Makers en verspreiders van Coinvault veroordeeld

De ‘Coinvault-zaak’ (Rb. Rotterdam 26 juli 2018, ECLI:NL:RBROT:2018:6153) verdient nadere aandacht. Het betreft namelijk de eerste veroordeling voor ransomware in Nederland. Dat is de hoogste tijd, omdat ransomware al jaren één van de meest prevalente vormen is van cybercrime in enge zin. In deze blog ga ik eerst kort in op de feiten van de zaak. Daarna bespreek ik uitgebreider de ten laste gelegde feiten en welke andere delicten van toepassing kunnen zijn. Tot slot werp ik een korte toekomstblik op ransomware.

Veroordeling

De Rechtbank Rotterdam heeft op 26 juli 2018 twee jongemannen veroordeeld tot 240 uur taakstraf en een voorwaardelijke gevangenisstraf van twee jaar voor het besmetten van een groot aantal computers met zelfgemaakte ransomware. Het is een relatief lage gevangenisstraf in verhouding tot de ernst van de delicten. De verdachten hebben van november 2014 tot en met september 2015 computers besmet met zelfgemaakte ransomware van de variant ‘Coinvault’ en ‘Bitcryptor’. Deze ransomware is meer specifiek te kwalificeren als ‘cryptoware’, waarbij gegevens worden versleuteld. Zonder betaling in virtueel geld (in dit geval Bitcoin) en de ontvangst van de sleutel om gegevens weer toegankelijk te maken, is het zonder back-up in de meeste gevallen onmogelijk de gegevens terug te krijgen.

De feiten

In de uitspraak van de Rechtbank Rotterdam staat weinig informatie over het opsporingsproces, maar uit de mediaberichten over de zaak blijkt dat de verdachten de malware als ‘trojan’ hebben verspreid (zie bijvoorbeeld dit bericht in de Volkskrant en deze blog van McAfee). In dit geval was de kwaadaardige software vermomd als commerciële software en ‘sleutel-generatoren’ die in nieuwsgroepen gratis konden worden download. Nadat duizenden computers waren besmet activeerden de verdachten de cryptoware en eisten ze 250 euro in Bitcoin van hun slachtoffers. De computers stonden als zombiecomputers onder controle van hun command-and-control server. Bij het verbinding maken met de server maakten de verdachten echter geen gebruik van anonimiseringstechnieken (zoals Tor), waardoor het IP-adres terugverwees naar het adres van de abonneehouder (het ouderlijk huis van de verdachten). Dat leidde tot de arrestatie van de verdachten in een klein dorp nabij Amersfoort.

De tenlastelegging

De officier van justitie heeft artikel 138ab Sr, 350a Sr en 317 Sr (afpersing) ten laste gelegd. Het ligt het meest voor de hand het delict gegevensaantasting (art. 350a Sr) ten laste te leggen. Het artikel is ervoor gegoten, omdat het (onder andere) strafbaar stelt ‘het opzettelijk en wederrechtelijk veranderen, onbruikbaar maken of ontoegankelijk maken van gegevens’ met een maximale gevangenisstraf van twee jaren of een geldboete van de vierde categorie. De verdachten hebben gebruik gemaakt van een botnet, waardoor ook sprake is van een gekwalificeerde vorm van computervredebreuk in artikel 138ab lid 3 Sr (zie ook het Toxbot-arrest (ECLI:NL:HR:2011:BN9287)). Sinds mei 2015 is overigens ook artikel 138b Sr gewijzigd, waardoor een strafverzwaring naar een maximale gevangenisstraf van vijf jaar of een geldboete van de vierde categorie van toepassing indien met het plegen van het feit als omschreven in art. 350a Sr ‘ernstige schade’ wordt veroorzaakt. De memorie van toelichting definieert niet helder wat ‘ernstige schade’ behelst, maar ik neem aan dat hier ook de besmetting van duizenden computers met ransomware onder valt, zoals in casu het geval was.

Bijzondere aandacht verdient ook de tenlastelegging van afpersing (art. 317 Sr) in deze zaak. Het gaat hier om de uitoefening van dwang, om zichzelf wederrechtelijk te bevoordelen met geweld of de bedreiging met geweld, door ‘de bedreiging dat gegevens die door middel van een geautomatiseerd werk zijn opgeslagen, onbruikbaar of ontoegankelijk zullen worden gemaakt of zullen worden gewist’ (zoals staat omschreven in art. 317 lid 2 Sr). Daarvan is in deze zaak sprake, omdat de cryptoware de gegevens ontoegankelijk maakt, tenzij het losgeld wordt betaald in de vorm van Bitcoin (of het systeem op een andere manier met een sleutel kan worden ontsleuteld). De Rechtbank Rotterdam volstaat in haar (helaas zeer korte) bespreking van het artikel met: “de rechtbank is daarbij van oordeel dat het op deze wijze ontoegankelijk maken van bestanden gelijk is te stellen aan het begrip geweld als bedoeld in artikel 317 van het Wetboek van Strafrecht”.

Richtlijn Cybercrime strafvordering kan beter

De richtlijn Cybercrime strafvordering noemt de toepasbaarheid van het delict afpersing merkwaardig genoeg in zijn geheel niet. In plaats daarvan worden de artikelen 139d Sr (de plaatsing van malware), art. 326 Sr (oplichting) en art. 284 Sr (dwang) genoemd. De officier van justitie had inderdaad art. 139d lid 2 sub a Sr met verwijzing naar art. 138ab lid 3 Sr ten laste kunnen leggen. Dat zou beter tot uitdrukking doen komen dat de verdachten ook de vervaardiging van de Coinvault-malware wordt verweten. Op het eerste gezicht lijkt bij ransomware de ten laste legging van het delict ‘oplichting’ (art. 326 Sr) minder voor de hand te liggen. Voor oplichting is immers (onder andere) vereist dat iemand bijvoorbeeld na een ‘listige kunstgreep’ geld overmaakt. Met andere woorden wordt de betrokkene ‘er in geluisd’. Bij ransomware wordt simpelweg de computer van het slachtoffer gegijzeld en losgeld door een anonieme dader wordt geëist; daarbij lijkt van een ‘listige kunstgreep’ geen sprake. Voor de besmetting van de computer wordt soms wel een ‘listige kunstgreep’ gebruikt. In deze zaak hebben de verdachten bijvoorbeeld de computers besmet via onschuldig lijkende programma’s die via internet ter beschikking zijn gesteld, waarna de slachtoffers na besmetting van cryptoware bewogen worden geld over te maken. Eerder is oplichting wel ten laste gelegd en bewezen verklaard in het geval van ‘banking malware’. Ten slotte kan in de context van ransomware ook nog sprake zijn van het delict dwang (art. 284 Sr), omdat een persoon ‘door enige feitelijkheid’ (het versleutelen van een computer) een ander wederrechtelijk dwingt iets te doen (losgeld betalen) of te dulden (het versleuteld laten van de computer). Het voordeel van de hoge maximale gevangenisstraf bij art. 317 Sr is dat slachtoffers spreekrecht hebben en ook zware bijzondere opsporingsbevoegdheden mogen worden toegepast, zoals direct afluisteren (art. 126l Sv) en alle vormen van de hackbevoegdheid (art. 126nba Sv).

‘Geweld’ bij ransomware?

Met de opkomst van het Internet of Things raken steeds meer apparaten die autonome beslissingen kunnen nemen met het internet verbonden. Dat brengt bijvoorbeeld met zich mee dat mensen opgesloten kunnen raken in hun hotelkamer, omdat de kamerdeur met het elektronische slot niet meer functioneert na een ransomwarebesmetting. Het ontoegankelijk maken van een slimme auto met ransomware tegen losgeld voor een flink bedrag lijkt mij ook goed denkbaar. In deze gevallen ziet het vereiste ‘geweld’ bij afpersing mogelijk meer op het goed zelf in plaats van de opgeslagen gegevens op de computer. Toch lijkt het dat het geweld of de bedreiging van geweld zich daarbij meer richt op het gebruik van het goed, dan op het goed zelf; het omhulsul van het goed blijft ten slotte intact. Het is overigens ook denkbaar dat met ransomware het geweld of de bedreiging van geweld zich richt tegen een persoon. Als medische apparaten aan het lichaam (zoals een insulinepomp) of in het lichaam (zoals een pacemaker) verbonden zijn met een netwerk en op afstand ontoegankelijk wordt gemaakt, kan namelijk sprake van (de dreiging van) geweld jegens een persoon bij het gebruik van ransomware.

Strafrechtpraktijk nog onvoldoende voorbereid op ransomware

Los van deze theoretische bespiegeling over de strafbaarstelling van ransomware is van belang te realiseren dat de besmetting van ransomware op IoT-apparaten geen science fiction is. Ransomware is een groeiend probleem. De WannyCry-aanval heeft in mei 2017 ziekenhuizen in het Verenigd Koninkrijk, het spoorwegsysteem tussen Duitsland en de Russische Federatie, telecommunicatiebedrijven in Spanje en Portugal en Petrochemische bedrijven in China en Brazilië en autofabrikanten in Japan platgelegd. De Nederlandse samenleving zal zich moeten voorbereiden op deze vormen van cybercrime en maatregelen moeten treffen (niet alleen op het gebied van strafrecht). Daarnaast is nu al een tendens zichtbaar dat cybercriminelen de aanvallen gerichter worden uitgevoerd, zoals het besmetten van medische apparaten in ziekenhuizen, waarbij een veel groter bedrag wordt geëist: in de tienduizenden euro’s in plaats van die doorgaans 500 euro voor besmette PC’s. De strafrechtpraktijk lijkt hier nog onvoldoende op voorbereid.

Mijn noot met bijna gelijke tekst is verschenen in: Rb. Rotterdam 26 juli 2018, ECLI:NL:RBROT:2018:6153, Computerrecht 2018/210, p. 281-291, m.nt. J.J. Oerlemans.

Over ethisch hacken: nieuwe leidraad ‘Coordinated Vulnerability Disclosure’ gepubliceerd

De leidraad ‘Coordinated Vulnerability Disclosure (CVD) is een aanscherping op de ‘leidraad responsible disclosure’ van het Nationaal Cyber Security Centrum uit 2013. Het doel van de richtlijn is om bij te dragen aan de veiligheid van ICT-systemen door kennis over kwetsbaarheden door ethische hackers te laten delen met de eigenaren van ICT-systemen, zodat deze de kwetsbaarheden kunnen verhelpen voordat deze actief misbruikt worden door derden. In de nieuwe richtlijn komt beter tot uiting dat er een gelijkwaardig gesprek moet zijn tussen de melder en de mogelijk kwetsbare organisatie.

In de afgelopen jaren hebben melders binnen de randvoorwaarden van coordinated vulnerability disclosure beleid van organisaties gewerkt. Toch kan tijdens het vinden van kwetsbaarheden de wet worden overtreden. In het kader van een CVD-overeenkomst kunnen organisatie en melder overeenkomen geen aangifte te doen (van in de eerste plaats computervredebreuk), zolang de melder binnen de randvoorwaarden van het beleid opereert. Eveneens kan worden afgesproken dat er geen civielrechtelijke stappen worden ondernomen, waarbij eventuele schade op de melder wordt verhaald.

Nadrukkelijker dan voorheen, staat nu in de richtlijn:

“Indien er wel aangifte wordt gedaan, is in Nederland het bestaan en naleven van CVD-beleid een relevante omstandigheid die de officier van justitie zal meenemen in zijn beslissing om al dan niet een strafrechtelijk onderzoek in te laten stellen en/of te vervolgen. In principe stellen Politie en Openbaar Ministerie (OM) geen strafrechtelijk onderzoek in, indien de melder zich klaarblijkelijk aan de regels uit het CVD-beleid van de betreffende organisatie heeft gehouden.”

Daarbij wordt naar twee uitspraken verwezen  (ECLI:NL:RBOBR:2013:BZ1157) en  ECLI:NL:RBDHA:2014:15611) en een beleidsbrief  waarin specifiek wordt ingegaan op de overwegingen bij de onderzoeks- en vervolgingsbeslissing. Net als in de uitspraken wordt daar in gegaan op de gebruikelijke overwegingen zoals het dienen van algemeen belang, of de melder niet onevenredig handelde (de proportionaliteitstoets) en niet een minder ingrijpende manier had kunnen handelen (de subsidiariteitstoets).

Het NCSC hanteert een standaardtermijn van 60 dagen tussen de melding en de publieke bekendmaking van de kwetsbaarheid. De omstandigheden van het geval kunnen nopen tot een langere of kortere termijn. In het CVD-beleid worden tips en voorbeelden gegeven. Daarbij wordt het CVD beleid over het gehele spectrum gebruikt, van het strenge CVD-beleid van Fox IT (slechts in een offline omgeving op voorgeselecteerde producten), naar het standaard beleid op ResponsibleDisclosure.nl tot het informele en ruimtehartige CVD-beleid van Bits of Freedom.

Recente zaak over ethisch hacken

Op 30 augustus 2018 heeft de Rechtbank Den Haag een 45-jarige IT-er veroordeeld (ECLI:NL:RBDHA:2018:10451) voor computervredebreuk, maar geen straf opgelegd. Op basis van art. 9a Sr kan een rechter daartoe overgaan, indien ‘de rechter dit raadzaam acht in verband met de geringe ernst van het feit, de persoonlijkheid van de dader of de omstandigheden waaronder het feit is begaan, dan wel die zich nadien hebben voorgedaan’. De rechtbank neemt daarbij in overweging dat hij geen kwade bedoelingen had, dat hij de gegevens uit de database niet voor eigen gewin heeft gebruikt en dat hij een maatschappelijk belang heeft gediend. In de uitspraak staan veel technische details en uitgebreide overwegingen van de rechtbank die voor de liefhebber interessant zijn. Het komt echter niet de leesbaarheid van de uitspraak ten goede. Daarom volgt hier onder een korte samenvatting.

De verdachte deed een beroep op de rechtvaardigingsgrond van het ‘algemeen belang’ door uit te leggen dat de hack op de site van de stichting was uitgevoerd om te laten zien dat de beveiliging ondermaats was. De hacker heeft simpelweg het robots.txt-bestand van de webserver opgevraagd waarbij na invoer van een geldig ID 80.000 donateursgegevens beschikbaar kwamen. In de gegevensset waren ook NAW-gegevens (naam, adres, woonplaats), bankrekeningnummers, e-mailadressen en opmerkingen over betaalgedrag van “vrienden” te vinden. Het script was niet met een wachtwoord beveiligd, maar dat is ook niet vereist om computervredebreuk te plegen. Wel overweegt de rechtbank dat sprake is van een kenbare drempel die de verdachte is overgegaan, enerzijds door het afschermen van pictura.php met het commando “disallow” op de website en anderzijds door bij opvraging daarvan de invoer van een geldig ID te vereisen.

Met behulp van ‘een vals signaal’ (zie art. 138ab lid 1 Sr) heet de hacker daarmee toegang verschaft tot de een geautomatiseerde werk (de webserver) en computervredebreuk gepleegd. Het beroep op de rechtvaardigingsgrond slaagde niet, omdat de verdachte niet proportioneel handelde door de hele database binnen te halen en ten onrechte meteen naar de media (bij Tweakers.net, De Volkskrant en Trouw via het online klokkenluidersplatform PubLeaks) is gestapt, in plaats van de betrokken organisatie zelf. De verdachte is overigens geïdentificeerd na onderzoek door Fox IT dat was ingehuurd om de hack te onderzoeken. Uit de logbestanden op de webserver bleek dat met een (niet-afgeschermd) IP-adres net voor de hack was ingelogd. Het IP-adres behoorde bij Ziggo en het opvragen van de gebruikersgegevens bij Ziggo heeft klaarblijkelijk tot de verdachte geleid.

Jurisprudentieoverzicht cybercrime – augustus-oktober 2018

Naar inmiddels goed gebruik heb ik weer een overzichtje gemaakt van opvallende jurisprudentie op het gebied van cybercrime. In het overzicht zit wederom een zaak over (grootschalige) drugshandel en witwassen met interessante bewijsoverwegingen. Daarop volgt een zaak over fraude met internetbankieren via de ING met leuke technische details, een zaak waarbij rechters hun visie geven op de (incidenteel terugkerende) vraag of het bezit van mangaporno strafbaar is en de (reeds in de media al breed uitgemeten) zaak over het hacken van een rioolinstallatie.

Drugshandel via het darkweb en witwassen

Op 18 september 2018 is een 32-jarige man uit Maastricht door de Rechtbank Overijssel veroordeeld (ECLI:NL:RBOVE:2018:3394) voor handel in hard- en softdrugs via het darkweb, witwassen via bitcoins en het bezit van hard- en softdrugs. Hij is veroordeeld tot een gevangenisstraf van vier jaar, waarvan één jaar voorwaardelijk met een proeftijd van drie jaar en bijzondere voorwaarden. Daarnaast moet hij 21.492,50 euro aan de Staat betalen als ontneming. Een medeverdachte in het onderzoek ‘26Maywood’ is tevens veroordeeld (ECLI:NL:RBOVE:2018:3395) tot een taakstraf van 240 uur en een voorwaardelijke gevangenisstraf met proefschrift, voor het witwassen van grote hoeveelheden bitcoins, met vermoedelijk een illegale herkomst, tegen contant geld.

De hoofdverdachte rekende een commissie van 10% voor het omzetten van de bitcoins tegen contant geld voor een totaalbedrag aan € 208.420,-. Hij had wetenschap dat de bitcoins onder meer afkomstig waren uit drugshandel. De verdachte handelde ook zelf in XTC en cocaïne via het darkweb en heeft deze XTC en cocaïne naar het buitenland per post verzonden.

Het bewijs is onder andere verzameld via een pseudokoop van de drugs, de analyses op de postpakketten en enveloppen, de analyse van bitcoin wallets op smartphones, foto’s op het scherm van de mobiele telefoon met daarop Whatsapp-gesprekken en onderzoek aan inbeslaggenomen laptops van de verdachte.

Veroordeling voor phishing

Op 25 september 2018 heeft het Hof Den Haag een verdachte veroordeeld (ECLI:NL:GHDHA:2018:2488) voor computervredebreuk, oplichting, deelname aan een criminele organisatie en diefstal via een nepwebsite voor internetbankieren. De verdachte krijgt een gevangenisstraf opgelegd van 18 maanden, waarvan 7 maanden voorwaardelijk en een proeftijd van twee jaar.

De verdachten hebben een e-mail verstuurd naar slachtoffers, waarbij zij zich voordeden als de ING-bank. Via een hyperlink in deze e-mail werden de slachtoffers naar een “phishing-website” geleid. De website leek sterk op de officiële ING-webpagina, waarna de slachtoffers werd gevraagd om op deze pagina diverse persoonlijke (bank)gegevens in te vullen. Dankzij deze gegevens konden degenen achter dit “phishing” traject inloggen op de ING-internetbankier-omgeving van de aangevers en kennisnemen van onder meer de aard van de bankrekeningen (betaal- en/of spaarrekening) en de daarmee corresponderende saldogegevens van de betrokkenen. Het Hof overweegt in het arrest dat op dat moment sprake is van het opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk, en daarom van het delict computervredebreuk (art. 138ab Sr).

De daders logden in op de rekeningen van de slachtoffers, waarbij het IP-adres werd vastgelegd van een Apple MacBook, waarvan later bleek dat de verdachten gebruik van maakten, met telkens dezelfde ‘User Agent’. Het IP-adres kon worden gekoppeld aan het (adres) waarop een verdachte tijdens de strafbare gedragingen verbleef. Interessant is dat de verdachte in dit geval geen toegang wilde geven tot zijn MacBook Pro dat was versleuteld met ‘FileVault’. Blijkbaar kon de politie geen toegang krijgen tot deze laptop van de verdachte, maar wel is bewezen dat de verdachte van dezelfde laptop gebruik maakte om de inloggegevens van de verdachten te vergaren. Dat is gebeurd door op listige wijze de wificode van slachtoffers te verkrijgen, waarbij vervolgens is ingelogd op de wifirouter van de slachtoffers. Vervolgens is met gebruikmaking van de inloggegevens van de slachtoffers ingelogd op de ING webserver en hier vandaan betalingen verricht ten laste van de aangevers. Het staat niet expliciet vermeld in de uitspraak, maar het is hoogstwaarschijnlijk voor de bewijsvoering ook digitaal forensisch onderzoek aan de wifi-routers uitgevoerd.

Volgens het Hof is ook sprake van deelname een criminele organisatie vanwege een gestructureerd samenwerkingsverband met een zekere duurzaamheid en continuïteit tussen de verdachte en anderen, die tot oogmerk had om door middel van “phishing” en oplichting de bankrekeningen van slachtoffers leeg te halen (diefstal).

Vrijspraak voor bezit van “manga-porno”

Op 31 augustus 2018 heeft de rechtbank Noord-Nederland (ECLI:NL:RBNNE:2018:3579) een verdachte vrijgesproken van computervredebreuk, dwang en bezit van kinderporno, maar veroordeeld voor 40 uur taakstraf vanwege het voorhanden hebben van een ‘Remote Access Trojan’ (RAT)-bestand (art. 139d Sr).

Uit de verklaring van de verdacht blijkt dat hij deze bestanden naar verschillende personen heeft verzonden met het oogmerk om computervredebreuk te plegen en om gegevens af te tappen, namelijk door het meekijken via een webcam. Het voorhanden hebben van RAT-bestanden met dit oogmerk acht de rechtbank daarom bewezen.

De uitspraak is echter vooral opvallend, omdat de officier van justitie het bezig van kinderporno ten laste had gelegd, mede vanwege het bezit van ‘manga’s’. Manga zijn cartoontekeningen die in een bepaalde Japanse stijl zijn gemaakt. De erotische vorm daarvan heet overigens ‘hentai’, waarbij dikwijls zogenaamd minderjarigen seksuele handelingen verrichten. De rechtbank heeft kennisgenomen van de cartoontekeningen die in de collectiescan zijn opgenomen. De rechtbank overweegt dat virtuele kinderpornografie strafbaar is, indien er sprake is van een realistische, niet van echt te onderscheiden afbeelding. De rechtbank is van oordeel dat de in de selectie opgenomen manga’s niet als realistisch zijn aan te merken, in welk geval deze niet van echte afbeeldingen te onderscheiden zouden zijn geweest. De rechtbank vindt ook dat met betrekking tot de overige afbeeldingen de (kennelijke) minderjarigheid, dan wel de seksuele strekking van de gedragingen, niet blijken. De rechtbank spreekt de verdachte daarom vrij van dit ernstige zedendelict.

Veroordeling voor hack rioolinstallatie

De rechtbank Midden-Nederland heeft op 13 september 2018 een verdachte veroordeeld (ECLI:NL:RBROT:2018:4380) voor het hacken van de rioolinstallatie van de gemeente Lopik. De verdachte heeft na het inloggen op de server van de rioolinstallatie een aanzienlijke hoeveelheid bestanden gewist. De rioolinstallatie kon daardoor enige tijd niet correct worden aangestuurd. Een paar maanden later heeft de verdachte via datzelfde programma rioolafsluiters dichtgezet en rioleringspompen aangezet en de daaropvolgende storingsmelding genegeerd, als gevolg waarvan ernstige schade aan de rioolinstallatie van de gemeente had kunnen ontstaan.

Bij een gedraging als deze kan een ‘gemeen gevaar voor het leveren van diensten’ ontstaan. Bij een rioolwatervoorziening is daarvan sprake, omdat het een dienst van algemene nutte is. Daarop kan artikel 161sexies onderdeel 1 Sr ten laste worden gelegd. Dat is een misdrijf waarop een maximale gevangenisstraf van zes jaar kan worden opgelegd. De technische bewijsoverwegingen uit de uitspraak zijn ook wel interessant. De verdachte werd overigens relatief eenvoudig geïdentificeerd via het niet-afgeschermde IP-adres van zijn computer waarmee hij met het Remote Desktop Protocol verbinding met de server maakte. De verbindingen werden gelogd, waardoor het IP-adres en de gebruikersnaam waarmee werd ingelogd zijn vastgelegd. Na het vorderen van de gebruikersgegevens en het identificeren van de vermoedelijke woning van de verdachte, werd in de woning van de man een briefje gevonden met gebruikersnamen en wachtwoorden waarmee is ingelogd. Bewijs werd ook geleverd aan de hand locatiegegevens van de mobiele telefoon van de verdachte en een internettap.

Bij het bepalen van de straf heeft de rechtbank rekening gehouden met straffen die in soortgelijke strafzaken worden opgelegd en met het feit dat de man ZZP’er is en een gezin met twee kinderen moet onderhouden. De verdachte krijgt – vergeleken met de ernst van het delict de mijns inziens milde – maximale taakstraf opgelegd gekregen van 240 uur.