High Tech Crime in de polder

Op 22 februari 2011 is het arrest van de Hoge Raad uitgebracht inzake de ‘Toxbot-zaak’. De Hoge Raad vernietigd het vonnis van het Hof Den Haag en het gerechtshof zal opnieuw uitspraak moeten doen. De zaak is interessant omdat het ‘high tech crime’ gaat, duidelijkheid verschaft over de toepasselijkheid van het delict ‘computervredebreuk’ met betrekking tot de verspreiding van malware (artikel 138ab Wetboek van Strafrecht (hierna: Sr)) en duidelijkheid geeft over het delict ‘computersabotage’ (artikel 161sexies Sr).   

De feiten

De verdachte heeft tussen 1 juni 2005 tot en met 4 oktober 2005 een virus verspreid, bekend onder de naam ‘Toxbot’. Het virus kon zich over andere nog niet geïnfecteerde computers verspreiden (het was dus eigenlijk een worm, maar goed). Op een bepaald moment waren 50.095 computers besmet en deze vormden samen een botnet (een netwerk van besmette computers) die op afstand via een command-and-control server aangestuurd konden worden. De Toxbot-malware had bovendien een ‘keylogger-functionaliteit’ waarmee toetsaanslagen (en dus ook wachtwoorden) konden worden afgevangen.

De besmette computers konden tevens de opdracht gegeven worden een bepaalde Trojan (Wayphisher) te downloaden en installeren. Na besmetting met deze nieuwe malware werden de besmette computergebruikers omgeleid naar een andere website (phishing-site) omgeleid en hun financiële gegevens (rekeningnummer, wachtwoorden, etc.) doorgegeven aan de verdachte, in dit geval de bestuurder van de command-and-control server (ook wel ‘botnet herder’ genoemd). Tenslotte kunnen botnets de opdracht worden gegeven een bepaalde website aan te vallen waardoor een webserver overbelast raakt en offline gaat (een ‘Distributed Denial of Service aanval’ oftwel DDoS-aanval). Maar in de onderhavige zaak is niet duidelijk of die uitgevoerd zijn met het botnet.

Het arrest gaat tamelijk diep in op hoe de malware de computers besmette en de functionaliteiten daarvan. Zaken zoals het onderhavige komen niet vaak voor en dat is best leuk om eens te lezen. Ook wordt in het arrest duidelijk dat belangrijk bewijsmateriaal is verzameld via een internettap, wat nog een tamelijk nieuwe opsporingsmethode is. Met de tap zijn namelijk belastende chatgesprekken van de verdachte afgevangen.  

Het oordeel

De vraag die in het arrest wordt beantwoord is in essentie of bij het infecteren van computers met bepaalde malware ook eventueel het delict computervredebreuk van artikel 138ab Sr ten laste kan worden gelegd. Dat is niet vanzelfsprekend, want het kan gaan om enorm veel computers en er wordt niet heel bewust in één bepaalde computer bijvoorbeeld met gestolen inloggegevens ingebroken en vervolgens overgenomen om andere delicten te plegen. Het is daarom de vraag of opzettelijk en wederrechtelijk wordt ‘binnengedrongen in een geautomatiseerd werk’ en met welke ‘technische ingreep’ dat gebeurt. Daarnaast wordt de vraag beantwoord of bij het onbruikbaar maken van computers die een dienst van algemene nutte afnemen artikel 161sexies lid 1 onderdeel 2 Sr van toepassing is.  

De Hoge Raad oordeelt dat het plaatsen van malware op een computer computervredebreuk kan zijn. De computer maakt na besmetting onderdeel uit van een botnet en kan door de dader worden aangestuurd. Een ‘geautomatiseerd werk’ (de computer) wordt namelijk tegen de wil van de rechthebbende (de slachtoffers) binnengedrongen door middel van een technische ingreep die bestond ‘alle handelingen die nodig waren voor de verspreiding van het virus’. Daarmee maakt de verdachte zich schuldig aan computervredebreuk en de gekwalificeerde vorm daarvan als bedoeld in artikel 138ab lid 3 Sr.   

Het oordeel is in zoverre belangrijk dat nu duidelijk is dat het besmetten van computers met bepaalde malware en daarna het misbruiken van die computers via een botnet een gekwalificeerde vorm van computervredebreuk kan opleveren waar hoogstens 4 jaar gevangenisstraf op staat. Naast computervredebreuk is overigens ook gewoon artikel 350a (lid 1 of lid 3) Sr van toepassing (zie ook dit blogbericht over de (D)DoS-aanvallen van Anonymous).   

Ten tweede wordt door het arrest duidelijk dat een website van een bank, online betalingsdienst als PayPal, veilingwebsite als Ebay en creditcardmaatschappijen een ‘dienst van algemene nutte’ kunnen aanbieden. Het platleggen van een dergelijke website met een DDoS-aanval kan bijvoorbeeld het delict ‘computersabotage‘  uit artikel 161sexies Sr constitueren, maar ook het ontnemen van de mogelijkheid van een substantieel aantal afnemers om van deze diensten om van een dergelijke dienst (het internetbankieren) behoorlijk gebruik te maken kan artikel 161sexies lid 1 onderdeel 2 Sr constitueren. In dat opzicht wijkt het arrest van de Hoge Raad af van de conclusie van Advocaat-Generaal Knigge (zie paragraaf 35).  

In artikel 161sexies Sr wordt volgens de Hoge Raad namelijk geen onderscheid gemaakt tussen de computers van de afnemer van een dienst ten algemene nutte en de computers van de dienstverlener. Op dit punt heeft het Hof Den Haag dus verkeerd geoordeeld en zal dus nogmaals uitspraak moeten doen. De dader heeft zich dus waarschijnlijk schuldig gemaakt aan artikel 161sexies lid 1 onderdeel 2 Sr door computers te besmetten met de Wayphisher-trojan en het gebruikmaken van de keylogger-functionaliteit van de Toxbot-malware. De slachtoffers konden hierdoor namelijk niet meer op een behoorlijke manier gebruik maken van de diensten van de banken.  

Overigens is het met betrekking tot de (D)DoS-aanval interessant dat dit weekend blijkbaar een dergelijke aanval op de website van de Rabobank is uitgevoerd (zie dit bericht en dit bericht op Nu.nl). Het is nu in elk geval duidelijk dat de dader voor artikel 161sexies Sr vervolgd kunnen worden. Op artikel 161sexies lid 1 onderdeel 2 Sr staat een maximale gevangenisstraf van zes jaar.  

Conclusie

Het arrest is opvallend. Niet alleen omdat het om een zeldzame ‘high tech crime’-zaak gaat, maar ook omdat het duidelijkheid verschaft over welke gedragingen het delict computervredebreuk en computersabotage constitueren. Het aanvallen van een bankwebsite via een (D)DoS-aanval kan dus een behoorlijke straf opleveren ook al wordt de website van de dienstverlener zelf niet verstoord.

Belgium vs. Yahoo!

The Belgium Supreme Court ruled in an incredibly interesting
case on January 18 2011. The question is whether Belgium law
enforcement agencies can compel Yahoo! Inc. to directly provide data about its
customers using their email service. According to the prosecutor, Yahoo’s email
service could be considered as an ‘electronic communication service’. Following
article 46bis of the Belgium Criminal Procedure Code and assuming Belgian law
enforcement agencies have jurisdiction, this would mean that Belgium law
enforcement agencies could compel Yahoo to directly provide the requested data,
instead of starting legal aid procedures with the United States in order to get
the data. Not surprisingly, Yahoo denied this statement and now Belgium’s
highest court ruled on this decision. The previous decisions of the Court of
Gent and Dendermonde can be found here and here (all in Flemish).

The Supreme Court’s
decision

The Supreme Court of Belgium decided that not just ‘operators
of electronic communication networks’, but everyone who provides electronic
communication services, like the transmission of communication data, can be an
‘electronic communication service provider’. Service providers who offer a
service to customers with which they can send, receive, or spread information
via an electronic network, can also be defined as an ‘electronic communications
provider’. According to the Belgium Supreme Court, these service providers can
be compelled to provide certain data upon request of a public prosecutor on the
basis of article 46bis of the Belgium Criminal Procedure Code. The Court of
Gent – who previously ruled differently in this case – therefore must rule
again in this case.

Basically, the Belgium Supreme Court ruled indirectly that
Yahoo can be considered an ‘electronic communication service provider’ and
could be compelled by a Belgium public prosecutor to provide data on its
customers. The final outcome of the case is not certain yet, but it seems to me
that it might be very difficult for the Court of Gent to rule otherwise.

Are they right?

Theoretically, the interpretation of a ‘communication
service provider’ the Supreme Court seems correct. In the Netherlands we have
similar legislation. The definition of a ‘communication service provider’ derives
from the Cybercrime Convention.
Number 27 (and 26) of the explanatory memorandum of the Cybercrime convention gives
more information about the definition of a ‘service provider’: “27. Under (ii) of the definition, it is
made clear that the term "service provider" also extends to those
entities that store or otherwise process data on behalf of the persons
mentioned under (i). Further, the term includes those entities that store or
otherwise process data on behalf of the users of the services of those
mentioned under (i)
. For example, under this definition, a service
provider includes both services that provide hosting and caching services as
well as services that provide a connection to a network.
However, a mere provider
of content (such as a person who contracts with a web hosting company to host
his web site) is not intended to be covered by this definition if such content
provider does not also offer communication or related data processing
services.”

For my Dutch
readers: 

Volgens ‘Kamerstukken
II
2004/05, 26 671, nr. 7 (Nota van Wijziging wetsvoorstel
Computercriminaliteit II)’ the definition of an ‘aanbieder van een
communicatidienst’ is artikel 126la Sv afkomstig uit het Cybercrime verdrag. Een ‘aanbieder van een communicatiedienst’
is: “iedere publieke of private
instelling die aan de gebruikers van haar diensten de mogelijkheid biedt te
communiceren met behulp van een computersysteem en iedere andere instelling die
computergegevens verwerkt of opslaat ten behoeve van (de gebruikers van) zo’n
communicatiedienst.
Bij dit
laatste kan men denken aan de aanbieders van webhostingdiensten en de beheerder
van websites. In een nieuw artikel in het WvSv wordt daartoe een definitie
opgenomen van het begrip ‘aanbieder van een communicatiedienst’ waarbij nauw
wordt aangesloten bij de begripsbepaling in het Verdrag.
Zie ook ‘Stcrt. 2006, 201, 14 (aanvulling Handboek
voor de opsporingspraktijk)’. We zouden daarom net als de Belgen Yahoo kunnen
zien als een aanbieder van een communicatiedienst. Dat betekent wellicht dat
dit soort diensten aan onze regels van strafvordering moeten voldoen, maar de
vraag is of wij ons recht op deze Amerikaanse diensten kunnen (en willen)
opleggen.

Back to English:

I believe that Yahoo’s e-mail service could be seen as a ‘communication
service provider’. On this part the Supreme Court seems right. However, the
question is whether Belgium can compel Yahoo to comply with its criminal
procedural law. Said differently: does Belgium have jurisdiction over Yahoo? 

Jurisdiction on the
internet

Many other American companies provide similar services like
Yahoo! Inc., such as Google (Gmail), Microsoft (Hotmail), Facebook and Twitter.
These companies can provide very interesting information for law enforcement
agencies. Normally, law enforcement agencies outside the US would have to start
legal aid-procedures to obtain the desired data. Their request would have to
comply with both their national law and the United States’ law. This procedure
costs time and money for law enforcement agencies. The ruling of the Belgium
court could get them excited, because then – at least in Belgium – law
enforcement agencies can obtain data at these companies directly, instead of
going through the cumbersome process of legal aid-procedures. I believe
however, that this approach is too simplistic. The Supreme Court seems to ignore the
complex problem of jurisdiction on the Internet.

Of course, many people feel that companies like Yahoo are
‘situated’ as much in their country as anywhere else in the world. Therefore,
their laws should apply for these services. This is also raised by the public
prosecutor during proceedings of the case at the Court of Dendermonde. Even in
reality it is – because of cloud computing – unclear where their infrastructure
is. What we do know, is that these companies are based in the United States. When
law enforcement agencies want data from these companies they need to obtain it
from this US company. It is understandable law enforcement agencies want data
directly from Yahoo, but in reality Yahoo could probably ignore their request
and force them to use the proper channels.

I wonder if we can reasonably expect Yahoo-like companies to
comply with our own criminal procedure laws. Just within the European Union
there are 27 different jurisdictions and about only half of these countries
ratified the Cybercrime convention. In the United States they also get
compensated more generously than in European countries, when providing such
data. I believe they might even consider the possibility of not providing their
services to certain countries anymore, when they are forced to comply with
national laws of every state they provide their services in. The Court of
Dendermonde mentioned this possibility explicitly. That would not be desirable,
because people rely on these services for their communications. See also the Future of Copyrights’ blog about this.

This ruling tries to deal with the serious issue of
jurisdiction on the Internet, but I don’t think this is the right way to cope
with the problem. It will be interesting to see how the Court of Gent will rule on the Yahoo-case next time. Obviously, more research is needed to find solutions for the problem of jurisdiction on the internet. I
hope I can make a contribution in my PhD-study about this topic.