Richtlijn voor strafvordering oplichting

Per 1 maart 2019 treedt de gewijzigde ‘Richtlijn voor strafvordering oplichting’ in werking (Stcrt. 2019, 10294. De richtlijn is gewijzigd vanwege de inwerkingtreding van de Wet computercriminaliteit III per 1 maart 2019 (Stb. 2019, nr. 67). Met de inwerktreding van deze wet is het nieuwe artikel voor online handelsfraude, artikel 326e Sr, geïntroduceerd. Het artikel maakt het strafbaar als personen een beroep of gewoonte maken van het aanbieden van goederen of diensten op het internet, zonder de intentie om die goederen of diensten daadwerkelijk te leveren.

Deze richtlijn ziet op de meest voorkomende vormen van oplichting, zoals omschreven in art 326 lid 1 Sr, waarbij een of meerdere slachtoffers worden bewogen tot de afgifte van geld of goederen, danwel tot het verlenen van (een) dienst(en). Het gaat daarbij om oplichting al dan niet via internet van burgers of bedrijven, niet van de overheid (verticale fraude).

In de gewijzigde richtlijn is de tabel voor internetoplichting vervangen voor een tabel voor online handelsfraude. Uitgangspunt daarbij is dat slachtofferschap iets zwaarder telt dan het financieel nadeel: meer slachtoffers met een laag schadebedrag levert een hogere straf op dan weinig slachtoffers met een hoog schadebedrag. In de richtlijn is rekening gehouden met de witwascomponent die zich in dit soort zaken veelal voordoet, namelijk het incasseren op de eigen rekening / de rekening van een katvanger en het vervolgens overboeken of opnemen van het geld.

Aanwijzing voor grensoverschrijdende inzet hackbevoegdheid

Op 26 februari 2019 is de “Aanwijzing voor de internationale aspecten van de inzet van de bevoegdheid ex art. 126nba Sv” gepubliceerd (Stcrt. 2019, 10277). De aanwijzing geeft regels voor de toepassing van de hackevoegdheid (artikel 126nba Sv), omdat mogelijk via internet geautomatiseerde werken kunnen worden benaderd  die zich in het buitenland bevinden.

In de aanwijzing staat een rechtshulpverzoek het uitgangspunt voor het plegen van opsporingshandelingen buiten Nederland. In een rechtshulpverzoek moet de officier een verzoek doen de gezochte gegevens te vorderen en/of (zelfstandig) veilig te stellen op basis van de daarvoor in dat land geldende wettelijke grondslagen. Indien op het moment waarop aan de rechter-commissaris machtiging voor de inzet van de bevoegdheid van artikel 126nba Sv gevraagd wordt, bekend is dat de gegevens niet in Nederland zijn opgeslagen, wordt dat in de aanvraag vermeld. Hiermee is in een dergelijke situatie verzekerd dat het aspect van de inbreuk op de soevereiniteit van een andere staat onderwerp vormt van een expliciete afweging door de officier van justitie en de rechter-commissaris.

Als met een redelijke inspanning niet kan worden vastgesteld wat de locatie van geautomatiseerd verwerkte gegevens is, wordt gehandeld alsof de gegevens in Nederland zijn opgeslagen. Daarvan kan blijkens de aanwijzing ook sprake zijn als niet langer kan worden gewacht op een reactie of er geen reactie van het land is te verwachten op een rechtshulpverzoek. Ook kan hiervan bijvoorbeeld sprake zijn bij het gebruik van anonimiseringssoftware of opslag in de cloud. Met een ingewikkelde formulering wordt de redelijke inspanning beschreven met: ‘de tijd en moeite voor het vaststellen van een specifieke geografische locatie in een reële verhouding tot de noodzakelijkheid van onverwijld optreden, de tijdsdruk en de doorlooptijd van het onderzoek’. In de aanwijzing wordt een interne procedure bij het Openbaar Ministerie beschreven die moet worden gevolgd.

Afwegingscriteria

Als afwegingscriteria voor de (mogelijke) grensoverschrijdende inzet staan in de aanwijzing: (a) ernst of onmiddellijkheid van de gevolgen van de aanval of dreiging; (b) aard en ernst van het strafbare feit; (c) vluchtigheid van de gegevens of informatie die wordt gezocht, en of die moet worden veiliggesteld, danwel ontoegankelijk moet worden gemaakt; (d) mate van betrokkenheid van de Nederlandse rechtsorde en de gevolgen daarvoor (inclusief slachtofferbelangen) (e) de aard van de te verrichten opsporingshandelingen: afhankelijk van de mate van ingrijpendheid, mate van inbreuk op de privacy van de verdachte, mate van inbreuk op privacy van slachtoffers die middels het geautomatiseerde werk wordt gemaakt en (f) risico’s voor het geautomatiseerde werk, d.w.z. technische risico’s en een inschatting van de mogelijke schade voor derden.

Als tijdens de onderzoekshandelingen blijkt dat deze gericht zijn op gegevens die zich op het territorium van een specifieke andere staat bevinden, wordt zo snel mogelijk alsnog een rechtshulpverzoek gedaan aan de desbetreffende staat voor het gebruik van deze gegevens en het onderzoek of besloten de onderzoekshandelingen te stoppen. De uitzondering daarop is dat het belang van het onderzoek groter wordt geacht dan de mogelijke schending van de soevereiniteit van die andere staat of staten. Dat brengt mee dat de officier van justitie in alle gevallen aan de rechter-commissaris meldt wat bekend is over de locatie van de gegevens. Dat geldt dus ook in het geval dat er niets bekend is over de locatie van de gegevens.

Kort commentaar

De overwegingen en instructies in de richtlijn zijn niet verassend, omdat de wetsgeschiedenis over de Wet computercriminaliteit III soortgelijke overwegingen aangeeft. Wat mij betreft komt in de aanwijzing nu duidelijker naar voren dat de grensoverschrijdende inzet ook toelaatbaar wordt geacht als de reactie op een verzoek te lang zich laat wachten, of geen reactie van het land is te verwachten. Ook bleek in de wetsgeschiedenis nog het uitgangspunt te zijn dat het desbetreffende land altijd wordt geïnformeerd over de inzet van de hackbevoegdheid als de locatie bekend wordt, terwijl nu – als ik het goed begrijp – een uitzondering van toepassing kan zijn als ‘het belang van het onderzoek groter wordt geacht dan de mogelijke schending van de soevereiniteit van die andere staat of staten’.

Ik blijf benieuwd hoe internationaal strafrechtjuristen hierover denken die niet zozeer gespecialiseerd zijn in IT-recht, dus ik houd mij aanbevolen voor publicaties of reacties op het onderwerp.

 

Jurisprudentieoverzicht cybercrime – december-februari 2019

Hieronder volgt weer een overzicht van cybercrimezaken in de maanden december-februari die mij zijn bijgebleven. Het waren te veel zaken om allemaal een plek te geven, dus ik heb een selectie gemaakt. Daarbij heb ik dit keer extra gelet op zaken die interessante vragen met zich meebrengen op het gebied van strafvordering.

Inloggen op accounts met de credentials van een verdachte?

In de rechtspraak is een interessante discussie op gang gekomen over de vraag of opsporingsambtenaren na de inbeslagname van een gegevensdrager achteraf mogen inloggen op een account. In dat geval zijn de credentials (inlognaam en wachtwoord) rechtmatig verkregen.

In twee gevallen is over de beslissing van de rechter-commissaris een beschikking gepubliceerd. In de eerste beschikking keurde de rechter-commissaris de aanvraag tot inloggen niet goed, omdat artikel 126ng lid 2 Sv ziet op het vorderen van opgeslagen gegevens bij een elektronische communicatiedienstaanbieder en niet op een zoeking en overnemen van gegevens op afstand. In de tweede (recente) beschikking gaf de rechter-commissaris wél een machtiging – na tussenkomst van de officier van justitie – aan een opsporingsambtenaar om in te loggen op de verschillende e-mailadressen en datingsites.  De rechter-commissaris achtte zich, op grond van artikel 181 Sv, bevoegd om deze beslissing te nemen, hoewel ook wordt opgemerkt dat de wet (nog) niet voorziet in een specifieke bevoegdheid om in te loggen op e-mailadressen en websites en gegevens vast te leggen. De Rechtbank Den Haag overweegt ten eerste dat het verschil tussen een vordering tot de gegevens en het inloggen en overnemen van gegevens op afstand ‘niet wezenlijk’ is, omdat het om dezelfde soort gegevens gaat. Ten tweede is het inloggen op de e-mailadressen en websites met vooraf beschikbare gebruikersnamen en wachtwoorden een eenvoudige en weinig risicovolle wijze van binnendringen in een geautomatiseerd werk. Ten derde is de inbreuk voor de betrokkene niet groter bij het inloggen en vastleggen van gegevens dan bij het vorderen van gegevens bij de aanbieder.

In het licht van deze tweede beschikking is ook het arrest van het Hof Den Haag van 19 december 2018 zeer lezenswaardig. Hierbij heeft de politie met toestemming van de rechter-commissaris op het politiebureau de inhoud van de mailbox van het Hotmail-account en een Gmail account (1001 e-mails) van de verdachte gekopieerd (8643 e-mails).   Kortgezegd overweegt op grond van de regeling van de netwerkzoeking geen zoeking achteraf en op afstand mag plaatsvinden. De advocaat-generaal vindt dit door de beugel kunnen op grond van de regeling van de netwerzoeking in art. 125j Sv. Het Hof overweegt kort gezegd dat de netwerkzoeking gekoppeld aan de doorzoeking van een plaats ter vastlegging van gegevens (zoals ook gewoon letterlijk in de wet staat, zou ik daaraan willen toevoegen). Het Hof Den Haag overweegt dat de netwerkzoeking daarmee los staat van de inbeslagnemingsbevoegdheden, in die zin dat niet kan worden gezegd dat de bevoegdheid tot inbeslagneming reeds de bevoegdheid tot het doen van een netwerkzoeking impliceert. Ook hierin ligt een argument besloten voor het oordeel dat de netwerkzoeking niet pas na de feitelijke inbeslagname van een gegevensdrager (alsnog) mag worden toegepast, en derhalve op een later moment en op een andere locatie, zoals in casu wel is gebeurd. Een ruime uitleg van art. 125j Sv waarmee achteraf met de credentials van de verdachte mag worden ingelogd gaat de rechtsvormende taak van de rechter te buiten volgens het hof.

Het arrest is daarnaast interessant vanwege de ten laste gelegde feiten (drieweg-phishing (per mail, nagemaakte website en malware)) en de overwegingen omtrent het hackverweer (zie ook hieronder). Over het arrest heb ik een annotatie geschreven die over een tijd in Computerrecht verschijnt.

Overzichtsarrest hackverweer van Hof Den Haag

Het Hof Den Haag wijdt in haar arrest van 19 december 2018 (ECLI:NL:GHDHA:2018:3528) dezelfde overwegingen aan het “hackverweer” als in de bovengenoemde zaak. Het hackverweer wordt dikwijls in cybercrimezaken gebruikt, waarbij de verdediging stelt dat niet de verdachte maar iemand anders via de gehackte computer van de verdachte de feiten is begaan. De overwegingen hierover van het hof zijn daarom heel belangrijk en stelt een nieuwe norm m.b.t. het hackverweer. Ik vind het wel jammer dat het allemaal nogal juridisch met veel tussenzinnen is geschreven, waardoor het arrest lastiger leesbaar wordt. Ook het aantal factoren waarmee rekening moet worden gehouden en alle uitzonderingen maakt het allemaal niet eenvoudig, maar wel volledig zullen we maar zeggen. In dit bericht vat ik de omgang met het verweer samen.

Deze vrij oude zaak ging over het bezit en verspreiding van kinderpornografische afbeeldingen via het peer-to-peer netwerk ‘eDonkey2000’. In een map zijn kinderpornografische afbeeldingen gevonden en uit de zoektermen kon worden afgeleid dat is gezocht naar kinderporno.

Het Hof stelt voorop dat bij de beoordeling van het hackverweer als maatstaf dient te worden aangelegd of – alle feiten en omstandigheden in ogenschouw nemende – dit verweer al dan niet in meer of mindere mate aannemelijk is geworden (zie HR 16 maart 2010, ECLI:NL:HR:2010:BK3359). Het is aan de verdachte om die feiten en omstandigheden aan te voeren. Volgens vaste jurisprudentie mag de rechter, naast de weerlegging in de bewijsmotivering, ook de onwaarschijnlijkheid, onaannemelijkheid en/of de ongeloofwaardigheid van alternatieve scenario’s in zijn oordeelsvorming betrekken. Volgens het Hof mag de rechter er, behoudens sterke aanwijzingen voor het tegendeel, ervan uitgaan dat op een computer (of in een beveiligde online omgeving) aangetroffen gedownloade of gekopieerde bestanden daarop zijn geplaatst door de gebruiker van die computer. Ook mag de rechter er, behoudens sterke aanwijzingen voor het tegendeel, ervan uitgaan dat wanneer uit nadere (meta)data blijkt dat bepaalde websites of bepaalde bestanden zijn geopend, die handelingen zijn verricht door de gebruiker van die computer.

Het enkele feit dat op een computer sporen zijn aangetroffen van malware betekent nog niet noodzakelijkerwijs dat dit een aannemelijke verklaring vormt voor de aanwezigheid van bepaalde (digitale) delictsporen, zoals opgeslagen browser- of communicatieactiviteiten en kinderpornografische afbeeldingen. Het is niet vereist dat kan worden uitgesloten dat een bepaalde computer is “gehackt”. Kortom, de theoretische mogelijkheid dat de betreffende computer is gehackt, zonder dat daarbij tevens een specifieke relatie wordt gelegd met de feiten uit de betreffende zaak en het daarin verrichtte (digitaal-forensische) onderzoek, is in de regel op zichzelf onvoldoende voor de conclusie dat de computer is gehackt. Het Hof noemt de volgende factoren die bij het hackverweer in ogenschouw kunnen worden genomen:

  1. het al dan niet aantreffen van (sporen van) hackingsoftware of zogenaamde remote access tools, en van het ongeautoriseerde gebruik door derden daarvan, op de betreffende computer;
  2. het niveau van fysieke en digitale bescherming van de computer tegen gebruik door derden/(digitaal) binnendringen.
  3. de aan- dan wel afwezigheid van digitale sporen (en/of andere feiten en omstandigheden) waaruit, bijvoorbeeld vanwege de inhoud, kan worden afgeleid wie (ook) op of omstreeks het moment van plegen van de strafbare gedragingen de gebruiker van de computer was. Bij onderzoek kan bijvoorbeeld blijken dat vanaf de computer zeer kort voor of na de strafbare handelingen ook communicatie (email, chats) is gevoerd, waarvan de inhoud een relatie heeft met de verdachte (dan wel een bepaalde derde) of dat gegevens zich op bestandslocaties bevinden die redelijkerwijs alleen bekend of toegankelijk waren voor de verdachte;
  4. de mate waarin, en het moment waarop, de verdachte medewerking heeft verleend aan eventueel nader onderzoek naar zijn verweer. Hierbij kan gedacht wordt aan het al dan niet (tijdig) verstrekken door de verdachte van bijvoorbeeld wachtwoorden en toegangscodes, welke nodig zijn voor het verrichten van (nader) digitaal- forensisch onderzoek;
  5. andere feiten en omstandigheden die wijzen op een bijzondere (inhoudelijke) betrokkenheid van de verdachte of een derde bij de op of via de betreffende computer gepleegde gedragingen, zoals fysieke sporen (bijv. afbeeldingen of valse credit cards) die bij de verdachte of derden zijn aangetroffen en die een relatie hebben met de op de computer aangetroffen digitaal-forensische sporen (bijv. digitale kinderpornografie; gephishte credit card gegevens);
  6. getuigenverklaringen omtrent het gebruik van de betreffende computer door verdachte dan wel door derden;
  7. de aan- dan wel afwezigheid van een motief voor derden om in de computer van de verdachte binnen te dringen.

Het arrest is ook lezenswaardig vanwege het uitgebreide digitaal forensisch onderzoek dat is gedaan en de motiveringen daaromtrent. Ondanks dat er malware op de computer van de verdachte is gevonden blijkt uit forensisch onderzoek dat  het niet waarschijnlijk is dat een derde de feiten heeft begaan. Daartegenover staat dat de verdachte enkele minuten voor gedragingen met kinderpornografisch materiaal de computer heeft gebruikt voor zijn werk. Enkele minuten na de gedragingen met kinderpornografisch materiaal wordt door de verdachte gebruik gemaakt van Microsoft Outlook om persoonlijke e-mail te bekijken en in de tussenliggende periode gebruik gemaakt van de internetpagina sexdatingstad.nl met een account dat op basis van de vanaf zijn betaalrekening betaalde credits aan de verdachte kan worden toegeschreven.

De verdachte wordt veroordeelt tot een gevangenisstraf voor de duur van 24 maanden, waarvan 15 voorwaardelijk en een proeftijd van twee jaar. De apparaten waarmee de feiten zijn begaan (een PC, externe harde schijf en router) zijn verbeurd verklaard.

Gedwongen ontgrendeling smartphone niet in strijd met nemo-tenetur beginsel

De Rechtbank Noord-Holland heeft op 14 december 2018 een verdachte veroordeeld (ECLI:NL:RBNHO:2018:11578) voor drugssmokkel (cocaïne) via Schiphol. De zaak is interessant, omdat de Koninklijke Marechaussee (Kmar) de verdachte onder de dreiging van dwang zijn pincode heeft laten afgeven om een smartphone te ontgrendelen voor nader onderzoek aan de telefoon.

De raadsman van de verdachte betoogt dat het onderzoek aan de telefoon van de verdachte onrechtmatig is geweest. De verdachte heeft de pincode van zijn telefoon niet vrijwillig gegeven, maar onder dreiging van fysieke dwang. De Kmar dreigde immers onder dwang de vingerafdruk van verdachte te gebruiken om zijn telefoon te ontgrendelen. ‘Enkel om het uitoefenen van fysieke dwang te voorkomen heeft verdachte de pincode van zijn telefoon gegeven. Nu de pincode van de telefoon is verkregen als gevolg van het uitoefenen van ongeoorloofde pressie, is er sprake van handelen in strijd met het nemo tenetur beginsel en dient dit als onherstelbaar vormverzuim te worden beschouwd’, zo betoogt raadman. Het nemo tenetur beginsel is het beginsel dat een verdachte niet hoeft mee te werken aan zijn eigen veroordeling (afgeleid van het recht op een eerlijk proces uit art. 6 EVRM). Het noemen van de pincode zou dan worden beschouwd als een verklaring, waarvan de code en resultaten van het onderzoek door het vormverzuim niet zou kunnen worden gebruikt als bewijs. De rechtbank stelt ook dat de verdachte niet in volledige vrijwilligheid zijn pincode heeft gegeven.

Naar het oordeel van de rechtbank is echter niet gehandeld in strijd met het nemo tenetur beginsel en was de Kmar bevoegd om – met toestemming van de officier van justitie – onder dwang de vingerafdruk af te nemen van verdachte teneinde de smartphone te ontgrendelen. Een dergelijk bevel is vergelijkbaar met het (onder dwang) afnemen van vingerafdrukken voor opsporingsonderzoek. Het gaat om biometrisch materiaal dat onafhankelijk van de wil van verdachte bestaat en zonder zijn medewerking zou kunnen worden verkregen. De rechtbank neemt bij haar oordeel in aanmerking dat er een zwaarwegend belang bestond om de telefoon te ontgrendelen (nu verdachte werd opgehouden voor een ernstig strafbaar feit) en de inbreuk op de lichamelijke integriteit gering is. Volgens de rechtbank is geen sprake van een vormverzuim.

De rechtbank Den Haag kwam op 12 maart 2018 overigens tot een vergelijkbaar oordeel (ECLI:NL:RBDHA:2018:2983). Daar ging het om een kindontvoeringszaak en nam de rechtbank in overweging dat snel moest worden gehandeld en de dwang niet disproportioneel werd geacht.

Ik vermoed dat het laatste woord over het gedwongen ontgrendelen van smartphones nog niet is gezegd..

Aydin C. ook in hoger beroep veroordeeld

Op 14 december 2018 heeft het Hof Amsterdam de ‘webcamafperser’ Aydin C. in hoger beroep veroordeeld (ECLI:NL:GHAMS:2018:4620) voor o.a. computervredebreuk (art. 138ab Sr), bezit van kinderpornografisch materiaal (art. 240b Sr), aanranding (art. 246 Sr), afdreiging (art. 318 Sr) en oplichting (art. 326 Sr). Over de zaak in eerste aanleg heb ik een annotatie geschreven. Daar ga ik vooral in op de vraag of er een wettelijk grondslag bestaat voor de software waarmee toetsaanslagen en screenshots van de computer van de verdachte zijn vastgelegd.

In hoger beroep wordt het gebruik van software ook legitiem geacht. Wat mij in het hoger beroep vooral opvalt is dat het Hof het verzoek van de verdediging om het digitale bewijsmateriaal wel erg eenvoudig ter zijde schuift. De verdediging verzoekt:

“Het gaat hierbij om verzoeken die betrekking hebben op de (tot op heden) geweigerde inzage in de forensische kopieën van alle gegevensdragers, inzage in alle opnamen/resultaten van de ingezette keylogger en inzage in de WE-logs en VPN-logs, nader onderzoek naar de “verdwijning” van de keylogger van een van de computers van de verdachte, nader onderzoek door een deskundige van het installatieproces van de keylogger, verstrekking van alle IP-taps, onderzoek (door een deskundige) van de Facebookrapporten en verstrekking van niet eerder vrijgegeven gedeelten van die rapporten, nader onderzoek (door een deskundige) van de OVC-opnamen, verstrekking van de Skype-gegevens van alle D’s, verstrekking van informatie over de Britse undercoveroperatie en nader onderzoek naar vormverzuimen voorafgaande aan de aanhouding van de verdachte.”

Bijna geïrriteerd overweegt Hof Amsterdam dat in eerste aanleg de verdediging al kennis heeft kunnen nemen van de processen-verbaal, aanvullende vragen heeft kunnen stellen en een verklaring heeft gekregen van een projectleider Keuringsdienst van de Landelijke Eenheid. De verzoeken van de verdediging ziet het hof als een ‘fishing expedition’. Bovendien zou het bewijs niet hoofdzakelijk steunen op het gebruik van de software. De rechters vinden het dus niet nodig aan verdere verzoeken van de verdediging te voldoen. De zaak is – ook in hoger beroep – lezenswaardig en nadere bestudering waard vanwege het digitale bewijs dat wordt vermeld en de overwegingen van het hof.

Zonder de zaak verder te bestuderen en te duiken in het recht van de verdediging om digitaal bewijs te kunnen toetsen, kan ik niet zeggen of het hof een juiste beslissing heeft genomen. Het is wel helder dat hierbij vaker vragen worden gesteld door advocaten, zoals bijvoorbeeld in dit artikel over digitaal bewijs. De politie en het Openbaar Ministerie willen natuurlijk niet dat de naam en precieze werking van de software naar buiten komt (laat staan de broncode), omdat criminelen hier eventueel hun gedrag op kunnen aanpassen (al zie ik op het eerste gezicht nog niet voor mij op welke manier). Het gaat met andere woorden om de bescherming van hun modus operandi. Maar misschien zijn er wat tussenvarianten mogelijk. In de eerste PGP-zaak mocht de verdediging bijvoorbeeld wel zien hoe de software ‘Hansken’ van het NFI werkt door achter een computer te zitten waarop de software draaide. Ook kan worden gedacht aan een toets door een onafhankelijk deskundige, zoals ik ook in mijn noot in eerste aanleg heb opgemerkt.

De discussie over het toetsen van digitaal bewijs zal de komende jaren steeds belangrijker worden, omdat ik verwacht dat digitaal bewijs een steeds prominentere rol in strafzaken zal innemen (ook in niet-cybercrime zaken) en het gebruik van software met nog meer functionaliteiten zal toenemen vanwege de hackbevoegdheid die na de inwerkingtreding van de Wet computercriminaliteit III mag worden ingezet.

Hof Amsterdam acht het doorzoeken van PGP-telefoon ‘niet-stelselmatig’

Het Hof Amsterdam heeft op 14 december 2018 een verdachte in hoger beroep veroordeeld (ECLI:NL:GHAMS:2018:4610) voor het medeplegen van moord. De verdachte krijgt een gevangenisstraf opgelegd van 20 jaar. De zaak vermeld ik kort, omdat het laat zien wat voor een uiteenlopende jurisprudentie en onduidelijke norm volgt op het smartphone arrest van de Hoge Raad. Dat arrest van de Hoge Raad brengt met zich mee dat een bevel van een officier van justitie of een machtiging van een rechter-commissaris noodzakelijk is als het onderzoek stelselmatig van aard wordt en een meer dan geringe inbreuk op de persoonlijke levenssfeer van de verdachte met zich meebrengt.

In deze zaak waren de PGP-telefoons van drie verdachten in beslag genomen, waarop het Nederlands Forensisch Insituut (NFI) de telefoon heeft geopend en het opsporingsteam de inhoud heeft onderzocht. De raadsman van de verdachte betoogt dat het onderzoek aan de lijst met contactpersonen, berichten die zijn verstuurd met de applicatie ‘Pretty Good Privacy’ (PGP) en notities via de applicatie ‘MemoPad’ op het Blackberry-toetsel onrechtmatig is geweest, omdat het onderzoek stelselmatig zou zijn geweest, terwijl het toestel door opsporingsambtenaren in beslag is genomen en daarop onderzoek is gedaan op grond van art. 94 Sv jo 95 en 96 Sv.

Het Hof overweegt dat met de kennisname van tekstberichten en notitie niet een min of meer volledig beeld van bepaalde aspecten van het privéleven van de verdachte is verkregen. De kennisname van de contactpersonen, berichten en notities op de telefoon zou slechts een zeer beperkte inbreuk op de persoonlijke levenssfeer opleveren. En de gegevens bevatten volgens het Hof niet zodanige informatie dat een min of meer volledig beeld is verkregen van bepaalde aspecten van het persoonlijk leven van de verdachte, ook niet indien deze data en de inhoud van de berichten in onderlinge samenhang worden beschouwd.

Drugshandel via het darkweb, wapenbezit en witwassen

Tot slot nog een mooie zaak over drugshandel via darknet markets, cryptocurrencies en witwassen. Vooral de wijze waarop de digitale opsporing heeft plaatsgevonden is mooi om te lezen in deze zaak.

De rechtbank Overijssel heeft op 15 januari 2019 een verdachte veroordeeld voor drugshandel via het darkweb, wapenbezit en witwassen. De verdachte en medeverdachten verkochten XTC en LSD aan op darknet markets. De pakketjes met drugs werden per post gestuurd naar Frankrijk, Zwitserland en de VS.

De telefoon van verdachte werd afgeluisterd en daaruit bleek dat verdachte zich bezig hield met het overmaken van geld en met Bitcoin-transacties en dat hij drugs had laten testen bij Jellinek. In de zaak werden medewerkers van Team Werken Onder Dekmantel (WOD) ingezet om (waarschijnlijk) binnen een infiltratietraject in het onderzoek ‘26Pecan’ de verdachte te ontmoeten en in totaal 71,72 Bitcoins (destijds € 61.335,00) om te wisselen voor contant geld. Uit analyse van de door verdachte gebruikte bitcoinadressen bleek dat het merendeel daarvan rechtstreeks gevoed werd door bitcoins afkomstig van darknet markets, waaronder de populaire marktplaatsen ‘Hansa Market’, ‘Dream Market’ en ‘Valhalla’. Verdachte gaf tijdens de ontmoetingen met de medewerker van het team WOD aan dat de bitcoins afkomstig waren uit de verkoop van drugs via het dark web en dat hij ervoor zorgde dat de bitcoins werden omgezet naar geld en dat ‘de jongens’ hun drugsvoorraad kregen zodat ‘die jongens’ dit weer konden verkopen op de ‘black markets’.

Daarop werd een pseudokoop van de aangeboden drugs gedaan en werd na betaling met bitcoins een envelop met 5 gram cocaïne geleverd. Hierop vonden er doorzoekingen plaats in de woningen van de verdachte en medeverdachten. Daar werd onder andere drugs, verpakkingsmateriaal voor het versturen van pakketjes, en een schatmijn aan informatie op een USB-stick gevonden. Daarop stond een voorraad- dan wel een verkooplijst van verdovende middelen naar verschillende (internationale) adressen, een recovery code voor een bitcoin wallet, diverse wachtwoorden, gebruikersnamen en vendornamen. Ook werd een recovery-sheet met daarop 24 woorden aangetroffen bovenop een kledingkast in een slaapkamer van de verdachte. Deze 24 woorden vormden samen een zogenaamde ‘seed’ van een “Nano Ledger”. Na het invoeren van de betreffende seed kreeg het onderzoeksteam de beschikking over 21,06581383 bitcoins afkomstig indirect of direct van darknet markets.

Toen de politie de doorzoeking uitvoerde zat de verdachte – niet geheel toevallig vermoed ik – achter zijn laptop terwijl hij met zijn alias was ingelogd op Dream Market. De laptop was voorzien van het besturingssysteem ‘Tails’, dat de rechtbank beschrijft als een besturingssysteem dat geen sporen nalaat en volledig versleuteld is. Op de laptop bevond zich een tekstbestand maandag.txt met daarin adressen, het tekstbestand dep.txt met daarin inloggegevens van een ‘vendor’, een tekstbestand wws.txt met daarin wachtwoorden en pincodes voor de vendor. Ook werden er PGP sleutels aangetroffen op de laptop van verdachte. Ten slotte zijn na een netwerkzoeking twee bitcoinwallets gevonden en is op het account op Dream Market een tegoed van 0,08746 bitcoin en 3,2573 Monero gevonden.

De verdachte is veroordeeld voor drugssmokkel, het bezit van wapens en drugs, en witwassen. De verdachte krijgt een gevangenisstraf van 20 maanden opgelegd.

Nieuw boek: Strafrecht en ICT

Vanaf nu is het boek Strafrecht en ICT beschikbaar! Het boek betreft een studieboek en naslagwerk over cybercriminaliteit.

In het boek bundelen Bert-Jaap Koops en ik onze krachten en updaten wij het boek ‘Strafrecht en ICT’ uit 2007 (destijds uitgebracht onder de redactie van Bert-Jaap Koops).

Materieel strafrecht en ICT
Wij behandelen in hoofdstuk 2 van het boek uitvoerig de strafbepalingen, wetsgeschiedenis en jurisprudentie over computercriminaliteit in enge zin (met delicten als computervredebreuk, de verspreiding van kwaadaardige software (malware) en ddos-aanvallen) en computercriminaliteit in brede zin (met delicten als fraude, oplichting en online zedendelicten). Vergeleken met de tweede druk uit 2007 is er meer jurisprudentie beschikbaar, waardoor de bepalingen beter zijn uitgekristalliseerd. Ook zijn er delicten bijgekomen of aangepast, onder andere vanwege de Wet computercriminaliteit III, zoals heling van gegevens en sextortion.

Formeel strafrecht en ICT
Hoofdstuk 3 gaat over formeel strafrecht en ICT. Het hoofdstuk behandeld alle relevante opsporingsbevoegdheden die worden in gezet in opsporingsonderzoeken naar cybercriminaliteit. Het gaat daarbij bijvoorbeeld om de Wet vorderen gegevens, de Wet bijzondere opsporingsbevoegdheden en de bepalingen omtrent de doorzoeking van plaatsen en inbeslagname van computers. Ook de hackbevoegdheid en de take down-bevoegdheid uit de Wet computercriminaliteit III komen uiteraard aan bod. Zowel in het hoofdstuk over het materieel strafrecht als het hoofdstuk over het formeel strafrecht kijken we enige tijd vooruit en spreken we enkele toekomstverwachtingen over het vakgebied uit.

Grensoverschrijdende digitale opsporing

Het laatste hoofdstuk van het boek gaat over grensoverschrijdende digitale opsporing. Ik mijn hoofdstuk bouw ik voort op mijn werk uit mijn proefschrift, Tekst en Commentaar en nieuwe jurisprudentie. In het hoofdstuk ga ik onder andere in op de grensoverschrijdende toepassing van het vorderen van gegevens, undercover bevoegdheden en de hackbevoegdheid.

Het is een genoegen geweest samen met Bert-Jaap Koops aan het boek te werken. Kennis die ik niet kwijt kon in mijn proefschrift of andere publicaties heeft nu een plek gekregen in het boek. Het boek is nadrukkelijk niet alleen als studieboek geschreven, maar ook als naslagwerk voor wetenschap en praktijk. Het boek heeft hopelijk veel waarde voor juristen die zich in de praktijk bezighouden met cybercriminaliteit en voor juristen die meer willen weten over cybercriminaliteit.

Annotatie Big Brother Watch t. Verenigd Koninkrijk

1. Inleiding

De Big Brother Watch-uitspraak is een – wat de Amerikanen noemen – ‘landmark case’ van het Europees Hof voor de Rechten van de Mens (hierna: EHRM). In Big Brother Watch komt het EHRM tot de conclusie dat het Verenigd Koninkrijk inbreuk heeft gemaakt op artikel 8 (recht op privacy) en artikel 10 (vrijheid van meningsuiting) van het Europees Verdrag voor de Rechten van de Mens (hierna: EVRM), vanwege de inzet van ‘bulkinterceptie’ door de Britse communicatie-inlichtingendienst. Deze annotatie gaat kort na hoe het EHRM tot deze beslissing kwam en welke consequenties de uitspraak eventueel heeft voor de regeling van bulkinterceptie in Nederland, in de vorm van de bijzondere bevoegdheid van ‘onderzoeksopdrachtgerichte interceptie’ (artt. 48-50 Wiv 2017).

2. Bulkinterceptie is onder voorwaarden toegestaan

Allereerst is van belang dat het Straatsburgse Hof met deze uitspraak opnieuw laat zien dat de toepassing van bulkinterceptie noodzakelijk kan zijn in een democratische samenleving. Het EHRM achtte al eerder bulkinterceptie toelaatbaar in Weber Saravia t. Duitsland (EHRM 26 juni 2006, nr. 54934/00) en recentelijk in Centrum för Rättvisa t. Zweden (EHRM 19 juni 2018, nr. 35252/08, ECLI:CE:ECHR:2018:0913JUD005817013).

Het was niet een gegeven dat het EHRM bulkinterceptie als bijzondere bevoegdheid toelaatbaar zou vinden. Dat heeft te maken met de uitspraken in 2014 en 2016 van het Hof van Justitie van de Europese Unie (HvJ EU) met betrekking tot dataretentie, waarin het HvJ EU aangeeft dat een generieke bewaarplicht van telecommunicatiegegevens in strijd is met het recht op privacy en de bescherming van persoonsgegevens (HvJ EU 8 april 2014, C293/12, C-594/12, ECLI:EU:C:2014:238, EHRC 2014/140 m.nt. M.E. Koning (Digital Rights t. Ierland) en HvJ EU 21 december 2016, C-203/15 en C698/15, ECLI:EU:C:2016:970, EHRC 2017/79, m.nt. M.E. Koning (Tele2 Sverige AB t. Post-och telestyrelsen en Secretary of State for the Home Department t. Tom Watson e.a.).

Als het EHRM zou aansluiten bij de strengere lijn van het HvJ EU met betrekking tot de grootschalige opslag van gegevens (ook van personen die niet direct onder de aandacht van de diensten staan), dan had het ook tot de conclusie kunnen komen dat de vergaande bevoegdheid disproportioneel en daarmee niet-noodzakelijk in een democratische samenleving zou zijn. In plaats daarvan legt het EHRM uit dat– mede gezien de hoge dreiging van terroristische aanslagen en technologische ontwikkelingen die het werk van inlichtingen- en veiligheidsdiensten beïnvloeden – aan lidstaten een ruime beoordelingsruimte toekomt om te bepalen op welke wijze de nationale veiligheid beschermd kan worden, waarbij staten ervoor kunnen kiezen bulkinterceptie toe te passen om de ongekende bedreigingen van nationale veiligheid te kunnen identificeren (par. 314). Het Hof stelt vast dat, anders bij gerichte interceptie, bulkinterceptie aan de voorkant meer ongericht is. Voor de uitoefening van de ingrijpende bevoegdheid moeten echter strikte regels gelden, in het bijzonder bij het nader analyseren van de onderschepte communicatie (par. 329).

3. Waarborgen bij bulkinterceptie

Het EHRM vereist in zijn toets aan art. 8 EVRM dat de nationale wetgeving van verdragstaten aan bepaalde kwalitatieve vereisten voldoet (dat het ‘in accordance with the law’ is). Het hof sluit daarbij aan bij de zes criteria toe die zijn geformuleerd in de Zakharov-zaak (EHRM 4 december 2015, nr. 47143/06, ECLI:CE:ECHR:2015:1204JUD004714306, par. 231), maar past deze criteria wel aan zodat deze passen bij de bijzondere bevoegdheid van bulkinterceptie (par. 320). Dat betekent bijvoorbeeld dat niet wordt geëist dat alleen gegevens worden verzameld als er al een ‘redelijke verdenking’ bestaat. Het EHRM toetst in de uitspraak met betrekking tot artikel 8 EVRM of de Britse wetgeving voldoet aan de volgende set aan waarborgen: (1) toegankelijkheid van de wetgeving, (2) afbakening toepassingsbereik van ‘signals intelligence’, (3) de duur, verlenging en beëindiging van de bulkinterceptie, (4) onafhankelijke autorisatie bij onderschepping van de communicatie en voldoende toezicht om effectieve en voortdurende controle op het interceptieproces uit te oefenen, (5) zorgvuldige procedures voor opslag, toegang, onderzoek, gebruik en vernietiging van onderschepte persoonsgegevens, (6) voorwaarden voor het verstrekken van gegevens aan andere inlichtingen- en veiligheidsdiensten en (7) notificatie en voldoende rechtsmiddelen bij het vermoeden van schendingen bij de toepassing van bulkinterceptie.

Het EHRM acht de Britse wetgeving op de meeste elementen in orde, zoals de duur van de interceptie (par. 360), de procedures voor opslag, toegang, onderzoek en gebruik (par. 364), de procedures voor het delen met andere partijen (par. 369) en het verwijderen en vernietigen van data (par. 374). Onder de (oude) Britse wetgeving was de toepassing van de bevoegdheid tot bulkinterceptie niet aan een onafhankelijke autorisatie onderhevig. De lasten werden namelijk goedgekeurd door de minister van Binnenlandse Zaken. Desondanks meent het Hof dat op het functioneren van het ‘surveillance’-regime in het algemeen voldoende toezicht bestaat door de ‘Interception of Communications Commissioner’ en (bij klachten) het ‘Investigatory Powers Tribunal’ (par. 383). Voorafgaande autorisatie door een rechter is een ‘best practice’, maar door een onafhankelijke instantie mag ook (behalve bij advocaten en journalisten). Voldoende rechterlijk toezicht achteraf kan ook mogelijk compensatie bieden voor mogelijke gebreken in de toestemmingsverlening (zie ook EHRM 19 juni 2018, nr. 35252/08, ECLI:CE:ECHR:2018:0913JUD005817013, par. 133 (Centrum för Rättvisa t. Zweden).

4. Schending artikel 8 EVRM (recht op privacy)

Uiteindelijk komt het EHRM in Big Brother Watch toch tot een schending van art. 8 EVRM vanwege (1) het ontbreken van effectief toezicht op het geautomatiseerd doorzoeken van de verworven gegevens aan de hand van selectoren en zoektermen en (2) het ontbreken van effectieve waarborgen met betrekking tot de analyse van de metadata van geïntercepteerde communicatie (par. 338). In het bulkinterceptieregime in het Verenigd Koninkrijk worden de volgende vier fasen onderscheiden: (1) interceptie van een aantal glasvezel ‘fibers’ waarover naar verwachting internationale communicatie wordt vervoerd, (2) het ‘realtime’ filteren en vernietigen van niet-relevante onderschepte communicatie, (3) het geautomatiseerd doorzoeken van de verworven gegevens aan de hand van selectoren en zoektermen en (4) het onderzoek van het bewaarde materiaal door een analist (par. 329). Volgens het EHRM zijn er onvoldoende waarborgen in fase 3 en 4.

Bij het proces van het geautomatiseerd doorzoeken van de verworven gegevens aan de hand van selectoren en zoektermen (fase 3) wordt ook de inhoud van communicatie aan de hand van zogenoemde ‘selectors’ en zoektermen opgeslagen. Het Hof overweegt dat de selectoren en zoektermen die worden gebruikt om verworven materiaal te onderzoeken onderhevig moeten zijn aan extern toezicht, maar deze selectoren en zoektermen behoeven zelf niet te worden opgenomen in het verzoek tot inzet van de bevoegdheid (par. 340). In het Britse systeem ontbreekt voldoende onafhankelijk toezicht op fase 3 van het bulkinterceptieproces (par. 340 en 346-347). De interne en externe audits die plaatsvinden op de naleving van de waarborgen in wetgeving omtrent de verwerking van gegevens, compenseert niet het gebrek aan toezicht (par. 344-345).

Bij de analyse van de opgeslagen geïntercepteerde communicatie door een analist (fase 4), bestaan volgens het Hof in het Britse systeem te weinig waarborgen. Het Hof is bezorgd dat deze metadata zonder restrictie kunnen worden onderzocht (par. 355). Het EHRM zet uiteen dat met de analyse van metadata een zware inmenging met het recht op privacy van de betrokkenen kan plaatsvinden, omdat metadata informatie bevatten over de identiteit van beide communicerende partijen, hun geolocatie en gebruikte apparatuur. Bij de opslag en analyse van deze gegevens in bulk (een zeer grote hoeveelheid gegevens) wordt de inmenging met het recht op privacy groter, omdat het daarmee mogelijk is de contacten van een persoon, bewegingen en locaties, internetgeschiedenis en communicatiepatronen in kaart te brengen (par. 353-355). Het Verenigd Koninkrijk heeft volgens het EHRM geen juiste balans gevonden door deze categorie van gegevens uit te sluiten van de waarborgen in de wetgeving (par. 357).

5. Toepassing op de Wiv 2017

Bij toepassing van de overwegingen van het Hof op de Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv 2017), lijkt de regeling voor ‘onderzoeksopdrachtgerichte interceptie’ in artt. 48-50 Wiv 2017 op hoofdlijnen in orde. Het stelsel voor bulkinterceptie uit beide landen is op hoofdlijnen vergelijkbaar (zie hierover ook het artikel van mij en Mireille Hagens).

Wel overweegt het Hof in Big Brother Watch dat de bulkinterceptie in het Verenigd Koninkrijk ‘foreign focused’ is. Voor het binnenland bestaan meer mogelijkheden om gericht de benodigde gegevens te verzamelen voor de taakuitvoering. Op grond van de Britse wetgeving mogen zelfs geen gegevens via bulkinterceptie in het binnenland worden vergaard die met gerichte interceptie kunnen worden verkregen (par. 343). In Nederland hebben de ministers van Binnenlandse Zaken en Koninkrijksrelaties (BZK) en Defensie hebben in een Kamerbrief n.a.v. van het raadgevend referendum toegezegd dat het vrijwel is uitgesloten dat onderzoeksopdrachtgerichte interceptie op de kabel de komende jaren wordt ingezet voor onderzoek naar communicatie met oorsprong en bestemming in Nederland (zie de Kamerbrief van 25 april 2018 n.a.v. het raadgevend referendum Wiv 2017). Dat geldt met uitzondering van onderzoek in het kader van ‘cyber defence’, omdat bij digitale aanvallen misbruik wordt gemaakt van de Nederlandse digitale infrastructuur en OOG-interceptie op de kabel in het binnenland noodzakelijk kan zijn om dit te onderkennen. In de Wiv 2017 of de Beleidsregels Wiv 2017 is geen vereiste opgenomen dat de inzet van de bijzondere bevoegdheid – met uitzondering van de inzet in het kader van cyber defence – zich uitsluitend richt op binnenlands verkeer. Het is denkbaar dat dit onderdeel is van de uit te voeren proportionaliteits- en subsidiariteitstoets bij de inzet van bijzondere bevoegdheden (art. 26 Wiv 2017).

6. Bewaartermijn van de gegevens

De bewaartermijn van drie jaar voor gegevens uit onderzoeksopdrachtgerichte interceptie is in Nederland langer dan de bewaartermijn van twee jaar in de Britse wetgeving (par. 371-372). De bewaartermijn is volgens het Hof één van de elementen die wordt meegenomen bij de toetsing van de kwaliteit van wetgeving. In Nederland moeten gegevens waarvan is vastgesteld dat ze niet-relevant zijn voor het onderzoek, dan wel enig ander lopend onderzoek vallend onder de taken van de AIVD of de MIVD, terstond worden vernietigd. De niet-onderzochte gegevens moeten uiterlijk na drie jaar worden vernietigd (art. 48 lid 5 Wiv 2017). Naar aanleiding van het raadgevend referendum is in artikel 4 van de Beleidsregels Wiv 2017 vastgesteld dat aan de minister van BZK of Defensie na één jaar toestemming moet worden gevraagd de verworven gegevens uit interceptie op de kabel, voor zover zij nog niet op relevantie zijn beoordeeld, nog een jaar te bewaren (met de mogelijkheid van twee keer verlenging).

7. Aparte toestemming voor selectie

In Nederland is bij selectie (het opslaan van de inhoud van geïntercepteerde communicatie ter nadere kennisname van deze gegevens), in tegenstelling tot in het (oude) Britse stelsel, wél een voorafgaande onafhankelijke toetsing door de Toetsingscommissie Inzet Bevoegdheden (TIB) vereist (art. 50 lid 1 sub a Wiv 2017). Ter uitvoering van de bijzondere bevoegdheid tot selectie worden selectiecriteria vastgesteld. Deze selectiecriteria zien bijvoorbeeld op technische kenmerken van personen, organisaties en aan een nader omschreven onderwerp gerelateerde trefwoorden. De vast te stellen selectiecriteria dienen te worden voorzien van een toereikende motivering, dat wil zeggen toereikend voor het doel van de selectie in relatie tot het onderzoek waarvoor de selectie plaatsvindt. Het EHRM acht een effectieve toetsing (zowel op papier als in de praktijk) door een onafhankelijke instantie ook mogelijk (in plaats van een rechterlijke toets). Daarbij is het voor de beoordeling van de onafhankelijkheid van een dergelijke instantie relevant dat ten minste twee van de drie leden van TIB, waaronder de voorzitter, ten minste zes jaar ervaring moeten hebben met de functie van rechterlijk ambtenaar in de rechtspraak (zie art. 33 lid 2 Wiv 2017).

8. Toestemming voor ‘geautomatiseerde data-analyse’

In Nederland is bij de uitvoering van ‘geautomatiseerde data-analyse’ (metadata-analyse) op geïntercepteerde communicatie uit bulkinterceptie de inzet van een bijzondere bevoegdheid vereist, voor zover de geautomatiseerde data-analyse is gericht op het identificeren van personen en organisaties (Art. 50 lid 1 sub b jo lid 4 Wiv 2017). In dat geval moet toestemming worden verkregen van de betrokken minister en vindt een rechtmatigheidstoets van de TIB plaats. Het gebrek aan restricties bij metadata-analyse uit gegevens verkregen uit bulkinterceptie was één van de twee redenen waarom in Big Brother Watch sprake was van een schending van art. 8 EVRM. Voor andere vormen van ‘geautomatiseerde data-analyse’ (metadata-analyse) die niet zijn gericht op de identificatie van personen en organisaties, zoals het in kaart brengen van bewegingen op basis van locatiegegevens en websitebezoeken van een specifieke target, is in Nederland niet de inzet van een bijzondere bevoegdheid vereist (met toestemming van de minister en een toets van de TIB). Art. 60 lid 2 Wiv 2017 schrijft alleen voor dat het bij geautomatiseerde data-analyse niet is toegestaan uitsluitend op basis van de resultaten van een gegevensverwerking ‘maatregelen’ te bevorderen of te treffen.

9. Schending art. 10 EVRM (vrijheid van meningsuiting)

Ten slotte zijn ook de overwegingen van het Hof met betrekking tot art. 10 EVRM (het recht op de vrijheid van meningsuiting) interessant. In Big Brother Watch stelden de klagers dat bulkinterceptie ook inbreuk kan maken op de door art. 10 EVMR beschermde bronbescherming voor journalisten. Het EHRM overweegt dat bij bulkinterceptie op voorhand niet duidelijk is dat journalistieke communicatie wordt onderzocht. In de eerste fase uit het Britse interceptiestelsel is dan ook geen sprake van een schending van art. 10 EVRM (par. 492). Wel moeten specifieke waarborgen gelden als eenmaal sprake is van de nadere analyse van gegevens met betrekking tot de communicatie van journalisten. Gelet op het potentiële ‘chilling effect’ van de mogelijkheid van dit soort analyses van gegevens, constateert het Hof op dit punt een schending van art. 10 EVRM (par. 495). In de Britse wetgeving geldt slechts extra bescherming als gegevens worden geanalyseerd met het doel om journalistieke bronnen te identificeren (par. 499). Het EHRM vereist bij het vergaren van communicatiegegevens met betrekking tot journalisten een rechterlijke of onafhankelijke controle en niet alleen met betrekking tot het achterhalen van journalistieke bronnen. Om deze reden constateert het Hof dat sprake is van een schending van art. 10 EVRM (par. 499).

10. Toepassing op de Wiv 2017

In de Wiv 2017 is extra bescherming voor journalisten geregeld in art. 30 lid 2 Wiv 2017. Daar staat in dat toestemming van de Rechtbank Den Haag is vereist op verzoek van de betrokken minister, waarbij de uitoefening van bijzondere bevoegdheden (inclusief OOG-interceptie) ‘kan leiden tot verwerving van gegevens inzake de bron van de journalist’. De bepaling is wat dubbelzinnig geformuleerd, omdat de indruk kan ontstaan dat toestemming van een rechtbank slechts is vereist voor zover de bevoegdheid het doel heeft de bron van een journalist te achterhalen. In art. 30 lid 2 Wiv 2017 staat echter “kan leiden tot”. Het EHRM maakt in par. 499 in ieder geval duidelijk dat de waarborg van een rechterlijke toets geldt bij onderzoek van gegevens over de communicatie van journalisten, ook als dit onderzoek als zodanig niet is gericht op het achterhalen van de bron van de journalist. Dit kan wellicht duidelijker worden gemaakt in het wetsvoorstel ‘Wijziging Wiv 2017’, dat recentelijk in consultatie is geweest.

Bronverwijzing: EHRM 13 september 2018, nrs. 58170/13, 62322/14 en 24960/15, ECLI:CE:ECHR:2018:0913JUD005817013, Computerrecht 2018/252, m.nt. J.J. Oerlemans (Big Brother Watch t. Verenigd Koninkrijk) (.pdf).

Jurisprudentieoverzicht Cybercrime oktober-december 2018

Jurisprudentieoverzicht Cybercrime oktober-december 2018

De Rechtbank Groningen en Den Haag en het parket Noord-Holland hebben in november en december 2018 een themazitting cybercrime gehouden. Daarop volgende ook enige media-aandacht.

Wat een goed initiatief! Door dit soort themazittingen krijgen rechters en andere betrokken organisaties in de strafrechtketen meer ervaring met cybercrime. Het laat ook zien dat cybercrime een veel voorkomende vorm van criminaliteit is, dat ook via het reguliere strafrecht moet worden aangepakt (zeker voor zover het gaat om gedigitaliseerde criminaliteit (cybercrime in brede zin)).

Hieronder volgt een overzicht van cybercrimezaken die in mij in de afgelopen maanden opgevallen. Daarbij geef ik dit keer ook speciaal aandacht aan de digitale bewijsvoering in deze zaken (voor zover relevant).

1.     Aankoop van semtex via AlphaBay

De Rechtbank Amsterdam heeft op 23 augustus 2018 een man veroordeeld voor het bezit van vuurwapens. De zaak is echter vooral interessant vanwege de verweren van de raadsman van de verdachte.

De advocaat voert in deze zaak ter verdediging aan dat sprake was van uitlokking, omdat het dossier sterke aanwijzingen bevat dat de FBI zelf actief heeft geprobeerd om (nep)semtex te verkopen en hiertoe afspraken met de verdachte heeft gemaakt. De rechtbank verwerpt het verweer en legt uit dat van uitlokking pas sprake is als de verdachte door het handelen van de FBI tot andere handelingen is gebracht dan die waarop zijn opzet al was gericht. Hiervoor zijn geen aanwijzingen in het dossier. Interessant is ook de overweging:

“Hoewel de rechtbank net als de verdediging best wil aannemen dat de FBI als pseudo-verkoper van de semtex heeft gefungeerd, is daarmee niet zonder meer aannemelijk dat de FBI de koper ‘[naam]’ heeft gebracht tot handelen waar zijn opzet niet reeds op was gericht. In de beperkte informatie die de FBI heeft doorgegeven staat immers vermeld dat het onderzoek ermee is gestart dat deze [naam] op AlphaBay een verzoek had geplaatst om onder meer semtex te kopen. Ook de overige informatie van de zijde van de FBI wijst niet op het wekken van de interesse van [naam] voor het kopen van semtex.”

Ook merkt de rechtbank nog op dat ‘is gesteld noch gebleken’, dat het openbaar ministerie enige rol had bij of invloed had op het handelen van de FBI. Het bewijs uit het buitenland mag daarom worden gebruikt in het strafproces.

De verdachte wordt vrijgesproken van het medeplegen van voorbereiding van moord, doodslag, diefstal met geweld of brandstichting, omdat niet met voldoende bepaaldheid is gebleken welk crimineel doel verdachte met dat pakketje voor ogen had. Voor het bewijs dat de ten laste gelegde voorwerpen ‘bestemd waren tot het begaan van dat misdrijf’moeten namelijk ook de contouren van het (feitelijk) te plegen misdrijf blijken. In deze zaak ontbraken de contouren van het feitelijk te plegen misdrijf en kon dit niet door de officier van justitie worden aangetoond. De rechtbank verwijst hier naar het arrest HR 28 januari 2014, ECLI:NL:HR:2014:179. De verdachte wordt tot drie maanden gevangenisstraf veroordeeld voor het illegale bezit van vuurwapens.

2.     Afdreiging na reactie op advertenties sekswebsites

De Rechtbank Amsterdam heeft op 12 november 2018 een aantal verdachten veroordeeld voor het medeplegen van afdreiging en gewoontewitwassen door misbruik van advertenties op sekswebsites.

De zaken in het onderzoek ‘13Malone’ richten zich tegen zeven verdachten. De verdachten pleegden afdreiging door mannen die reageerden op de door hen geplaatste advertenties te chanteren. Er is geen sprake van het delict ‘afdreiging’, om dat de verdachten niet voldoende concrete bedreigingen met geweld naar de slachtoffers hebben gestuurd.

De verdachte ging met zes medeverdachten als volgt te werk. De verdachten plaatsen een seksadvertentie op de websites speurders.nl, kinky.nl en sexjobs.nl. Nadat een slachtoffer heeft gereageerd op een seksadvertentie wordt met deze persoon contact gelegd door iemand die zich voordoet als een vrouw/prostituee. Er volgt een uitwisseling van seksueel getinte berichten en er wordt soms om een naaktfoto van het slachtoffer gevraagd waar zowel het hoofd als het geslachtsdeel van de man op staat. Intussen worden er – vermoedelijk aan de hand van het telefoonnummer van het slachtoffer via Facebook – namen van het slachtoffer en personen uit zijn omgeving achterhaald.

Dan veranderen de verdachten de berichten van toon en komt ‘de pooier’ aan het woord. Het slachtoffer moet geld betalen om bekendmaking van zijn ‘schaamtevolle’ gedrag aan de met naam genoemde personen uit zijn omgeving te voorkomen. De slachtoffers ‘moeten er van leren dit niet meer te doen’. De slachtoffers moeten vervolgens geld overmaken naar een bankrekeningnummer waarbij vaak dezelfde tenaamstelling wordt genoemd. Het geld moet door het slachtoffer snel worden overgemaakt en er moet een screenshot als bewijs van de betaling worden verzonden. Het bedrag dat op de rekening wordt gestort wordt daarna snel in cash opgenomen. De verdachten hebben de ontvangen bedragen daarmee ook witgewassen. Een aantal verdachten zijn slechts veroordeeld voor het witwassen, omdat hun betrokkenheid bij de afdreiging niet kon worden bewezen. Als slachtoffers hebben betaald, worden zij gedwongen steeds opnieuw te betalen. De bedreigingen houden overigens uiteindelijk op als de slachtoffers niet betalen of daarmee stoppen.

Interessant is ook dat de rechtbank opmerkt dat er vanwege de lage aangiftebereidheid van het delict waarschijnlijk veel meer zaken spelen, waar deze modus operandi van de criminelen wordt gebruikt. Op de mobiele telefoon van één van de verdachten stonden 4780 seksgerelateerde berichten uit de periode van 1 tot 11 december 2016. Dat vormt volgens de rechtbank mogelijk een aanwijzing voor de daadwerkelijke omvang van de criminele praktijken van de verdachten. Ook stonden honderden verdachte transacties op de bankrekeningen van de verdachten van in totaal ruim € 56.000, waarvan slechts een klein deel aan de acht aangevers is te linken. De rechtbank beschouwt de acht beschikbare aangiftes als één feitencomplex. In onderlinge samenhang bezien, blijkt uit de bewijsmiddelen dat er diverse dwarsverbanden zijn als het gaat om gebruikte IP-adressen, gebruikersaccounts, telefoonnummers en bankrekeningen. Die onderlinge verwevenheid vormt één feitencomplex. Daarbij wordt in de zaken weliswaar een wisselende combinatie gebruikt van telefoonnummers, e-mailadressen, de bankrekeningnummers van verdachten en/of IP-adressen, maar vindt de afdreiging veelal in dezelfde bewoordingen plaats.

Met betrekking tot de bewijsvoering is relevant dat de politie onderzoek heeft gedaan bij de exploitant van de site Kinky.nl. De website-exploitant heeft in de eigen systemen gezocht op de gebruikte telefoonnummers en bankrekeningnummers in verschillende combinaties. Bij navraag blijkt dat op de rekeningen van de verdachten meer dan 10.000 euro aan verdachte transacties is te vinden. De verdachte transacties zijn betalingen waarbij de betaler geen bekende relatie heeft met de houder van de bankrekening. Verder is hierbij relevant de frequentie van de bijschrijvingen op de betreffende rekening en de omschrijving die daarbij staat vermeld. Uit onderzoek bij de exploitant van sexjobs.nl heeft de politie twee IP-adressen kunnen afleiding die op naam van de verdachten staan.

Tijdens een huiszoeking zijn de mobiele telefoons van de verdachte in beslag genomen. Op deze telefoons stond het (veelzeggende bewijsmateriaal) van ‘een groot aantal voor verdachten belastende berichten, seksadvertenties, screenshots van bankoverschrijvingen en (naakt)foto’s’. Op de telefoon van een andere verdachte zijn screenshots aangetroffen van diverse profielen en de contactenlijsten van deze profielen afkomstig van Facebook. Verder is gebleken dat meerdere van de telefoonnummers gebruikt zijn in de telefoons van de medeverdachten. Op de telefoon van één van de verdachten zijn onder andere de gebruikersaccounts voor de websites kinky.nl en sexjobs.nl aangetroffen.

De verdachte in de ondergenoemde zaak is minderjarig en wordt veroordeeld tot 300 dagen jeugddetentie (waarvan 233 voorwaardelijk). Ook krijgt hij een taakstraf van 200 uur opgelegd en moet hij een schadevergoeding betalen.

3.     Sextortion van minderjarige meisjes

Het Hof Den Haag heeft op 1 november 2018 arrest gewezen in een sextortion-zaak. Door middel van een bekende modus operandi deed de online zedendelinquent zich voor als een scout van een modellenbureau. De verdachte zocht via sociale media contact met de meisjes, met de vraag of zij foto’s wilde sturen. Als bevestiging dat zij benaderd waren door het modellenbureau), werd er een e-mail gestuurd met een e-mailadres van het modellenbureau.

De meisjes hebben van zichzelf foto’s verstuurd naar een de verdachte die gebruik maakte van het pseudoniem ‘Manisha’, waarbij sommige meisjes ook naaktfoto’s versturden. De verdachte eiste meer naakfoto’s van de slachtoffer onder dreiging van het publiceren (‘exposen’) van de naakfoto’s via een instagramaccount. Ook dwong hij sommige slachtoffers de app ‘Snapchat’ te installeren op hun mobiele telefoons. Via Snapchat zijn normaliter foto’s en video’s na enkele seconden niet meer zichtbaar. Diverse aangeefsters dachten daardoor ook dat zij bij verzending van foto’s weinig risico op verdere verspreiding liepen. De verdachte gebruikte echter een specifieke applicatie (‘Mobizen’) waarmee hij deze foto’s en video’s wel direct vanaf het scherm van zijn smartphone kon opslaan. Op de inbeslaggenomen gegevensdragers van de verdachte is tevens een grote hoeveelheid kinderporno gevonden.

De verdachte is veroordeeld tot 250 dagen jeugddetentie en een bijzondere maatregel met controle door jeugdreclassering, onder meer wegens het bezit van kinderporno, oplichting, en afpersing.

De zaak is in het bijzonder ook interessant vanwege de uitgebreide digitale bewijsvoering. De politie heeft op 2 juni 2016 een e-mail gestuurd aan één van de vermelde e-mailadressen in de aangifte van sextortion naar ‘Manisha’. Of de politie de e-mail onder dekmantel heeft gestuurd en een bijzondere opsporingsbevoegdheid heeft ingezet blijft onduidelijk door de summiere informatie die hierover wordt verschaft. Nadat de verdachte de e-mail heeft geopend, werd het IP-adres van de verdachte zichtbaar voor de opsporingsambtenaren. Het IP-adres kon worden gekoppeld aan het woonadres van de verdachte. Hetzelfde IP-adres heeft de verdachte gebruikt bij het aanmaken van het Instagramaccount van ‘Manisha’ ook toe aan het woonadres van de verdachte. Bovendien behoorde het telefoonnummer dat bij het aanmaken van het Instagramaccount is opgegeven tevens toe aan de verdachte. Het telefoonnummer behoorde toe aan de inbeslaggenomen telefoon van de verdachte, waarmee is ingelogd op het instagramaccount.

Uit het onderzoek naar de inbeslaggenomen telefoon is gebleken dat mailapplicatie geconfigureerd was voor de eigenaar van het modellenbureau. Daaruit blijkt dat de verdachte over de mailaccounts van het modellenbureau kon beschikken en uit naam daarvan e-mails on uitsturen. Enkele naaktfoto’s en snapchatberichten met de slachtoffers zijn tevens op de inbeslaggenomen mobiele telefoon gevonden. Ten slotte blijkt uit digitaal onderzoek naar de internetgeschiedenis dat de verdachte meerdere sites bezocht en zoektermen gebruikt die te relateren zijn aan het modellenbureau en de scouts van het modellenbureau.

4.     Oplichting via Whatsapp

De Consumentenbond en Fraudehelpdesk waarschuwen voor een toename van fraude via Whatsapp. Daarbij doen de oplichter zich voor als de zoon of dochter van een slachtoffer met het verzoek om geld over te maken. Dit doen zij vaak op geraffineerde wijze, waarbij eerst via een app weten een ‘nieuw telefoonnummer’ te hebben, compleet met profielfoto van de persoon van wie ze de identiteit gebruiken. Deze foto hebben ze van social media gehaald, evenals informatie over familierelaties en hoe mensen elkaar aanspreken. Vervolgens vragen ze om een betaling voor een openstaande rekening.

De rechtbank Midden-Nederland heeft op 4 oktober 2018 twee verdachten voor oplichting met een vergelijkbare werkwijze veroordeeld. De verdachten hebben zich op WhatsApp voorgedaan als iemand anders. De 19-jarige man zocht begin dit jaar via de berichtendienst contact met een 85-jarige man. De verdachte deed zich voor als de dochter van het slachtoffer en vroeg hem om in totaal ruim 2.300 euro over te maken. Het slachtoffer dacht echt met zijn dochter te appen. De 21-jarige Utrechter heeft zich op een soortgelijke manier schuldig gemaakt aan oplichting. Hij stuurde in september 2017 een WhatsApp-bericht naar een 71-jarige vrouw en deed zich voor als haar dochter. In het gesprek vroeg hij meerdere keren aan het slachtoffer om geld over te maken. In totaal heeft de vrouw ruim drieduizend euro overgemaakt.

De 21-jarige man is veroordeeld tot een gevangenisstraf van 18 maanden, waarvan 6 maanden voorwaardelijk. De 19-jarige man is veroordeeld tot een gevangenisstraf van 16 maanden, waarvan 6 maanden voorwaardelijk. Daarnaast moeten ze ongeveer 10000 euro aan schade vergoeden.

5.     Klonen van modems VodafoneZiggo

De Rechtbank Rotterdam heeft op 11 oktober 2018 een aantal verdachte veroordeeld die in georganiseerd verband de modems van Vodafone Ziggo hebben gekloond. In het onderzoek ‘26Cicero’ is de verdenking gerezen dat in Nederland in georganiseerd verband op illegale wijze (met gebruikmaking van speciaal daartoe ontwikkelde software) modems van betalende klanten van Ziggo werden uitgelezen en gekloond. Het onderzoek ving aan naar aanleiding van informatie van de Canadese politie. De unieke modemgegevens van honderden betalende klanten van Ziggo zijn met behulp van malware gekopieerd en geplaatst op andere modems. Tegen betaling van een eenmalig bedrag van zo’n € 150,- konden de afnemers van de gekloonde modems gratis internetten zolang de betalende klant wiens modem was gekloond een abonnement had.

De verdachte kloonde de modems en installeerde die bij zijn afnemers. De modems kocht hij in bij een medeverdachte die bij Ziggo werkte. Een andere medeverdachte, die via een onderaannemer in dienst was bij Ziggo, installeerde de gekloonde modems als de Ziggo-straatkast moest worden geopend om de internetverbinding mogelijk te maken.

De rechtbank overweegt dat het gevaarlijk is dat gekloonde modems ook kunnen worden gebruikt om kwaadaardige aanvallen op bedrijven uit te voeren of om persoonlijke informatie van derden te achterhalen. De veiligheid en integriteit van de infrastructuur kan daarmee ernstig in gevaar komen. De geschetste potentiële gevaren hebben zich in deze zaak niet voorgedaan. Wel heeft de verdachte hinder en schade veroorzaakt voor met name Ziggo en heeft hij door het witwassen van zo’n € 20.000,- volgens de rechtbank de integriteit van het financiële en economische verkeer aangetast.

De verdachte wordt veroordeeld voor medeplegen van gekwalificeerde computervredebreuk, het voorhanden hebben malware, gewoontewitwassen en listiglijk gebruik maken van een telecommunicatiedienst (326c Sr). Wel volgt vrijspraak voor het medeplegen van vervaardigen van malware, nu niet kan worden bewezen dat verdachte als medepleger een bijdrage heeft geleverd aan de ontwikkeling van de ‘1337suite’. De verdachte wordt veroordeeld tot een gevangenisstraf voor de duur van vijftien maanden opleggen, waarvan twaalf maanden voorwaardelijk met een proeftijd van drie jaar. Tevens moet de verdachte een taakstraf uitvoeren van 180 uur. De straf was aanzienlijk lager dan de eis van de officier van justitie.

Strafvordering in het digitale tijdperk

Waar moet de Nederlandse regeling voor de opsporing in het digitale tijdperk aan voldoen? De Commissie-Koops heeft getracht op deze vraag antwoord te geven en heeft in juni 2018 een indrukwekkend rapport afgeleverd over ‘de regulering van opsporingsbevoegdheden in het digitale tijdperk’. Het rapport bevat maar liefst 72 aanbevelingen voor de wetgever om het onderdeel over opsporing (“Boek 2”) in het nieuwe Wetboek van Strafvordering beter in te richten.

Mijn artikel is een beschouwing van het rapport waar ik de belangrijkste aanbevelingen van de commissie in het rapport samenvat en kritisch bespreek. Ook betoog ik dat het onderwerp van data-analyse in de opsporing in het rapport onvoldoende is uitgewerkt.

In deze blogpost volsta ik verder met de conclusie van mijn artikel. Het gehele artikel is door een open access regeling direct te lezen via het ‘Platform Modernisering Strafvordering’.

Paragraaf 6 – Slotbeschouwing

De Commissie-Koops heeft een waardevolle bijdrage geleverd aan het project Modernisering Strafvordering door verbeteringen voor te stellen met betrekking tot het conceptwetsvoorstel Boek 2. De Commissie heeft een grondige en systematische analyse gedaan van de voorgestelde regelingen en aandacht besteed aan de relevante maatschappelijke ontwikkelingen. De wetgever doet er goed aan alle 72 aanbevelingen uit het rapport serieus mee te nemen in het wetgevingsproces.

De nieuwe rol en invulling van ‘stelselmatigheid’ is bovendien waardevol om de zwaarte van de privacy-inmenging en bijpassende autoriteit in te vullen. Het nieuwe normeringscriterium loopt als een rode draad door het rapport voor de normering van bijzondere opsporingsbevoegdheden, zoals openbronnenonderzoek, het beslag op digitale gegevensdragers, het vorderen van gegevens en onderzoek aan (tele)communicatie.

Toch is het criterium van stelselmatigheid naar mijn mening niet voor alle opsporingshandelingen even geschikt. In sommige gevallen kan bij de normering van opsporingsmethoden beter voor duidelijkheid worden gekozen met een vooraf ingevulde inbreuk op de persoonlijke levenssfeer en bijbehorende autoriteit om het bevel voor de opsporingshandeling te geven. Ik doel daarbij in het bijzonder op het beslag op bepaalde gegevensdragers en de inzet van scrapers ten behoeve van de opsporing. De Commissie-Koops gaat in plaats daarvan mee met de ruime normen die in de praktijk zijn ontwikkeld en achteraf door de rechtspraak zijn goedgekeurd of bijgestuurd. Daarbij worden suggesties gedaan voor een zeer genuanceerde invulling van het criterium afhankelijk van de verschillende omstandigheden van het geval, waarbij met tal van factoren rekening moet worden gehouden.

Het is echter belangrijk dat ook de maatschappij, bij monde van de wetgever, zich uitspreekt en beslissingen neemt over belangrijke zaken, zoals de wenselijke wettelijke bescherming bij het onderzoek van gegevens in een smartphone en de vraag of scrapers op grote schaal (persoons)gegevens mogen verzamelen. Ook geeft een regeling voor opsporingsmethoden zonder stelselmatigheid als normeringscriterium de reikwijdte van een opsporingsbevoegdheid duidelijker aan en biedt daarmee meer rechtszekerheid voor alle betrokkenen in het strafproces.

In dit artikel heb ik opnieuw betoogd dat de zwaarte van de privacy-inmenging bij de inbeslagname van en het onderzoek op smartphones ernstig is en dat simpelweg kan worden gekozen voor een vereiste machtiging van een rechter-commissaris (behoudens enkele uitzonderingen bij wet). Zeker voor de jongere generaties zijn opsporingshandelingen met betrekking tot smartphones, PC’s en laptops, waarbij de bijbehorende gegevens al dan niet in de cloud zijn opgeslagen, zeer privacy-intrusief. Het arrest van de Hoge Raad en het voorstel van de Commissie-Koops houden hier mijns inziens onvoldoende rekening mee en leggen een onduidelijk criterium aan om de ernst van de privacy-inmenging te bepalen. De aanbeveling een wetsvoorstel voor het beslag op gegevensdragers en openbronnenonderzoek al eerder naar de Tweede Kamer te sturen ondersteun ik daarom ten volle. Hopelijk bestaat daarbij ook nog ruimte voor een debat over het alternatief van een eenvoudiger regeling met een duidelijke bevoegde autoriteit voor de inbeslagname en het onderzoek van gegevens op bovengenoemde gegevensdragers en de inzet van scrapers.

Daarnaast is de uitwerking over de ‘dataficering van de opsporing’ en in het bijzonder het gebruik van data-analysetechnieken in het rapport ondermaats gebleven. Een commissie die zich buigt over ‘strafvordering in het digitale tijdperk’ zou ook hierover uitgebreid moeten adviseren, waarbij kan worden voortgebouwd op adviezen die hier al eerder over zijn gegeven.

Het advies had zich moeten richten op concrete suggesties voor strafprocessuele waarborgen bij de verwerking van gegevens binnen het opsporingsproces, inclusief het daaraan gerelateerde vermeende gebrek aan toezicht. In plaats daarvan worden slechts voorzichtige aanbevelingen gedaan en een nieuwe vergaande bevoegdheid voorgesteld om een bevel tot data-analyses bij derden ten behoeve van de opsporing mogelijk te maken. Tegenover al het potentieel dat data-analyse voor de politie biedt, moet voldoende bescherming voor de betrokken burgers staan. Op dit punt is het rapport niet in balans.

Het is echter geenszins mijn bedoeling dit artikel over het rapport van de Commissie-Koops in mineur af te sluiten. De bovenstaande kritiek doet niet af aan de waarde en het belang van de voorstellen van de Commissie. Over het geheel genomen heeft de Commissie-Koops een mooie en waardevolle prestatie geleverd, waar de wetgever – getuige de 72 aanbevelingen gericht op het Wetboek van Strafvordering – concreet mee uit te voeten kan.

“Facebookvrienden worden met de verdachte.” Over online undercover operaties op internet

In het themanummer van Justitiële Verkenningen over ‘De digitalisering van georganiseerde misdaad’ is ook mijn artikel over online undercover operaties verschenen. In het artikel (.pdf) leg ik uit wat online undercover operaties zo uniek en aantrekkelijk maken voor de opsporing en welke regels gelden voor de politiële undercover bevoegdheden.

In het kader van mijn proefschrift (‘Investigating Cybercrime’) heb ik mij al eerder met het onderwerp bezig gehouden. Door recente jurisprudentie over de accountovername en de breed uitgelichte online undercover operatie over de darknet market ‘Hansa’ vond ik het tijd hier nog een artikel over te schrijven. Het artikel is een uitvloeisel van een paper die ik had geschreven voor het NVC-congres van afgelopen zomer.

Wat online undercover operaties zo aantrekkelijk maakt voor de opsporing

In cybercrimezaken kunnen online undercoveroperaties een effectief opsporingsmiddel zijn om bewijs te verzamelen met een online handle als digitaal spoor, zoals een nickname, e-mailadres of profiel op sociale media. Onder de omstandigheid dat verdachten consistent gebruik maken van anonimiseringstechnieken die het IP-adres verhullen van het netwerk waar zij gebruik van maken, is de toepassing van online undercover opsporingsmethoden één van de weinige middelen om bewijs te verzamelen in opsporingsonderzoeken met betrekking tot cybercriminaliteit.

Een bijkomende voordeel van de online toepassing van undercover opsporingsbevoegdheden, is dat opsporingsambtenaren net zo anoniem kunnen communiceren als de betrokken van het opsporingsonderzoek, zonder (direct) lijflijk risico en zonder de bureaustoel te hoeven verlaten met een wereldwijd bereik van de opsporingsmethode. Bij een accountovername kunnen opsporingsambtenaren zelfs door de bril van een crimineel of een persoon met toegang tot besloten omgevingen meekijken en bewijs verzamelen voor een opsporingsonderzoek. In reguliere opsporingsonderzoeken (geen cybercrime) waarbij verdachten online actief zijn, biedt de toepassing van online undercoverbevoegdheden additionele mogelijkheden ten opzichte van de bevoegdheden die in de fysieke wereld kunnen worden toegepast.

‘BOB’ gaat digitaal

Dezelfde regels gelden voor de toepassing van undercover bevoegdheden als 20 jaar geleden, zoals die in de Wet bijzondere opsporingsbevoegdheden (Wet BOB) zijn geformuleerd. Toch is de context waarbinnen de bevoegdheden worden toegepast stevig verandert. Dat levert de vraag op of de huidige regeling nieuwe toepassingen nog “dekt”. In verband met het legaliteitsbeginsel staat namelijk in de wet welke indringende opsporingsmethoden opsporingsinstanties mogen gebruiken. Door de techniekonafhankelijke formulering van de bevoegdheden zijn de BOB-bevoegdheden prima toepasbaar in een online context. Mijn artikel laat zien aan welke toepassingen je in de hedendaagse gedigitaliseerde wereld moet denken.

Jurisdictie

Het wereldwijde bereik van online undercover opsporingsmethoden levert echter wel een flink jurisdictievraagstuk op. In het artikel ga ik daar kort op in. Daarbij herhaal ik het standpunt dat ik in mijn dissertatie heb ingenomen, namelijk dat unilaterale online opsporing onder dekmantel onder omstandigheden moet worden toegestaan. Daarbij denk ik in het bijzonder aan de situatie dat verdachten anonimiseringsmaatregelen nemen en de fysieke locatie van de verdachte redelijkerwijs niet kan worden vastgesteld. Het artikel sluit ik af met een betoog dat de stormachtige ontwikkeling van cybercriminaliteit en de noodzakelijke inzet van digitale opsporingsbevoegdheden om bewijs te verzamelen staten er toe dwingt om afspraken met elkaar te maken onder welke omstandigheden grensoverschrijdende online undercover operaties zijn toegestaan.

Makers en verspreiders van Coinvault veroordeeld

De ‘Coinvault-zaak’ (Rb. Rotterdam 26 juli 2018, ECLI:NL:RBROT:2018:6153) verdient nadere aandacht. Het betreft namelijk de eerste veroordeling voor ransomware in Nederland. Dat is de hoogste tijd, omdat ransomware al jaren één van de meest prevalente vormen is van cybercrime in enge zin. In deze blog ga ik eerst kort in op de feiten van de zaak. Daarna bespreek ik uitgebreider de ten laste gelegde feiten en welke andere delicten van toepassing kunnen zijn. Tot slot werp ik een korte toekomstblik op ransomware.

Veroordeling

De Rechtbank Rotterdam heeft op 26 juli 2018 twee jongemannen veroordeeld tot 240 uur taakstraf en een voorwaardelijke gevangenisstraf van twee jaar voor het besmetten van een groot aantal computers met zelfgemaakte ransomware. Het is een relatief lage gevangenisstraf in verhouding tot de ernst van de delicten. De verdachten hebben van november 2014 tot en met september 2015 computers besmet met zelfgemaakte ransomware van de variant ‘Coinvault’ en ‘Bitcryptor’. Deze ransomware is meer specifiek te kwalificeren als ‘cryptoware’, waarbij gegevens worden versleuteld. Zonder betaling in virtueel geld (in dit geval Bitcoin) en de ontvangst van de sleutel om gegevens weer toegankelijk te maken, is het zonder back-up in de meeste gevallen onmogelijk de gegevens terug te krijgen.

De feiten

In de uitspraak van de Rechtbank Rotterdam staat weinig informatie over het opsporingsproces, maar uit de mediaberichten over de zaak blijkt dat de verdachten de malware als ‘trojan’ hebben verspreid (zie bijvoorbeeld dit bericht in de Volkskrant en deze blog van McAfee). In dit geval was de kwaadaardige software vermomd als commerciële software en ‘sleutel-generatoren’ die in nieuwsgroepen gratis konden worden download. Nadat duizenden computers waren besmet activeerden de verdachten de cryptoware en eisten ze 250 euro in Bitcoin van hun slachtoffers. De computers stonden als zombiecomputers onder controle van hun command-and-control server. Bij het verbinding maken met de server maakten de verdachten echter geen gebruik van anonimiseringstechnieken (zoals Tor), waardoor het IP-adres terugverwees naar het adres van de abonneehouder (het ouderlijk huis van de verdachten). Dat leidde tot de arrestatie van de verdachten in een klein dorp nabij Amersfoort.

De tenlastelegging

De officier van justitie heeft artikel 138ab Sr, 350a Sr en 317 Sr (afpersing) ten laste gelegd. Het ligt het meest voor de hand het delict gegevensaantasting (art. 350a Sr) ten laste te leggen. Het artikel is ervoor gegoten, omdat het (onder andere) strafbaar stelt ‘het opzettelijk en wederrechtelijk veranderen, onbruikbaar maken of ontoegankelijk maken van gegevens’ met een maximale gevangenisstraf van twee jaren of een geldboete van de vierde categorie. De verdachten hebben gebruik gemaakt van een botnet, waardoor ook sprake is van een gekwalificeerde vorm van computervredebreuk in artikel 138ab lid 3 Sr (zie ook het Toxbot-arrest (ECLI:NL:HR:2011:BN9287)). Sinds mei 2015 is overigens ook artikel 138b Sr gewijzigd, waardoor een strafverzwaring naar een maximale gevangenisstraf van vijf jaar of een geldboete van de vierde categorie van toepassing indien met het plegen van het feit als omschreven in art. 350a Sr ‘ernstige schade’ wordt veroorzaakt. De memorie van toelichting definieert niet helder wat ‘ernstige schade’ behelst, maar ik neem aan dat hier ook de besmetting van duizenden computers met ransomware onder valt, zoals in casu het geval was.

Bijzondere aandacht verdient ook de tenlastelegging van afpersing (art. 317 Sr) in deze zaak. Het gaat hier om de uitoefening van dwang, om zichzelf wederrechtelijk te bevoordelen met geweld of de bedreiging met geweld, door ‘de bedreiging dat gegevens die door middel van een geautomatiseerd werk zijn opgeslagen, onbruikbaar of ontoegankelijk zullen worden gemaakt of zullen worden gewist’ (zoals staat omschreven in art. 317 lid 2 Sr). Daarvan is in deze zaak sprake, omdat de cryptoware de gegevens ontoegankelijk maakt, tenzij het losgeld wordt betaald in de vorm van Bitcoin (of het systeem op een andere manier met een sleutel kan worden ontsleuteld). De Rechtbank Rotterdam volstaat in haar (helaas zeer korte) bespreking van het artikel met: “de rechtbank is daarbij van oordeel dat het op deze wijze ontoegankelijk maken van bestanden gelijk is te stellen aan het begrip geweld als bedoeld in artikel 317 van het Wetboek van Strafrecht”.

Richtlijn Cybercrime strafvordering kan beter

De richtlijn Cybercrime strafvordering noemt de toepasbaarheid van het delict afpersing merkwaardig genoeg in zijn geheel niet. In plaats daarvan worden de artikelen 139d Sr (de plaatsing van malware), art. 326 Sr (oplichting) en art. 284 Sr (dwang) genoemd. De officier van justitie had inderdaad art. 139d lid 2 sub a Sr met verwijzing naar art. 138ab lid 3 Sr ten laste kunnen leggen. Dat zou beter tot uitdrukking doen komen dat de verdachten ook de vervaardiging van de Coinvault-malware wordt verweten. Op het eerste gezicht lijkt bij ransomware de ten laste legging van het delict ‘oplichting’ (art. 326 Sr) minder voor de hand te liggen. Voor oplichting is immers (onder andere) vereist dat iemand bijvoorbeeld na een ‘listige kunstgreep’ geld overmaakt. Met andere woorden wordt de betrokkene ‘er in geluisd’. Bij ransomware wordt simpelweg de computer van het slachtoffer gegijzeld en losgeld door een anonieme dader wordt geëist; daarbij lijkt van een ‘listige kunstgreep’ geen sprake. Voor de besmetting van de computer wordt soms wel een ‘listige kunstgreep’ gebruikt. In deze zaak hebben de verdachten bijvoorbeeld de computers besmet via onschuldig lijkende programma’s die via internet ter beschikking zijn gesteld, waarna de slachtoffers na besmetting van cryptoware bewogen worden geld over te maken. Eerder is oplichting wel ten laste gelegd en bewezen verklaard in het geval van ‘banking malware’. Ten slotte kan in de context van ransomware ook nog sprake zijn van het delict dwang (art. 284 Sr), omdat een persoon ‘door enige feitelijkheid’ (het versleutelen van een computer) een ander wederrechtelijk dwingt iets te doen (losgeld betalen) of te dulden (het versleuteld laten van de computer). Het voordeel van de hoge maximale gevangenisstraf bij art. 317 Sr is dat slachtoffers spreekrecht hebben en ook zware bijzondere opsporingsbevoegdheden mogen worden toegepast, zoals direct afluisteren (art. 126l Sv) en alle vormen van de hackbevoegdheid (art. 126nba Sv).

‘Geweld’ bij ransomware?

Met de opkomst van het Internet of Things raken steeds meer apparaten die autonome beslissingen kunnen nemen met het internet verbonden. Dat brengt bijvoorbeeld met zich mee dat mensen opgesloten kunnen raken in hun hotelkamer, omdat de kamerdeur met het elektronische slot niet meer functioneert na een ransomwarebesmetting. Het ontoegankelijk maken van een slimme auto met ransomware tegen losgeld voor een flink bedrag lijkt mij ook goed denkbaar. In deze gevallen ziet het vereiste ‘geweld’ bij afpersing mogelijk meer op het goed zelf in plaats van de opgeslagen gegevens op de computer. Toch lijkt het dat het geweld of de bedreiging van geweld zich daarbij meer richt op het gebruik van het goed, dan op het goed zelf; het omhulsul van het goed blijft ten slotte intact. Het is overigens ook denkbaar dat met ransomware het geweld of de bedreiging van geweld zich richt tegen een persoon. Als medische apparaten aan het lichaam (zoals een insulinepomp) of in het lichaam (zoals een pacemaker) verbonden zijn met een netwerk en op afstand ontoegankelijk wordt gemaakt, kan namelijk sprake van (de dreiging van) geweld jegens een persoon bij het gebruik van ransomware.

Strafrechtpraktijk nog onvoldoende voorbereid op ransomware

Los van deze theoretische bespiegeling over de strafbaarstelling van ransomware is van belang te realiseren dat de besmetting van ransomware op IoT-apparaten geen science fiction is. Ransomware is een groeiend probleem. De WannyCry-aanval heeft in mei 2017 ziekenhuizen in het Verenigd Koninkrijk, het spoorwegsysteem tussen Duitsland en de Russische Federatie, telecommunicatiebedrijven in Spanje en Portugal en Petrochemische bedrijven in China en Brazilië en autofabrikanten in Japan platgelegd. De Nederlandse samenleving zal zich moeten voorbereiden op deze vormen van cybercrime en maatregelen moeten treffen (niet alleen op het gebied van strafrecht). Daarnaast is nu al een tendens zichtbaar dat cybercriminelen de aanvallen gerichter worden uitgevoerd, zoals het besmetten van medische apparaten in ziekenhuizen, waarbij een veel groter bedrag wordt geëist: in de tienduizenden euro’s in plaats van die doorgaans 500 euro voor besmette PC’s. De strafrechtpraktijk lijkt hier nog onvoldoende op voorbereid.

Mijn noot met bijna gelijke tekst is verschenen in: Rb. Rotterdam 26 juli 2018, ECLI:NL:RBROT:2018:6153, Computerrecht 2018/210, p. 281-291, m.nt. J.J. Oerlemans.

Over ethisch hacken: nieuwe leidraad ‘Coordinated Vulnerability Disclosure’ gepubliceerd

De leidraad ‘Coordinated Vulnerability Disclosure (CVD) is een aanscherping op de ‘leidraad responsible disclosure’ van het Nationaal Cyber Security Centrum uit 2013. Het doel van de richtlijn is om bij te dragen aan de veiligheid van ICT-systemen door kennis over kwetsbaarheden door ethische hackers te laten delen met de eigenaren van ICT-systemen, zodat deze de kwetsbaarheden kunnen verhelpen voordat deze actief misbruikt worden door derden. In de nieuwe richtlijn komt beter tot uiting dat er een gelijkwaardig gesprek moet zijn tussen de melder en de mogelijk kwetsbare organisatie.

In de afgelopen jaren hebben melders binnen de randvoorwaarden van coordinated vulnerability disclosure beleid van organisaties gewerkt. Toch kan tijdens het vinden van kwetsbaarheden de wet worden overtreden. In het kader van een CVD-overeenkomst kunnen organisatie en melder overeenkomen geen aangifte te doen (van in de eerste plaats computervredebreuk), zolang de melder binnen de randvoorwaarden van het beleid opereert. Eveneens kan worden afgesproken dat er geen civielrechtelijke stappen worden ondernomen, waarbij eventuele schade op de melder wordt verhaald.

Nadrukkelijker dan voorheen, staat nu in de richtlijn:

“Indien er wel aangifte wordt gedaan, is in Nederland het bestaan en naleven van CVD-beleid een relevante omstandigheid die de officier van justitie zal meenemen in zijn beslissing om al dan niet een strafrechtelijk onderzoek in te laten stellen en/of te vervolgen. In principe stellen Politie en Openbaar Ministerie (OM) geen strafrechtelijk onderzoek in, indien de melder zich klaarblijkelijk aan de regels uit het CVD-beleid van de betreffende organisatie heeft gehouden.”

Daarbij wordt naar twee uitspraken verwezen  (ECLI:NL:RBOBR:2013:BZ1157) en  ECLI:NL:RBDHA:2014:15611) en een beleidsbrief  waarin specifiek wordt ingegaan op de overwegingen bij de onderzoeks- en vervolgingsbeslissing. Net als in de uitspraken wordt daar in gegaan op de gebruikelijke overwegingen zoals het dienen van algemeen belang, of de melder niet onevenredig handelde (de proportionaliteitstoets) en niet een minder ingrijpende manier had kunnen handelen (de subsidiariteitstoets).

Het NCSC hanteert een standaardtermijn van 60 dagen tussen de melding en de publieke bekendmaking van de kwetsbaarheid. De omstandigheden van het geval kunnen nopen tot een langere of kortere termijn. In het CVD-beleid worden tips en voorbeelden gegeven. Daarbij wordt het CVD beleid over het gehele spectrum gebruikt, van het strenge CVD-beleid van Fox IT (slechts in een offline omgeving op voorgeselecteerde producten), naar het standaard beleid op ResponsibleDisclosure.nl tot het informele en ruimtehartige CVD-beleid van Bits of Freedom.

Recente zaak over ethisch hacken

Op 30 augustus 2018 heeft de Rechtbank Den Haag een 45-jarige IT-er veroordeeld (ECLI:NL:RBDHA:2018:10451) voor computervredebreuk, maar geen straf opgelegd. Op basis van art. 9a Sr kan een rechter daartoe overgaan, indien ‘de rechter dit raadzaam acht in verband met de geringe ernst van het feit, de persoonlijkheid van de dader of de omstandigheden waaronder het feit is begaan, dan wel die zich nadien hebben voorgedaan’. De rechtbank neemt daarbij in overweging dat hij geen kwade bedoelingen had, dat hij de gegevens uit de database niet voor eigen gewin heeft gebruikt en dat hij een maatschappelijk belang heeft gediend. In de uitspraak staan veel technische details en uitgebreide overwegingen van de rechtbank die voor de liefhebber interessant zijn. Het komt echter niet de leesbaarheid van de uitspraak ten goede. Daarom volgt hier onder een korte samenvatting.

De verdachte deed een beroep op de rechtvaardigingsgrond van het ‘algemeen belang’ door uit te leggen dat de hack op de site van de stichting was uitgevoerd om te laten zien dat de beveiliging ondermaats was. De hacker heeft simpelweg het robots.txt-bestand van de webserver opgevraagd waarbij na invoer van een geldig ID 80.000 donateursgegevens beschikbaar kwamen. In de gegevensset waren ook NAW-gegevens (naam, adres, woonplaats), bankrekeningnummers, e-mailadressen en opmerkingen over betaalgedrag van “vrienden” te vinden. Het script was niet met een wachtwoord beveiligd, maar dat is ook niet vereist om computervredebreuk te plegen. Wel overweegt de rechtbank dat sprake is van een kenbare drempel die de verdachte is overgegaan, enerzijds door het afschermen van pictura.php met het commando “disallow” op de website en anderzijds door bij opvraging daarvan de invoer van een geldig ID te vereisen.

Met behulp van ‘een vals signaal’ (zie art. 138ab lid 1 Sr) heet de hacker daarmee toegang verschaft tot de een geautomatiseerde werk (de webserver) en computervredebreuk gepleegd. Het beroep op de rechtvaardigingsgrond slaagde niet, omdat de verdachte niet proportioneel handelde door de hele database binnen te halen en ten onrechte meteen naar de media (bij Tweakers.net, De Volkskrant en Trouw via het online klokkenluidersplatform PubLeaks) is gestapt, in plaats van de betrokken organisatie zelf. De verdachte is overigens geïdentificeerd na onderzoek door Fox IT dat was ingehuurd om de hack te onderzoeken. Uit de logbestanden op de webserver bleek dat met een (niet-afgeschermd) IP-adres net voor de hack was ingelogd. Het IP-adres behoorde bij Ziggo en het opvragen van de gebruikersgegevens bij Ziggo heeft klaarblijkelijk tot de verdachte geleid.