Op 27 maart 2023 heeft Europol het rapport ‘ChatGPT. The impact of Large Language Model on Law Enforcement’ gepubliceerd.
ChatGPT (versie GPT-3.5) kan tekst verwerken en genereren in antwoord op opdrachten (‘prompts’) van gebruikers. Het kan vragen beantwoorden over uiteenlopende onderwerpen, tekst vertalen, conversaties aangaan en tekst samenvatten om de belangrijkste punten aan te geven. Het kan daarnaast sentimentanalyse uitvoeren, tekst genereren op basis van een gegeven opdracht (bijvoorbeeld een verhaal of gedicht schrijven), en code uitleggen, produceren en verbeteren in enkele van de meest gangbare programmeertalen (Python, Java, C++, JavaScript, PHP, Ruby, HTML, CSS, SQL). In essentie is ChatGPT dus erg goed in het begrijpen van menselijke input, rekening houdend met de context, en het produceren van bruikbare antwoorden. In maart 2023 lanceerde het bedrijf OpenAI overigens voor abonnees van ChatGPT Plus zijn nieuwste model, GPT-4. Volgens OpenAI is GPT-4 in staat om meer geavanceerde problemen nauwkeuriger op te lossen en kan het beelden als input verwerken, classificeren en analyseren.
De beveiligingsmechanismen van ChatGPT om kwaadwillend gebruik van het model te beperken kunnen relatief eenvoudig worden omzeild. Volgens Europol kan ChatGPT worden gebruikt om verschillende soorten misdrijven beter uit te voeren. Als een potentiële crimineel niets weet over een bepaald misdaadgebied, kan ChatGPT het onderzoeksproces aanzienlijk versnellen door het aanbieden van belangrijke informatie die dan in volgende stappen verder kunnen worden onderzocht. Als zodanig kan ChatGPT worden gebruikt om te leren over een groot aantal potentiële misdaadgebieden zonder voorkennis. Het biedt nieuwe mogelijkheden, met name voor misdrijven door middel van ‘social engineering’, phishing en online fraude, maar ook voor het genereren van propaganda, desinformatie en nepnieuws.
Waarbij vroeger bijvoorbeeld een eenvoudige phishing-zwendel gemakkelijker was op te sporen vanwege duidelijke grammaticale en spelfouten, is het nu mogelijk om zich op een zeer realistische manier voor te doen als een organisatie of individu, zelfs met slechts een basiskennis van de Engelse taal. Ook kan de stijl van berichten worden aangepast. Het vermogen van ChatGPT om natuurlijke taal te transformeren in werkende code werd snel uitgebuit door kwaadwillenden door code voor malware te produceren. Dit maakt ChatGPT volgens Europol tot een instrument voor cybercriminelen.
In de toekomst kan de universele beschikbaarheid van grote taalmodellen nog meer uitdagingen met zich meebrengen. Europol wijst op de integratie van andere AI-diensten (zoals voor het genereren van synthetische media). Een voorbeeld zijn multimodale AI-systemen, die conversationele chatbots combineren met systemen die synthetische media kunnen produceren, zoals zeer overtuigende deepfakes, of systemen die zintuiglijke vermogens zoals zien en horen omvatten. De Europese politiedienst wijst ook op de opkomst van “dark LLM’s”, die op het dark web kunnen worden gehost om een chatbot te leveren zonder enige beveiliging, alsmede LLM’s die worden getraind op bepaalde – wellicht bijzonder schadelijke – gegevens. Opsporingsinstanties zullen zich hierop moeten voorbereiden, onder andere door bewustwording en het ontwikkelen van vaardigheden om zelf deze technologie voor de eigen taakuitvoering te gebruiken.
Het wetsvoorstel dient met name de artikelen over zedendelicten te herstructureren, wat de inzichtelijkheid van deze titel in het Wetboek van Strafrecht ten goede komt. Hierna volgt een korte samenvatting van het wetsvoorstel met een focus op de computergerelateerde delicten.
Noodzaak wetswijziging
Het wetsvoorstel vervangt in Boek 2 van het Wetboek van Strafrecht de huidige Titel XIV Misdrijven tegen de zeden door een nieuwe Titel XIV Seksuele misdrijven. In deze titel wordt de strafrechtelijke aansprakelijkheid voor verschillende vormen van seksueel grensoverschrijdend gedrag opnieuw vastgesteld en begrensd. De strafrechtelijke bescherming tegen seksueel geweld (aanranding en verkrachting) wordt uitgebreid en gemoderniseerd. Online gepleegde seksuele misdrijven krijgen in de nieuwe titel een duidelijke plaats. Zowel de inhoud van de strafbepalingen als de wettelijke structuur wordt gemoderniseerd. Hiermee wordt tevens gevolg gegeven aan de aanbeveling uit het WODC-onderzoek ‘Herziening van de zedendelicten’ (zie K. Lindenberg & A.A van Dijk, Herziening van de zedendelicten. Een analyse van Titel XIV, Tweede Boek, Wetboek van Strafrecht met het oog op samenhang, complexiteit en normstelling, Zutphen: Paris 2016). Daarnaast verruimt dit wetsvoorstel de mogelijkheden om strafrechtelijk op te treden tegen seksueel getint overlast veroorzakend gedrag door seksuele intimidatie zelfstandig strafbaar te stellen als overtreding tegen de openbare orde.
De regering stelt de wijzigingen noodzakelijk zijn ‘als gevolg van verschillende maatschappelijke, technologische en juridische ontwikkelingen is de huidige zedenwetgeving verouderd geraakt. Mede onder invloed van internationale ontwikkelingen zijn de afgelopen jaren de opvattingen binnen onze samenleving over seksuele grensoverschrijding strikter geworden en zijn de grenzen over welk gedrag strafwaardig is verschoven. Daarnaast is de maatschappelijke aandacht voor en het bewustzijn van het leed dat slachtoffers van seksueel grensoverschrijdend gedrag wordt aangedaan toegenomen. Ook zijn als gevolg van technologische ontwikkelingen, andere en nieuwe (geheel of deels) online verschijningsvormen van seksuele grensoverschrijding ontstaan, waarvan in het bijzonder kinderen het risico lopen slachtoffer te worden. De huidige strafwet schiet als gevolg van voornoemde ontwikkelingen tekort’.
In de memorie van toelichting wordt over de online problematiek onder andere opgemerkt dat veel mensen slachtoffer zijn geworden. Uit de prevalentiemonitor blijkt dat in 2020 circa 770.000 personen aangaven slachtoffer te zijn geweest van online seksuele intimidatie. Hierbij gaat het om ongewenst seksueel gedrag dat plaatsvond via het internet, zoals via sociale media, WhatsApp, (video)chat of e-mail. Daarbij is bijvoorbeeld sprake van seksueel getinte opmerkingen of het ongewenst sturen naaktfoto’s – zoals een afbeelding van het mannelijk geslachtsdeel, ook wel een “dickpic” – of seksfilmpjes. Vrouwen waren vaker slachtoffer van seksuele intimidatie dan mannen en jongeren (met name 18- tot 24-jarigen) vaker dan ouderen. Van de 16- tot 18-jarige vrouwen gaf 29% aan met online seksuele intimidatie te maken hebben gehad. In de meeste situaties (92%) was de pleger iemand van buiten de huiselijke kring. Ongeveer de helft van de slachtoffers van online seksuele intimidatie had te maken met (een) onbekende pleger(s). De andere helft kende de pleger(s) wel.
Volgens de regering is het wetboek onvoldoende ingericht als er sprake is van seksueel geweld of seksueel misbruik, maar geen sprake is van fysiek seksueel contact tussen dader en slachtoffer. Deze vorm van seksuele interactie heeft de afgelopen jaren een vlucht genomen. Via een webcam kunnen mensen worden gedwongen of aangezet tot het verrichten van seksuele handelingen aan of met het eigen lichaam, zoals bij ‘sextortion’. Een andere online veelvoorkomende verschijningsvorm van seksueel kindermisbruik waarop de huidige strafwet onvoldoende is ingericht is het op indringende en niet leeftijdsconforme wijze mondeling of schriftelijk seksueel benaderen van kinderen. Dit wordt ook wel aangeduid als ‘sexchatting’. Hierbij gaat het om gedrag waarbij (nog) geen sprake is van seksueel misbruik waarbij handelingen aan of met het lichaam van een slachtoffer worden verricht, maar dat naar de huidige opvattingen wel schadelijk wordt geacht voor kinderen. Seksualiserende benadering van kinderen is schadelijk, omdat hierdoor hun seksuele ontwikkeling wordt doorkruist. Ook kunnen de psychologische gevolgen ernstig zijn.
De regering stelt daarom voor:
1. de delictsgedraging van verschillende seksuele misdrijven “online proof” te maken;
2. de strafbaarstelling te introduceren van het indringend mondeling of schriftelijk communiceren met kinderen op een wijze die schadelijk te achten is voor kinderen; en
3. de strafbaarstelling voor kinderpornografie te actualiseren.
Strafbaarstelling sexchatten
Het voorgestelde artikel 251 Sr is de rechtsopvolger van verschillende artikelen waarin het seksueel benaderen van kinderen beneden de leeftijd van zestien jaren is strafbaar gesteld. Het betreft het seksueel corrumperen van kinderen (eerste lid, onder b) en grooming (eerste lid, onder c). Hieraan wordt een nieuwe vorm van seksualiserende benadering toegevoegd, het zogenoemde sexchatting (eerste lid, onder a). Schade bij een specifiek slachtoffer hoeft hierbij niet te worden vastgesteld. De regering legt uit dat ‘het gesteld ontbreken van schade bij een bepaald slachtoffer kan niet tot straffeloosheid leiden’.
Voor zover de seksualiserende benadering plaatsvindt in het kader van een gelijkwaardige situatie tussen leeftijdsgenoten onderling zal deze over het algemeen niet plaatsvinden op een wijze die schadelijk te achten is voor een zestienminner. Experimenteergedrag tussen jongeren onderling is in beginsel dus niet strafbaar. Met het oog hierop is in het tweede lid een strafuitsluitingsgrond opgenomen voor het voorstellen van een ontmoeting voor seksuele doeleinden en enige handeling hiertoe ondernemen in een gelijkwaardige situatie tussen leeftijdsgenoten. Het antwoord op de vraag of sprake is van een gelijkwaardige situatie is afhankelijk van de omstandigheden van het geval. Bij de beoordeling hiervan kunnen onder meer de volgende factoren relevant zijn: 1) de mate van vrijwilligheid 2) het al dan niet bestaan van een (seksuele) relatie 3) de aard van het voorstel tot een ontmoeting voor seksuele doelen. Het OM betrekt deze omstandigheden bij de afweging om in een individuele zaak al dan niet tot vervolging over te gaan. Als het OM besluit tot vervolging over te gaan en de verdachte is van mening dat een beroep kan worden gedaan op de strafuitsluitingsgrond in het tweede lid, dan is het aan de verdachte om dit aan te voeren en te onderbouwen. Indien de strafuitsluitingsgrond van toepassing wordt geacht leidt dit tot ontslag van alle rechtsvervolging.
Bredere inzet van de “lokpuber”
De onder a tot en met c genoemde gedragingen zijn in artikel 251 Sr ook strafbaar gesteld ten aanzien van ‘iemand die zich voordoet als een persoon beneden de leeftijd van zestien jaren’. De daadwerkelijke betrokkenheid van een kind beneden de leeftijd van zestien jaar behoeft daarmee niet in alle gevallen te worden bewezen. Daarmee is de inzet van de figuur van de zogenaamde ‘lokpuber’, die is geïntroduceerd bij de inwerkingtreding van de Wet computercriminaliteit III (in de artikelen 248a en 248e Sr), mogelijk. Hiermee is beoogd de inzet van een opsporingsambtenaar die zich online voordoet als een minderjarige, al dan niet in de vorm van een virtuele creatie van een minderjarige, mogelijk te maken. Het wetsvoorstel maakt het mogelijk dat de figuur van de lokpuber naast de opsporing en vervolging van grooming ook kan worden ingezet ten behoeve van de opsporing en vervolging van sexchatting (onderdeel a) en het iemand getuige doen zijn van een handeling of een visuele weergave van seksuele aard of met een onmiskenbaar seksuele strekking (onderdeel b). De regering legt uit dat ‘op deze manier kunnen deze voor kinderen schadelijke gedragingen, die veelal geheel online plaatsvinden en daardoor moeilijk op te sporen zijn, vroegtijdig een halt worden toegeroepen’.
De beslissing tot inzet van een lokprofiel in een concrete zaak alsmede de wijze waarop dit geschiedt is voorbehouden aan het OM. Het optreden van de opsporingsambtenaar is hier overigens gebaseerd op de algemene taakstellende bepalingen. De regering merkt nog op dat ‘dat het gebruik van lokprofielen voor het verlenen van assistentie aan de opsporing door niet-overheidsinstanties of burgers niet strookt met het uitgangspunt van een integere en behoorlijke strafrechtspleging’.
Seksueel corrumperen
Onderdeel b van artikel 251 Sr is de opvolger van de huidige artikelen 239, 240a en 248d Sr waarin verschillende vormen van het seksueel corrumperen van kinderen strafbaar zijn gesteld. Strafbaar is degene die een kind beneden de leeftijd van zestien jaren (of een persoon die zich als zodanig voordoet) getuige doet zijn van een handeling of een visuele weergave van seksuele aard of met een onmiskenbaar seksuele strekking.
Grooming
Ten opzichte van het huidige artikel 248e Sr wordt de delictsomschrijving in artikel 251 onderdeel c Sr aanzienlijk ingekort. Dat komt ten eerste doordat het ontuchtbestanddeel (ontuchtig oogmerk) is vervallen. Voldoende is dat de dader (voorwaardelijk) opzet heeft op de totstandkoming van een ontmoeting voor seksuele doeleinden. Zo is het bestanddeel betreffende het middel waarmee een ontmoeting wordt voorgesteld – een geautomatiseerd werk of een communicatiedienst – vervallen: het doet er in feite niet toe hoe aan het kind een ontmoeting als bedoeld in dit artikel wordt voorgesteld. Zowel gedragingen in de reële als de digitale wereld brengen kinderen schade toe en dienen derhalve strafbaar te zijn. De regering merkt op dat een strafbare poging tot grooming ‘niet zelden’ ook strafbaarheid wegens sexchatting zal opleveren (eerste lid, onderdeel a).
Artikel 252 Sr is de rechtsopvolger van het huidige artikel 240b Sr en stelt verschillende kinderpornografische activiteiten strafbaar. De nieuwe strafbaarstelling is beter toegesneden op moderne verschijningsvormen van kinderpornografisch materiaal. De delictsgedraging ‘zich de toegang daartoe verschaft’ wordt techniekonafhankelijker geformuleerd. De zinsnede ‘door middel van een geautomatiseerd werk of met gebruikmaking van een communicatiedienst’, omdat het middel waarmee degene die zich toegang verschaft tot kinderpornografisch materiaal zich bedient doet niet ter zake voor de strafwaardigheid. Het zich toegang verschaffen veronderstelt dat dit welbewust gebeurt. Er is een actieve handeling vereist. Een andere wijziging is dat de term ‘afbeelding’ uit het huidige artikel 240b Sr wordt vervangen door de techniekonafhankelijker term ‘visuele weergave’.
De formulering ‘seksuele gedraging waarbij een persoon die kennelijk de leeftijd van achttien jaren nog niet heeft bereikt is betrokken of schijnbaar is betrokken’ uit het huidige artikel 240b Sr is vervangen door visuele weergave van ‘seksuele aard of met een onmiskenbaar seksuele strekking waarbij een persoon die kennelijk de leeftijd van achttien jaren nog niet heeft bereikt is betrokken of schijnbaar is betrokken’. Onder de genoemde gedraging wordt in de jurisprudentie van de Hoge Raad verstaan: seksuele gedraging van een kind met een ander, van een ander met een kind en van een kind met zichzelf. Aan de term ‘seksuele gedraging’ wordt een ruime invulling gegeven. Ook weergaven die geen seksuele gedragingen tonen maar wel een onmiskenbaar seksuele strekking hebben worden als kinderpornografisch beschouwd.
Virtueel kinderpornografisch materiaal, dat betrekking heeft op een visuele weergave waarbij een kind dat de leeftijd van achttien jaren nog niet heeft bereikt schijnbaar is betrokken, valt eveneens onder de reikwijdte van de strafbaarstelling. Vereist is dat het een realistische weergave van seksuele aard of met een onmiskenbaar seksuele strekking betreft (zie HR 8 december 2015, ECLI:NL:HR:2015:3483).
Deze blogpost is een samenvatting van het Cyber Security Beeld Nederland (CSBN) 2021. Het betreft de dingen die ik opvallend vond en belangrijk genoeg vond om te noemen, vanuit mijn interesse in cybercrime, cybersecurity & nationale veiligheid en het snijvlak daartussen. Aan het einde plaats ik wat observaties bij het rapport.
Cybercrime
“Cybercrime heeft een industriële omvang aangenomen. Zo domineerde de groep achter het Emotet-botnet meerdere jaren de markt van het verkrijgen en daarna doorverkopen van toegang tot slachtoffernetwerken aan onder meer ransomware-groepen. Tijdens een internationale opsporingsoperatie in 2021 om dit botnet uit de lucht te halen, onderkende de politie wereldwijd 1,75 miljoen geïnfecteerde IP-adressen, 36 miljoen gestolen inloggegevens en ruim 4 miljoen gecompromitteerde (bedrijfs)mailaccounts. Dergelijke slachtofferaantallen zijn geen uitzondering meer. Ransomware is daarbij uitgegroeid tot een cybercriminele goudmijn.
Met recht is ransomware dan ook een gamechanger te noemen voor het cybercriminele ecosysteem. Het heeft geleid tot cybercriminele groeperingen die enorm vermogend zijn geworden. Nadat het TrickBot-botnet eind 2020 goeddeels was neergehaald, zou de groep volgens gelekte interne communicatie in het jaar daarop 20 miljoen Amerikaanse dollar hebben geïnvesteerd in het herstellen en verbeteren van de aanvalsinfrastructuur en de bedrijfsvoering.
Vrijwel elke stap voor zowel het plegen als het beschermen van cybercriminaliteit wordt als dienst aangeboden. Het cybercriminele ecosysteem laat zich dan ook steeds meer kenschetsen als een volwassen, wereldwijde economische sector waar vraag en aanbod samenkomen op onder meer cybercriminele fora en waar rationele economische afwegingen worden gemaakt tussen investering, risico en rendement. Door deze dienstverlening is cybercriminaliteit toegankelijk voor een grote diversiteit aan daders
Vooral op ondergrondse, online platformen zoals gesloten cybercriminele fora, maar ook op zogeheten booter- en stressersites of Telegram-kanalen bieden zij hun producten en diensten aan.
Het merendeel van de ransomware-aanvallen kenmerkt zich als ‘Ransomware-as-a-Service’ (RaaS). Ransomware-ontwikkelaars vonden hierin een middel om hun malware op grote schaal te verspreiden, zonder zelf direct risico te lopen. RaaS biedt de afnemers van dit product de kans om ook zonder noemenswaardige programmeervaardigheden ransomware toe te passen op netwerken of systemen. Deze afnemers, ook wel affiliates genoemd, vallen onder de categorie van afhankelijke plegers. Voor elke geslaagde ransomware-aanval betalen zij de ransomware-ontwikkelaar een vast overeengekomen percentage van het betaalde losgeld.”
JJO: over ‘Operation Ladybird’ (persbericht NL Politie en van Europol) richting het Emotet botnet wordt nog het volgende interessante opgemerkt:
“Het in 2021 door de politie en het OM offline gehaalde Emotet-botnet bijvoorbeeld, besmette wereldwijd meer dan een miljoen systemen met aanvalsmethoden die niet heel geavanceerd waren. Veelal werden computers ongericht met spam besmet De volgende stappen in het aanvalsproces waren vaak wél gericht en geavanceerd.
De groep achter Emotet manifesteerde zich als dienstverlener door de toegang tot netwerken door te verkopen binnen een selecte klantenkring. Ergens in dit proces vond ook een vorm van triage plaats, waarbij de meest kapitaalkrachtige netwerken hoger werden ingeschaald.
De afnemers, in de zin van andere autonome groepen, konden vervolgens hun additionele malware (laten) plaatsen. Bijvoorbeeld TrickBot, die werd ingezet om de positie te consolideren en informatie te stelen. Uiteindelijk waren actoren met behulp van Ryuk-ransomware in staat om op deze netwerken gericht ransomware in te zetten op strategische plekken, waarbij men in staat was om op reële wijze in te schatten wat de maximale losgeldeis kon zijn. Het (dreigen met) het publiceren van de eerder gestolen data kon hierbij fungeren als extra drukmiddel.”
JJO: Ook de volgende bevinding vond ik opvallend:
“Ransomware-aanvallen hebben in zowel de Verenigde Staten als in de Europese Unie tijdens de coronapandemie ziekenhuizen, COVID-19-onderzoeksinstellingen en een distributiecentrum voor vaccins ernstig gehinderd”
Offensieve cyberoperaties van staten
JJO: Het CSBN 2021 windt er geen doekjes om:
“Cyberaanvallen door statelijke actoren zijn niet meer zeldzaam te noemen: ze zijn eerder het nieuwe normaal. Het gebruik van de digitale ruimte door statelijke actoren lijkt eerder toe dan af te nemen. Een voor de hand liggende verklaring daarvoor is dat de digitale ruimte nog steeds aan omvang en betekenis toeneemt en daarmee ook de mogelijkheden voor misbruik.
De digitale ruimte wordt door staten gebruikt om geopolitiek voordeel te behalen. Dit kan financieel-economisch voordeel zijn, het behartigen van binnenlandse politieke en veiligheidsbelangen, of het beïnvloeden van buitenlandse verhoudingen. Statelijke actoren kunnen hiervoor onder meer de volgende digitale middelen inzetten:
1. Beïnvloeding en inmenging (inclusief het verspreiden van desinformatie);
2. Spionage, waaronder economische of politieke spionage;
3. Voorbereidingshandelingen voor en daadwerkelijke verstoring en sabotage.
Nederland is doelwit van een offensief cyberprogramma van landen als Rusland en China. Zij kunnen de genoemde digitale middelen inzetten tegen een breed scala aan mogelijke doelwitten, van lokale verenigingen tot internationale veiligheidsorganisaties en van één individu tot diasporagemeenschappen. Volgens de AIVD blijft de dreiging van offensieve cyberprogramma’s tegen Nederland en de Nederlandse belangen onverminderd hoog en zal deze in de toekomst alleen maar toenemen.
Russische statelijke actoren hebben meermaals (succesvolle) digitale aanvallen uitgevoerd op een EU-lidstaat. Dit valt binnen het normbeeld van Russische statelijke actoren en de aanhoudende digitale (spionage)dreiging die daarvan uitgaat. Deze actoren voeren veelvuldig digitale aanvallen uit op onder andere EU- en NAVO-lidstaten
De Chinese digitale spionage actor APT31 heeft op grote schaal en langdurig politieke doelwitten in Europa en Noord-Amerika aangevallen. Ook in Nederland waren er doelwitten van aanvallen en verkenningsactiviteiten door deze actor. De interesse vanuit statelijke actoren voor dergelijke doelwitten illustreert het belang van goede beveiligingsmaatregelen en netwerkdetectie mogelijkheden voor Nederlandse overheidsnetwerken om aanvallen te detecteren, af te slaan en nader onderzoek mogelijk te maken.”
JJO: en elders staat nog over China:
“China is ongeëvenaard in de schaal waarop en de breedte waarin inlichtingen worden ingewonnen.”
“Groot is ook het aandeel van economische spionage, waarmee statelijke actoren bijvoorbeeld beogen de eigen concurrentiepositie te verbeteren of hoogwaardige kennis en technologie te bemachtigen zonder zelf de kosten voor research en development te maken. Exemplarisch hiervoor is de Chinese economische spionage, die zich vooral richt op technologiediefstal en voorkennis inzake voorgenomen investeringen.
Uit onderzoeken blijkt dat staten als China, Rusland en Iran offensieve cyberprogramma’s hebben, gericht tegen Nederland.176 Daaruit spreekt zowel de capaciteit als de intentie om in Nederlandse organisaties binnen te dringen. De cybercapaciteiten, kennis en expertise van China en Rusland zijn zelfs zo omvangrijk, dat de kans groot is dat zij slagen wanneer ze ergens digitaal binnen willen dringen.
Volgens gelekte documenten deed een Iraanse cyberorganisatie in 2020 onderzoek naar het hacken van industriële controlesystemen. De Iraanse onderzoekers schrijven dat ze nog niet genoeg inzicht hebben in de systemen om fysieke sabotage mogelijk te maken. Uit de documenten blijkt dat de cyberactoren specifiek zochten naar gebouwbeheersystemen, onder andere in Nederland. Dit zou passen binnen het beeld van de toenemende aandacht voor cybersabotage binnen Iran.”
Cybercrime & nationale veiligheid
JJO: Vorig jaar was één van de in het oog springende uitspraken van het CSBN dat ransomware de nationale veiligheid van Nederland bedreigde. Dit jaar zeggen ze hierover:
“Organisaties die digitaal worden aangevallen zijn veelvuldig het slachtoffer van ransomware. De inzet hiervan vormt een risico voor de nationale veiligheid als het gaat om de continuïteit van vitale processen, het weglekken en/of publiceren van vertrouwelijke of gevoelige informatie en de aantasting van de integriteit van de digitale ruimte. Vitale processen kunnen niet alleen zelf getroffen worden door ransomware, met alle gevolgen van dien, maar ook via leveranciersketens.
Dat is zeker het geval nu die aanvallen gepaard gaan met dubbele of zelfs drievoudige afpersing. Bij dubbele afpersing kunnen hackers na het versleutelen van bestanden dreigen met het publiceren van data als slachtoffers niet betalen. Bij drievoudige afpersing kunnen hackers via buitgemaakte gegevens ook klanten, partners en leveranciers van een getroffen organisatie een losgeldeis opleggen, in de hoop dat ook zij uit angst voor publicatie overgaan tot betaling.
Cybercriminelen zijn onverminderd in staat om omvangrijke schade toe te brengen aan digitale processen. Zij handelen vanuit financieel motief en hebben niet de intentie om de maatschappij te ontwrichten. Desondanks kunnen hun aanvallen zoveel impact veroorzaken dat ze nationale veiligheidsbelangen raken. De capaciteit van meerdere cybercriminele groepen is van gelijkwaardig hoog niveau als die van sommige statelijke actoren.
Statelijke actoren kunnen cybercriminelen inhuren, gedogen of onder druk zetten om cyberaanvallen op gewenste doelwitten uit te voeren. De relaties tussen staten en cybercriminelen kunnen ertoe leiden dat cybercriminelen een kant kiezen in geopolitieke conflicten. Recent illustreerde de oorlog in Oekraïne dit, toen cybercriminele groepen gelieerd aan Rusland waarschuwden tegenstanders van Rusland in het conflict digitaal aan te zullen vallen.
Hackerscollectieven kunnen ook een rol spelen in hybride conflictvoering, zoals in de oorlog in Oekraïne in 2022 het geval is. Het gevaar is dat de activiteiten van hacktivisten verkeerd geïnterpreteerd worden door landen die het slachtoffer worden van hun aanvallen, wat tot tegenreacties kan leiden. Ook kunnen statelijke actoren onder de vlag van hacktivisten opereren. Door verhoogde activiteit van hackersgroepen is de kans aanwezig dat Nederland (neven)schade ondervindt van digitale aanvallen. Indien hackers cyberaanvallen vanuit of via Nederland uitvoeren op buitenlandse doelwitten, kan Nederland ook getroffen worden door een tegenreactie. Ook Nederlandse ingezetenen kunnen deelnemen aan acties van hacktivisten en zo betrokken raken bij conflicten. Betrokkenheid bij een conflict elders door het plegen van digitale aanvallen kan onvoorziene consequenties hebben en is bovendien strafbaar.”
Food for Thought
Het CSBN zit bomvol waardevolle informatie. Een groot deel meen ik inmiddels ook wel te herkennen uit de praktijk, input van de politie en OM en ik zie informatie terug uit jaarverslagen en publieke rapporten van de AIVD en de MIVD.
De ‘beleidshoofdstukken’, de lay-out (ongeveer de helft van rapport bestaat uit lege pagina’s en plaatjes), vaagtaalgebruik (“De dreiging die van statelijke actoren uitgaat, is niet van vandaag of gisteren, maar ontwikkelt zich al langer. Soms wordt ze diffuser, soms juist meer manifest” (??!) en veel herhaling spreekt mij minder aan.
Maar wat mij echt stoort als is dat hier en daar een voorbeeld uit een internationale context erbij wordt gehaald voor het Cyber Security Beeld Nederland en met cijfers wordt gegooid waarvan ik de betrouwbaarheid betwijfel. Denk bijvoorbeeld aan de volgende tekst:
“In april 2020 schatte Help Net Security naar aanleiding van een enquête onder meer dan 500 leidinggevenden binnen het internationale MKB in dat 46 procent van het MKB ooit slachtoffer was geweest van ransomware.”
En over de omvang van de schade van ransomware voor Nederland kunnen blijkbaar geen zinnige dingen worden gezegd. Lees bijvoorbeeld:
“De Conti-ransomwaregroep zou zelfs recent de beschikking hebben gehad over 2 miljard dollar aan virtuele valuta”. Vorige week verscheen nog een artikel in het FD waarin gesproken werd over honderden miljoenen dollars. Wat is het nu?
Verder wordt over de omvang van schade door ransomware gezegd:
“De totale economische schade van ransomware, in de zin van betaald losgeld, verlies aan bedrijfscontinuïteit, gevolgschade en herstelkosten van alle aanvallen bij elkaar opgeteld is moeilijk vast te stellen. (…) Het is niet bekend hoeveel de schade voor Nederland betreft. Deze blinde vlek heeft meerdere oorzaken.”
Maar het inschatten van de omvang lijkt mij juist wel een taak van een Nationaal Cyber Security Centrum. Of je laat daar als wiedeweerga onderzoek naar doen. Toch?
Ook vroeg ik mij af of hoe lang met het CSBN wordt doorgegaan. En hoe verhoudt het zich eigenlijk tot al die criminaliteitsmonitoren van het WODC en CBS? Zouden daar nog opties liggen of aanvullingen in liggen?
Of ben ik een te kritische lezer? Ach ja, wie weet zijn ze er volgend jaar wat voorzichtiger met welke (internationale cijfers) ze aanhalen.
Op 11 november 2021 verscheen het nieuwe ‘internet Organised Crime Threat Assessment’ (iOCTA) (.pdf) rapport van Europol. In dit blogbericht geef ik een overzicht van de – naar mijn mening- meest opvallende bevindingen uit het rapport.
‘Grey infrastructure’
Het Europol rapport besteed vrij veel aan het fenomeen van ‘grey infrastructure’. Zij beschrijven dit als diensten die zich vaak bevinden in landen met sterke ‘privacywetten’ of met ‘een geschiedenis van niet-werken met internationale opsporingsautoriteiten’. Zij worden gebruikt door criminelen en er wordt mee geadverteerd op criminele forums.
Europol wijst erop dat ook legitieme diensten veelvuldig door cybercriminelen worden gebruikt voor hun eigen doelen van: veilig communiceren, anonimiteit en witwassen. Zij wijzen op apps met sterke end-to-end versleuteling. De hoeveelheid gebruikersgegevens en verkeersgegeven die daarbij over gebruikers wordt door de diensten wordt opgeslagen is gering, waardoor ook een geringe hoeveelheid gegevens kan worden gevorderd.
Europese opsporingsdiensten richten zich volgens het rapport steeds meer op diensten die cybercriminelen zoveel mogelijk beschermen van opsporingsdiensten. Recente voorbeelden zijn de ‘takedowns’ van ANON, Sky ECC, EncroChat, VPN-diensten en cryptocurrency mixers. Het zijn volgens Europol voorbeelden van ‘grijze infrastructuur’ waar cybercriminelen gebruik van maken. Interessant is ook de zin:
“Hoewel niet alle gebruikers van deze diensten per definitie criminelen zijn, is een dermate grote hoeveelheid van de activiteiten van de diensten crimineel, dat – nadat voldoende bewijs wordt gevonden van ‘crimineel misbruik’ – deze diensten als criminele organisaties te bestempelen zijn”.
Europol noemt de take down van ‘Double VPN’ en ‘Safe-Inet’ als voorbeelden hiervan, net als de ‘cryptophone-operaties’.
Malware
Uit het rapport blijkt dat ransomware nog steeds het grootste probleem is op het gebied van cybercrime in enge zin. Net als vorig jaar zet de trend zich voort dat ransomware zich niet ongericht, massaal verspreid, maar wordt ingezet voor meer gerichte aanvallen op grote organisaties. Ook gebruiken cybercriminelen ander pressiemiddelen naast de versleuteling van gegevens, zoals het bellen van journalisten, klanten of zakelijke klanten van het slachtoffer over de aanval via VoIP-lijnen. Sommige ransomware-groepen publiceren gegevens van werknemers van de slachtoffers.
‘Conti’, ‘Maze’, en ‘Babuk’ zijn voorbeelden van ransomware die zich richten op grote organisaties. ‘Ryuk’ is berucht omdat het zich specifiek richt op organisaties binnen de gezondheidszorg. De cybercriminele organisaties achter ransomware lijken zich ervan bewust zich meer in de kijkers te hebben gespeeld van opsporingsorganisaties. Sommige organisaties beperken daarom hun ‘partners-in-crime’ in de aan te vallen doelen. ‘DarkSide’ heeft bijvoorbeeld aangekondigd geen vitale infrastructuur meer aan te vallen na de ‘Colonial Pipelines’-aanval en Sodinobiki (ook bekend als ‘REvil’) verbiedt aanvallen op sociale- en overheidsinstellingen.
Het cybercrime-centrum van Europol legt haarfijn uit dat geen individuele hackers achter ransomware zitten, maar hele organisaties. Doorgaans bieden de makers van de ransomware de software aan ‘klanten’ (Ransomware-as-a-service), waarbij de winst wordt verdeeld. Ook worden gecompromitteerde systemen verkocht aan anderen die de systemen vervolgens infecteren met de (ransom)malware naar keuze. Europol benadrukt dat opsporingsinstanties niet alleen achter de ‘eindgebruikers’ van de ransomware aan moeten gaan, maar zich moeten richten op de sleutelfiguren die malware via platformen verkopen, in internationaal gecoördineerde acties met andere opsporingsinstanties.
Ddos-attacks
‘DDoS-for-ransom’ lijkt terug van weggeweest. Cybercriminelen maken daarbij ook misbruik van de reputatie van bekende ‘Advanced Persistent Threats’ (APT’s), zoals ‘Fancy Bear’ en ‘Lazarus’, om de slachtoffers er sneller toe te bewegen het afpersgeld te betalen. De cybercriminelen richten zich op internet service providers (ISP’s), financiële instellengen (banken) en midden-en-klein bedrijven (de MKB-sector). Als het niet wordt betaald, leidt dat niet altijd tot de daadwerkelijke uitvoering van de ddos-aanval, hoewel in sommige gevallen het tot serieuze consequenties heeft geleid, zoals de aanval op de effectenbeurs van Nieuw-Zeeland.
Online kindermisbruik
Over online seksueel misbruik viel het mij op dat grooming toeneemt op online gaming platformen (en uiteraard op sociale mediadiensten, maar dat is niet nieuw). Ook is de verspreiding van kinderpornografie via peer-to-peer platformen is volgens Europol significant toegenomen, terwijl het voor de normale internetgebruiker niet zo vaak meer lijkt te worden gebruikt. Darkweb websites zijn nog steeds een belangrijk platform voor verspreiding van afbeeldingen van online seksueel geweld. Als voorbeeld wordt het platform ‘Boystown’ genoemd, die offline is gehaald onder leiding van het Bundeskriminalamt (BKA) en opsporingsdiensten uit Australie, Canada, Zweden, de Verenigde Staten én Nederland. De website met kindermisbruik had meer dan 400.000 geregistreerde gebruikers.
Dark web-gebruikers maken daarnaast steeds vaker gebruik van ‘Wickr’ en Telegram als communicatiekanalen voor ‘Child Sexual Abuse Material’ (CSAM).
Helaas is de omzet van commerciële websites gericht op seksueel geweld tegen kinderen volgens Europol verdriedubbeld tussen 2017-2020. Voor betaling worden vaak cryptocurrencies gebruikt. Het komt voor dat daders direct minderjarigen betalen voor zelfgemaakt materiaal.
Europol probeert in de rapporten zoals elk jaar ook voorzichtig beleidsadvies mee te geven. Het meest opvallend vond ik dit jaar de boodschap dat ‘online undercover operaties steeds belangrijker worden in opsporingsonderzoeken naar cybercrime’. De reden is dat cybercriminelen steeds betere ‘operational security’ (OPSEC) aanhouden. Europol observeert dat het lastig infiltreren is op – met name – websites met materiaal van seksueel geweld, vanwege strikte toegangsregels en nationale regels van landen die beperkingen opleggen om op die websites te infiltreren. “The importance of undercover activities needs to be recognized”, aldus Europol. Daarbij wijs ik natuurlijk graag op mijn eerdere publicaties hierover (zie bijvoorbeeld het artikel ‘Facebookvrienden worden met de verdachte’).
Op 1 november 2020 verscheen het Basisboek Cybercriminaliteit, onder redactie van Wytkse van der Wagen, Marleen Weulen Kranenborg en mijzelf. Het studieboek wordt veel gebruikt in vakken voor de opleiding criminologie bij verschillende Nederlandse universiteiten. Het boek verschaft ook basiskennis voor strafrechtstudenten en professionals uit de praktijk.
De andere hoofdstukken, bijvoorbeeld over criminologische theorieën en cybercriminaliteit, daders, slachtoffers en interventiestrategieën zijn niet in open access beschikbaar, maar het boek is voor een schappelijke prijs beschikbaar bij uw boekhandel (of o.a. bol.com).
Als er vragen of opmerkingen zijn over het boek (en met name natuurlijk over de onderstaande hoofdstukken), dan hoor ik het graag per e-mail (te vinden op mijn UU-pagina). Wellicht volgt er volgend jaar een nieuwe druk waar we de opmerkingen in kunnen meenemen.
In het najaar van 2019 staken enkele criminologiedocenten hun koppen bij elkaar en vatten het plan op een boek te schrijven over cybercriminaliteit ten behoeve van het onderwijs. Dat leidde uiteindelijk tot het Basisboek Cybercriminaliteit van Wytske van der Wagen, Marleen Weulen Kranenbarg en mijzelf. Ook hebben enkele andere auteurs aan het boek meegewerkt en vanuit hun eigen expertise een mooie bijdrage geleverd. Het boek is vanaf 29 oktober 2020 verkrijgbaar via de website van Boom Uitgevers (met hoofdstuk 1 als voorproefje) of te bestellen via bol.com (37,50 euro).
In ons onderwijs over Cybercriminaliteit merkten we dat steeds een samenraapsel van artikelen en andere stukken bij elkaar moesten zoeken. Een samenhangend, actueel en overzichtelijk verhaal ontbrak. Dat is voor ons het motief geweest dit boek te schrijven. Het boek (300+ pagina’s) biedt inzicht in de verschillende verschijningsvormen en kenmerken van cybercriminaliteit, strafbaarstellingen, daders, slachtoffers, onderzoeksmethoden voor het online domein, het opsporingsproces en mogelijke interventies.
Persoonlijk ben ik in mijn nopjes over het eindresultaat! Het boek verschaft een uitstekend overzicht van de wetenschappelijke kennis op criminologische en juridisch gebied over cybercriminaliteit. Hoofdstuk 3 en Hoofdstuk 7 – die ik zelf hoofdzakelijk heb geschreven (ook op basis van eerder werk) – verschijnen beiden over één jaar in open access.
De combinatie van (inleiding van) techniek, criminologie en rechten werkt heel goed en ik ga het zeker gebruiken in mijn eigen (gast)colleges en cursussen. Verder wordt het in ieder geval dit jaar al gebruikt voor onderwijs op verschillende universiteiten, zoals de Erasmus Universiteit, de Vrije Universiteit Amsterdam en de Universiteit Leiden. Ik ga het uiteraard ook promoten bij mijn collega’s aan de Universiteit Utrecht.
Feedback is altijd welkom, dus jullie kunnen mij daarover altijd mailen. Wie weet verschijnt er t.z.t. wel een tweede druk!
Kamerbrief over ‘Citrix-problematiek en WRR-rapport over digitale ontwrichting
Op 20 maart 2020 heeft de minister van Justitie en Veiligheid de kabinetsreactie gestuurd op het rapport ‘Voorbereiden op digitale ontwrichting’ van de Wetenschappelijke Raad voor het Regeringsbeleid (WRR) en een overzicht van de geleerde lessen van de Citrix-problematiek aan.
Het valt daarbij op dat de minister veel aanbevelingen dan de WRR niet overneemt of er slechts indirect op ingaat. De WRR beval bijvoorbeeld aan een ‘helder afgebakende wettelijke bevoegdheid voor digitale hulptroepen te creëren en de noodzaak van een aparte regeling voor overheidshandelen gericht op tegengaan van escalatie te onderzoeken’. Vervolgens wijst de minister op de al bestaande ‘nationale crisisstructuur’ en het ‘Nationaal Crisisplan Digitaal’ dat in februari 2020 is gepubliceerd, waar we waarschijnlijk uit moeten afleiden dat dit voldoende wordt geacht.
De WRR wees er ook op dat private dienstaanbieders vaak geen belang hebben in opsporing of attributie van aanvallen. De minister reageert daar indirect op door aan te geven dat ‘onder bestaande wettelijke kaders kan worden ingegrepen wanneer dit toch nodig is. Vakdepartementen hebben hierin bevoegdheden om in te grijpen op basis van sectorale wetgeving’.
Wel zegt de minister toe deze bevoegdheden in kaart te brengen zodat het gehele instrumentarium voor ingrijpen bij crises met digitale elementen inzichtelijk wordt en zodat kan worden bezien waar eventuele aanvullingen nodig zijn. Hierbij worden onder meer de ‘Coördinatiewet uitzonderingstoestanden’ en de ‘Wet buitengewone bevoegdheden burgerlijk gezag’ betrokken.
Verder is interessant dat de minister in de Kamerbrief melding maakt van een nieuw samenwerkingsplatform op het gebied van cybersecurity, waar op dezelfde fysieke locatie samengewerkt wordt door politie, OM, NCSC, de AIVD en de MIVD met als doel informatie over cyberdreigingen en incidenten bijeen te brengen en gezamenlijke analyses te verrichten.
De minister benadrukt een aantal keer in de Kamerbrief dat alle organisaties primair zelf verantwoordelijk zijn voor digitale weerbaarheid. Tijdens de Citrix-problematiek werd duidelijk dat er nog veel sectoren zijn die niet over een eigen computercrisisteam of samenwerkingsverband beschikken. Uiteindelijk moet elk bedrijf en organisatie ergens terecht kunnen voor informatie en advies. Deze moeten in beginsel worden opgericht door de sectoren zelf, aldus de minister.
Om de betrouwbaarheid van cybersecuritydiensten te borgen is een subsidie verstrekt ‘om te komen tot een risicomodel en een kwaliteitsregeling voor leveranciers van cybersecuritydiensten’.
Persoonlijk vind ik het nog lastig een mening te vormen over deze kabinetsreactie. In de lange formele brief lees ik tussen de zinnen door geen enthousiasme voor de aanbevelingen in het rapport en vraag ik mij af of de overheid nu voldoende een vuist kan vormen bij ernstige incidenten bij cybersecurity. Ook wordt tamelijk summier ingegaan op de Citrix-problematiek. Daarvoor zou ik meer onderzoek willen lezen om er echt een oordeel over te kunnen vormen.
Michel van Eeten (prof. cybersecurity aan de TU Delft) schreef laatst overigens ook mooi en een prikkelend stuk over het WRR-rapport en hoe de oplossing niet altijd moet worden gezocht in meer bevoegdheden of een nieuwe overheidsinstantie. Zeker het lezen waard!
Kamerbrief over de aanpak van cybercrime door regionale eenheden van de politie
In opdracht van het ministerie van Justitie en Veiligheid heeft een onderzoeksbureau in februari 2020 een ontnuchterend rapport afgeleverd over de ‘aanpak van cybercrime door regionale eenheden van de politie’. Het rapport vond ik punten toch schokkend. Met al het geld en investeringen die zijn vrijgemaakt voor de politie om cybercrime beter te bestrijden, vallen de resultaten op regionaal niveau – uitgaande van dit rapport – mij tegen.
De belangrijkste verandering die in rapport wordt besproken is dat naast het Team High Tech Crime (THTC) sinds 2016 ook op regionaal niveau binnen de politie-eenheden aandacht gekomen in de vorm van acht gespecialiseerde ‘cybercrime teams’. Maar in de eenheid Den Haag en Oost Nederland bestaat dat nog niet uit 10 FTE, waardoor het formeel niet voldoende capaciteit heeft voor een ‘cyberteam’. In het rapport worden nogal wat problemen bij de cyberteams gesignaleerd. Ook gaat het bij de intake van cybercrime nog steeds niet goed, omdat misdrijven te vaak niet herkend en geregistreerd worden als cybercrime.
Het gaat überhaupt niet goed met de kennis en kunde over cybercrime bij de politie volgens de onderzoekers. In het rapport staat:
“voor de cyberteams in de onderzochte eenheden geldt dat er een grote behoefte is om de specialistische digitale kennis binnen de generieke opsporing te versterken. De dieptekennis op digitaal vlak is met name voorhanden bij de Landelijke Eenheid (THTC) en bij de teams digitale opsporing. De cyberteams werken regionaal en pakken landelijk nauwelijks zaken op, terwijl cybercrime uiteraard niet regionaal van aard is”.
Door de cyberteams wordt nu wel voor meer cybercrimezaken door het OM vervolgd, omdat meer zaken worden aangedragen. Het accent ligt daarbij op veel voorkomende cybercriminaliteit, zoals phishing. Maar in deze zaken komt men weinig tot een veroordeling van een verdachte, omdat cybercriminelen vaak buiten beeld blijven. Mede hierom wordt vaker ingezet op ‘barrières tegen digitale criminaliteit’. Dat gaat dan koste van capaciteit van de opsporing, vraag ik mij af? En is de toezicht op deze acties van de politie voldoende?
Door de aanpak van cybercrime met specifieke cyberteams blijft verder de expertise binnen de reguliere opsporing achter, zo signaleren de onderzoekers. Bij andere teams is er daardoor weinig aandacht voor de digitalisering van criminaliteit. Dat lijkt mij een ernstige probleem. Kijk ook naar de laatste cijfers van maart 2020 van het CBS over criminaliteit, waar wordt gesignaleerd dat traditionele criminaliteit daalt en cybercrime stijgt. Internet en computers faciliteren simpelweg bepaalde vormen van criminaliteit, zoals oplichting en zedendelicten. Sterker nog, zij transformeren deze vormen van criminaliteit waar de politie uiteraard op moet inspelen. De regering komt later dit jaar met een meer uitgebreide reactie over de aanpak van cybercrime.
Kamerbrief over aanpak van ‘pedohandboek’
In de Kamerbrief van 10 februari 2020 over de aanpak van het ‘pedohandboek’ dat circuleert op het darkweb, geeft de minister van Justitie en Veiligheid aan dat vervolging voor het verspreiden van teksten uit een pedohandboek reeds mogelijk is. Het vervaardigen, bezit of verspreiding van het handboek valt volgens de minister onder het delict opruiing (artikel 131 Sr e.v..).
Op dit moment brengt volgens het OM een zelfstandige strafbaarstelling van het pedoboek geen extra mogelijkheden voor opsporing en vervolging mee. Toch laat de minister verkennen wat de (wettelijke) mogelijkheden zijn om de verspreiding van het ‘pedohandboek’ als zelfstandig strafbaar feit aan te pakken. Hierover wordt de Tweede Kamer nog voor de zomer geïnformeerd.
Veroordeling beheerder Maxided, een mislukte strafzaak?
‘Maxided’ was een bedrijf, gevestigd in Moldavië, dat binnen de IT-beveiligingsindustrie ook wel bekend staat als ‘bulletproof hosting provider’. Een bullet proof hosting service is een dienst van een bedrijf die serverruimte verhuurt aan cliënten, waarbij hun klanten bewust de ruimte en mogelijkheden krijgen alle typen inhoud – ook illegale inhoud – aan te bieden. De naam refereert naar de ‘bescherming’ die diensten bieden tegen opsporingsdiensten en andere partijen de materiaal offline willen halen. Nederland had in deze zaak rechtsmacht, omdat (o.a.) een deel van de gehuurde servers in Naaldwijk en Amsterdam stonden.
De rechtbank merkt op het dat ‘het als medepleger opzetten en onderhouden van een ‘filesharingsdienst’ teneinde de onwettige verspreiding van inhoud door gebruikers van dienst mogelijk te maken, buiten artikel 54a Sr (oud) valt’. Er volgt vrijspraak t.a.v. van het tenlastegelegde ernstige feit van het medeplegen van het verspreiden van kinderpornografisch materiaal. Volgens de rechtbank is geen sprake van opzet, ook niet in voorwaardelijke zin, op deze gedragingen. De rechtbank vond dat het openbaar ministerie bewijs moest aandragen dat de verdachte bewust was (dat er sprake was van opzet) van het de verspreiding van kinderporno. Dat de verdachte heeft verklaard dat illegale software en (volwassenen) porno werd uitgewisseld, vormt daarvoor geen onderbouwing. Evenmin blijkt dat de verdachte betrokken is geweest bij de afhandeling van abuse-meldingen betreffende kinderporno, aldus de rechtbank. Gelet daarop is ook van voorwaardelijk opzet geen sprake.
De rechtbank Rotterdam heeft op 29 april 2019 de uitspraak (pas) op 17 oktober 2019 gepubliceerd (ECLI:NL:RBROT:2019:8067). Over de zaak werd in NRC Handelsblad gezegd dat ‘Justitie zegt geleerd te hebben van een mislukte strafzaak tegen Maxided’. Onduidelijk is wat die leerpunten zijn. Des te opmerkelijker is het dat de uitspraak niet zo snel mogelijk is gepubliceerd. Mogelijk had het OM eenvoudig gezegd meer bewijs van de verspreiding van kinderporno moeten aandragen. Het is opvallend dat wel een uitgebreide paper over Maxided is gepubliceerd met een uitgebreide analyse van de gegevens die in beslag zijn genomen in de Maxided-zaak. Zie Noorozian e.a. 2019 (.pdf): “The confiscated dataincludes over seven years of records (Jan 2011 – May 2018) on server packages on offer, transactions with customers, provisioned servers, customer tickets, pricing, and payment instruments. In addition to the confiscated systems, two men were arrested: allegedly the owner and admin of MaxiDed“. Ook twee medewerkers van het Team High Tech Crime hebben blijkbaar meegewerkt aan de paper. Waren er niet meer gegevens bruikbaar geweest voor de bewijsvoering?
Wel wordt de verdachte veroordeelt tot het gewoonte maken van schuldwitwassen. De verdachte kreeg in totaal meer dan 500.000 euro via ‘ePayments’. De verdachte had toegang tot betaalsystemen van de bedrijven (zoals Webmoney en Bitcoins), maar niet is bewezen dat ‘verdachte ook bevoegd was om over de inkomsten van deze bedrijven te beschikken’. Ten aanzien van zijn salaris moest hij redelijkerwijs vermoeden dat het geld van de ondernemingen werd verdiend met het delen van porno en software zonder toestemming van auteursrechthebbenden. Hij heeft dit feit ook bekend.
In plaats van de geëiste vijf jaar gevangenisstraf krijgt de verdachte slechts vijf maanden gevangenisstraf opgelegd, met vermindering van de tijd die hij in verzekering of voorlopige hechtenis heeft doorgebracht.
Megazaak over ‘Tikkie-fraude’
In de megazaak ‘Roetnevel’ zijn een vijftal verdachten op 5 december 2019 veroordeeld (o.a. ECLI:NL:RBROT:2019:9522) voor ‘Tikkie-fraude’. De verdachten gingen als volgt te werk. De fraudeur toonde interesse in het aangeboden product op Markplaats.nl, waarna de conversatie zich vaak voortzette via WhatsApp. Als het op de betaling van het product aankwam, vroeg de fraudeur aan het slachtoffer of hij hem eerst één cent wilde betalen via een betaalverzoek via de ‘Tikkie-betaalapp’. De fraudeur berichtte vaker te zijn opgelicht en zou op deze manier de (bank)gegevens van de verkoper willen controleren. In werkelijkheid werd het slachtoffer na het klikken op de Tikkie-link naar een phishingwebsite geleid, dat qua uiterlijk leek op de inlogpagina van zijn of haar bank.
Het slachtoffer vulde vervolgens diverse gegevens in op de phishingwebsite, zoals de gebruikersnaam en het wachtwoord van een internetbankierenaccount. Ook vulden de slachtoffers dikwijls een ontvangen (TAN-)code in. De fraudeur heeft de op de phishingwebsite ingevoerde gegevens afgevangen en overgenomen, waarmee vervolgens kon worden ingelogd op het internetbankierenaccount van het slachtoffer. Tevens werden op een mobiel toestel van de fraudeur de Mobiel Bankieren App en vaak ook de Mobiel Betalen App (voor contactloos betalen) geïnstalleerd die gekoppeld werden aan de betaalrekening van het slachtoffer. Daarmee zijn diverse betalingen gedaan, onder andere in de MediaMarkt. Een deel van die aankopen werd kort daarna in een andere vestiging geretourneerd tegen contant geld. Daarnaast werden er door middel van genoemde apps soms overschrijvingen (tussen spaar- en betaalrekeningen) gedaan.
De bewijsmiddelen zijn met name afkomstig uit de inhoud en locatiegegevens van getapte telefoongesprekken en de loggegevens van ING-bank, waaruit bijvoorbeeld blijkt dat met een nader IP-adres en ‘Device-ID’ is ingelogd op de internetbankieromgeving. Ook speelde de metadata uit een selfie-foto bestemd voor op Facebook in een van de zaken een belangrijke rol voor het koppelen van de identiteit van de verdachten aan het gebruik van de apparaten.
In deze zaak werden drie verdachten veroordeeld voor computervredebreuk, diefstal, oplichting en lidmaatschap criminele organisatie. De rechtbank overweegt dat om te kunnen spreken van een organisatie als bedoeld in artikel 140 Sr, de bestanddelen van de organisatie, oogmerk van de organisatie en deelneming aan die organisatie zijn vervuld. Even ter herhaling: onder organisatie wordt een samenwerkingsverband verstaan, met een zekere duurzaamheid en structuur tussen een verdachte en ten minste één andere persoon. Het oogmerk van die organisatie moet gericht zijn op het plegen van misdrijven. Van deelneming aan de organisatie is pas sprake als de verdachte behoort tot het samenwerkingsverband en een aandeel heeft in, of ondersteunt bij, gedragingen die strekken tot of rechtstreeks verband houden met de verwezenlijking van het oogmerk (tot het plegen van misdrijven).
Uit het dossier blijkt dat in diverse zaken meerdere personen onderdelen van de Tikkie-fraude hebben gepleegd. De personen die contact hadden met de slachtoffers, de personen die inlogden met de verkregen gegevens en de personen die de aankopen zijn gaan doen, moesten veelvuldig in een nauw verband met elkaar hebben samengewerkt om de opzet te laten slagen. De deelname aan een criminele organisatie leidde onder andere tot de hogere gevangenisstraf van 15 maanden in plaats van zes maanden. Ook moesten de verdachten een schadevergoeding van enkele duizenden euro’s betalen aan de slachtoffers van de fraude.
Veroordeling voor financiering terrorisme met cryptocurrency
De rechtbank Rotterdam heeft op 22 oktober 2019 een verdachte veroordeeld (ECLI:NL:RBROT:2019:8237) tot deelname aan een terroristische organisatie, diefstal en oplichting. De verdachte heeft met mededaders in Somaliland en Zuid-Afrika deelgenomen aan een aan IS gelieerde terroristische organisatie, die het oogmerk had om aanslagen voor te bereiden, door het werven van gelden door ontvoeringen, moord en diefstal.
De rechtbank legt uit dat van een terroristische organisatie sprake is, indien een organisatie beoogt misdrijven met een terroristisch oogmerk te plegen. Onder terroristisch oogmerk wordt ingevolge artikel 83a Sr verstaan ‘het oogmerk om (een deel van) de bevolking ernstige vrees aan te jagen, dan wel een overheid of internationale organisatie wederrechtelijk te dwingen iets te doen, niet te doen of te dulden, dan wel de fundamentele politieke, constitutionele, economische of sociale structuren van een land of een internationale organisatie ernstig te ontwrichten of te vernietigen’. Islamitische Staat (IS), voorheen Islamic State of Iraq and Shaam (ISIS) en Islamic State of Iraq and Levant (ISIL) genoemd, worden aangemerkt als een (verboden) terroristische organisatie. Deelname aan IS moet dan ook worden beschouwd als deelname aan een terroristische organisatie als bedoeld in artikel 140a Sr. Elke bijdrage aan een organisatie kan strafbaar zijn. Een dergelijke bijdrage kan bestaan uit het (mede)plegen van enig misdrijf, maar ook uit het verrichten van hand- en spandiensten.
Het onderzoek ving aan in een ontvoeringszaak, waarbij een echtpaar werd ontvoerd en om het leven werd gebracht. In de dagen na de moord is van de bankrekening van de slachtoffers contant geld opgenomen en zijn met de betaalpas van een slachtoffer goederen gekocht. Uit onderzoek naar de telecomgegevens van de telefoons van de verdachten blijkt dat medeverdachten onderling contact hebben gehad over het echtpaar, dat zij hebben aangeduid als hun “doelwit”.
In een ambtsbericht van de AIVD die in de uitspraak wordt genoemd is onder andere te lezen dat de verdachte waarschijnlijk betrokken is bij de financiële afhandeling van de ontvoering en ‘ervaring heeft met bitcointransacties’. De Nederlandse politie krijgt (uiteindelijk) de beschikking over het digitaal beslag van Zuid-Afrikaanse autoriteiten en via de FBI over het digitaal beslag uit Somaliland. Uit digitaal forensisch onderzoek bleek dat de verdachte onder andere in chatgesprekken en gesprekken via Telegram contact had met medeverdachten die betrokken waren bij de ontvoering en mensen die naar het kalifaat wilden. In één van de chatgroepen worden pro-IS berichten gewisseld. Een chat waaraan de verdachte onder een schuilnaam deelneemt gaat over een aanslag in “Sadr City” (Bagdad), waarbij meer dan 60 doden zijn gevallen. De verdachte verheugd zich over deze aanslag: “Ahhhh the explosions in Baghad was in sadr city that killed 60+ that’s like jackpot alhamdulliiah”.
Uit de bewijsvoering blijkt dat de verdachte een account opende op ‘Coinbase’ en op zoek ging naar ‘Bittrex’, een platform voor het handelen in virtuele valuta. Er vonden diverse bitcointransacties plaats, onder meer via het handelsplatform ‘Local Bitcoin’. Ook waren heeft de verdachte een account aangemaakt op naam van iemand anders, waarmee ‘xCoins bitcoinaccount’ werd aangemaakt. xCoin is een bitcoinuitwisselingsdienst, waarmee onmiddellijk bitcoins kunnen worden aangekocht door middel van credit cards of paypal accounts. Later worden er vanuit Zuid-Afrika meerdere ‘Simplex cryptocurrency-accounts’ aangemaakt en worden er drie succesvolle aankopen gedaan met de credit card van een slachtoffer. Bij deze aankopen wordt onder meer gebruik gemaakt van een IP-adres in Zuid-Afrika, dat ook kan worden gelinkt aan het xCoins-account van de verdachte.
De rechtbank komt op grond van het bovenstaande tot het oordeel dat de verdachte door het verrichten van voornoemde handelingen feitelijk een bijdrage heeft geleverd en derhalve heeft deelgenomen aan een terroristische organisatie. Onmiddellijk na zijn detentie in oktober 2017 heeft de verdachte zich verdiept in cryptocurrency en is hij samen met voornoemde personen bezig geweest om geld in te zamelen voor een op te richten trainingskamp en kalifaat, waarbij hij onder meer gebruik heeft gemaakt van de persoonsgegevens van de door zijn mededaders ontvoerde en vermoorde slachtoffer. In gezamenlijkheid heeft de verdachte met medeverdachte plannen gemaakt voor het opzetten van een trainingskamp in Somaliland en daarvoor de voorbereidingen getroffen, waarbij de verdachte met een medeverdachte heeft gesproken over de aanschaf van raketten, wapens en drones.
De verdachte wordt veroordeeld voor zes jaar gevangenisstraf, waarvan één jaar voorwaardelijk.
Hacker van iCloud accounts veroordeeld
Op 31 oktober 2019 heeft de rechtbank Den Haag een verdachte veroordeeld (ECLI:NL:RBDHA:2019:11523) tot het hacken van meerdere iCloudaccounts. De bekennende verdachte pleegde computervredebreuk door de beveiligingsvragen bij iCloudaccounts te raden. Vervolgens gebruikte de verdachte het programma ‘iPhone Backup Extractor’ om een back-up van het gehele account te maken. Via internet is de verdachte in contact gekomen met medeverdachte, met wie hij gegevens over die iCloud-accounts en de inhoud daarvan heeft uitgewisseld via Skype en via het programma ‘Gigatribe’. Ook heeft hij de Dropboxaccount van de vriend van een slachtoffer gehackt. De gesprekken met medeverdachte waren belangrijk voor de bewijsvoering.
De verdachte heeft naaktfoto’s en bewerkte foto’s op internet geplaatst met daarbij berichten als “email me voor meer” met het e-mailadres van een slachtoffer. Daarmee is de verdachte volgens de rechtbank ook schuldig aan laster (262 Sr) en belediging (266 Sr). Ten slotte is de verdachte veroordeelt voor het bezit tot kinderporno. De verdachte krijgt een zes maanden gevangenisstraf opgelegd, waarvan vijf voorwaardelijk. Ook moet hij 1000 euro schadevergoeding aan de slachtoffers betalen.
Strafvermindering na onrechtmatige doorzoeking smartphone
Het Hof Amsterdam heeft op 23 oktober 2019 in een zaak (ECLI:NL:GHAMS:2019:4341) strafvermindering toegekend als sanctie op een vormverzuim bij het doorzoeking in een smartphone.
Het hof overweegt dat de telefoon van de verdachte via een vordering tot uitlevering is verkregen. Tijdens het opsporingsonderzoek naar een medeverdachte waren veelzeggende chatgesprekken naar voren waren gekomen m.b.t. kinderpornografisch materiaal, zoals “ik heb een slaafje van 15! dat voorlopige mijn camslaafje wordt”.
De wijze waarop de Huawei smartphone van de verdachte is onderzocht leverde een meer dan beperkte inbreuk op de persoonlijke levenssfeer van de verdachte op. Er was echter geen toestemming van een officier van justitie of rechter-commissaris verkregen. Naar het Smartphone-arrest van de Hoge Raad (HR 4 april 2017, ECLI:NL:HR:2017:584) is dat wel vereist.
De verdachte is in eerste aanleg door de rechtbank Noord-Holland vrijgesproken van het ten laste gelegde verspreiden van kinderpornografische afbeeldingen. Het Hof Amsterdam acht het bezit van drie kinderpornografische bestanden wel bewezen en veroordeelt de verdachte tot een voorwaardelijke gevangenisstraf van 6 maanden, een proeftijd van 3 jaren en de 240 uur taakstraf.
Veroordeling voor grootschalig witwassen met bitcoins
De rechtbank Overijssel heeft op 22 oktober 2019 een verdachte veroordeeld (ECLI:NL:RBOVE:2019:3787) voor het medeplegen van gewoontewitwassen met een grote hoeveelheid bitcoins. De verdachte handelde in bitcoins en trof verkopers van bitcoins bij een bedrijf in Landgraaf.
De verdachte adverteerde op Marktplaats.nl met de aankoop en verkoop van bitcoins tegen een veel hogere commissie van 4 of 5% dan de 0,35% dat volgens de rechtbank gebruikelijk is bij reguliere bitcoinwisselkantoren. Voor het omwisselen van bitcoins naar giraal geld werd gebruik gemaakt van drie bitcoinexchanges. Het ontvangen geld werd gestort op verschillende bankrekeningen van de verdachte en zijn echtgenote. In totaal werd op de onderzochte bankrekeningen € 3.594.634,56 geboekt, afkomstig van bitcoinexchanges. Hiervan werd in totaal € 3.416.150,14 contant opgenomen.
De meeste bitcoins waren afkomstig van een in 2017 neergehaalde darkweb market. De verdachte heeft geen persoonsgegevens gevraagd van zijn klanten en geen onderzoek verricht naar de herkomst en wist van de illegale herkomst. Hij garandeerde de anonimiteit van zijn klanten door af te spreken op een openbare plaats en een aanzienlijk hogere commissie rekende. Bovendien was de verdachte in bezit van een boekje dat hij als leidraad gebruikte, waarin stond dat er risico’s waren verbonden aan deze handel. Ook werd hij gewaarschuwd door de diverse banken waar de verdachte bankrekeningen had. De verdachte wordt veroordeeld tot 34 maanden gevangenisstraf.
Op 13 december 2019 heeft de rechtbank Oost-Brabant een verdachte veroordeeld (ECLI:NL:RBOBR:2019:7097) voor drugshandel via het dark web en het voorhanden hebben van drugs. Tijdens de doorzoeking in de woning is drugs gevonden, verpakkingsmateriaal en een sealmachine, een PGP-telefoon en is een groot contant geldbedrag in een keukenkastje aangetroffen. Tijdens de doorzoeking zijn twee externe harde schijven in beslag genomen met daarop verschillende documenten, waaronder prijslijsten van verschillende soorten drugs, inloggegevens voor websites op het darkweb en administratie van verschillende orders in de periode van 4 december 2017 tot en met 14 augustus 2018 die naar adressen over de gehele wereld zijn verzonden. Daarmee acht de rechtbank drugshandel en het illegaal bezit van de drugs bewezen.
De opbrengsten van de drugshandel zijn uitbetaald in bitcoins, die vervolgens zijn omgezet in giraal geld. Daarvoor is niet alleen de eigen bankrekening van verdachte gebruikt, maar ook rekeningnummers van een katvanger. Vervolgens zijn die gestorte bedragen grotendeels opgenomen en – nu niet blijkt van het tegendeel – gaat de rechtbank ervan uit dat die bedragen ook zijn uitgegeven. De verdachte heeft ook erkend dat hij opgenomen bedragen heeft besteed aan vaste lasten en boodschappen. Daarmee heeft verdachte zich wat betreft de opgenomen bedragen ook schuldig gemaakt aan het witwassen van de opbrengst van zijn drugshandel. De verklaring van verdachte dat de geldopnames in verband stonden met zijn handel in bitcoins in opdracht van derden die hun winsten in euro’s uitgekeerd wilden zien, acht de rechtbank niet aannemelijk geworden. De verdachte wordt ook veroordeeld voor het witwassen van bijna 150.000 euro.
De verdachte krijgt een vier jaar gevangenisstraf opgelegd.
Digitaal bewijs in strafzaken
Van oktober t/m december 2019 zijn verschillende rechtszaken geweest waarbij digitaal bewijs een rol speelt. De rechtbank Overijssel veroordeelde op 29 oktober 2019 bijvoorbeeld een verdachte veroordeeld (ECLI:NL:RBOVE:2019:3958) voor een geweldadige overval. Het slachtoffer dacht dat hij via een dating app (Random Chat) een afspraak had met een meisje, maar in werkelijkheid wachtte er een groepje mannen op hem die hem onder bedreiging van wapens dwongen om onder andere zijn portemonnee en telefoon te geven.
Daar bleef het voor het slachtoffer helaas niet bij. Het slachtoffer heeft driemaal geprobeerd te pinnen, onder de bedreiging dat ‘zijn penis zou worden afgesneden’. Nadat hij zijn bankpas en pincode moest afstaan is nog diezelfde nacht vijf keer 100 euro van de bankrekening opgenomen.
Op grond van de afbeeldingen, berichten en het videofragment die op de telefoon van de verdachte is een van de daders geïdentificeerd. Aan de hand van de metadata kon worden afgeleid op welk tijdstip foto’s waren gemaakt. Ook werden berichten verstuurd over, onder andere, het ophogen van het limiet van slachtoffer om de pintransacties mogelijk te maken. De verachte moet een schadevergoeding betalen van bijna 3.400 euro en nog 30 dagen jeugddetentie uitzitten van een eerder opgelegde straf. Ook krijgt hij een gevangenisstraf opgelegd van 27 maanden.
Op 28 november 2019 heeft de rechtbank Amsterdam een verdachte veroordeeld (ECLI:NL:RBAMS:2019:8995) voor een gewelddadige overval. Via Markplaats maakte de verdachte een afspraak met het slachtoffer voor de aankoop van een duur horloge (6300 euro), waarna een woningoverval plaatsvond. De verdachten bedreigden het slachtoffer met een vuurwapen en duwde hem op te grond, in de nabijheid van zijn vijfjarige zoontje. Vervolgens moest hij zijn horloge, iPhone X en Macbook afgeven.
In de uitspraak is te lezen dat het IP-adres kon worden gekoppeld aan het account van de verdachte. Het verweer dat het Wifi-netwerk van de verdachte een groot bereik had (15 meter buiten de woning) en daarom onvoldoende is voor de bewezenverklaring wordt verworpen. De rechtbank merkt op dat het bericht op Marktplaats kan worden gekoppeld aan de telefoon van de verdachte op grond van een (door Marktplaats gegenereerde) unieke code. Die bevindingen vragen om een verklaring, die door de verdachte niet wordt gegeven. De verklaring van de verdachte dat hij niet weet welke persoon dit kan hebben gedaan, acht de rechtbank onaannemelijk. De verdachte wordt veroordeeld voor een gevangenisstraf van 25 maanden, waarvan 8 maanden voorwaardelijk en meer dan 8000 euro schadevergoeding, wegens medeplichtigheid aan de woningoverval.
Op 4 december 2019 heeft de rechtbank Zeeland-West-Brabant een verdachte veroordeeld (ECLI:NL:RBZWB:2019:5403) voor doodslag (door een schot door het hoofd van het vrouwelijke slachtoffer in de nabijheid van haar vierjarige zoon) en verboden wapenbezit.
Het wapen is in deze trieste zaak niet daadwerkelijk aangetroffen, maar wordt bewezen verklaard op grond van de verklaring van de verdachte (dat het om een ‘9mm CZ 75 SP01 Shadow gaat’). Dit wordt ondersteund door de historische internetgegevens van de inbeslaggenomen telefoon van een ander persoon. Daar is uit naar voren gekomen dat er zoekopdrachten zijn ingegeven in Google met soortgelijke vuurwapens en ter zitting heeft verdachte verklaard dat hij waarschijnlijk degene is geweest die dat heeft opgezocht, omdat hij toen geen smartphone had. De verdachte heeft bovendien verklaard dat hij het pistool op die bewuste dag bij zich droeg, toen hij in de woning van het was.
De verdachte wordt veroordeeld voor 12 jaar gevangenisstraf.
Het Europol Cybercrime Center in Den Haag biedt elk jaar een mooi overzicht van actuele ontwikkelingen en bedreigingen op het gebied van cybercrime. Het ‘IOCTA rapport’ (.pdf) komt tot stand via enquêtes aan alle EU opsporingsautoriteiten en door input uit de private sector en wetenschap. Hier volgt een samenvatting van de zaken die mij het meest opvielen.
Ransomware grootste bedreiging op het gebied van cybercrime
Ransomware blijft de grootste bedreiging volgens het IOCTA 2019 rapport. De totale hoeveelheid aanvallen met ransomware is gedaald. Echter, de aanvallen zijn gerichter, winstgevender en schadelijker. Als voorbeeld wordt bijvoorbeeld een bedrijf genoemd waarbij het gijzelbedrag uit één miljoen euro bestond. Versies van de ransomwarefamilie ‘Dharma/CrySiS’, ‘ACCDFISA, ‘GlobeImposter’ en ‘Rapid’ kwamen veel in de rapportages van politiediensten voor. De private sector vreest dat naast normale ransomware ook de meer destructieve gijzelsoftware die ook ‘wiper-elementen’ bevatten; daarmee worden bestanden echt gewist of onherstelbaar beschadigd.
Zorgelijk zijn ook de ransomware-aanvallen op lokale overheden, die zich voornamelijk in de Verenigde Staten hebben voorgedaan. Zo lag de stad Atlanta in 2018 enige weken plat. In 2019 ging het al zo’n vijf steden in de VS, waaronder Baltimore en Florida. Dit vormt mogelijk een prelude voor steden Europa.
Handel in gestolen data
De handel in gestolen data betreft de twee-na-grootste dreiging volgens het Europol rapport. De data wordt het vaakst buitgemaakt door de aankoop van financiële gegevens, zoals creditcardgegevens, online bankiergegevens en gegegevens uit cryptocurrency portemonnees. De gegevens worden buitgemaakt via phishing, door lekken bij bedrijven, na grote hacks en door kwaadaardige software waarmee gegevens heimelijk worden verzameld. Deze gegevens worden verkocht op o.a. het dark web of gebruikt om fraude mee te plegen; bijvoorbeeld door er goederen mee te bestellen. Als voorbeeld worden in het rapport ook de veelvoorkomende aanvallen op uitwisselingskantoren voor cryptogeld (‘cryptocurrency exchanges’) genoemd. In 2018 is naar schatting 1 miljard in dollar wereldwijd aan cryptogeld gestolen, ook door statelijke actoren.
Logingegevens zijn minder makkelijk te besteden (‘monetisable’), maar mogelijk meer waard voor georganiseerde cybercrimegroepen. Interessant is het voorbeeld hoe zes verdachten in Engeland en Nederland zijn opgepakt voor ‘typosquatting’. Daarbij zetten criminelen nepwebsites waar mensen per ongeluk op kunnen bij het intypen van een URL. In dit geval leidde de website tot een nep bitcoinportemonnee. Door het overnemen van inloggevens kon de bitoinportemonnee geleegd worden en het virtuele geld worden overgemaakt naar de verdachten. Daarmee zou volgens Europol door de groep 24 miljoen euro zijn buitgemaakt.
Ddos-aanvallen
Ddos-aanvallen blijven een prominente dreiging als we het hebben over de ‘target cybercrime’ (criminaliteit waarbij computers en netwerk het doelwit zijn van de gedraging, wordt ook wel ‘cybercrime in enge zin’ genoemd). Ddos-aanvallen worden het meest gebruikt voor afpersing, maar ook aanvallen voor ideologische of politieke redenen kwamen veel voor. Financiële instellingen en overheden, zoals de politie, werden het vaakst onder vuur genomen. In het bijzonder voor banken vormen ddos-aanvallen een groot probleem, omdat het kan leiden tot het verstoren van de online bankierdiensten. De aanvallen zijn volgens Europol het vaak afkomstig van ‘low-capability actors’, die bijvoorbeeld gebruik maken van ‘exploit booters of stressers’.
Operation Power Off
In april 2018 hebben Nederlandse en Engelse opsporingsautoriteiten de illegale dienst ‘Webstresser.org’ offline gehaald. Webstresser was volgens Europol destijds een van de grootste marktplaatsen voor het huren van ddos-diensten met meer dan 150.000 klanten en de bron van meer dan 4 miljoen ddos-aanvallen.
Kinderporno
De hoeveelheid kinderpornografisch materiaal (ook wel genoemd: materiaal van kindermisbruik) op internet blijft volgens Europol stijgen. Kindermisbruikers werken vaak volgens dezelfde modus operandi: zij zoeken potentiele slachtoffers via sociale media, creëren een aantal nepprofielen waarbij zij zich als een leeftijdsgenoot voordoen en leggen contact. Nadat er een niveau van vertrouwen is gaan naar Whatsapp of apps als Viber om de gesprekken voor te zetten. Als – eerst op vrijwillige basis – seksueel materiaal is uitgewisseld zetten de kindermisbruikers de slachtoffers onder druk om meer materiaal te maken, bijvoorbeeld onder de dreiging het materiaal te openbaren.
Gecoördineerde actie tegen kindermisbruik, in samenspraak met de private sector en het gebruik van technologie zoals kunstmatige intelligentie, kan helpen tegen de bestrijding van materiaal van kindermisbruik en ook helpen in het verwerken van enorme hoeveelheden materiaal. Ter illustratie: in 2017 ontving Europol 44.000 verwijzingen met mogelijk kinderpornografisch materiaal van Amerikaanse internetdienstverleners (zoals Google en Microsoft). In 2018 waren dat er 190.000. Europol heft zelf een database met 46 miljoen afbeeldingen of video’s met geïdentificeerd kinderpornografisch materiaal. Nederland wordt expliciet in het rapport genoemd als de grootste hoster van kinderporno.
Het rapport signaleert verder dat (soms extreme) kinderpornografie wordt verspreid via exclusieve online forums. Het Europol rapport noemt bijvoorbeeld het forum ‘Elysium’, dat alleen bereikbaar was via Tor (op het darknet dus). Vier mannen runde het forum met meer dan 11.000 geregistreerde gebruikers over de hele wereld.
De auteurs waarschuwen dat het een ‘kwestie van tijd’ is tot ‘deepfakes’ met kinderporno voorkomen die worden gebruik voor het “personaliseren” van het materiaal. Dat kan problemen opleveren voor de vervolging en digitale bewijsproblemen.
Rol van het dark web en cybercrime
In het rapport is extra aandacht voor de rol van het ‘dark web’, als facilitator van online criminaliteit. Het rapport signaleert dat de markten veranderen in kleinere online drugsmarkt en ‘single-vendor’ shops, soms in een specifieke (d.w.z. niet-Engelse taal). De toegang tot online drugsmarkten via Tor blijft het meest populair, mogelijk vanwege de gebruikersvriendelijkheid.
xDedic marketplace
De xDedic markplaats wordt als voorbeeld genoemd in het rapport. In januari 2019 hebben Amerikaanse, Belgische en Oekraïense opsporingsautoriteiten de ‘xDecic’-marktplaats inbeslaggenomen. xDedic verkocht gehackte computers en gestolen persoonsgegevens. Het was actief op zowel het dark web als het clear web. De geïnfecteerde computers konen worden geselecteerd op criteria als prijs, geografische locatie en besturingssystemen. De marktplaats zou meer dan 60 miljoen euro in fraude hebben gefaciliteerd. (zie ook dit nieuwsbericht waarin wordt gesteld dat op de markplaats meer dan 70.000 servers in 170 landen werden aangeboden).
Daarnaast hebben opsporingsautoriteiten actie ondernomen tegen Wall Street Market, Valhalla en Bestmixer. Wall Street Market had toen volgens Europol 1.150.000 geregistreerde bezoekers en 5400 verkopers van drugs. Europol schat in dat in 2018 één miljard dollar aan virtueel geld op het dark web is besteed. Bitcoin blijft daarbij de meest populaire cryptocurrency.
Bitcoinmixer
In het rapport wordt ook aandacht besteed aan de spraakmakende FIOD-take down van ‘Bestmixer.io’ (zie ook het persbericht op de FIOD-website). In samenwerking met Europol en opsporingsautoriteiten in Luxemburg werd een operatie opgezet. Het was een van de drie grootste bitcoin mixingdiensten voor Bitcoin, Bitcoin Cash en Litecoin. De dienst startte in 2018 en had volgens Europol een omzet van ten minste 200 miljoen dollar (27.000 bitcoins) in één jaar (600.000 euro per jaar). Het is bovendien de eerste zaak waar – volgens een Kamerbrief van minister Grapperhaus van 12 juni 2019 – de hackbevoegdheid is ingezet!
Advies voor wetgeving en beleid
De laatste jaren geeft Europol enkele voorzichtige adviezen af voor de Europese wetgever. Het meest interessant vond ik dat Europol in dit rapport expliciet stelt dat een EU-raamwerk is vereist voor onderzoeken op het dark web. De coördinatie en standaardisatie van undercover online onderzoeken zijn vereist om dark web-onderzoeken te ‘deconflicteren’. Opnieuw wordt gesteld dat het huidige juridische instrumentatrium van rechtshulp in de EU (‘Mutual Legal Assistance’) onvoldoende is voor digitale opsporingsonderzoeken.
Per 1 maart 2019 treedt de gewijzigde ‘Richtlijn voor strafvordering oplichting’ in werking (Stcrt. 2019, 10294. De richtlijn is gewijzigd vanwege de inwerkingtreding van de Wet computercriminaliteit III per 1 maart 2019 (Stb. 2019, nr. 67). Met de inwerktreding van deze wet is het nieuwe artikel voor online handelsfraude, artikel 326e Sr, geïntroduceerd. Het artikel maakt het strafbaar als personen een beroep of gewoonte maken van het aanbieden van goederen of diensten op het internet, zonder de intentie om die goederen of diensten daadwerkelijk te leveren.
Deze richtlijn ziet op de meest voorkomende vormen van oplichting, zoals omschreven in art 326 lid 1 Sr, waarbij een of meerdere slachtoffers worden bewogen tot de afgifte van geld of goederen, danwel tot het verlenen van (een) dienst(en). Het gaat daarbij om oplichting al dan niet via internet van burgers of bedrijven, niet van de overheid (verticale fraude).
In de gewijzigde richtlijn is de tabel voor internetoplichting vervangen voor een tabel voor online handelsfraude. Uitgangspunt daarbij is dat slachtofferschap iets zwaarder telt dan het financieel nadeel: meer slachtoffers met een laag schadebedrag levert een hogere straf op dan weinig slachtoffers met een hoog schadebedrag. In de richtlijn is rekening gehouden met de witwascomponent die zich in dit soort zaken veelal voordoet, namelijk het incasseren op de eigen rekening / de rekening van een katvanger en het vervolgens overboeken of opnemen van het geld.
jjoerlemans.com 