Categorie Publicaties

Annotatie TorRAT

jjoerlemans Een reactie plaatsen

Rechtbank Rotterdam 20 juli 2016, ECLI:NL:RBROT:2016:5814, Computerrecht 2016/175, m.nt. J.J. Oerlemans

Deze uitspraak (ECLI:NL:RBROT:2016:5814) betreft één van de weinige veroordelingen voor banking malware in combinatie met witwassen (Zie ook Rb. Rotterdam, 2 oktober 2015, ECLI:NL:RBROT:2015:7041 en Rb. Zeeland 29 juni 2016, ECLI:NL:RBZWB:2016:3877) De zaak geeft een exclusief kijkje in de high tech wereld van banking malware en het witwassen van de crimineel verkregen gelden. Op juridisch gebied is de bewijsconstructie van de rechtbank interessant en moet de vraag worden gesteld op welke wijze witgewassen bitcoins in beslag kunnen worden genomen.

Modus operandi banking malware

De verdachten hebben met kwaadaardige software, genaamd “TorRAT”, computers besmet teneinde de internetbankiersessie van hun slachtoffers te manipuleren. De computers van slachtoffers werden besmet via e-mails met ogenschijnlijk een aanmaning of voorstel voor een betalingsregeling. Na het openen van de bijlage werd de malware op de computers van de slachtoffers geïnstalleerd en maakte de software via het anonimiseringprogramma Tor verbinding met de zogenaamde Command-and-Control server van de verdachten. Via een Command-and-Control server hebben de verdachten een overzicht van de besmette computers en kunnen instructies aan de besmette computers (ook wel ‘zombie computers’ genoemd) worden verstuurd. De verdachten verkrijgen daarmee controle over enkele functionaliteiten van de computers. Software dat functionaliteiten van computers op afstand kan overnemen wordt ook wel een Remote Access Tool (of RAT) genoemd. Samen met het feit dat de malware verbinding maakt met Tor, kan de naam van de malware – TorRAT – worden verklaard.

In dit geval heeft de malware als doel om de internetbankiersessies van de slachtoffers te manipuleren. In de uitspraak wordt beschreven dat de malware in werking treed op het moment dat een slachtoffer zijn of haar bankwebsite opzoekt om online te bankieren. Met de malware kan tijdens het internetbankieren (buiten het zicht van de gebruiker) het rekeningnummer, de naam van de begunstigde en de omschrijving van de betaling worden aangepast en vervolgens geld naar een ander rekeningnummer worden overgemaakt.

Witwassen

Op deze wijze zijn betalingen met de TorRAT malware gewijzigd en omgeleid naar money mules. Money mules worden door de rechtbank omschreven als personen die hun rekening, bankpas en pincode, al dan niet bewust en al dan niet vrijwillig, ter beschikking hebben gesteld. Vervolgens is het geld in de meeste gevallen zo snel mogelijk in contant opgenomen of omgezet in de virtuele valuta Bitcoin. Bitcoins kunnen worden aangekocht via Bitcoin exchanges. Deze handelingen leverden volgens de rechtbank de volgende delicten op: computervredebreuk (art. 138ab Sr), het verzenden van spam (art. 138b Sr (voor het versturen van de spam), het aftappen of opnemen van gegevens met malware (art. 138c Sr), het installeren van malware (art. 139d Sr), het in bezit hebben van de malware (art. 139e Sr), diefstal met een valse sleutel (art. 311 lid 1 onder 4 en 5 Sr) en oplichting (art. 326 Sr).

De rechtbank acht tevens het delict gewoontewitwassen (art. 420bis Sr) bewezen. De vereiste verhullingshandeling bestond daarbij uit het overboeken van het geld naar de rekeningen van money mules, waarna het geld veelal contant werd gemaakt door middel van betalingen of door omzetting in bitcoins. De overboeking van de rekening van een slachtoffer naar de money mule ziet de rechtbank als diefstal en nog niet als witwassen. Het is de daarop volgende versluiering van de criminele herkomst door het contant maken of omzetting in bitcoins dat de gedraging tot witwassen maakt. De rechtbank komt ook tot het oordeel dat sprake is van een criminele organisatie (art. 140 Sr). Daarbij wordt opgemerkt dat voor het plegen van de ‘cyberfraude’ een daarop gerichte organisatie noodzakelijk is. Een groep van personen heeft in dit geval de malware is ontwikkeld, servers zijn gehackt om de e-mails voor de malware verspreiding te distribueren, en money mules zijn geronseld om beschikking te krijgen over rekeningen om geld op te storten. De rechtbank komt tot de conclusie dat daarvoor een planmatige aanpak, samenwerking en duidelijke afstemming tussen de betrokkenen noodzakelijk is geweest. Ter onderbouwing van deze samenwerking worden  enkele passages afkomstig uit e-mails aangehaald. De verdachten maakten gebruik van de (niet meer beschikbare) dienst TorMail, dat kan worden beschreven als een gratis webmail dienst dat alleen via Tor bereikbaar is. Uit de uitspraak wordt niet helder hoe toegang tot deze e-mails is verkregen.

Veroordeling

De verdachte was één van de oprichters van de criminele organisatie en had een leidinggevende rol binnen het criminele samenwerkingsverband. Hij is veroordeeld tot een gevangenisstraf van 3 jaar. Tevens moet de verdachte een stevige schadevergoeding betalen van € 105.491,42 aan de ING. De vordering van de Rabobank werd onvoldoende gemotiveerd geacht. De medeverdachten zijn veroordeeld voor gevangenisstraffen variërend van 9 tot 36 maanden, afhankelijk van hun rol binnen de criminele organisatie en strafblad.

Aangifte ING

Met betrekking tot de bewijsvoering is het interessant dat de officier van justitie stevig leunt op bijlagen van frauduleuze transacties die zijn aangeleverd door een IT beveiligingsbedrijf en de betrokken banken zelf. De verdediging voerde echter aan dat daaruit niet direct blijkt dat de TorRAT malware deze frauduleuze transacties veroorzaakt. Teneinde de causaliteit vast te stellen bespreekt de rechtbank 15 frauduleuze transacties uitvoerig. Daaruit blijkt volgens de rechtbank dat de configuratiebestanden afkomstig zijn van TorRAT en de frauduleuze transacties met de malware zijn uitgevoerd.

Overigens zij opgemerkt dat de rechtbank in de uitspraken onder andere IP adressen in zijn geheel opneemt. Daar kan kritiek op worden geleverd, omdat de IP adressen (nog steeds) zijn terug te voeren tot bepaalde dienstverleners en door de Autoriteit Persoonsgegevens IP adressen als een persoonsgegeven beschouwd.

Omzetten bitcoins

Ten slotte is het opvallend dat in het persbericht van het Openbaar Ministerie over de zaak in 2013 nog wordt opgemerkt dat beslag is gelegd op 56 bitcoins, die destijds zijn omgezet in meer dan 7700 euro. De uitspraak refereert hier niet naar deze beslaglegging. Evenwel sta ik hier kort bij stil aangezien die inbeslagneming van bitcoins een aantal juridische vragen oproept.

Ten eerste de vraag of bitcoins als goed gekwalificeerd kunnen worden en daarmee vatbaar zijn voor inbeslagname. Hoewel een goed ook onstoffelijk kan zijn en giraal geld kan betreffen, worden gegevens  binnen het strafrecht in principe niet gekwalificeerd als goed. Uit verschillende arresten kan echter worden afgeleid dat als de gegevens, kort gezegd, uniek zijn en in het economisch verkeer van waarde is, zij toch als goed kunnen worden beschouwd zie o.a. (HR 31 januari 2012, ECLI:NL:HR:2012:BQ9251 (Runescape)) Het Openbaar Ministerie neemt ook de positie in dat bitcoins als goed kunnen worden beschouwd en vatbaar zijn voor inbeslagname.

De tweede vraag is op welke wijze de bitcoins in beslag kunnen worden genomen. Er is geen formele openbare werkwijze van het Openbaar Ministerie beschikbaar. Een UNDOC rapport (.pdf) over witwassen met virtuele betalingsmiddelen beschrijft dat het gebruikelijk is dat, indien de bitcoins zich in een Bitcoin portemonnee op een computer of gegevensdrager bevinden, eerst het voorwerp zelf in beslag worden genomen. Vervolgens kunnen de bitcoins worden overgemaakt naar een Bitcoinadres dat is aangemaakt door de opsporingsambtenaren. Als laatste stap kunnen de ‘inbeslaggenomen’ bitcoins via Bitcoin exchanges worden omgezet in euro’s en op een rekening van het Openbaar Ministerie worden gestort. Uit een interview in het magazine van het Openbaar Ministerie blijkt dat deze wijze van inbeslagname overeenkomt met de wijze waarop bitcoins in Nederland in beslag worden genomen.

Slechts één uitspraak (ECLI:NL:GHARL:2016:5563) is beschikbaar waarin expliciet wordt genoemd dat de gegevensdrager, een USB-stick met daarop 147 bitcoins, verbeurd is verklaard door de rechtbank omdat de bitcoins op strafbare wijze zijn verkregen en de USB-stick aan de verdachte toebehoord. Onduidelijk blijft in ieder geval op welke wijze bitcoins in beslag worden genomen die alleen via een portemonnee in een online account bereikbaar zijn. Wordt daarvoor misschien van een vorm van een netwerkzoeking gebruik gemaakt? Het laatste woord zal dus nog niet gezegd zijn over de inbeslagname van bitcoins en andere digitale betalingsmiddelen.

Deze annotatie is in soortgelijke tekst verschenen in Computerrecht (.pdf (per abuis is als titel ‘Megaserver’ aangegeven)).

Ransomware en witwassen van losgeld in Bictoin

jjoerlemans Een reactie plaatsen

Een van de nieuwste ontwikkelingen op het terrein van cybercrime is ransomware. Dit is kwaadaardige software (malware) die toegang tot iemands computer en/of bestanden daarop blokkeert. Een specifieke vorm van ransomware is zogeheten cryptoware, die de bestanden versleutelt met behulp van cryptografie. Vervolgens eisen de cybercriminelen betaling van losgeld, vaak in de vorm van Bitcoins. Deze bijdrage gaat in op de vraag hoe cybercriminelen ransomware en cryptoware inzetten om geld te verdienen en hoe de verdiende Bitcoins vervolgens worden witgewassen.

Mijn artikel ‘Ransomware, cryptoware en het witwassen van losgeld in Bitcoins’ heb ik samen geschreven met Bart Custers en Ronald Pool.

Annotatie Context-zaak

jjoerlemans Een reactie plaatsen

Rb. Den Haag, 10 december 2015, ECLI:NL:RBDHA:2015:14365, Computerrecht 2016/47, m.nt. J.J. Oerlemans.

In deze zogenoemde ‘Context-zaak’ zijn in totaal negen verdachten veroordeeld. Zes verdachten maakten deel uit van een zogenaamde Haagse ronselorganisatie en zijn vervolgd voor deelname aan een criminele organisatie met een terroristisch oogmerk. Zij maakten zich schuldig aan het opruien, ronselen en het faciliteren en financieren van jongeren die naar Syrië wilden afreizen om te gaan vechten. Tevens is in deze zaak een vrouw veroordeeld tot een celstraf van zeven dagen voor één opruiende retweet. Voor de bewijsgaring is in de zaak door de politie uitgebreid gebruik gemaakt van Facebook en Twitter. Voor IT-juristen is de uitspraak om twee redenen ook in het bijzonder interessant:

  • Ten eerste wordt in de uitspraak ingegaan op de vraag of een retweet kan leiden tot bewezenverklaring van het delict opruiing. De rechtbank is hierover helder. De Haagse rechters bevestigen de stelregel die op Twitter geldt: ‘a retweet is not an endorsement’.

Zie r.o. 11.22: “De rechtbank onderschrijft dat op Twitter het uitgangspunt geldt: retweet is not endorsement. Dat brengt mee dat het retweeten van een bericht dat op zich als opruiend wordt beoordeeld in beginsel niet strafbaar is ingevolge artikel 131 Sr. Wel valt deze gedraging onder de reikwijdte van artikel 132 Sr. Dat is anders indien uit het commentaar van verdachte bij de retweet blijkt dat hij de inhoud onderschrijft, of wanneer het geretweete bericht past binnen een reeks van berichten van verdachte van dezelfde aard en/of strekking, binnen een bepaalde periode. Hetzelfde geldt ook voor het delen van een hyperlink.”

 Eerder leidde vervolging van een retweet door Bert Brussen over een bedreiging aan Wilders tot een sepot van het Openbaar Ministerie. Echter, indien de retweet gepaard gaat met een opmerking, kan deze gedraging tot bewezenverklaring van het delict opruiing leiden, omdat dan uit de opmerking van de verdachte is af te leiden dat de strafbare inhoud wordt onderschreven. Ook kan sprake zijn van delict opruiing bij retweets indien het geretweete bericht past binnen een reeks van berichten van verdachte van dezelfde strekking, binnen een bepaalde periode.

  • Ten tweede is de zaak voor IT-juristen interessant, omdat het één van de eerste uitspraken betreft waar een oordeel wordt gegeven over het gebruik van bijzondere opsporingsbevoegdheden op internet. In dit geval moesten de rechters vragen beantwoorden omrent de juridische grondslag voor het gebruik van opsporingsmethoden op sociale media diensten. In deze noot wordt op dit tweede aspect van de uitspraak nader in gegaan.

Feiten

In deze zaak heeft de politie een online operatie op touw gezet om een betere informatiepositie op Facebook te verkrijgen en de contacten van de verschillende verdachten en hun specifieke uitingen op internet in beeld te krijgen. De politie heeft informatie via Twitter vergaard door tweets van de verdachten te bekijken en vast te leggen. Deze tweets waren door de verdachten waren gepubliceerd via profielen die voor een ieder toegankelijk waren gemaakt. De politie heeft tevens een Facebookaccount aangemaakt op de naam ‘Aboe Noewas’ en in de periode van 21 juni 2013 tot 1 september 2014 op elke doordeweekse dag berichten, foto’s en video’s op dit profiel geplaatst. Door het plaatsen van deze openbare berichten hoopte de politie in contact te komen met de verdachten onder een geloofwaardige dekmantel. Voor ongeveer een periode van een half jaar (april-augustus 2014) heeft de politie tevens een Facebookaccount onder de naam ‘Ab Bashir’ aangemaakt en gebruikt. Door het aanmaken van het account kon de politie ook kennisnemen van informatie op de Facebookprofielen van de verdachten, voor zover deze profielen voor iedereen toegankelijk waren gemaakt. De politie heeft ook vriendschapsverzoeken gestuurd naar de verdachten om kennis te nemen van de informatie van hun privéprofiel op Facebook. Enkele van deze vriendschapsverzoeken waren succesvol. Tevens heeft een opsporingsambtenaar op verzoek toegang gekregen tot een afgeschermde (werk)groep van de verdachten op Facebook. Opvallend is dat de politie deze onderzoekshandelingen op internet niet goed heeft gedocumenteerd, waardoor niet goed kon worden nagegaan met wie de politie nu precies Facebook-vrienden zijn geworden en welke berichten door de politie zelf zijn verspreid. Zie ook Marcel Haenen & Andreas Kouwenhoven, ‘Infiltratie gelukt, gegevens weg’, NRC.nl.

Digitale opsporing

De politie heeft niet voor alle opsporingsactiviteiten op internet een bevel van de officier van justitie bemachtigd voor de uitvoering van de bijzondere opsporingsbevoegdheid tot stelselmatige informatie-inwinning. De verdediging heeft aangevoerd dat deze bijzondere opsporingsbevoegdheid wel gebruikt had moeten worden in verband met de meer dan geringe privacyinbreuk die bij deze activiteiten zou hebben plaatsgevonden.

De rechtbank is van oordeel dat voor aanmaken van het Facebookaccount en de opsporingsactiviteiten die daarna door de politie zijn uitgevoerd inderdaad een bevel voor het stelselmatig inwinnen van informatie op grond van art. 126j Sv noodzakelijk was. In de operatie heeft een meer dan geringe inbreuk op de persoonlijke levenssfeer van de betrokkenen plaatsgevonden door het bekijken en veilig stellen van de informatie voor een langere periode. Daarbij is ook kennis genomen van (verbanden tussen) de sociale media contacten van de verdachten en de inhoud van die contacten in relatie tot de verdenking. De rechters nemen ook in overweging mee dat zicht werd kregen op activiteiten van de verdachten in het verleden, door het kennisneming van (mogelijk ver) in het verleden geplaatste berichten.

De politie heeft alleen een bevel tot stelselmatige informatie-inwinning van een officier van justitie verkregen voor het versturen van vriendschapsverzoeken aan de verdachten, waarmee toegang kon worden gekregen tot afgeschermde gedeeltes van Facebookpagina’s en het kennisnemen van informatie op de afgeschermde Facebook werkgroep Shaam van de verdachten. Toch wordt door de rechtbank geen sanctie toegekend aan het vormverzuim voor het ontbreken van een bevel voor stelselmatige informatie-inwinning voor de gehele operatie. De rechters nemen in hun overweging mee dat voor het versturen van de vriendschapsverzoeken wel een bevel is bemachtigd en oordelen dat kan worden volstaan met de constatering van het vormverzuim. De rechtbank overweegt verder dat geen sprake is geweest van uitlokking, omdat er geen aanwijzingen zijn dat de uitingen op sociale media oorspronkelijk afkomstig waren van de Facebookpagina’s van de fictieve personen.

In de onderhavige zaak wordt het voor eerst een uitspraak gedaan over de juiste grondslag in het Wetboek van Strafvordering voor opsporingsactiviteiten via sociale mediadiensten. Terecht stellen de rechters vast dat art. 3 Politiewet 2012 slechts een voldoende grondslag vormt voor opsporingsactiviteiten voor zover een geringe inbreuk op het recht op privacy vormt en de risico’s voor de integriteit van de opsporing beperkt blijven. Voor die opsporingsactiviteiten die een meer dan geringe inbreuk op het recht op privacy van de betrokkene opleveren en een risico voor de integriteit van opsporingsonderzoeken met zich mee brengen is toepassing van een bijzondere opsporingsbevoegdheid noodzakelijk. Deze basisnorm is af te leiden uit de wetsgeschiedenis en andere jurisprudentie met betrekking tot opsporingsmethoden. (Zie bijvoorbeeld Kamerstukken II 1996/97, 25 403, nr. 3, p. 110 en 115 en HR 19 december 1995, ECLI:NL:HR:1995:ZD0328, HR 20 januari 2009, ECLI:NL:HR:2009:BF5603, NJ 2009, 225, m.nt. Borgers, HR 13 november 2012, ECLI:NL:HR:2012:BW9338, NJ 2013, 413, m.nt. Borgers en HR 7 juli 2014, ECLI:NL:PHR:2014:623)

In dit geval stellen de rechters vast dat toepassing van de bijzondere opsporingsbevoegdheid van stelselmatige-informatie inwinning op zijn plaats is geweest. Daarbij is het interessant dat de rechters ook expliciet de kennisname van informatie over de sociale media contacten van de betrokkene en de kennisname van berichten die op het profiel in het verleden zijn geplaatst meenemen in hun beoordeling over de zwaarte van de privacy inmenging door de opsporingsmethode.

Het is toe te juichen dat in deze uitspraak zo uitgebreid wordt ingegaan op de juiste grondslag voor de toepassing van opsporingmethoden op internet. De wetgever heeft al eerder duidelijk gemaakt dat bestaande bijzondere opsporingsbevoegdheden ook op internet kunnen worden toegepast (Zie Kamerstukken II 1996/97, 25 403, nr. 3, p. 29 en p. 55 en Kamerstukken II 1998/99, 26 671, nr. 3 p. 36-37) Echter, deze wetsgeschiedenis stamt uit 1997, waardoor onduidelijkheid bestaat over de toepassing van deze bevoegdheden in de huidige internet omgeving. Terecht wordt door de rechters vastgesteld dat voor de interactie met verdachten op internet, in de vorm van vriendschapsverzoeken op Facebook om toegang te krijgen tot privéinformatie op een profiel, de bijzondere opsporingsbevoegdheid voor het stelselmatig inwinnen moet worden toegepast. In dat geval wordt een meer dan geringe inbreuk op de persoonlijke levenssfeer van de betrokkene in het opsporingsonderzoek gemaakt en kan een ‘min of meer volledig beeld van bepaalde aspecten van het privéleven’ van de betrokkene worden verkregen, hetgeen volgens de rechtsgeschiedenis stelselmatigheid en toepassing van de bijzondere opsporingsbevoegdheid voor stelselmatige observatie of stelselmatige informatie-inwinning vereist. (Zie ook Kamerstukken II 1996/97, 25 403, nr. 3, p. 26-27. Zie ook r.o. 5.18. Alhoewel dit criterium meer specifiek is gesteld voor stelselmatige observatie, kunnen de criteria voor het vaststellen van stelselmatigheid bij observatie ook tot op een zekere hoogte worden toegepast voor stelselmatige informatie-inwinning (zie ook r.o. 5.22).

De rechters gaan in deze zaak een stap verder door al vóór het aanmaken van een account toepassing van de bijzondere bevoegdheid te vereisen (zie r.o. 5.27). Daarmee wordt geanticipeerd op opsporingshandelingen die een meer dan geringe inbreuk op het recht op privacy van de betrokkene(n) maken. Mogelijk zou het aanmaken van het nepprofiel ook kunnen plaatsvinden op grond van art. 3 Politiewet 2012, waarbij voor de daadwerkelijke interactie met de verdachte pas de bijzondere opsporingsbevoegdheid van art. 126j Sv wordt toegepast. De aanvang van het moment van interactie met de verdachte(n) zal echter lastig in te schatten zijn. Voor deze meer voorzichtige benadering van de rechtbank Den Haag valt om die reden zeker te pleiten. Overigens zouden opsporingsambtenaren ook hun opsporingshandelingen op internet op grond van art. 3 Politiewet 2012 nauwgezet moeten verbaliseren. De verbalisering van de opsporingshandelingen kunnen vragen van de verdediging beantwoorden over de risico’s van uitlokking waarvan sprake kan zijn bij dit soort undercover opsporingsmethoden (EHRM 4 november 2010, Bannikova v. Russia, nr. 18757/06, § 49-50, EHRC 2015/14, m.nt. F.P.  Ölçer). In deze zaak zijn over de vastlegging van de opsporingsactiviteiten terecht vragen door de verdediging gesteld.

Conclusie

Mijns inziens was een bevel voor het toepassen van de bijzondere opsporingsbevoegdheid tot stelselmatige observatie op grond van art. 126g Sv meer op zijn plaats geweest voor het bekijken en registreren van gedragingen op publieke toegankelijke profielen van Facebook en Twitter. Observatie wordt immers gekenmerkt door het passief waarnemen van gedrag van individuen. Een undercover opsporingsmethode, zoals stelselmatige informatie-inwinning, kenmerkt zich daarentegen door het actief interfereren in het privéleven van de betrokken in een opsporingsonderzoek. Dat laatste vindt plaats bij het communiceren met de verdachten via internet of bij het toevoegen als vriend met de verdachte op Facebook. De rechters beargumenteren overigens dat toepassing van de bijzondere opsporingsbevoegdheid tot infiltratie op grond van art. 126h Sv niet noodzakelijk is geweest, omdat geen strafbare feiten door de opsporingsambtenaren zijn begaan bij het plaatsen van berichten op de Facebookpagina’s van de nepjihadi’s. Mijns inziens was een infiltratietraject echter zo gek nog niet geweest voor de undercoveracties, waarbij ook mogelijk strafbare berichten werden geplaatst door politieambtenaren om de aandacht te trekken van de verdachten.

Tot slot moet nog worden opgemerkt dat binnen het project Modernisering Strafvordering nader wordt onderzocht in hoeverre behoefte is aan de nadere normering voor het vergaren van informatie op internet over verdachten als opsporingsmethode binnen het Wetboek van Strafvordering. Dergelijk onderzoek is nuttig, zo blijkt uit deze uitspraak die aantoont dat onduidelijkheid bestaat over de juridische grondslag voor opsporingsmethoden die via internet worden uitgevoerd. Hoewel men zich kan afvragen of het bekijken en vastleggen van gegevens van personen op publiekelijk toegankelijke gegevens op internet als een aparte bijzondere opsporingsbevoegdheid moet worden geregeld, staat als een paal boven water dat er linksom of rechtsom grote behoefte is aan duidelijkheid over de toepassing van bijzondere opsporingsbevoegdheden op internet. Dit vonnis van de Rechtbank Den Haag geeft alvast enige richting aan het juridisch kader dat van toepassing is op de uitvoering van opsporingsmethoden op internet.

Deze tekst is vergelijkbare vorm verschenen in Computerrecht. De verdachten zijn ook in hoger beroep veroordeeld (Hof Den Haag 7 juli 2016, ECLI:NL:GHDHA:2016:1978).

A warrant requirement for analysing data stored on smartphones

jjoerlemans Een reactie plaatsen

Posted on 28/05/2015

On 22 April 2015, the Dutch high court of Arnhem-Leeuwarden possibly set a precedent with far-reaching consequences. In this particular criminal case, a law enforcement official seized a smartphone and subsequently read and copied WhatsApp messages stored on the smartphone. The defence successfully argued that the investigation method was in violation of the right to privacy as articulated in art. 8 ECHR. The high court of Arnhem-Leeuwarden agreed and deemed the current regulations not foreseeable.

Currently, as explained in my previous blog post, law enforcement officials can seize a smartphone and examine all data stored on it in the context of a criminal investigation to obtain evidence without any notable legal thresholds. However, the high court points out that smartphones contain “not only access to traffic data, but also the contents of communications and private information of a smartphone user” . Because the analysis of such data severely infringes in the right to privacy, the current regulations for seizing and analysing data stored on smartphones are not adequately regulated according to the court.

Right to privacy and analysis of information on smartphones

Indeed, the European Court of Human Rights (ECtHR) recently decided in the case of Prezhdarovi v Bulgaria that (1) a judicial warrant requirement and (2) a limitation of the scope of the sought after data on computers is preferable when law enforcement authorities seize computers and analyse data stored on computers. Considering the serious privacy infringement that takes place when personal data that is stored on computers is analysed by law enforcement authorities, adequate safeguards in the domestic laws of States should protect the involved individuals against arbitrary interferences of State in their personal lives according to the ECtHR.

The decisions of the high court of Arnhem-Leeuwarden and ECtHR indicate that the Dutch regulations for the seizure of computers such as smartphones require amendments in order to adequately protect the right to privacy. In June 2014, the Dutch Ministry of Security and Justice already suggested that amendments were required for analysing data on computer systems. Yet, these amendments only suggested the legal thresholds of an order of a public prosecutor, whereas the ECtHR seems to prefer a prior review of an investigating judge – i.e., basically a warrant requirement – to analyse data on computer systems.

International trend?

Interestingly, almost a year ago, the U.S. Supreme Court decided in the landmark case of Riley v. California that a judge’s warrant is required in order to seize a smartphone and analyse data stored on a smartphone. The protection of the warrant requirement was deemed appropriate, because: “Modern cell phones are not just another technological convenience. With all they contain and all they may reveal, they hold for many Americans “the privacies of life”.

Obviously, modern cell phones do not contain the ‘privacies of life’ only for Americans. So tell me, does your domestic State law require a warrant to seize computers and analyse data stored on those devices?

This is a cross-post from LeidenLawBlog.nl.

=== Updata ===

My commentary (in Dutch) on the case of 22 April 2015 is available here (in .pdf).

Note that, in the meantime, the Dutch courts of Oost-Brabant and Noord-Holland desmissed the verdict of the high court of Arnhem-Leeuwarden, stating that article 94 of the Dutch Code of Criminal Procedure allows for the seizure of smartphones and subsequent search of data stored on the device.

The court of Amsterdam decided on 18 June 2015 that art. 8 ECHR was not infringed, because law enforcement restricted the search of data stored on the smartphone to  contact details. Thefefore, the search was not deemed disproportionate. Interestingly, other judges of the court of Noord-Holland decided on 4 June 2015 in a different case that seizing a smartphone based on art. 94 DCCP does infringe art. 8 ECHR. Clearly, the courts in the Netherlands are devided on the question whether seizing a smartphone based on art. 94 DCCP infringes art. 8 ECHR. Apparently, the Public Prosecution’s Office went in appeal and the question will be brought  to the Dutch Surpeme Court.

Hacking without a legal basis

jjoerlemans Een reactie plaatsen

Posted on 30/10/2014 on Oerlemansblog

In May 2014, the Dutch Public Prosecution Office announced that the Dutch police participated in a global action against ‘Blackshades’ malware. Blackshades enables individuals to remotely take over computers and copy information (among other functionalities). The Dutch press release stated that:

“Team High Tech Crime of the Dutch police saw an opportunity to enter the Blackshades server and secure a large amount of information. The location of the server is unknown”.

This statement implies that Dutch law enforcement authorities entered the server remotely to copy data. Said in other words, Dutch law enforcement authorities hacked a server without knowing the location of the server to secure information. Indeed, recent answers to parliamentary questions confirmed the computer was ‘remotely accessed’(hacked) by law enforcement authorities during the operation in May. In addition, the Dutch Minister of Security of Justice stated in the letter to the Dutch Parliament that art. 125i of the Dutch Code of Criminal Procedural (DCCP) provides for a legal basis to access computer remotely (by hacking) and copy information.

The problem with this letter is that there is arguably no legal basis for hacking in Dutch criminal procedural law. The statement of the Minister of Safety and Justice is in my view worrisome, because a special investigation power is interpreted very broadly by the minister to suit the needs of law enforcement authorities. This undermines a fundamental principle of our criminal law system.

Art. 125i DCCP does not provide a legal basis for hacking

Art. 125i DCCP provides for an ill-understood investigation power that allows law enforcement authorities to search a place in order to secure information stored on computers. The article specifically refers to existing investigation powers for search and seizure at a particular place by law enforcement authorities. Therefore, art. 125i DCCP should always be read in conjunction with the power to search a place, seize a computer and subsequently search data on a computer. In the letter, the minister seems to ignore these explicitly referred to powers of search and seizure at a particular place.

For example, a public prosecutor can seize a computer located at hosting provider and search the data stored on a computer in an effort to secure the sought after data upon the legal basis of art. 125i DCCP jo art. 96c DCCP. These powers for search and seizure are simply different from hacking as an investigation method. The most notable difference between hacking and the search and seizure of computers is that hacking takes place remotely in secret, whereas the search and seizure of computers takes place at a particular place in the presence of witnesses.

There are good reasons to think that the Dutch legal framework to analyse data on computers is outdated. Additionally, there are good reasons why law enforcement authorities feel the need to be able to access computers remotely to acquire information relevant to a criminal investigation. But a key principle and essential to the rule of law is that law enforcement authorities are bound by the law. In my view, as I argued extensively in 2011 and 2013 (in Dutch), Dutch criminal procedural law does not provide for the investigation power to hack computers by law enforcement authorities.

Criminal procedural legality principle

In Dutch criminal procedural law, investigation methods that infringe in the right to privacy in more than a minor way or threaten the integrity of a criminal investigation require detailed regulations. This ‘criminal procedural legality principle’ with regard to the regulation of investigation methods ensures that governmental powers are controlled by the law and prevent arbitrary interferences by the government in the private lives of citizens. The principle also ensures that governmental powers to investigate crime are foreseeable to citizens. In essence, this legality principle harnesses governmental power which is essential to the rule of law.

Therefore, I find it curious our Minister of Security and Justice endorses a broad and highly debatable interpretation of the law to enable law enforcement authorities to hack computers, especially considering that a new legislative proposal is under way which aims to regulate hacking as an investigation power. This ‘Computer Crime Act III’ will be send to the Dutch Parliament in early 2015.

A democratic legislative process is required to provide Dutch law enforcement authorities with the powers that a majority of the elected representatives of the Dutch people find appropriate. Perhaps hacking computers under stringent conditions to allow for evidence gathering activities is desirable as a new investigation power. But in the meantime, the criminal procedural legality principle as a key principle in Dutch criminal procedural law should not be ignored.

This is a cross post from LeidenLawBlog.nl

Is data retention useless?

jjoerlemans Een reactie plaatsen

Posted on 03/03/2014 on Oerlemansblog

“Data retention of web data is useless” were the headlines of some news outlets in the Netherlands a few weeks ago. In my view the journalists jumped to conclusions after quickly reading the evaluation report (.pdf) of the Research and Documentation Centre of the Dutch Ministry of Safety and Justice with regard to data retention (English summary is available on p. 151-159). I think some more nuance is needed and it may be interesting to compare the report to my own research results with regard to data retention after several successful data access requests.

Retention of telephony data

The authors of the report explain that telephony data is nowadays used in almost every criminal investigation. Location data and call detail records are particularly useful according to interviewed investigators and based on case law.

Two researchers tried to obtain their own telecommunications data with a data access request, but were unable to obtain location data. My own data access request proved more successful as described is a previous blog post. I recognize the researchers experience it was too difficult to obtain the data and stress there are questions surrounding our governments plans to leave out notification requirements after certain types of data have been collected by law enforcement officials.

Retention of internet data

The retention of internet related data regards internet access, e-mail provided by ISPs and managed VoIP-telephony. The full list of data that must be retained for 6 months is available here at section “B”. Thus, search queries and visited websites are not retained by telecommunication companies, as well as the ‘contents’ of e-mail messages and other messages or conversations held using the Internet.

My own data request at broadband internet access provider revealed that in a period of three days was only one IP-address and the subscriber data was retained. Since I do no use the e-mail client provided by my ISP, there is no e-mail data available. The report tellingly quoted a law enforcement official that stated that practically “only 55-years-olds and above” still privately use e-mail of their internet access providers. Webbased telecommunication services are not obligated to retain data. The available data can only be obtained using legal aid requests. Researchers point out there are significantly less data requests in the Netherlands at these foreign providers than in other EU countries, but they cannot explain why.

Identifying internet users

An important question is how internet related data retention data is used in criminal investigations. The authors of the report explain that the retention of internet data is primarily used in cybercrime investigations (investigations in which the Internet plays a facilitating role in the commission of the crime). The retention of the assigned IP-address to the router of a broadband internet connection may enable law enforcement officials to (eventually) identify suspects. In cybercrime investigations, in some cases a logged IP-address of a device used to perpetrate a crime is the only lead available. Tracing back the IP-address may to an ISP, depending on what service is used to access the Internet and whether anonymizing services are used.

Since suspects may just as well live in a different country than the Netherlands when committing a cybercrime, the trace often leads to a foreign ISP. According to the author of the report, investigators therefore largely depend legal aid requests to collect the available data. When data retention regulations are in place, the data is at least available for a period of time. However, not all EU Member States implemented the EU Data retention directive and local regulations always differ which can be frustrating for law enforcement officials.

Most significantly, the researchers suggest it may be very difficult to identify mobile internet users solely upon the basis of an IP-address (p. 102-106). My own data access request at my telephone provider revealed that the assigned IP-addresses by the telephone company was often the same. It is likely that many people at the same time make use of the same IP-address using Network Address Translation (NAT) technologies, after which the internet traffic is distributed further through the companies infrastructure. All these people then make use of the same IP-address. When there is no additional information retained about the devices it may be difficult to identify individual users who were all assigned the same IP-address. I cannot determine upon the basis of the available information whether telecommunication providers are able to trace back individual users upon the basis of an IP-address, but if I’m reading it correctly the research report suggests they cannot. That seems as a rather significant conclusion to me.

Interestingly, the interviewed law enforcement officials unanimously agree the retention period of 6 months for internet related data is too short. Taking in consideration the amount of time criminal investigations can take I understand these statements from an investigation perspective. But the Dutch parliamentary shortened the retention of internet data from 1 year to 6 months in 2011 citing privacy concerns. The researchers report also explain how many of the interviewed law enforcement officials were unaware internet related data was retained. Internet related retention data is primarily used in cybercrime investigations. The researchers point out there is still a knowledge deficit among law enforcement officials on how to the use internet related data in criminal investigations regarding crimes of all types.

Conclusion

Contrary to what some news articles suggest, the collection of data at telecommunication providers – of which the availability is ensured by data retention legislation – is almost standard practice in criminal investigations. It is deemed as ‘very useful’ by investigators and case law suggests the data is relatively often used as evidence in criminal cases.

Data retention of internet related communications prove to be particularly useful in many cybercrime investigations, because the retention of assigned IP-addresses to broadband Internet customers may enable law enforcement officials to identify internet users. When a different internet connection than a household internet connection is used, it may be difficult to identify internet users. Perhaps internet users can even stay anonymous by using a mobile internet connection. This seems strange, because data retention legislation is specifically created to identify people and aid in criminal investigations. Indeed, the obligatory retention of mobile internet related data seems rather useless in case the information cannot be used to identify people. However, the location data that is retained every time data is transmitted through a telecommunications network still often aids in criminal investigations.

Before the legislator considers to expand data retention regulations, it may be worth considering whether there is other information available at third parties that can be collected to identify internet users. People also often have to login to make use of the internet access service which may provide for leads and there may be camera footage available for example. The regulations for the retention of internet data must be reviewed on its own merits, because it is simply not the same as telephony data. The future will tell us how the legislators respond to the research findings of the report. The Dutch minister of Security and Justice already announced he will review in the coming months whether expanding the list of data retention is desirable.

Surveilleren en opsporen op internet

jjoerlemans Een reactie plaatsen

Posted on 10/09/2012 op Oerlemansblog

Mag de politie in het kader van toezicht stelselmatig gegevens vergaren uit open bronnen van internet? In hoeverre mogen politie en justitie gegevens van internet verzamelen over (groepen) mensen in het kader van opsporing? In het tijdschrift Justitiële Verkenningen (nr. 5, 2012, p. 35-49) gaan Bert-Jaap Koops en ik op deze vragen in. In dit blogbericht wil ik kort de belangrijkste punten uit het artikel behandelen. Het gehele artikel is hier te downloaden (.pdf).

‘De politie mag onbeperkt gegevens van internet vergaren’

In de praktijk lijken sommige politieambtenaren de indruk te hebben dat alles wat op internet in open bronnen is te vinden gebruikt mag worden voor toezicht- en opsporingsdoeleinden. In het artikel trachten wij duidelijk te maken dat dit niet het geval is, omdat het handelen van de politie specifiek geregeld is in wet- en regelgeving. De hoofdregel daarbij is dat daar waar een meer dan geringe inbreuk in de persoonlijke levenssfeer van mensen wordt gemaakt, een specifieke wettelijke regeling voorhanden moet zijn. Koops en ik hebben de indruk dat bij het monitoren van gegevens van mensen op internet voor toezichtdoeleinden al snel een meer dan geringe privacyinbreuk wordt gemaakt en daar op dit moment geen afdoende wettelijke regeling voor is.

Bij surveilleren en opsporen op internet gaat het allang niet meer om een ‘Googelende opsporingsambtenaar’, maar om politiesystemen waarmee snel en efficiënt gegevens op internet kunnen worden afgestruind op zoek naar de relevante informatie. Het is niet helemaal duidelijk wat de politiesystemen precies kunnen en wat met een ‘near real time Internet monitoring service’ wordt bedoelt, maar documenten die zijn vrijgekomen na een Wob-verzoek op de website van het NCTB lichten een tipje van de sluier op.

Wij zijn met betrekking tot het vergaren van gegevens op internet met geautomatiseerde ICT-toepassingen van mening dat het gebruik van deze systemen op basis van art. 2 Politiewet 1993 onvoldoende voorzienbaar is voor burgers en de wetgever zich moet uitspreken over deze gegevensverwerkingen. Als zij vinden dat het gebruik van deze systemen noodzakelijk is voor een effectief politieoptreden zou zij daarvoor (naar onze mening) een nieuwe wettelijke grondslag met waarborgen voor het gebruik daarvan moeten creëren.

Opsporen op internet

Het vergaren van gegevens op internet voor toezichtsdoeleinden moet in theorie gescheiden worden van het vergaren van gegevens voor opsporingsdoeleinden. Soms lopen de twee in elkaar over, maar op dit moment is het zo dat in kader van opsporing de politie (meestal in opdracht van een officier van justitie) meer ernstige privacyinbreuken mogen worden gemaakt door middel van toepassing van  bijzondere  0psporingsbevoegdheden. Al eind jaren ‘90 heeft de wetgever met de Wet bijzondere opsporingsbevoegdheden ( Wet BOB ) te kennen gegeven dat opsporingsbevoegden ook op internet mogen worden toegepast. Het is echter niet helemaal duidelijk wat de reikwijdte van deze bevoegdheden in een internetomgeving precies is.

Op dit moment lijkt het afhankelijk van de interpretatie van opsporingsambtenaren (en soms een officier van justitie als die erbij betrokken wordt) hoe ver ze kunnen gaan bij het vergaren van informatie op internet. Er is ook opvallend weinig jurisprudentie over voorhanden, behalve één gepubliceerde zaak waarbij de rechter te kennen gaf dat een opsporingsambtenaar van Google Earth in zijn onderzoek gebruik mag maken. Tegelijkertijd gaf de rechter aan dat ‘de bevoegdheid om rond te kijken in een openbaar netwerk niet de bevoegdheid impliceert om stelselmatig voor de uitoefening van de politietaak gegevens van internet te downloaden en in een politieregister op te slaan’.

Koops en ik zijn het zelf ook niet helemaal over eens op welk moment nu precies bij het vergaren van gegevens uit open bronnen op internet een meer dan geringe inbreuk wordt gemaakt op de persoonlijke levenssfeer van de betrokkenen. Dit leggen we in het artikel ook uit. Wel zijn wij het er over eens dat het criterium van een ‘meer dan geringe privacyinbreuk’ leidend is en dat wanneer daarvan sprake is het vergaren van gegevens door de politie zou kunnen worden ondergebracht onder de bijzondere opsporingsbevoegdheid van stelselmatige observatie (art. 126g Sv). Maar zelfs die bijzondere opsporingsbevoegdheid slaat niet naadloos aan bij de opsporingshandeling van politie en justitie op internet. Dit zetten we in het artikel verder uiteen.

Daarom concluderen we dat: ‘de wetgever deze problematiek bewust moet analyseren en zich daarbij moeten baseren op de huidige internetomgeving, die veel verder is ontwikkeld en er anders uitziet dan in 2000 het geval was’ (p. 47). Eventueel zou voor opsporen op internet het criterium ‘stelselmatigheid’, waarbij een ‘min of meer volledig beeld van een bepaald aspect van het leven van een persoon wordt verkregen’ leidend kunnen blijven. Daarbij zou de bijzondere opsporingsbevoegdheid van stelselmatige observatie toegepast kunnen blijven worden, maar het is wenselijk als de wetgever dit expliciet maakt (om ongewenste interpretaties van de wet te voorkomen) of een andere wettelijke grondslag voor de opsporingshandeling creëert. In de tussentijd kunnen advocaten met een actieve proceshouding de opsporingspraktijk aan de kaak stellen. Rechters zullen zich daar vervolgens moeten over uitspreken, waardoor het wet- en regelgevingskader voor surveilleren en opsporen op internet meer helder wordt.

Debat over aftappen

jjoerlemans Een reactie plaatsen

Posted on 05/06/2012 on Oerlemansblog

Twee weken geleden (23 mei 2012) heb ik een seminar bijgewoond over aftappen naar aanleiding van het WODC-onderzoek ‘het gebruik van de telefoon- en internettap in de opsporing‘. De media schreef over het rapport met name dat ‘Nederland koploper in aftappen is’ (zie bijvoorbeeld nu.nl).

Kamerleden duikelden vervolgens over elkaar heen om in de media te herhalen dat het een schande is dat Nederlands koploper is en de notificatieplicht moet worden nagekomen. Andere onderzoeksresultaten uit het rapport zijn verder nauwelijks ter sprake gekomen. In dit bericht wil ik daar enkele opmerkingen over maken.

Telefoontap minder effectief?

Al voor het seminar begon en het rapport officieel aan het publiek beschikbaar werd gesteld kwam de Volkskrant al met het bericht dat de ‘telefoontap steeds minder effectief wordt’. Dat was misschien niet zo netjes van de Volkskrant, maar het haalde wel een belangrijke boodschap uit het rapport. Namelijk dat steeds meer mensen van andere communicatiemiddelen dan de telefoon gebruik maken en daardoor niet alle communicatie meer over de reguliere tap komt. Het is daarom niet verbazend dat opsporingsdiensten meer van de internettap gebruik zijn gaan maken en het aantal ingezette internettaps is verdubbeld van 1704 taps in 2010 naar 3331 taps in 2011. Volgens de demissionaire regering (brief van 25 mei 2012, Kamerstukken II 2011/12, 30 517, nr. 25)is dat te verklaren door de toename van het gebruik van internettoepassingen op smartphones. De WODC-onderzoekers geven aan dat door gebrek aan capaciteit en kennis bij de politie het aantal ingezette internettaps nog relatief laag is gebleven.

De vermeende ineffectiviteit heeft niet geleid tot een daling van het aantal taps. De traditionele telefoontap is zelfs meer ingezet dan ooit (van 22006 in 2010 naar 24718 in 2011). De telefoontap blijkt nog steeds een effectieve opsporingsmethode te zijn. In de brief van de regering wordt bevestigd dat de telefoontap vooral nuttig indirect bewijsmateriaal oplevert. Soms geeft het ook aanleiding tot een effectieve en efficiënte inzet van andere opsporingsbevoegdheden. Tijdens het seminar werd ook door een officier van justitie toegelicht dat een verdachte soms wel van 8 prepaid telefoons gebruik maakt en dat kan ook (deels) een verklaring leveren voor het hoge aantal ingezette taps. Persoonlijk kreeg ik bij het seminar de indruk (door het gebrek aan debat daarover) dat de internettap nog niet zo’n grote rol speelt in opsporingsonderzoeken. Deze opsporingsbevoegdheid is volgens mij vooral relevant in de meer high tech opsporingsonderzoeken waarbij verdachten voornamelijk via internet communiceren. Afgevraagd kan worden of dit in de toekomst gaat veranderen als steeds meer mensen voor hun communicatie vooral van internet gebruik maken. Ik denk dat het belangrijk is daar nu al over na te denken en debat te voeren.

De overwegingen in de brief van de regering over de internettap vond ik zelf wel interessant en die wil ik hier nog kort uitlichtten. Over de internettap werd gezegd dat inmiddels ‘geselecteerde internettoepassingen’ kunnen worden afgetapt, waardoor niet het gehele netwerkverkeer hoeft te worden geanalyseerd. Naast dat dit efficiënter is, komt dat natuurlijk ook de privacy van de betrokkene ten goede. Opstelten geeft nogmaals aan ‘zowel nationaal als internationaal wordt onderzocht of er aanpassing van wet- en regelgeving nodig is om ook op internet de juiste mogelijkheden te hebben voor de opsporing’. Voor het zomerreces moet de Kamer daarover worden geïnformeerd.

In mijn eigen artikel over de internettap geef ik aan dat door versleuteling het in toenemende mate lastig wordt de inhoud van communicatie via internet af te tappen. Tegelijkertijd kan met de inzet van alternatieve opsporingsmethoden veel worden bereikt. De bijzondere opsporingsbevoegdheid van direct afluisteren (artikel 126l Sv), inclusief de mogelijkheid tot het plaatsen van een keylogger, biedt mogelijk een interessant alternatief om het probleem van versleuteling te omzeilen. De opsporingsbevoegdheid mag in een woning echter slechts worden toegepast bij misdrijven waar een gevangenisstraf van 8 jaar of meer op staat. De praktische toepassing van deze opsporingsmethode is daardoor beperkt. In de Verenigde Staten wordt wellicht vaker van deze opsporingsmethode gebruik gemaakt om het probleem van versleuteling te omzeilen. Zie bijvoorbeeld ook deze analyse cryptografiedeskundige Matt Blaze over de Amerikaanse ‘wiretap report’ van 2010 (die van 2011 verschijnt hopelijk later deze maand).

Het is mij niet duidelijk geworden in hoeverre opsporingsdiensten in Nederland concreet gehinderd worden door versleuteling. Ook ben ik benieuwd in hoeverre de nieuwe versie van het IP-protocol (IPv6) in de nabije toekomst mogelijk een probleem gaat vormen voor opsporingsdiensten. Wellicht zou de Nederlandse politie daar over wat meer kunnen zeggen naar voorbeeld van hun overzeese collega’s. In de Verenigde Staten probeert de FBI namelijk duidelijk te maken dat dit wel degelijk een probleem is. Zie daarover bijvoorbeeld dit interessante bericht op CNET.

Reactie Kamerleden

Van de reactie van Kamerleden had ik om eerlijk te zijn wel wat meer verwacht. Kamerlid El Fassed stuurde twee dagen voor het verschijnen van het rapport een viertal Kamervragen in. In mijn ogen maakt hij terecht een punt over het verschaffen van transparantie over het aantal vorderingen van gegevens bij sociale mediadiensten. Ik zie niet in hoe informatie over het aantal verzoeken tot gevolg kan hebben dat verdachten hun gedrag daarop zouden aanpassen, zoals staatssecretaris Teeven eerder heeft aangegeven.

Daarnaast stelt El Fassed de vraag of het niet verstandig zou zijn of voor het aftappen van telefoons en sociale media door opsporingsautoriteiten dezelfde voorwaarden moeten gelden. Blijkbaar is El Fassed of GroenLinks niet goed op de hoogte van de wetgeving. Sociale mediadiensten zijn (vooralsnog?) niet aftapplichtig; daar kunnen slechts gegevens worden gevorderd. Voor het vorderen van opgeslagen gegevens (o.g.v. artikel 126ng lid 2 Sv) gelden verder dezelfde voorwaarden als voor een telecommunicatietap. Dit heb ik overigens ook uitvoerig uiteen gezet in mijn artikel over de internettap.

Persoonlijk vind ik het jammer dat een debat over de niet-aftapbaarheid van telecommunicatie en telecommunicatiediensten die zich soms aan de aftapplicht lijken te onttrekken is uitgebleven. Wat mij betreft zijn dit ook belangrijke vragen waar over gediscussieerd moet worden. Wellicht biedt de toekomstige brief van Opstelten over opsporingsbevoegdheden op internet hiervoor een mooie aanleiding.

De Belgische ‘online doorzoeking’

jjoerlemans Een reactie plaatsen

Posted on 19/04/2012 on Oerlemansblog

In België wordt in artikel 88ter Wetboek van Strafvordering de zogenaamde ‘netwerkzoeking’ geregeld. Aan het artikel kan een zeer brede betekenis worden toegekend. Zelfs zo breed dat het de grondslag zou kunnen vormen van tot een ‘online doorzoeking’ in het buitenland.

In dit blogbericht wil ik de bevoegdheid kort analyseren en een vergelijking maken met het Nederlandse equivalent zoals geregeld in artikel 125j van het Nederlandse Wetboek van Strafvordering. Daarbij wil ik opmerken dat het slechts mijn eerste gedachten zijn over het onderwerp. Als iemand mij kan en wil verbeteren, dan graag! .

Belgische netwerkzoeking

De Belgische netwerkzoeking is een op zichzelf staande opsporingsbevoegdheid en geen opsporingsbevoegdheid die slechts in het verlengde staat van een andere bevoegdheid, zoals een huiszoeking of doorzoeking ter vastlegging van gegevens. Wel kan een machtiging tot een netwerkzoeking door een rechter tijdens een zoeking worden afgegeven als blijkt dat een betrokken verdachte van een bepaalde systemen gebruik maakt om daar vervolgens een zoeking te doen. De zoeking zou elke mogelijke technische en procedurele vorm kunnen inhouden en daarmee zijn de mogelijkheden van opsporingsbevoegdheid zeer breed.

Zelfs zo breed dat in literatuur (Zie voor een heldere uitleg bijvoorbeeld J. Kerkhofs & P. van Linthout, ‘Cybercriminaliteit doorgelicht’, Tijdschrift voor Strafrecht 2010, nr. 4, pp. 179-199) als voorbeeld wordt genoemd dat met een voorhanden inlognaam en wachtwoord ook de webmail van een verdachte (bijvoorbeeld Gmail en Hotmail) kan worden onderzocht. Denkbaar is dat opsporingsambtenaren zo’n inlognaam en wachtwoord tijdens een huiszoeking op een briefje ergens vinden, tijdens een tap wordt onderschept, of zelfs met software of een ‘bug’ op het toetsenbord wordt onderschept (als die opsporingsmethode tenminste in de wetgeving mogelijk is gemaakt). Met de netwerkzoeking-bevoegdheid zou dan volgens de Belgen op het geautomatiseerde werk (in casu de webserver) een zoeking kunnen plaatsvinden.

Dit vind ik een bepaald vergaande bevoegdheid dat mijns inziens wel degelijk op hacken als opsporingsbevoegdheid neerkomt. Er wordt immers onder een valse hoedanigheid een (persoonlijk) geautomatiseerd werk van een verdachte binnengedrongen. Het idee is volgens mij dat, omdat er een wettelijke bevoegdheid (in België) voorhanden is voor een dergelijke opsporingshandeling geen sprake van het delict (hacken) zou zijn. De opsporingsmethode zelf komt in het spraakgebruik nog steeds neer op hacken. Bovendien wordt in bepaalde gevallen in feite op een geautomatiseerd systeem (server) van een bedrijf gezocht die daarvoor geen toestemming heeft geven en wellicht in het buitenland staat. Zowel het betrokken bedrijf of de betrokken staat kan dat nog steeds als een delict of inbreuk op haar soevereiniteit zien. De enige beperking van de netwerkzoeking lijkt te zijn dat niet op slinkse wijze of met een technische voorziening computers gehackt mogen worden. De toegang moet dus rechtmatig verkregen zijn, bijvoorbeeld door het vergaren van de inloggegeven met een andere opsporingsbevoegdheid. Ik vraag mij af of het ook mogelijk zou zijn netwerken overal ter wereld te doorzoeken, indien een systeembeheerder daar bijvoorbeeld toegang toe heeft en de toegangscodes aan opsporingsinstanties afgeeft. Hopelijk wordt dat dan wel even met een jurist van het betrokken bedrijf overlegt.

België heeft het Cybercrimeverdrag niet geratificeerd waarin verdragstaten overeen
zijn gekomen dat gegevens slechts met voorafgaande toestemming van de rechthebbende
of met rechtshulp grensoverschrijdend gegevens kunnen worden verkregen. De partijen waren er tijdens de onderhandeling niet uitgekomen dat een grensoverschrijdende netwerkzoeking mogelijk zou zijn, wellicht omdat zij zich in hun soevereiniteit geschonden voelen. Dat betekent dat de normale volkenrechtelijke regels gelden en strafvorderlijke bevoegdheden in principe niet over de grens mogen worden toegepast. De kans bestaat naar mijn mening dat een andere staat of bedrijf naar aanleiding van zo’n actie de Belgische Staat voor een (internationale?) rechter sleept. Het is blijkbaar de bedoeling dat bij de Belgische netwerkzoeking de verantwoordelijke voor het systeem waar een zoeking plaatsvindt geïnformeerd wordt. Dit is echter alleen noodzakelijk indien de identiteit van de verantwoordelijke redelijkerwijze kan worden vastgesteld. De
auteurs Kerkhofs en Linthout wijzen er tevens op dat voor de bepaling geen termijn voor de informering voorschrijft en niet op straffe van een sanctie is voorgeschreven.

Netwerkzoeking in Nederland

Naar aanleiding van het bovenstaande moet natuurlijk afgevraagd worden of in Nederland ook met het equivalent van de Belgische netwerkzoeking in het buitenland systemen mogen worden doorzoeken. Uit de wettekst zelf en wetsgeschiedenis kan worden afgeleid artikel 125j Sv een netwerkzoeking mogelijk maakt als vervolg van de inzet van een bevoegdheid tot het doorzoeken ter vastlegging van gegevens zoals geregeld in artikel 125i Sv. Indien bijvoorbeeld een doorzoeking ter vastlegging van gegevens plaatsvindt op een computer bij een bedrijf, dan kan de doorzoeking zich tevens uitstrekken tot andere computers binnen een bedrijfsnetwerk of zelfs met computers die met het netwerk verbonden zijn en binnen Nederlands territoir bevinden. De bevoegdheid kan alleen worden ingezet indien wordt vermoed dat bepaalde gegevens op die andere computers gevonden zullen worden. Deze laatste eis geldt echter ook in België.

De Nederlandse bevoegdheid tot een netwerkzoeking is daardoor beperkter in zijn aard dan de Belgische (zie ook Koops, in ‘De dynamiek van cybercrime-wetgeving in Europa en Nederland’, p. 17 en 18). Andere opsporingsbevoegdheden bieden naar mijn mening tevens onvoldoende legitimatie tot het op afstand doorzoeken van gegevens op een geautomatiseerd werk (zie ook dit artikel van mij en dit blogbericht).


Conclusie

De Belgische netwerkzoeking kan onder omstandigheden een ‘online doorzoeking’ in het buitenland mogelijk maken. In Nederland is deze opsporingshandeling naar mijn mening niet toegestaan, omdat de Nederlandse netwerkzoeking geen op zichzelf staande opsporingsbevoegdheid is en hacken (nog) geen opsporingsbevoegdheid is.

Naar mijn mening is de Belgische netwerkzoeking zeer vergaand, maar pragmatisch. Het biedt opsporingsambtenaren de mogelijkheid grensoverschrijdend gegevens te vergaren in dezelfde systemen als waar een verdachte gebruik van maakt, mits rechtmatig toegang wordt verkregen tot die systemen op basis van andere bevoegdheden. Echter, het kan leiden tot een ontransparante opsporingspraktijk waarbij heimelijk informatie wordt vergaard (al dan niet in het buitenland). Zelfs als een brave Belgische opsporingsambtenaar de verantwoordelijke over het gebruik van de bevoegdheid inlicht vindt het bedrijf het wellicht niet voldoende aanleiding (of te veel moeite?) om er een probleem van te maken of een procedure te starten. Indien dergelijke opsporingshandelingen niet via officiële rechtshulpverzoeken gaan worden de opsporingshandelingen die een inbreuk maken op de persoonlijke levenssfeer van de betrokken aan het toezicht van de betrokken staat onttrokken. Dit kan de rechtsbescherming van de betrokkene in gevaar brengen, zeker wanneer de verdachte zich op territoir buiten België bevindt. Inzet van de opsporingsmethode kan leiden tot
diplomatieke spanningen als een staat van de netwerkzoeking op de hoogte raakt. Daarbij moet wel worden aangetekend dat dit afhankelijk is van de omstandigheden van het geval, de afspraken die onderling zijn gemaakt en de opsporingspraktijk. Ik ben daarom heel benieuwd hoe de bevoegdheid in de praktijk gaat uitwerken en in hoeverre hier procedures uit volgen.

Nieuwe aanpak van kinderpornografie

jjoerlemans Een reactie plaatsen

Posted on 13/07/2011 op Oerlemansblog

De minister van Veiligheid en Justitie heeft per brief op 10 juni 2011 de Kamer bericht over de aanpak van kinderpornografie met betrekking tot de toezeggingen die zijn gedaan in het Algemeen Overleg van 17 mei 2011. Het nieuwe beleid is voor een groot deel gebaseerd op het rapport ‘Kinderporno aangepakt’ van de politie. Wel gaat Opstelten in de brief nog uitgebreid in op de strafbaarstelling van virtuele kinderpornografie en het afgeven van een ontsleutelbevel aan de verdachte. In dit bericht wordt ingegaan op de juridische aspecten met betrekking tot de nieuwe aanpak van kinderpornografie.

Focusverschuiving

Volgens de minister moet ‘de impact en het effect van de aanpak op de slachtoffers van seksueel misbruik centraal komen te staan en niet de omvang van de output van de verwerking van de werkvoorraad van de politie’. Om dat effect te bewerkstelligen wordt het politiebestel dat zich bezighoudt met de bestrijding van kinderpornografie drastisch gereorganiseerd.

De organisatie moet per 1 januari 2012 bestaan uit een nationale unit dat zich o.a. bezighoudt met innovatie en specialistische taken (zoals techniek, internetsurveillance, werken-onder-dekmantal, etc.), opsporing op internet van kinderpornografiezaken (o.a. bijdrage aan internationale zaken), en relaties met derden zoals buitenland (intake in/uit en samenwerking met Europol en Interpol) en private partijen. De 10 regionale units moeten zich bezighouden met de bestrijding van misbruik door identificatie van Nederlandse slachtoffers, bestrijden van productie, verspreiding en downloaden van kinderporno, en doorrechercheren (rapport ‘Kinderporno aangepakt’, p. 20 e.v.).

Deze nieuwe organisatie moet een focusverlegging naar pleger, producent en (commercieel) verspreider van kinderpornografie en het achterhalen van slachtoffers beter bewerkstelligen. Toch merkt de Minister in de brief op: “Uw Kamer heeft terecht aangegeven dat bij de focusverlegging aandacht voor zogenaamde downloadzaken geboden blijft en daar ben ik het mee. Daarvoor moeten wel ook andere afdoeningen worden ingezet”. De Minister doelt hier op het bewerkstelligen van een ‘barrièremodel’ en het op een ‘buitenstrafrechtelijke manier afdoen’ van zaken met downloaders van kinderpornografie. Mij is nog onduidelijk wat dit precies betekent en ik kan dan ook niet inschatten in hoeverre deze maatregelen juridisch gezien door de beugel kunnen. Ook streeft de Minister na dat 25% meer kinderpornozaken in 2014 worden afgehandeld. Dit streven lijkt mij wel heel ambitieus als tegelijkertijd meer zaken met verspreiders en vervaardigers moeten worden afgehandeld in plaats van bezitters van kinderporno en daarnaast op zaken met aanwijzingen van misbruik altijd lokaal gerechercheerd moeten worden. Dat zal veel meer capaciteit en expertise kosten en ten koste gaan van het aantal zaken dat kan worden afgehandeld (zie ook p. 49 van mijn scriptie over dit onderwerp).

De capaciteit aan mensen die zich bezighouden met de bestrijding van kinderpornografie wordt verdubbeld met 75 FTE tot en met 150 FTE. Dit wordt naar verluidt geregeld door een interne herverdeling in de politieorganisatie. De capaciteitsuitbreiding en het versterken van de aanpak van kinderpornografie op nationaal niveau vind ik wenselijk en waren dan ook aanbevelingen uit mijn onderzoek in februari 2010 naar de bestrijding van kinderpornografie op internet. Zie in dat kader ook dit artikel van mij.

Vooralsnog wordt vooral reactief opgespoord na meldingen van buitenlandse politiediensten, kinderpornomeldpunten, en aangifte vanuit de burgerij door vooral onderzoeken naar seksueel misbruik en meldingen van computerreparatiebedrijven (op dit moment goed voor meer dan 1400 zaken per jaar). Het proactief opsporen van kinderporno op internet wordt in het rapport afgedaan als ineffectief (p. 12): “De focus hierop richten zou de werkvoorraad kunnen verveelvoudigen, terwijl er weinige opsporingsmogelijkheden zijn om de betrokkenen – overigens vrijwel uitsluitend – buitenlandse slachtoffers en daders op te sporen”. Ik kan mij voorstellen dat daar niet de prioriteit op ligt, maar ik denk wel de toepassing van bijzondere opsporingsbevoegdheden op internet ten aanzien van Nederlandse verspreiders in georganiseerd verband (bijvoorbeeld binnen besloten netwerken) nadrukkelijker overwogen had moeten worden. Voor mijn part is dat een onderdeel van ‘doorrechercheren’ in plaats van ‘proactief rechercheren’.

Virtuele kinderporno

Opnieuw is er in kader van de aanpak van kinderporno tot een uitbreiding van het begrip
kinderpornografie gekomen. In vrij recente wijzigingen was de leeftijd al verhoogd van 16 naar 18 jaar en sinds 1 januari 2010 is het ‘toegang verschaffen tot kinderporno’ strafbaar. Virtuele kinderpornografie werd in 2006 strafbaar gesteld door toevoeging van het zinsdeel ‘of schijnbaar betrokken’ uit artikel 240b Sr na ratificatie van een optioneel artikel in het Cybercrime verdrag. Destijds was een belangrijke reden voor de strafbaarstelling dat het OM niet meer hoefde te bewijzen dat kinderpornografie ‘levensecht’ is. Nu hoeft virtuele kinderpornografie niet meer ‘levensecht’, maar slechts ‘realistisch’ te zijn. Voldoende is dat de afbeeldingen ‘dermate realistisch zijn dat die kunnen worden gebruikt om kinderen aan te moedigen of te verleiden om deel te nemen aan seksueel gedrag of gedrag dat deel kan gaan uitmaken van een subcultuur die seksueel misbruik van kinderen bevordert. Tevens moeten die afbeeldingen onmiskenbaar en naar objectieve maatstaven bezien zijn bedoeld tot het opwekken van seksuele prikkeling of andere seksuele doeleinden.’ Dit nieuwe criterium kan worden afgeleid uit de uitspraak van Rb. Rotterdam van 31 maart 2011 (LJN BP9776).

De Minister sluit daarbij aan en verwijst naar de ratio van de strafbaarstelling van kinderporno uit het recentelijk geratificeerde verdrag van Lanzarote. De Minister merkt in de brief nog op: “Door nadruk te leggen op een ruime uitleg van de strafbaarstelling van virtuele kinderpornografie zal worden bevorderd dat meer zaken van virtuele kinderpornografie aan de rechter worden opgelegd.” Afgevraagd moet worden hoe zich dit rijmt met de focusverlegging naar verspreiders en vervaardigers van kinderpornografie en de focus op seksueel misbruik van de slachtoffers van kinderpornografie.

In een uitstekende scriptie heeft Emiel van Dongen in 2009 veel kritiek geleverd op de strafbaarstelling van virtuele kinderpornografie wegens de ‘promotie van een subcultuur van seksueel misbruik van kinderen’. Hij stelt dat meer onderzoek moet worden gedaan naar het waarheidsgehalte van de aannames rondom aanmoediging of de vorming van een markt, klimaat of subcultuur ten aanzien van virtuele kinderpornografie. Moerings waarschuwde bovendien al in 2003 de overheid zich hiermee op glad ijs begeeft: “zij draagt in feite argumenten aan die ook benut kunnen worden om pornografie, waar volwassenen zijn betrokken, onder de werking van de het strafrecht te brengen. Hiermee krijgt zij mogelijk inmiddels bejaarde feministen uit de jaren zeventig achter zich, die zich keerden tegen pornografie waarin de vrouw als lustobject werd afgebeeld en die de weg naar seksuele onderdrukking en uitbuiting verder open zette.” (M. Moerings, ‘Virtuele kinderporno’,  Ars Aequi 2003, p. 29).

Onduidelijk is waar nu de grens ligt van virtuele kinderpornografie. In het verleden kon nog gezegd worden dat strips, tekeningen, cartoons en schilderijen uitdrukkelijk buiten de strafbaarstelling vielen. Nu niet meer. Vallen bijvoorbeeld de typisch Japanse sekscartoon-video’s  (‘Hentai’) nu onder kinderpornografie? Dit komt niet ten goede aan de rechtszekerheid.

Ontsleutelbevel verdachte

Tijdens het Algemeen Overleg van 17 mei 2011 heeft Kamerlid Van Toorenburg van de CDA-fractie gepleit voor wetgeving die voorziet in mogelijkheden om verdachten in kinderpornozaken te verplichten om versleutelde gegevens op gegevensdragers die in beslag zijn genomen, toegankelijk te maken. Daarbij werd verwezen naar artikel 49 van de Regulation of Investigatory Powers Act 2000 uit het Verenigd Koninkrijk. De verdachte mag een ontsleutelbevel worden gegeven indien dat in het belang is van de nationale veiligheid, het voorkomen of opsporen van misdrijven tegen de zeden of de economische welvaart van het Verenigde Koninkrijk. Daar is een machtiging van de rechter voor vereist. De verdachte dient na de vordering de encryptiesleutel, of de ontsleutelde gegevens, te overhandigen aan de opsporingsautoriteiten. Indien niet wordt voldoen aan het bevel staat daar een maximum gevangenisstraf van 5 jaar tegenover bij misdrijven tegen de zeden (waaronder kinderpornografie) en van de nationale veiligheid. In overige gevallen bedraagt het strafmaximum 2 jaar.

In de brief zegt Opstelten toe verder in overleg te treden met het Verenigd Koninkrijk over de effectiviteit van de regeling en onderzoekt hij (terecht) tevens hoe het ontsleutelbevel zich verhoudt tot het nemo tenturbeginsel (men hoeft niet mee te werken aan de eigen veroordeling). De minister geeft aan de ervaringen in het Verenigd Koninkrijk met de bevoegdheid ‘gevarieerd’ zijn. Of de bezitter de sleutel daadwerkelijk afgeeft, is afhankelijk van de ernst van de zaak. De minister onderzoekt de wenselijkheid van de maatregel en neemt daarbij mee voor welke delicten het zou moeten gelden en welke procedurele waarborgen voor een zorgvuldige toepassing wenselijk zijn. Ook alternatieven worden overwogen en in de eerstvolgende voortgangsbrief over de aanpak van kinderpornografie worden we hier nader over geïnformeerd.

Belangrijk is te realiseren dat deze discussie niet nieuw is. Rond 1999 speelde de discussie ook en achtte de toenmalige Minister van Justitie het verplichten van de verdachte aan ontsleuteling ‘een stap te ver gaan’; de verklaringsvrijheid en zwijgrecht van de verdachte waren namelijk in het geding (Kamerstukken II 1998/99, 26 671, nr. 3 (MvT), p. 26). In 2000 heeft Bert-Jaap Koops een uitgebreid onderzoek gedaan naar de relatie tussen het nemo tenetur-beginsel en de ontsleutelplicht (B.J. Koops, Verdachte en ontsleutelplicht: hoe ver reikt nemo tenetur?, Deventer: Kluwer 2000, (ITeR-Reeks, nr. 31).

Koops geeft overtuigende argumenten waarom het ontsleutelbevel een ontoelaatbare inbreuk geeft op het nemo tenetur-beginsel: “de aard en omvang van het probleem zouden zeer ernstig moeten zijn, willen zij opwegen tegen de inbreuk op de kern van nemo tenetur en systeem van de wet, en er zijn geen afdoende gegevens dat het cryptoprobleem  voor de opsporing ook maar in de buurt komt van een dermate ernstige opsporingsprobleem. En zelfs als zouden er aanwijzingen zijn dat cryptografie in ernstige mate veel belangrijke opsporingsonderzoeken definitief zou belemmeren, dan nog zou een ontsleutelplicht mank gaan aan gebrekkige effectiviteit vanwege de handhavingproblemen.” (Koops 2000, p. 98). Hij geeft bijvoorbeeld aan dat het OM zou moeten bewijzen dat de verdachte opzettelijk kennis achterhoudt over de sleutel. Het verweer: “Sorry, ik ben het vergeten”, is dan al zeer moeilijk te weerleggen (Koops 2000, p. 82 en 83). Zie ook de blog van crypto-deskundige Ronald Prins over de voorgestelde maatregel.

Nu is het wel zo dat het versleutelprobleem in de laatste jaren is toegenomen. Versleuteling vormt zowel een probleem bij communicatie (bijvoorbeeld bij versleutelde VoIP-telefonie) en gegevensdragers (versleutelde harde schijven met bijvoorbeeld kinderpornografie). In het kader van de nieuwe actualiteit van de problematiek en gewijzigde jurisprudentie rond het zwijgrecht is het lastig aan te geven of de maatregel van een ontsleutelplicht aan de verdachte juridisch mogelijk is. Wel is duidelijk dat het een nogal drastische maatregel is, waarbij bovendien veel mensen zich in hun privacy voelen geschaad. Misschien moet we op dit punt gewoon principieel zijn. Het is van Opstelten in elk geval verstandig niet overhaast de maatregel door te voeren en de effectiviteit van de maatregel goed te onderzoeken.

Persoonlijk zie ik meer in een alternatieve oplossing zoals het plaatsen van een hardwarematige of softwarematige ‘bug’ onder de bevoegdheid van direct afluisteren teneinde toetsaanslagen en daarmee ook wachtwoorden af te vangen. Het probleem daarmee is natuurlijk dat politie en justitie pas nadat de gegevensdrager in beslag genomen er achter komt dat het werk versleuteld is. In het kader van ‘niet-proactief’ rechercheren kan dat nog lastig worden!

Conclusie

Een nieuwe aanpak van kinderpornografie zou dit keer daadwerkelijk bewerkstelligd kunnen worden door de drastische veranderingen die in de politieorganisatie worden doorgevoerd. De regionale focus bij aanwijzingen van misbruik en de toegezegde focusverlegging van bezitter naar verspreiders en vervaardigers vind ik zeer terecht.

Een beetje tegenstrijdig vind ik het echter het streven naar 25% meer zaken in 2014 van de minister en de nadruk op meer vervolgingen voor virtuele kinderpornografie. Naar mijn idee kan je niet álles oppakken en moeten soms (harde) keuzes worden gemaakt. Ook had ik graag gezien dat de mogelijkheden voor het inzetten van opsporingsbevoegdheden op internet bij verspreiders van kinderpornografie die in georganiseerd verband werken nadrukkelijker werd overwogen.

Het ontsleutelbevel aan de verdachte is juridisch een lastig punt en ik hoop dat de overwegingen in de discussie rond 2000 door de regering worden meegenomen. Hopelijk vertalen de drastische maatregelen zich in een effectievere aanpak van kinderpornografie in Nederland.