode van 1 tot 11 december 2016. Dat vormt volgens de rechtbank mogelijk een aanwijzing voor de daadwerkelijke omvang van de criminele praktijken van de verdachten. Ook stonden honderden verdachte transacties op de bankrekeningen van de verdachten van in totaal ruim € 56.000, waarvan slechts een klein deel aan de acht aangevers is te linken. De rechtbank beschouwt de acht beschikbare aangiftes als één feitencomplex. In onderlinge samenhang bezien, blijkt uit de bewijsmiddelen dat er diverse dwarsverbanden zijn als het gaat om gebruikte IP-adressen, gebruikersaccounts, telefoonnummers en bankrekeningen. Die onderlinge verwevenheid vormt één feitencomplex. Daarbij wordt in de zaken weliswaar een wisselende combinatie gebruikt van telefoonnummers, e-mailadressen, de bankrekeningnummers van verdachten en/of IP-adressen, maar vindt de afdreiging veelal in dezelfde bewoordingen plaats.

Met betrekking tot de bewijsvoering is relevant dat de politie onderzoek heeft gedaan bij de exploitant van de site Kinky.nl. De website-exploitant heeft in de eigen systemen gezocht op de gebruikte telefoonnummers en bankrekeningnummers in verschillende combinaties. Bij navraag blijkt dat op de rekeningen van de verdachten meer dan 10.000 euro aan verdachte transacties is te vinden. De verdachte transacties zijn betalingen waarbij de betaler geen bekende relatie heeft met de houder van de bankrekening. Verder is hierbij relevant de frequentie van de bijschrijvingen op de betreffende rekening en de omschrijving die daarbij staat vermeld. Uit onderzoek bij de exploitant van sexjobs.nl heeft de politie twee IP-adressen kunnen afleiding die op naam van de verdachten staan.

Tijdens een huiszoeking zijn de mobiele telefoons van de verdachte in beslag genomen. Op deze telefoons stond het (veelzeggende bewijsmateriaal) van ‘een groot aantal voor verdachten belastende berichten, seksadvertenties, screenshots van bankoverschrijvingen en (naakt)foto’s’. Op de telefoon van een andere verdachte zijn screenshots aangetroffen van diverse profielen en de contactenlijsten van deze profielen afkomstig van Facebook. Verder is gebleken dat meerdere van de telefoonnummers gebruikt zijn in de telefoons van de medeverdachten. Op de telefoon van één van de verdachten zijn onder andere de gebruikersaccounts voor de websites kinky.nl en sexjobs.nl aangetroffen.

De verdachte in de ondergenoemde zaak is minderjarig en wordt veroordeeld tot 300 dagen jeugddetentie (waarvan 233 voorwaardelijk). Ook krijgt hij een taakstraf van 200 uur opgelegd en moet hij een schadevergoeding betalen.

3.     Sextortion van minderjarige meisjes

Het Hof Den Haag heeft op 1 november 2018 arrest gewezen in een sextortion-zaak. Door middel van een bekende modus operandi deed de online zedendelinquent zich voor als een scout van een modellenbureau. De verdachte zocht via sociale media contact met de meisjes, met de vraag of zij foto’s wilde sturen. Als bevestiging dat zij benaderd waren door het modellenbureau), werd er een e-mail gestuurd met een e-mailadres van het modellenbureau.

De meisjes hebben van zichzelf foto’s verstuurd naar een de verdachte die gebruik maakte van het pseudoniem ‘Manisha’, waarbij sommige meisjes ook naaktfoto’s versturden. De verdachte eiste meer naakfoto’s van de slachtoffer onder dreiging van het publiceren (‘exposen’) van de naakfoto’s via een instagramaccount. Ook dwong hij sommige slachtoffers de app ‘Snapchat’ te installeren op hun mobiele telefoons. Via Snapchat zijn normaliter foto’s en video’s na enkele seconden niet meer zichtbaar. Diverse aangeefsters dachten daardoor ook dat zij bij verzending van foto’s weinig risico op verdere verspreiding liepen. De verdachte gebruikte echter een specifieke applicatie (‘Mobizen’) waarmee hij deze foto’s en video’s wel direct vanaf het scherm van zijn smartphone kon opslaan. Op de inbeslaggenomen gegevensdragers van de verdachte is tevens een grote hoeveelheid kinderporno gevonden.

De verdachte is veroordeeld tot 250 dagen jeugddetentie en een bijzondere maatregel met controle door jeugdreclassering, onder meer wegens het bezit van kinderporno, oplichting, en afpersing.

De zaak is in het bijzonder ook interessant vanwege de uitgebreide digitale bewijsvoering. De politie heeft op 2 juni 2016 een e-mail gestuurd aan één van de vermelde e-mailadressen in de aangifte van sextortion naar ‘Manisha’. Of de politie de e-mail onder dekmantel heeft gestuurd en een bijzondere opsporingsbevoegdheid heeft ingezet blijft onduidelijk door de summiere informatie die hierover wordt verschaft. Nadat de verdachte de e-mail heeft geopend, werd het IP-adres van de verdachte zichtbaar voor de opsporingsambtenaren. Het IP-adres kon worden gekoppeld aan het woonadres van de verdachte. Hetzelfde IP-adres heeft de verdachte gebruikt bij het aanmaken van het Instagramaccount van ‘Manisha’ ook toe aan het woonadres van de verdachte. Bovendien behoorde het telefoonnummer dat bij het aanmaken van het Instagramaccount is opgegeven tevens toe aan de verdachte. Het telefoonnummer behoorde toe aan de inbeslaggenomen telefoon van de verdachte, waarmee is ingelogd op het instagramaccount.

Uit het onderzoek naar de inbeslaggenomen telefoon is gebleken dat mailapplicatie geconfigureerd was voor de eigenaar van het modellenbureau. Daaruit blijkt dat de verdachte over de mailaccounts van het modellenbureau kon beschikken en uit naam daarvan e-mails on uitsturen. Enkele naaktfoto’s en snapchatberichten met de slachtoffers zijn tevens op de inbeslaggenomen mobiele telefoon gevonden. Ten slotte blijkt uit digitaal onderzoek naar de internetgeschiedenis dat de verdachte meerdere sites bezocht en zoektermen gebruikt die te relateren zijn aan het modellenbureau en de scouts van het modellenbureau.

4.     Oplichting via Whatsapp

De Consumentenbond en Fraudehelpdesk waarschuwen voor een toename van fraude via Whatsapp. Daarbij doen de oplichter zich voor als de zoon of dochter van een slachtoffer met het verzoek om geld over te maken. Dit doen zij vaak op geraffineerde wijze, waarbij eerst via een app weten een ‘nieuw telefoonnummer’ te hebben, compleet met profielfoto van de persoon van wie ze de identiteit gebruiken. Deze foto hebben ze van social media gehaald, evenals informatie over familierelaties en hoe mensen elkaar aanspreken. Vervolgens vragen ze om een betaling voor een openstaande rekening.

De rechtbank Midden-Nederland heeft op 4 oktober 2018 twee verdachten voor oplichting met een vergelijkbare werkwijze veroordeeld. De verdachten hebben zich op WhatsApp voorgedaan als iemand anders. De 19-jarige man zocht begin dit jaar via de berichtendienst contact met een 85-jarige man. De verdachte deed zich voor als de dochter van het slachtoffer en vroeg hem om in totaal ruim 2.300 euro over te maken. Het slachtoffer dacht echt met zijn dochter te appen. De 21-jarige Utrechter heeft zich op een soortgelijke manier schuldig gemaakt aan oplichting. Hij stuurde in september 2017 een WhatsApp-bericht naar een 71-jarige vrouw en deed zich voor als haar dochter. In het gesprek vroeg hij meerdere keren aan het slachtoffer om geld over te maken. In totaal heeft de vrouw ruim drieduizend euro overgemaakt.

De 21-jarige man is veroordeeld tot een gevangenisstraf van 18 maanden, waarvan 6 maanden voorwaardelijk. De 19-jarige man is veroordeeld tot een gevangenisstraf van 16 maanden, waarvan 6 maanden voorwaardelijk. Daarnaast moeten ze ongeveer 10000 euro aan schade vergoeden.

5.     Klonen van modems VodafoneZiggo

De Rechtbank Rotterdam heeft op 11 oktober 2018 een aantal verdachte veroordeeld die in georganiseerd verband de modems van Vodafone Ziggo hebben gekloond. In het onderzoek ‘26Cicero’ is de verdenking gerezen dat in Nederland in georganiseerd verband op illegale wijze (met gebruikmaking van speciaal daartoe ontwikkelde software) modems van betalende klanten van Ziggo werden uitgelezen en gekloond. Het onderzoek ving aan naar aanleiding van informatie van de Canadese politie. De unieke modemgegevens van honderden betalende klanten van Ziggo zijn met behulp van malware gekopieerd en geplaatst op andere modems. Tegen betaling van een eenmalig bedrag van zo’n € 150,- konden de afnemers van de gekloonde modems gratis internetten zolang de betalende klant wiens modem was gekloond een abonnement had.

De verdachte kloonde de modems en installeerde die bij zijn afnemers. De modems kocht hij in bij een medeverdachte die bij Ziggo werkte. Een andere medeverdachte, die via een onderaannemer in dienst was bij Ziggo, installeerde de gekloonde modems als de Ziggo-straatkast moest worden geopend om de internetverbinding mogelijk te maken.

De rechtbank overweegt dat het gevaarlijk is dat gekloonde modems ook kunnen worden gebruikt om kwaadaardige aanvallen op bedrijven uit te voeren of om persoonlijke informatie van derden te achterhalen. De veiligheid en integriteit van de infrastructuur kan daarmee ernstig in gevaar komen. De geschetste potentiële gevaren hebben zich in deze zaak niet voorgedaan. Wel heeft de verdachte hinder en schade veroorzaakt voor met name Ziggo en heeft hij door het witwassen van zo’n € 20.000,- volgens de rechtbank de integriteit van het financiële en economische verkeer aangetast.

De verdachte wordt veroordeeld voor medeplegen van gekwalificeerde computervredebreuk, het voorhanden hebben malware, gewoontewitwassen en listiglijk gebruik maken van een telecommunicatiedienst (326c Sr). Wel volgt vrijspraak voor het medeplegen van vervaardigen van malware, nu niet kan worden bewezen dat verdachte als medepleger een bijdrage heeft geleverd aan de ontwikkeling van de ‘1337suite’. De verdachte wordt veroordeeld tot een gevangenisstraf voor de duur van vijftien maanden opleggen, waarvan twaalf maanden voorwaardelijk met een proeftijd van drie jaar. Tevens moet de verdachte een taakstraf uitvoeren van 180 uur. De straf was aanzienlijk lager dan de eis van de officier van justitie.

Over ethisch hacken: nieuwe leidraad ‘Coordinated Vulnerability Disclosure’ gepubliceerd

jjoerlemans Een reactie plaatsen

Posted on 16/10/2018 op Oerlemansblog

De leidraad ‘Coordinated Vulnerability Disclosure’ (CVD) is een aanscherping op de ‘leidraad responsible disclosure’ van het Nationaal Cyber Security Centrum uit 2013. Het doel van de richtlijn is om bij te dragen aan de veiligheid van ICT-systemen door kennis over kwetsbaarheden door ethische hackers te laten delen met de eigenaren van ICT-systemen, zodat deze de kwetsbaarheden kunnen verhelpen voordat deze actief misbruikt worden door derden. In de nieuwe richtlijn komt beter tot uiting dat er een gelijkwaardig gesprek moet zijn tussen de melder en de mogelijk kwetsbare organisatie.

In de afgelopen jaren hebben melders binnen de randvoorwaarden van coordinated vulnerability disclosure beleid van organisaties gewerkt. Toch kan tijdens het vinden van kwetsbaarheden de wet worden overtreden. In het kader van een CVD-overeenkomst kunnen organisatie en melder overeenkomen geen aangifte te doen (van in de eerste plaats computervredebreuk), zolang de melder binnen de randvoorwaarden van het beleid opereert. Eveneens kan worden afgesproken dat er geen civielrechtelijke stappen worden ondernomen, waarbij eventuele schade op de melder wordt verhaald.

Nadrukkelijker dan voorheen, staat nu in de richtlijn:

“Indien er wel aangifte wordt gedaan, is in Nederland het bestaan en naleven van CVD-beleid een relevante omstandigheid die de officier van justitie zal meenemen in zijn beslissing om al dan niet een strafrechtelijk onderzoek in te laten stellen en/of te vervolgen. In principe stellen Politie en Openbaar Ministerie (OM) geen strafrechtelijk onderzoek in, indien de melder zich klaarblijkelijk aan de regels uit het CVD-beleid van de betreffende organisatie heeft gehouden.”

Daarbij wordt naar twee uitspraken verwezen  (ECLI:NL:RBOBR:2013:BZ1157) en  ECLI:NL:RBDHA:2014:15611) en een beleidsbrief  waarin specifiek wordt ingegaan op de overwegingen bij de onderzoeks- en vervolgingsbeslissing. Net als in de uitspraken wordt daar in gegaan op de gebruikelijke overwegingen zoals het dienen van algemeen belang, of de melder niet onevenredig handelde (de proportionaliteitstoets) en niet een minder ingrijpende manier had kunnen handelen (de subsidiariteitstoets).

Het NCSC hanteert een standaardtermijn van 60 dagen tussen de melding en de publieke bekendmaking van de kwetsbaarheid. De omstandigheden van het geval kunnen nopen tot een langere of kortere termijn. In het CVD-beleid worden tips en voorbeelden gegeven. Daarbij wordt het CVD beleid over het gehele spectrum gebruikt, van het strenge CVD-beleid van Fox IT (slechts in een offline omgeving op voorgeselecteerde producten), naar het standaard beleid op ResponsibleDisclosure.nl tot het informele en ruimtehartige CVD-beleid van Bits of Freedom.

Recente zaak over ethisch hacken

Op 30 augustus 2018 heeft de Rechtbank Den Haag een 45-jarige IT-er veroordeeld (ECLI:NL:RBDHA:2018:10451) voor computervredebreuk, maar geen straf opgelegd. Op basis van art. 9a Sr kan een rechter daartoe overgaan, indien ‘de rechter dit raadzaam acht in verband met de geringe ernst van het feit, de persoonlijkheid van de dader of de omstandigheden waaronder het feit is begaan, dan wel die zich nadien hebben voorgedaan’. De rechtbank neemt daarbij in overweging dat hij geen kwade bedoelingen had, dat hij de gegevens uit de database niet voor eigen gewin heeft gebruikt en dat hij een maatschappelijk belang heeft gediend. In de uitspraak staan veel technische details en uitgebreide overwegingen van de rechtbank die voor de liefhebber interessant zijn. Het komt echter niet de leesbaarheid van de uitspraak ten goede. Daarom volgt hier onder een korte samenvatting.

De verdachte deed een beroep op de rechtvaardigingsgrond van het ‘algemeen belang’ door uit te leggen dat de hack op de site van de stichting was uitgevoerd om te laten zien dat de beveiliging ondermaats was. De hacker heeft simpelweg het robots.txt-bestand van de webserver opgevraagd waarbij na invoer van een geldig ID 80.000 donateursgegevens beschikbaar kwamen. In de gegevensset waren ook NAW-gegevens (naam, adres, woonplaats), bankrekeningnummers, e-mailadressen en opmerkingen over betaalgedrag van “vrienden” te vinden. Het script was niet met een wachtwoord beveiligd, maar dat is ook niet vereist om computervredebreuk te plegen. Wel overweegt de rechtbank dat sprake is van een kenbare drempel die de verdachte is overgegaan, enerzijds door het afschermen van pictura.php met het commando “disallow” op de website en anderzijds door bij opvraging daarvan de invoer van een geldig ID te vereisen.

Met behulp van ‘een vals signaal’ (zie art. 138ab lid 1 Sr) heet de hacker daarmee toegang verschaft tot de een geautomatiseerde werk (de webserver) en computervredebreuk gepleegd. Het beroep op de rechtvaardigingsgrond slaagde niet, omdat de verdachte niet proportioneel handelde door de hele database binnen te halen en ten onrechte meteen naar de media (bij Tweakers.net, De Volkskrant en Trouw via het online klokkenluidersplatform PubLeaks) is gestapt, in plaats van de betrokken organisatie zelf. De verdachte is overigens geïdentificeerd na onderzoek door Fox IT dat was ingehuurd om de hack te onderzoeken. Uit de logbestanden op de webserver bleek dat met een (niet-afgeschermd) IP-adres net voor de hack was ingelogd. Het IP-adres behoorde bij Ziggo en het opvragen van de gebruikersgegevens bij Ziggo heeft klaarblijkelijk tot de verdachte geleid.

Europol internet organised threat assessment 2018 (IOCTA)

jjoerlemans Een reactie plaatsen

Posted on op Oerlemansblog

Op 18 september 2018 heeft Europol een rapport (.pdf) over cybercrime uitgebracht. Het rapport biedt een mooi overzicht met gedetailleerde inzichten over de ontwikkeling van cybercrime. Het rapport is gebaseerd op rapporten van IT-beveiligingsbedrijven en zelfrapportage door opsporingsinstanties. In deze blog post zet ik de belangrijkste resultaten uit de ‘Internet Organised Crime Threat Assessment 2018’ op een rijtje.

1.         Ransomware is de no. 1 cybercrime-bedreiging

Ransomware is volgens Europol de nummer 1 dreiging op het gebied van cybercrime (in enge zin). Het heeft bovendien als dreiging van banking malware (waarmee frauduleuze betalingstransacties worden uitgevoerd) op het gebied van malware overgenomen. De meest voorkomende ransomware is Cerber, Cryptolocker, Crysis, Curve-Tor-Bitcoin Locker (CTBLocker), Dharme en Locky. Naar verluid verdienen de makers van Cerber-malware naar verwachting 200.000 euro per maand, door hun kwaadaardige software te licenseren aan anderen. Ransomware richt zich echter steeds vaker op specifieke organisaties.

Europol stelt vast dat na de NotPetya en Wannacry-aanval, initieel veel onzekerheid bestond over de motieven van de daders en typen daders. Omdat zowel cybercriminelen als ‘nation state actors’ gebruik maken van dezelfde technieken en tools is het lastiger de twee actoren te onderscheiden. Samenwerking tussen opsporingsinstanties, ‘Computer Incident Response Team’-teams en inlichtingendiensten is daarom volgens Europol noodzakelijk.

2.         Cryptomining malware en cryptojacking groeit

Opsporingsinstanties komen Bitcoin nog steeds het vaakst tegen in opsporingsonderzoeken naar cybercrime, hoewel meer anonieme cryptocurrencies, zoals Monero en ZCash, steeds populairder worden. Cryptocurrency uitwisselingskantoren (exchanges), mixing diensten en diensten die online portemonnees voor cryptocurrencies aanbieden worden ook steeds vaker het doelwit van afpersing en hacken. Witwassers maken ook vaker gebruik van gedecentraliseerde uitwisselingsdiensten die geen Know Your Customer beleid voeren, waarbij mensen bij elkaar komen om echt geld voor virtueel geld te wisselen. Cryptocurrencies die anonimiteit al ‘ingebakken hebben’, zullen volgens Europol mixing diensten overbodig maken. Europol merkt terecht op dat een kernvaardigheid zijn voor cybercrime-onderzoekers is om onderzoek te doen naar het misbruik van cryptocurrencies.

‘Cryptojacking’ wordt als nieuwe vorm van cybercrime gezien. Bij cryptojacking worden cryptocurrencies gedolven door gebruik te maken van de verwerkingcapaciteit van computers die aan het werk worden gezet door een javascript op websites. Daarbij wordt vooral het ‘CoinHive JavaScript miner’ gebruikt, waarmee Monero wordt gedolven. Cryptojacking is volgens Europol niet altijd strafbaar (ik kan zelf ook geen artikel uit het Wetboek van Strafrecht bedenken dat van toepassing is).

Europol wijst er op dat cryptojacking (virtueel) geld creëert en daarmee een motivatie vormt voor hackers om legitieme websites als doelwit aan te merken om van daar uit cryptojacking toe passen. Het hacken van website is uiteraard wel strafbaar (art. 138ab (lid 3 sub a?) Sr). Het gebruikt van mining malware is natuurlijk wel strafbaar (o.a. op grond van art. 138ab lid 3 sub a Sr en art. 350a lid 1 Sr) en kan het computersysteem van een slachtoffer plat leggen.

3.         Turbulentie en verplaatsing bij darknet markets

In 2017 zijn de populaire darknet markets ‘AlphaBay’, ‘Hansa’ en ‘RAMP’ offline gehaald. Ook zijn veel marktplaatsen uit zichzelf over de kop gegaan, bijvoorbeeld vanwege hacks en ‘exit scams’ van de eigenaren.

De ‘take downs’ door de politie hebben volgens Europol geleid tot de migratie van gebruikers naar bestaande of nieuwe markten, naar andere platformen (zoals I2P en Freenet) en gezamenlijke groepen of kanalen in versleutelde communicatie-apps.

4.        Groei van online misbruik via ‘live streaming’ diensten en sextortion

Materiaal met seksueel geweld tegen kinderen (o.a. kinderporno) wordt steeds minder vaak verspreid via peer-to-peerprogramma’s, zoals Gigatribe, BitTorrent en eDonkey en steeds meer via het darknet. In dat opzicht is het opvallend dat ik in (Nederlandse gepubliceerde) uitspraken over kinderporno wel lees over veroordelingen voor de verspreiding van kinderporno via Gigatribe, maar niet over de verspreiding via darknet forums.

Europol wijst daarbij ook op misbruik door gebruik ‘live streaming’-diensten via apps en chatkanalen, waarvoor soms ook wordt betaald via betalingsapps op de mobiele telefoon. Opgenomen materiaal wordt ook vaak gebruikt voor het afpersen van minderjarigen voor meer materiaal. Omdat kinderen vaak op jongere leeftijd op internet actief worden, kunnen ze ook op jongere leeftijd in contact komen met online zedendelinquenten en slachtoffer worden. Zowel internet service providers als betalingsdienstverleners moeten ook inspanningen verlenen om kindermisbruik tegen te gaan. Daarnaast doet Europol de nadrukkelijke (nieuwe) aanbeveling om hulpprogramma’s in te zetten voor daders, zodat deze hun driften beter leren beheersen.

5.         Ontwikkelingen in online fraude

West-Afrikaanse en andere fraudeurs passen meer geavanceerde aanvallen toe, waarbij ook zakelijke e-mail wordt compromitteert. Daarbij vinden meer gerichte aanvallen plaats, waarbij gedacht kan worden aan ‘CEO’-fraude (mails sturen uit naam van de CEO aan iemand in het bedrijf die betalingen uitvoert). Daarnaast maken ‘helpdeskfraude’, ‘advanced fee fraud’ en ‘romance scams’ nog steeds veel slachtoffers.

6.         Opsporing wordt lastiger door technische en juridische ontwikkelingen

Opvallend is ten slotte de waarschuwing van Europol dat juridische ontwikkelingen (in het bijzonder de AVG, waardoor de publieke toegang tot de WHOIS-database is afgesloten) en technische ontwikkelingen (zoals 5G zie dit ENISA rapport over 5G (.pdf)), het significant lastiger maken voor zowel publieke als private speurders om verdachten te attribueren en hun locatie te bepalen.

Europol is in het rapport stellig dat het vorderen van gegevens of het invullen van een ‘request form’ bij de registrars ondoenlijk werk oplevert voor opsporingsinstanties. 5G heeft als voordeel veel hogere snelheden en beveiliging dan 4G, maar als nadeel dat het lastiger is voor opsporingsinstanties om hier interceptie op uit te voeren en naar verluidt lastiger maakt om gebruikers van telecomdiensten te identificeren.

Cybercrime jurisprudentieoverzicht – augustus 2018

jjoerlemans Een reactie plaatsen

Posted on 16/08/2018 op Oerlemansblog

Zoals ik al vaker heb aangegeven blijf ik het bijzondere interpretatie en principieel onjuist vinden dat het bekijken van foto’s in een smartphone een ‘beperkte inbreuk op het recht op privacy’ zou opleveren. Onderstaand arrest bevestigd dat nog eens. Daarnaast zijn er enkele spraakmakende cybercrimezaken met een veroordeling voor het hacken van iCloud-accounts, een milde veroordeling voor het hacken van computers in de Rotterdamse haven en een veroordeling voor deelname aan een terroristische organisatie (het ‘United Cyber Caliphate’) en de verspreiding van zorgwekkende video’s.

HR: Het bekijken van foto’s is een ‘beperkte inbreuk op de persoonlijke levenssfeer’

Op 10 juli 2018 heeft de Hoge Raad een arrest gewezen ECLI:NL:HR:2018:1121 over de rechtmatigheid van onderzoek in een smartphone. Naar aanleiding van een verkeerscontrole is er verdenking ontstaan van overtreding van de Wegenverkeerswet en Opiumwet, waarna op grond van art. 94 Sv zijn smartphone in beslag is genomen en onderzocht. Daarbij zijn foto’s in de fotogalerij in de smartphone bekeken. De Hoge Raad herhaalt relevante overwegingen uit ECLI:NL:HR:2017:592 m.b.t. onderzoek aan inbeslaggenomen elektronische gegevensdragers en geautomatiseerde werken. Het onderzoek aan de telefoon is niet alleen noodzakelijk als proportioneel te noemen, volgens het Hof. Dit oordeel acht de Hoge Raad niet onjuist en is niet onbegrijpelijk. Het bericht bekijken van foto’s in de fotogalerij op een smartphone levert niet een meer dan beperkte inbreuk op de persoonlijke levenssfeer in de zin van art. 8 EVRM op.

Veroordeling voor hacken meer dan 500 iCloud-accounts

De rechtbank Amsterdam heeft op 8 augustus een verdachte veroordeeld (ECLI:NL:RBAMS:2018:5745) voor computervredebreuk, afdreiging en het bezit van kinderpornografie.

De verdachte heeft door het raden van antwoorden op beveiligingsvragen binnengedrongen in de iCloud-accounts van 524 slachtoffers. Daarna heeft de verdachte wachtwoorden op de iCloud account gewijzigd, zodat deze tijdelijk ontoegankelijk waren en vervolgens de backups van deze iCloud accounts gedownload. Uit gesprekken op KIK op de inbeslaggenomen computer van de verdachte volgt op welke wijze de verdachte de iCloudbackups heeft gehackt.

De motivatie van de verdachte was gelegen in het vinden “pikante” foto’s en video’s, bij voorkeur meisjes tussen de 12 en 15 jaar, die hij ‘wins’ noemde. In de iCloudbackups van slachtoffers stonden foto’s, Whatsapp historie, inloggegevens van ene e-mailaccount, dropbox-, DigiD- en ING-accounts. In andere back-up bevonden zich ook Snapchat gegevens. Dit laat zien wat voor een rijkdom aan gegevens hackers van iCloudaccount kunnen binnenhalen.

De verdachte is vrijgesproken voor voorhanden hebben van ‘Elcomsoft Phone Breaker’, omdat het programma niet is ontworpen (hoofdzakelijk geschikt is gemaakt) met het oogmerk computervredebreuk te plegen. Het programma kan ook voor legale doeleinden worden gebruikt. Wel is duidelijk dat het programma gebruikt om de iCloud-backups van slachtoffers te downloaden.

Één van de slachtoffers werd gedreigd naaktfoto’s van haar en haar vriend openbaar te maken, als zij niet aan het verzoek van de dader zou voldoen nog meer pikante foto’s en video’s te sturen. Het slachtoffer zag dat de laatste logins op haar e-mail account waren gedaan op het IP-adres in gebruik bij verdachte. In de map op de computer van de verdachte werden de foto’s teruggevonden, waarmee de afdreiging kon worden bewezen. In de woning van verdachte hebben twee doorzoekingen plaatsgevonden. Daarbij zijn op gegevensdragers in totaal 130.000 afbeeldingen met kinderpornografie aangetroffen.

De verdachte is veroordeeld voor 3 jaar gevangenisstraf, waarvan een jaar voorwaardelijk met een proeftijd van drie jaar. Ook moet de verdachte worden opgenomen in een kliniek om voor de duur van maximaal tien weken voor behandeling.

Veroordeling ‘Rotterdamse havenhacker’

De rechtbank Rotterdam heeft op 3 mei 2018 een verdachte veroordeeld (ECLI:NL:RBROT:2018:5141) voor computervredebreuk. De verdachte hackte zogenoemde ‘containerlijsten’ van de Rotterdamse haven en gaf deze door aan drugscriminelen. Deze lijsten werden gebruikt voor de invoer van verdovende middelen in de haven. De verdachte is veroordeeld voor 176 uur taakstraf. Ik vermoed dat dit nieuwsbericht ook over deze zaak gaat.

De verdachte is vrijgesproken van een technisch hulpmiddel (de programma’s ‘Metasploit’ en ‘Zenmap’) met het oogmerk computervredebreuk te plegen. Deze software worden als ‘penetration testing’ tools gebruikt. Naar het oordeel van de rechtbank biedt het dossier ‘slechts aanwijzingen’ dat de software is gebruikt bij het plegen van de misdrijven. Niet kan worden vastgesteld dat zij voor dit doeleinde ‘hoofdzakelijk geschikt zijn gemaakt of ontworpen’, zoals art. 139d lid 2 sub a Sr vereist. Wel is hij veroordeelt voor het voorhanden hebben van het programma Medusa, Hydra en RWW Attack, waarmee hij het netwerkverkeer van het draadloze toegangspunt heeft afgeluisterd en opgenomen, waardoor een beveiligingswachtwoord kon worden achterhaald.

De inbeslaggenomen Macbook Pro van de verdachte was versleuteld, maar kon met behulp van ‘recovery key’ op de iPhone van de verdachte worden ontsleuteld. Gegevens op de Macbook en weinig verhullende Whatsapp gesprekken (zoals “Heb de login server van [naam bedrijf 3] gevonden” en “Nu nog gebruikersnamen en wachtwoorden vinden”) leverden het benodigde bewijs op voor computervredebreuk (art. 138ab Sr).

Veroordeling voor maken en verspreiden van terroristische video’s

De Rechtbank Rotterdam heeft op 13 maart 2018 een minderjarige verdachte veroordeeld (ECLI:NL:RBROT:2018:5367) voor deelname aan een terroristische organisatie en het maken en verspreiden van ernstige opruiende video’s. Het onderzoek ‘26Brookhaven’ ving aan met (i) informatie uit de opsporingsautoriteiten in de Verenigde Staten, (ii) een ambtsbericht van de AIVD van 9 juni 2017 en (iii) een digitale melding bij de politie Midden Nederland op 8 mei 2017. De verdachte is op 15 juni 2017 aangehouden, waarbij het bewijs van bovenstaande video’s op zijn laptop werd gevonden, alsmede contact met een hoge leidinggevende bij IS en het ‘United Cyber Caliphate’.

De video’s bestonden uit gewelddadige IS films, maar ook ander materiaal zoals een videoclip over een aanslag op Utrecht Centraal en een brandende Domtoren ‘met begeleidende onheilspellende teksten’. Ook heeft de verdachte een video gemaakt, waarin executies te zien zijn en waarin een zogenaamde kill-list wordt gedeeld: het betreft een lijst van 8000 mensen, met daarbij een oproep mensen te doden. De verdachte heeft deze video via Telegram gedeeld met United Cyber Caliphate, maar ook op YouTube geplaatst. De verdachte heeft verder samen met een persoon in Zweden een video gemaakt waarin de ‘Counter Terrorism’-directeur werd bedreigd, ook in deze video was een executie te zien, welke video op de computer van verdachte werd aangetroffen.

Op de verdachte is het jeugdstrafrecht toegepast. Hij is veroordeeld voor 181 dagen jeugddetentie en een voorwaardelijke gevangenisstraf van zes maanden met bijzondere voorwaarden.

Voorhanden hebben van software met het oogmerk computervredebreuk te plegen

De Rotterdamse hackerzaak en iCloudaccount hacks laten zien dat ook het voorhanden hebben van programma’s met het oogmerk computervredebreuk te plegen strafbaar kan zijn. IT-beveiligingsonderzoekers zijn soms bezorgd over de vraag of hun normale pentest-tools zoals Metasploit ook illegaal zijn, maar die worden gebruikt om volgens afspraak (waardoor de strafbaarheid (‘wederrechtelijkheid’) vervalt) computers binnen te dringen. Er is dan geen oogmerk computervredebreuk te plegen en dus niet strafbaar.

Art. 139d lid 2 sub a Sr schrijft ook voor het moet gaan om software dat ‘hoofdzakelijk geschikt is gemaakt’ om (o.a.) computervredebreuk te plegen. Op dit punt waren de rechtbanken er niet van overtuigd, voor zover de software (in deze zaken Metasploit, Zenmap en Elcomsoft Phone Breaker) ook voor legale doeleinden kan worden gebruikt. Wel is de Rotterdamse havenhacker veroordeeld voor het bezit (‘voorhanden hebben’) van de programma’s Medusa, Hydra en RWW Attack, waarbij de rechtbank de overtuiging had dat die wel hoofdzakelijk geschikt zijn gemaakt om strafbare feiten te plegen (namelijk het aftappen van netwerkverkeer teneinde een beveiligingswachtwoord te achterhalen).

Er is niet zoveel jurisprudentie over dit delict en deze zaken zijn alleen daarom al interessant. Ik vraag mij ook af hoe het zich verhoudt (en of dat er überhaupt een relatie heeft) met bijvoorbeeld het voorhanden hebben van versnijdingsmiddelen bij drugs die ook voor legale doeleinden kunnen worden gebruikt. Suggesties of gedachtes hierover per e-mail zijn uiteraard welkom!