Over ethisch hacken: nieuwe leidraad ‘Coordinated Vulnerability Disclosure’ gepubliceerd

De leidraad ‘Coordinated Vulnerability Disclosure (CVD) is een aanscherping op de ‘leidraad responsible disclosure’ van het Nationaal Cyber Security Centrum uit 2013. Het doel van de richtlijn is om bij te dragen aan de veiligheid van ICT-systemen door kennis over kwetsbaarheden door ethische hackers te laten delen met de eigenaren van ICT-systemen, zodat deze de kwetsbaarheden kunnen verhelpen voordat deze actief misbruikt worden door derden. In de nieuwe richtlijn komt beter tot uiting dat er een gelijkwaardig gesprek moet zijn tussen de melder en de mogelijk kwetsbare organisatie.

In de afgelopen jaren hebben melders binnen de randvoorwaarden van coordinated vulnerability disclosure beleid van organisaties gewerkt. Toch kan tijdens het vinden van kwetsbaarheden de wet worden overtreden. In het kader van een CVD-overeenkomst kunnen organisatie en melder overeenkomen geen aangifte te doen (van in de eerste plaats computervredebreuk), zolang de melder binnen de randvoorwaarden van het beleid opereert. Eveneens kan worden afgesproken dat er geen civielrechtelijke stappen worden ondernomen, waarbij eventuele schade op de melder wordt verhaald.

Nadrukkelijker dan voorheen, staat nu in de richtlijn:

“Indien er wel aangifte wordt gedaan, is in Nederland het bestaan en naleven van CVD-beleid een relevante omstandigheid die de officier van justitie zal meenemen in zijn beslissing om al dan niet een strafrechtelijk onderzoek in te laten stellen en/of te vervolgen. In principe stellen Politie en Openbaar Ministerie (OM) geen strafrechtelijk onderzoek in, indien de melder zich klaarblijkelijk aan de regels uit het CVD-beleid van de betreffende organisatie heeft gehouden.”

Daarbij wordt naar twee uitspraken verwezen  (ECLI:NL:RBOBR:2013:BZ1157) en  ECLI:NL:RBDHA:2014:15611) en een beleidsbrief  waarin specifiek wordt ingegaan op de overwegingen bij de onderzoeks- en vervolgingsbeslissing. Net als in de uitspraken wordt daar in gegaan op de gebruikelijke overwegingen zoals het dienen van algemeen belang, of de melder niet onevenredig handelde (de proportionaliteitstoets) en niet een minder ingrijpende manier had kunnen handelen (de subsidiariteitstoets).

Het NCSC hanteert een standaardtermijn van 60 dagen tussen de melding en de publieke bekendmaking van de kwetsbaarheid. De omstandigheden van het geval kunnen nopen tot een langere of kortere termijn. In het CVD-beleid worden tips en voorbeelden gegeven. Daarbij wordt het CVD beleid over het gehele spectrum gebruikt, van het strenge CVD-beleid van Fox IT (slechts in een offline omgeving op voorgeselecteerde producten), naar het standaard beleid op ResponsibleDisclosure.nl tot het informele en ruimtehartige CVD-beleid van Bits of Freedom.

Recente zaak over ethisch hacken

Op 30 augustus 2018 heeft de Rechtbank Den Haag een 45-jarige IT-er veroordeeld (ECLI:NL:RBDHA:2018:10451) voor computervredebreuk, maar geen straf opgelegd. Op basis van art. 9a Sr kan een rechter daartoe overgaan, indien ‘de rechter dit raadzaam acht in verband met de geringe ernst van het feit, de persoonlijkheid van de dader of de omstandigheden waaronder het feit is begaan, dan wel die zich nadien hebben voorgedaan’. De rechtbank neemt daarbij in overweging dat hij geen kwade bedoelingen had, dat hij de gegevens uit de database niet voor eigen gewin heeft gebruikt en dat hij een maatschappelijk belang heeft gediend. In de uitspraak staan veel technische details en uitgebreide overwegingen van de rechtbank die voor de liefhebber interessant zijn. Het komt echter niet de leesbaarheid van de uitspraak ten goede. Daarom volgt hier onder een korte samenvatting.

De verdachte deed een beroep op de rechtvaardigingsgrond van het ‘algemeen belang’ door uit te leggen dat de hack op de site van de stichting was uitgevoerd om te laten zien dat de beveiliging ondermaats was. De hacker heeft simpelweg het robots.txt-bestand van de webserver opgevraagd waarbij na invoer van een geldig ID 80.000 donateursgegevens beschikbaar kwamen. In de gegevensset waren ook NAW-gegevens (naam, adres, woonplaats), bankrekeningnummers, e-mailadressen en opmerkingen over betaalgedrag van “vrienden” te vinden. Het script was niet met een wachtwoord beveiligd, maar dat is ook niet vereist om computervredebreuk te plegen. Wel overweegt de rechtbank dat sprake is van een kenbare drempel die de verdachte is overgegaan, enerzijds door het afschermen van pictura.php met het commando “disallow” op de website en anderzijds door bij opvraging daarvan de invoer van een geldig ID te vereisen.

Met behulp van ‘een vals signaal’ (zie art. 138ab lid 1 Sr) heet de hacker daarmee toegang verschaft tot de een geautomatiseerde werk (de webserver) en computervredebreuk gepleegd. Het beroep op de rechtvaardigingsgrond slaagde niet, omdat de verdachte niet proportioneel handelde door de hele database binnen te halen en ten onrechte meteen naar de media (bij Tweakers.net, De Volkskrant en Trouw via het online klokkenluidersplatform PubLeaks) is gestapt, in plaats van de betrokken organisatie zelf. De verdachte is overigens geïdentificeerd na onderzoek door Fox IT dat was ingehuurd om de hack te onderzoeken. Uit de logbestanden op de webserver bleek dat met een (niet-afgeschermd) IP-adres net voor de hack was ingelogd. Het IP-adres behoorde bij Ziggo en het opvragen van de gebruikersgegevens bij Ziggo heeft klaarblijkelijk tot de verdachte geleid.

Europol rapport over cybercrime uitgebracht (iOCTA 2018)

Op 18 september 2018 heeft Europol een rapport (.pdf) over cybercrime uitgebracht. Het rapport biedt een mooi overzicht met gedetailleerde inzichten over de ontwikkeling van cybercrime. Het rapport is gebaseerd op rapporten van IT-beveiligingsbedrijven en zelfrapportage door opsporingsinstanties. In deze blog post zet ik de belangrijkste resultaten uit de ‘Internet Organised Crime Threat Assessment 2018’ op een rijtje.

1.         Ransomware is de no. 1 cybercrime-bedreiging

Ransomware is volgens Europol de nummer 1 dreiging op het gebied van cybercrime (in enge zin). Het heeft bovendien als dreiging van banking malware (waarmee frauduleuze betalingstransacties worden uitgevoerd) op het gebied van malware overgenomen. De meest voorkomende ransomware is Cerber, Cryptolocker, Crysis, Curve-Tor-Bitcoin Locker (CTBLocker), Dharme en Locky. Naar verluid verdienen de makers van Cerber-malware naar verwachting 200.000 euro per maand, door hun kwaadaardige software te licenseren aan anderen. Ransomware richt zich echter steeds vaker op specifieke organisaties.

Europol stelt vast dat na de NotPetya en Wannacry-aanval, initieel veel onzekerheid bestond over de motieven van de daders en typen daders. Omdat zowel cybercriminelen als ‘nation state actors’ gebruik maken van dezelfde technieken en tools is het lastiger de twee actoren te onderscheiden. Samenwerking tussen opsporingsinstanties, ‘Computer Incident Response Team’-teams en inlichtingendiensten is daarom volgens Europol noodzakelijk.

2.         Cryptomining malware en cryptojacking groeit

Opsporingsinstanties komen Bitcoin nog steeds het vaakst tegen in opsporingsonderzoeken naar cybercrime, hoewel meer anonieme cryptocurrencies, zoals Monero en ZCash, steeds populairder worden. Cryptocurrency uitwisselingskantoren (exchanges), mixing diensten en diensten die online portemonnees voor cryptocurrencies aanbieden worden ook steeds vaker het doelwit van afpersing en hacken. Witwassers maken ook vaker gebruik van gedecentraliseerde uitwisselingsdiensten die geen Know Your Customer beleid voeren, waarbij mensen bij elkaar komen om echt geld voor virtueel geld te wisselen. Cryptocurrencies die anonimiteit al ‘ingebakken hebben’, zullen volgens Europol mixing diensten overbodig maken. Europol merkt terecht op dat een kernvaardigheid zijn voor cybercrime-onderzoekers is om onderzoek te doen naar het misbruik van cryptocurrencies.

‘Cryptojacking’ wordt als nieuwe vorm van cybercrime gezien. Bij cryptojacking worden cryptocurrencies gedolven door gebruik te maken van de verwerkingcapaciteit van computers die aan het werk worden gezet door een javascript op websites. Daarbij wordt vooral het ‘CoinHive JavaScript miner’ gebruikt, waarmee Monero wordt gedolven. Cryptojacking is volgens Europol niet altijd strafbaar (ik kan zelf ook geen artikel uit het Wetboek van Strafrecht bedenken dat van toepassing is).

Europol wijst er op dat cryptojacking (virtueel) geld creëert en daarmee een motivatie vormt voor hackers om legitieme websites als doelwit aan te merken om van daar uit cryptojacking toe passen. Het hacken van website is uiteraard wel strafbaar (art. 138ab (lid 3 sub a?) Sr). Het gebruikt van mining malware is natuurlijk wel strafbaar (o.a. op grond van art. 138ab lid 3 sub a Sr en art. 350a lid 1 Sr) en kan het computersysteem van een slachtoffer plat leggen.

3.         Turbulentie en verplaatsing bij darknet markets

In 2017 zijn de populaire darknet markets ‘AlphaBay’, ‘Hansa’ en ‘RAMP’ offline gehaald. Ook zijn veel marktplaatsen uit zichzelf over de kop gegaan, bijvoorbeeld vanwege hacks en ‘exit scams’ van de eigenaren.

De ‘take downs’ door de politie hebben volgens Europol geleid tot de migratie van gebruikers naar bestaande of nieuwe markten, naar andere platformen (zoals I2P en Freenet) en gezamenlijke groepen of kanalen in versleutelde communicatie-apps.

4.        Groei van online misbruik via ‘live streaming’ diensten en sextortion

Materiaal met seksueel geweld tegen kinderen (o.a. kinderporno) wordt steeds minder vaak verspreid via peer-to-peerprogramma’s, zoals Gigatribe, BitTorrent en eDonkey en steeds meer via het darknet. In dat opzicht is het opvallend dat ik in (Nederlandse gepubliceerde) uitspraken over kinderporno wel lees over veroordelingen voor de verspreiding van kinderporno via Gigatribe, maar niet over de verspreiding via darknet forums.

Europol wijst daarbij ook op misbruik door gebruik ‘live streaming’-diensten via apps en chatkanalen, waarvoor soms ook wordt betaald via betalingsapps op de mobiele telefoon. Opgenomen materiaal wordt ook vaak gebruikt voor het afpersen van minderjarigen voor meer materiaal. Omdat kinderen vaak op jongere leeftijd op internet actief worden, kunnen ze ook op jongere leeftijd in contact komen met online zedendelinquenten en slachtoffer worden. Zowel internet service providers als betalingsdienstverleners moeten ook inspanningen verlenen om kindermisbruik tegen te gaan. Daarnaast doet Europol de nadrukkelijke (nieuwe) aanbeveling om hulpprogramma’s in te zetten voor daders, zodat deze hun driften beter leren beheersen.

5.         Ontwikkelingen in online fraude

West-Afrikaanse en andere fraudeurs passen meer geavanceerde aanvallen toe, waarbij ook zakelijke e-mail wordt compromitteert. Daarbij vinden meer gerichte aanvallen plaats, waarbij gedacht kan worden aan ‘CEO’-fraude (mails sturen uit naam van de CEO aan iemand in het bedrijf die betalingen uitvoert). Daarnaast maken ‘helpdeskfraude’, ‘advanced fee fraud’ en ‘romance scams’ nog steeds veel slachtoffers.

6.         Opsporing wordt lastiger door technische en juridische ontwikkelingen

Opvallend is ten slotte de waarschuwing van Europol dat juridische ontwikkelingen (in het bijzonder de AVG, waardoor de publieke toegang tot de WHOIS-database is afgesloten) en technische ontwikkelingen (zoals 5G zie dit ENISA rapport over 5G (.pdf)), het significant lastiger maken voor zowel publieke als private speurders om verdachten te attribueren en hun locatie te bepalen.

Europol is in het rapport stellig dat het vorderen van gegevens of het invullen van een ‘request form’ bij de registrars ondoenlijk werk oplevert voor opsporingsinstanties. 5G heeft als voordeel veel hogere snelheden en beveiliging dan 4G, maar als nadeel dat het lastiger is voor opsporingsinstanties om hier interceptie op uit te voeren en naar verluidt lastiger maakt om gebruikers van telecomdiensten te identificeren.

Wet computercriminaliteit III aangenomen

De Wet computercriminaliteit III is vandaag (26 juni 2018) ook door de Eerste Kamer aangenomen! De wet kan nu op korte termijn (voor het zomerreces?) gepubliceerd worden in het Staatsblad en van kracht worden.

In mei 2013 berichtte ik voor het eerst over de conceptversie van de Wet computercriminaliteit III en in het najaar van 2017 schreef ik een overzichtsartikel (.pdf) over het wetsvoorstel. Sindsdien is het wetsvoorstel slechts op detailpunten gewijzigd. Deze wet is – zoals zoveel wetten – niet perfect. Toch ben ik blij dat de wet is aangenomen en een noodzakelijke update van het Wetboek van Strafrecht en Strafvordering wordt doorgevoerd.

Toezeggingen op het laatste moment

In het nadere memorie van antwoord voor de Eerste Kamer bevestigt minister Grapperhaus dat de Wet computercriminaliteit III na twee jaar wordt geëvalueerd. Jaarlijks zullen statistieken van het gebruik van binnendringingssoftware openbaar gemaakt worden. De vele regels die nu van toepassing zijn op het gebruik van ‘binnendringingssoftware’ noopt ook tot de vraag of de wetgeving nog wel werkbaar is. Ook deze vraag wordt in de evaluatie meegenomen.

Een wijziging aan het wetsvoorstel dat wordt meegenomen is dat de logginsplicht in het besluit met betrekking tot de uitvoering van de hackbevoegdheid is uitgebreid naar voorbereidende fase van het onderzoek: het binnendringen in het geautomatiseerde werk. De logging bestaat onder meer uit het (automatisch) vastleggen van het beeldscherm en de toetsaanslagen van de opsporingsambtenaar van een technisch team, de communicatie tussen de technische infrastructuur van de politie en het geautomatiseerde werk, de gebruikte scripts, softwareversies en het journaal van de opsporingsambtenaar.

Toezicht achteraf

Tijdens het wetstraject is door diverse auteurs en maatschappelijke organisaties kritiek geuit op de toezicht achteraf op de uitvoering van de nieuwe hackbevoegdheid. Grapperhaus legt uit dat ondanks deze kritiek het toezicht belegd blijft bij de Inspectie Justitie en Veiligheid. Dit toezicht ziet vooral op het nakomen van de vele voorgeschreven procedures van de hackbevoegdheid, maar niet op de rechtmatigheid van de inzet, waaronder de proportionaliteit van de inzet van het middel. “Magistratelijk toezicht”, naast het toezicht vooraf, wordt niet als nodig en als ‘passend in het systeem’ gezien. Toch heeft de minister tijdens de behandeling van de wet in de Eerste Kamer toegezegd in de evaluatie te toetsen of het stelsel van systeemtoezicht op de hackbevoegdheid voldoende is.

Digitaal bewijs in niet-cybercrime zaken

Ook in niet-cybercrime zaken kan digitaal bewijs een cruciale rol spelen. Neem bijvoorbeeld deze zaak van de rechtbank Limburg op 28 maart 2018.

In deze zaak is de verdachte veroordeeld tot 18 jaar gevangenisstraf voor moord op zijn vrouw. De rechtbank verhaald dat “terwijl zij nietsvermoedend in haar keuken een sigaret draaide, de verdachte haar van achteren heeft vastgegrepen en door een verwurging/nekklem om het leven heeft gebracht”. In deze zaak heeft digitaal bewijs op de telefoon van de verdachte een prominente rol gespeeld bij het bewijzen van de vereiste voorbedachte rade bij moord. Ook speelde DNA-bewijs een belangrijke rol bij de veroordeling.

Uit het digitaal forensisch onderzoek op apparaten van van de verdachte is gebleken dat de verdachte onder andere op de volgende veelzeggende zoektermen heeft gezocht:

“- dodelijk gif op 29 september 2015 (20:58 uur);

– nek breken op 4 oktober 2015 (21:33 uur);

– overlijden voor definitieve echtscheiding op 4 oktober 2015 (22:17 uur);

– dodelijke kruiden op 7 oktober 2015 (01:17 uur);

– vergiften op 7 oktober 2015 (02:02 uur);

– dodelijke wurggreep op 13 oktober 2015 (23:45 uur);

– wurggreep politie op 25 oktober 2015 (01:26 uur);

– wurggreep op 26 oktober 2015 (00:24 uur);

– nekklem op 6 november 2015 (14:32 uur)”

Ook heeft de politie door onderzoek te doen op de router van de verdachte vastgesteld dat de verdachte op 4 oktober heeft gezocht op de zoekterm ‘gebroken-nek-opslag-dood (om 19.38.20 uur)’. De verdachte heeft bekend dat hij op die zoektermen heeft gezocht (zij het met volgens hem een andere reden).

De rechtbank neemt de zoektermen mee in de bewijsvoering, omdat het slachtoffer kort na de zoekopdrachten is overleden. De rechtbank achtte de verklaringen van de verdachte niet aannemelijk.

In een heel ander soort zaak speelde digitaal bewijs ook een opzienbarende rol. Op 13 maart 2018 is een verdachte door de rechtbank Limburg veroordeeld voor brandstichting, woninginbraken en diefstal  in Maastricht.

In dit geval speelde de telefoon van de verdachte een cruciale rol. Naar eigen zeggen had de verdachte deze telefoon altijd bij zich. Kort na de brandstichting, op 23 juni 2016 om 01.56 uur, maakte de telefoon die de verdachte verbinding met een WiFi-netwerk van een woning in de buurt. Dit plaatst de verdachte vlakbij de locatie en tijd van de brandstichting. Samen met ander bewijs waren de rechters overtuigd van de schuld van de verdachte.

Deze laatste zaak deed mij denken aan het aangehaalde voorbeeld van Hans Henseler over potentiële rol van digitaal bewijs (zie ook dit artikel ‘Verraden door je iPhone’ in Trouw) in bijvoorbeeld inbraakzaken. Ik ben benieuwd welke voorbeelden van digitaal bewijs in nabije toekomst de revue zullen passeren! Ik houd het in ieder geval in de gaten!

Veroordelingen voor grootschalige phishing in Nederland

Enkele recente uitspraken over phishing en computervredebreuk laten zien dat phishing-zaken complexer worden. Het betreft bovendien een combinatie van oplichting met computervredebreuk. De zaken zijn interessant om te lezen en verder te onderzoeken, omdat er interessante details in staan over de digitale bewijsvoering en de manier waarop de delicten zijn uitgevoerd.

Veroordeling door het Hof Amsterdam

Door het Hof Amsterdam is in november 2017 een verdachte veroordeeld voor het versturen van 132.260 phishing e-mails en het hacken van negen websites. Daarbij werd gebuikt gemaakt van de programma’s  ‘Gre3nox’ en ‘Havij’. Gre3nox wordt gebruikt om kwetsbaarheden in websites op te sporen en Havij om databases van websites te hacken door middel van SQL-injecties.

De verdachte richtte zich in zijn mails op gebruikers van de creditcardmaatschappij ICS, waarbij de inlogpagina van de dienstverlener werd nagemaakt om inloggegevens af te vangen. Gezien de op de laptop en de SD-kaart aangetroffen bestanden met betrekking tot phishingwebsites en de in de internetcache aangetroffen gegevens, vond het Hof het aannemelijk dat deze phishing e-mailberichten van de verdachte afkomstig waren.

Opvallend is overigens de vermelding dat de verdachte gebruik maakte van het internet van zijn buurvrouw, waardoor de politie op een dwaalspoor werd gezet.  De verdachte is veroordeeld voor 30 maanden gevangenisstraf, waarvan 15 maanden voorwaardelijk.

Veroordeling door de rechtbank Den Haag

Op 22 december 2017 zijn door de Rechtbank Den Haag verschillende verdachte veroordeeld voor computervredebreuk, diefstal en grootschalige oplichting van consumenten door elektronica aan te bieden via namaakwebshops. Op basis van anonieme tips en andere informatie zijn de verdachten op 18 mei 2015 door de politie aangemerkt als mogelijke plegers van dergelijke vormen van internetoplichting.

De verdachten hebben met gephishte gegevens ingelogd op Admarkt- en reguliere Marktplaatsaccounts en daarop andere advertenties geplaatst die verwezen naar namaakwebshops. Deze namaakwebshops waren afgeleid van webshops van bedrijven zoals BCC, Dixons, Simyo en Topprice. De namaakwebshops waren niet of nauwelijks van de echte webshops te onderscheiden. Soms waren adressen, telefoonnummers, BTW- en KvK-nummers van het reguliere bedrijf overgenomen en altijd bestond er een contactmogelijkheid via e-mail of door middel van een chatfunctionaliteit. De producten werden op professionele wijze gepresenteerd. Consumenten hadden nadat zij via een betrouwbaar ogende advertentie op Marktplaats werden doorgelinkt naar de namaakwebshop, dan ook niet door dat zij op een frauduleuze website waren beland.

De koopprijs van producten werd door consumenten betaald op een door verdachte opgegeven rekeningnummer, meestal via iDEAL of een andere betaaldienstverlener. De bestelde producten werden daarna niet geleverd en verdachte heeft ook nooit de intentie gehad die te leveren. Met twee anderen heeft verdachte zich schuldig gemaakt aan de hack van Scrypt.cc, met grote schade tot gevolg.

Het beroep van de raadsman van de verdachte op het ‘Smartphone-arrest’ van de Hoge Raad  slaagde in dit geval, omdat zich een ernstige privacy-inmenging heeft voorgedaan door het diepgravende onderzoek waarbij het hele privéleven van de verdachte bloot komt te liggen. Daarvoor is een machtiging van een rechter-commissaris noodzakelijk die niet aanwezig was. De Rechtbank Den Haag verbindt echter geen sanctie aan het vormverzuim.

Ook met betrekking tot gebezigde bewijsmiddelen is de zeer uitgebreide uitspraak van de Rechtbank Den Haag interessant. Den daarbij aan de vermelding van bijzondere opsporingsmiddelen, zoals een internettap, het vorderen van gebruikers- en verkeersgegevens bij Google, betalingen met het uitwisselingskantoor van cryptocurrencies ‘AnyCoin’ en informatie over de online betalingsdienst Skrill (die enige anonimiteit aan gebruikers biedt). Leesvoer voor zowel advocaten als cybercrimebestrijders lijkt mij!

Interessant ENISA-rapport over cybersecurity gepubliceerd

Op 15 januari 2018 heeft het Europese cybersecurityagentschap ENISA een interessant rapport gepubliceerd over cybersecuritydreigingen. In het rapport worden de bevindingen van een grote hoeveelheid andere rapporten van cybersecuritybedrijven geanalyseerd en de resultaten daarvan gepresenteerd. Het rapport biedt ook enige technische diepgang. In deze blog post deel ik de zaken die mij uit het rapport opvielen.

Algemeen

In het rapport wordt er op gewezen dat in 2017 cybercriminelen de grootste bedreiging op het gebied van cybersecurity vormen. Twee derde van de aanvallen zijn van deze actor afkomstig. Hierbij wordt opgemerkt dat in plaats dat zij zeer massale meer ongerichte malware-aanvallen uitvoeren, cybercriminelen nu vaker op zoek gaan naar (financieel) aantrekkelijke doelwitten en daar hier gerichte aanvallen op uitvoeren. Cybercriminelen verdienen daarnaast volgens ENISA veel geld met advertentiefraude (clicks genereren en daarmee geld verdienen) en het leveren van diensten voor andere cybercriminelen (cybercrime-as-a-service). Volgens ENISA is er een toenemende interactie tussen cybercriminelen en statelijke actoren bij het uitvoeren van aanvallen.

De ‘insider-dreiging’ (medewerkers van bedrijven of instellingen) worden als tweede grootste bedreiging geïdentificeerd. ENISA zegt dat het motief bij deze interne actoren in de regel financieel van aard is.

Statelijke actoren worden als derde grootste bedreiging gesignaleerd. Staten maken van computers en internet gebruik voor bijvoorbeeld economische spionage en om aan (politieke) beïnvloeding te doen. ENISA wijst er op dat steeds meer staten investeren in de “cybercapaciteiten” van overheidsinstanties en dit leidt tot een grotere cybersecurity leidt. Ook wordt ondersteuning gevonden voor de claim dat deze statelijke actoren vaker dan andere actoren gebruik maken van zero day-kwetsbaarheden bij hun aanvallen. Het lekken van deze zero days kan op zijn beurt grote gevolgen hebben, zoals de WannaCry-aanval laat zien.

Op p. 98 van het rapport is een mooi overzicht van de betrokken actoren en hun manier van werken te vinden.

Cybercrime-specifiek

De meest in het oog springende resultaten met betrekking tot cybercrime zou ik als volgt samenvatten:

  1. Toename in ernst en complexiteit van aanvallen

In het algemeen wordt er op gewezen dat cybercrime in enge zin – kort gezegd (1) computervredebreuk (hacken), (2) de verspreiding van malware en (3) ddos-aanvallen – in ernst en complexiteit stijgt. Interessant is bijvoorbeeld de stijging in ‘clickless’ malware, waarbij geen interactie (zoals een klik op een knop of bestand) is vereist ten behoeve van de installatie van malware en de verdere verspreiding ervan. In het rapport wordt ook gewezen op het gebruik van kwetsbaarheden in webbrowsers (incl. plugins) en kwaadaardige linkjes via phishingmails als populaire infectiemethode.

In het rapport uiteraard ook gewezen op de stevige stijging van malware-incidenten en zeer zware ddos-aanvallen die zijn uitgevoerd met behulp van het Mirai-botnet (dat misbruik maakt van kwetsbare IoT-apparaten). De dos-aanval op DNS-provider Dyn leidde tot grote en merkbare schade door het tijdelijk uitvallen van populaire diensten zoals Netflix.

ENISA komt tot de zorglijke conclusie het opsporen van de daders achter aanvallen (zoals criminelen en statelijke actoren) “welhaast onmogelijk” is en de acties en motieven van de aanvallen achteraf vaak onduidelijk blijven. Dat maakt het op zijn beurt volgens het agentschap bijzonder moeilijk de actoren achter cyberaanvallen en werkwijze te profileren.

De Nederlandse politie krijgt nog een “eervolle vermelding”  (afhankelijk hoe je het bekijkt) van een ‘sophisticated, yet risky way to prosecute cyber-criminal offences’ in het kader van het overnemen van de Hansa-marktplaats op het darkweb.

  1. Ransomware

Ransomware wordt een ‘prominent threat’ genoemd. In het rapport wordt mooi weergegeven wat de tijdlijn is geweest met betrekking tot de WannaCry-aanval die in Nederland tot uitval van (onder andere) de Tweede Maasvlakte heeft geleid. Het verwonderd mij overigens dat de regering in een Kamerbrief laat weten dat deze aanval niet ‘maatschappelijk ontwrichtend’ is geweest. Welke aanvallen zijn dat dan wel, vraag ik mij af. En wat voor een rol speelt het NCSC hierbij nu precies? Is deze enigszins effectief?

Ten slotte werd een interessant nieuwe trend genoemd waarbij gespecialiseerde ransomware zich richt op medische apparaten. Als deze onbruikbaar worden kan dit natuurlijk ook (meestal indirect) de gezondheid van mensen in gevaar brengen. Dit past in de genoemde trend in het rapport waarbij meer gerichte ransomware aanvallen plaatsvinden om geld af te persen van bedrijven of overheidsinstellingen.

 

Online drugshandel en witwassen met bitcoins

Binnen een korte tijd zijn interessante stukken verschenen over online drugshandel en het witwassen met bitcoins. Europol legt in een rapport uitgebreid uit hoe online drugsmarkten eruit zien, hoe deze werken en welke problemen zij tegenkomen bij de opsporing en bestrijding ervan. Daarnaast zijn in november in Nederland enkele interessante uitspraken verschenen. In deze blogpost geef ik een overzicht van deze stukken.

Europol rapport ‘Drugs and the darknet’

Het rapport ‘Drugs and the darknet’ biedt veel informatie en belangrijke inzichten over online drugshandel, dat zich voornamelijk afspeelt via internetmarktplaatsen die via Tor bereikbaar zijn. In het rapport wordt met veel openheid uitgelegd hoe online drugsmarkten werken en welke drugsmarkten actief zijn geweest. Daarbij wordt bijvoorbeeld uitgebreid ingegaan op de drugsmarkt AlphaBay, dat op enig moment naar schatting 28% van gehele omzet op online drugshandel voor zijn rekening nam. Grote operaties waarbij dark markets offline zijn gehaald, hebben volgens Europol disruptie veroorzaakt op de drugsmarkten. Tegelijkertijd is duidelijk dat de drugshandelaren en kopers daarop tegenmaatregelen nemen, zoals het tegengaan van monitoring van online marktplaatsen door het toepassen van versleuteling en het vereiste van verschillende sleutels in te voeren voor het autoriseren van bitcointransacties. Europol verwacht dat de online drugsmarkten voorlopig blijven groeien door de anonimiteit die het Tor netwerk biedt, de mogelijkheden om versleuteld te communiceren, de mogelijkheden om te betalen in cryptocurrencies zoals Bitcoin (en in toenemende mate Monero en ZCash). In het rapport wordt opgemerkt dat de politiedienst een goed beeld heeft van de Westerse drugsmarkten, maar vooralsnog (te) weinig zich heeft op online drugsmarkten met een niet-Engelse voertaal, zoals Russisch.

Duitsland, Nederland en het Verenigd Koninkrijk hebben het grootste aandeel met betrekking tot het aanbod van drugs binnen de Europese Unie via de darknet markets. Nederlandse verkopers staan bekend om hun aanbod van MDMA, dat vaak van goede kwaliteit is. Europol geeft aan dat de dataretentie-zaak van het Hof van Justitie van de Europese Unie grote problemen veroorzaakt in cybercrime-onderzoeken naar online drugshandel, omdat de gegevens bij internet access providers niet verplicht beschikbaar worden gemaakt voor opsporingsinstanties. Ook levert de toepassing van ‘carrier-grade NAT’ technologie bij mobiele internet dienstverleners grote problemen op, omdat sommige aanbieders hun eigen klanten en netwerkverkeer van die klanten op hun netwerk niet meer kunnen identificeren door de gebruikte poorten niet te loggen en aangezochte IP-adressen niet vast te leggen. Carrier-grade NAT is een technologie waarbij verschillende internetgebruikers gebruik kunnen maken van hetzelfde IP-adres. De techniek wordt door 95% van de mobiele telecomaanbieders gebruikt en bijna 50% van de internet service providers wereldwijd. De toename in het gebruik van encryptie (bijvoorbeeld door het gebruik van het PGP-sleutels) en het gebruik van anonimiseringsdiensten voor bitcoins (met zogenaamde ‘bitcoin-mixing diensten’ of ‘tumblers’) daagt ook de opsporing uit.

In het rapport wordt tevens (wederom) aangegeven dat de jurisdictieproblemen in opsporingsonderzoeken naar cybercrime groot zijn. De problemen doen zich voor vanwege verschillende strafbaarstellingen, verschillende voorwaarden voor de inzet van bevoegdheden, problemen met betrekking tot de lokalisering van computers op het darkweb en een gebrek aan eenduidigheid over het uitvoeren van digitaal forensisch onderzoek. Het ‘European Investigation Order’, dat een nieuw instrument biedt voor een meer directe vorm van rechtshulp binnen de EU, biedt volgens Europol onvoldoende mogelijkheden om effectief bewijs over de grenzen te verzamelen. Vanwege de vereiste specialistische kennis die is vereist en grensoverschrijdende aard van de criminaliteit heeft Europol een speciaal ‘darknet team’ opgericht. Zij raadt aan dat andere Lidstaten ook dergelijke teams oprichten. In het rapport wordt ten slotte opgemerkt dat de Europese Commissie in het begin 2018 een voorstel zal doen voor een ‘nieuw juridisch instrument’ om elektronisch bewijs te vergaren.

Veroordelingen voor online drugshandel en witwassen

De rechtbank Rotterdam heeft op 8 november 2017 (ECLI:NL:RBROT:2017:8988 en ECLI:NL:RBROT:2017:8989) verschillende verdachten veroordeeld voor het witwassen met bitcoins die afkomstig zijn uit drugshandel via het darkweb. In de uitspraken wordt uitgebreid besproken over de manier waarop de bitcoins zijn witgewassen. De verdachten waren in deze zaak bitcoinhandelaren die bitcoins inwisselen tegen contant geld, zodat de anonimiteit van klanten gewaarborgd bleef. Met deze omzetting is de criminele herkomst van de bitcoins verhuld. De verdachte heeft de beschikking gehad over diverse bitcoinwallets (een soort digitale portemonnees). In die wallets zijn bitcoins gestort vanuit onder meer ‘MiddleEarthMarketplace’, ‘AgoraMarket’ en ‘NucleusMarket’, allen (illegale) marktplaatsen op het dark web. In een andere uitspraak van de rechtbank Rotterdam op dezelfde dag (ECLI:NL:RBROT:2017:8989), wordt daarbij opgemerkt dat het een relevante factor voor het aanmerken van witwassen is dat de verdachte ervoor heeft gekozen om de bitcoins om te wisselen voor contanten bij een bitcoinhandelaar die zijn klanten anonimiteit garandeert en hiervoor een veel hogere commissie vraagt (5-7%) dan bij de reguliere wisselkantoren. Dit zou duiden op wetenschap van de criminele herkomst van de bitcoins bij de verdachte.

De rechtbank Midden-Nederland heeft op 17 november 2017 (ECLI:NL:RBMNE:2017:5217 en ECLI:NL:RBMNE:2017:5219) tevens twee verdachten flinke straffen (tot zes jaar gevangenisstraf) opgelegd voor de drugshandel via het dark web van tientallen kilo’s harddrugs (met name MDMA). Zij verstopten daarbij de drugs in pindakaaspotten en wenskaarten en verstuurden dit per post naar klanten over de hele wereld. Een van de verdachte is ook veroordeeld voor het witwassen van bitcoins. Interessant is hoe in de uitspraak wordt uitgelegd hoe de opsporing in zijn werking ging. Het benodigde is bewijs is onder andere vergaard op basis van de reviews en gevoerde alias (nickname) van de verdachte op een online drugsmarket dat alleen via het Tor-systeem toegankelijk is. Ook de ‘selfies’ op de iPhone van de verdachte met drugspakketjes en de unieke PGP-sleutel waarmee de verdachte versleuteld communiceerde heeft, hebben een belangrijke rol in de bewijsvoering gespeeld. Ten slotte bleek uit de ‘error reports’ op de laptop van de verdachte dat hij heeft ingelogd op de darkmarkts en succesvol drugs heeft verkocht en werden etiketten met het afleveradres op de laptop gevonden.

Een andere verdachte is tevens door de Rechtbank Midden-Nederland op 17 november 2017 veroordeeld (ECLI:NL:RBMNE:2017:5716) voor het witwassen van bitcoins. Deze verdachte kocht 20.000 bitcoins in met destijds een waarde van 5 miljoen euro, waarvan bleek dat een groot deel daarvan door derden op het darknet is verdiend. In de uitspraak wordt zeer gedetailleerd ingegaan op het gebruik van een zogenaamde ‘bitcoin mixer’, waarbij bitcoins bij elkaar worden gebracht en opnieuw aan de klanten van de diensten worden verstrekt waardoor de bitcoins anoniemer zijn. De verdachte maakte in deze casus gebruik van de Bitcoin mixingdienst ‘Bitcoin fog’. Uit de verklaringen blijkt dat de bitcoins daarna zijn omgezet in contanten via handelaren die adverteerde op de website localbitcoins.net en een ander via het wisselkantoor Bitconic. Deze handelingen worden de rechtbank gezien als een verhullingshandeling, zoals vereist is voor witwassen. De rechtbank is na een analyse door een deskundige overtuigd dat alle bitcoins die van darknet markets afkomstig zijn, een criminele herkomst hebben. Ten behoeve van de bewijsvoering wijst de rechtbank ook op een vermenging van een grote hoeveelheid uit darknet market afkomstige bitcoins met een bitcoins met een mogelijk wel legale herkomst. Het gehele verzilverde bedrag aan bitcoins wordt om deze reden als van misdrijf afkomstig aangemerkt. De verdachte moet dan wel wetenschap hebben of redelijkerwijs vermoeden dat de uit de bitcoinhandel afkomstige geldbedragen die op zijn rekening werden verzilverd van enig misdrijf afkomstig waren. De rechtbank is van mening dat dit het geval was voor een bedrag van € 1.651.044,96. In de uitspraak wordt tot slot opgemerkt dat ‘beslag is gelegd op de saldo van de bitcoinadressen’ in de drie bitcoinportemonnees op laptops van de verdachten. Daarbij werden bitcoins overgemaakt naar het bitcoinadres van het Openbaar Ministerie.

Europol iocta 2017 rapport

Europol brengt elk jaar het ‘internet organised threat assessment’ (iocta) rapport uit. Het rapport komt tot stand aan de hand van vragenlijsten aan politieorganisaties binnen de EU en door input van bedrijven. Het biedt een interessant en gedetailleerde inzicht in de actuele stand van cybercrime. Ook dit jaar sprak het rapport mij aan en daarom heb ik een samenvatting gemaakt van de belangrijkste bevindingen. Deze samenvatting wil ik de geïnteresseerde lezer natuurlijk niet onthouden.

Ransomware

Ransomware vormt volgens Europol de belangrijkste malware dreiging, gelet op de slachtoffers en de schade die het met zich meebrengt. Met ransomware wordt relatief eenvoudig geld verdiend. Door het gebruik van cryptocurrencies, zoals Bitcoin, zijn de verdiensten bovendien relatief eenvoudig wit te wassen. Naast Bitcoin worden ook Monero, Etherium en ZCash in toenemende mate door cybercriminelen gebruikt. ‘Kirk’ is de eerste ransomware, waarbij Monero werd gebruikt voor het losgeld (in plaats van Bitcoin).

Niet alleen individuen worden door cybercriminelen met ransomware aangevallen, maar ook ziekenhuizen, de politie en overheidsinstellingen. MKB-bedrijven worden steeds vaker aangevallen, mede vanwege hun beperkte budget om voldoende beveiligingsmaatregelen te nemen. Europol spreekt van een “explosie van ransomware” dat op de markt komt, waarbij sommige rapporten spreken van een toename van 750% in 2016 ten opzichte van 2015.

Information stealers

Information stealers’ vormen de op een na grootste bedreiging met betrekking tot malware. Het kost cybercriminelen aanzienlijk meer moeite de benodigde informatie te stelen (zoals financiële gegevens) en het is voor criminelen lastiger met deze malware geld te verdienen vergeleken met ransomware. In het rapport wordt terecht opgemerkt dat Europol een vertekend beeld krijgt van de malwaredreiging, omdat mensen vaak de gevolgen van het gebruik van malware rapporteren. De IT beveiligingsindustrie geeft daarom noodzakelijke input voor het rapport. Binnen deze industrie bestaat een meer volledig beeld van de dreiging.

Slechte beveiliging IoT-apparaten

Europol signaleert ook de dat zwakke beveiliging van Internet of Things-apparaten cyberaanvallen in de hand werkt. Het Mirai-botnet, dat werd gevormd door lekke en misbruikte IoT-apparaten, heeft in 2016 met een zeer sterke (d)DoS-aanval de Amerikaanse DNS-provider Dyn platgelegd, waardoor populaire diensten als Twitter, SoundCloud, Spotify, Netflix, Reddit en PayPal ongeveer 2 uur onbereikbaar waren. Denail-of-service aanvallen zijn eenvoudig uit te voeren. Een botnet die in staat is een denial-of-service aanval van 5 minuten op een webshop uit te voeren, kan slechts voor 5 dollar op websites worden gehuurd.

Kinderpornografie op internet

Kinderpornografie op internet blijft een groot probleem. Het aanbod, de verspreiding en vervaardiging van het materiaal lijkt niet af te nemen. Daarnaast worden enorme hoeveelheden kinderporno in beslag genomen. Volgens Europol zijn hoeveelheden 1-3 Terabyte niet ongebruikelijk met 1 tot 10 miljoen afbeeldingen met kinderpornografie. Peer-to-peer programma’s, zoals GigaTribe, worden nog steeds door kinderpornogebruikers misbruikt voor de verspreiding en het binnenhalen van kinderporno. Europol signaleert dat ook populaire apps en sociale mediadiensten in toenemende mate worden misbruikt.

Het is ook helder dat websites op het darkweb worden gebruikt voor toegang en verspreiding tot kinderporno. Het rapport haalt aan hoe de hack op het hosting bedrijf ‘Freedom Hosting II’ 10.000 darknet websites blootlegde, waarvan 50% kinderpornografische afbeeldingen bevatte. Deze websites zijn overigens vaak gespecialiseerd in kinderporno, omdat online marktplaatsen geen kinderporno accepteren. Zowel op het ‘Surface web’ als op het ‘dark web’ zijn er pay-per-view-diensten beschikbaar waarop kinderpornografische materiaal wordt aangeboden. Volgens Europol maken veel Westelingen gebruik van de diensten, waarbij vooral minderjarigen uit de Zuidoost-Azië en Afrika worden misbruikt. De opsporing van deze misdrijven wordt bemoeilijkt door het gebruik van gratis WiFi-diensten die bijvoorbeeld in de Filipijnen aan arme wijken worden aangeboden. Het is daardoor lastig op basis van het IP-adres de slachtoffers te identificeren.

Fraude met betaalkaarten

Het gebruik chipbetaalkaarten met de EMV-standaard is nog niet alle staten gemeengoed geworden. Betaalkaarten en betaalautomaten die niet van standaard gebruik maken, worden op grote schaal misbruik om fraude en andere delicten zoals de aankoop van drugs mee te plegen. In het rapport worden spectaculaire hacks beschreven waarbij pinautomaten of het systeem dat de pinbetalingen faciliteert worden gehackt, waarna de pinautomaten automatisch geld uitspuwen of geld tot een veel hoger bedrag (tot 200.000 euro) kan worden opgenomen. Verwezen worden naar de ‘Carnabak’-groep die in 2014-2015 op deze manier 1 miljard dollar buit heef gemaakt. Meer recent is volgens Europol de ‘Cobalt’-groep actief geweest met het infecteren van pinautomaten met malware om frauduleuze pinopnamen te doen binnen de Europese Unie, waaronder Nederland.

Groei darknet markets

In het rapport wordt veel aandacht besteed aan de groei van ‘darknet markets’. De online handelsplatformen op het darkweb zijn toegankelijk via Tor, I2P en Freenet, waarbij de illegale activiteiten zich nog voornamelijk via Tor afspelen. In juni 2017 had het Tor netwerk 2.2 miljoen actieve gebruikers en bevatte het bijna 60.000 unieke .onion domeinnamen. De gebruikmaking van deze diensten zijn nog niet de standaard geworden voor de distributie van illegale goederen. Maar de darknet markets groeien snel met een eigen klantenkring in de gebieden van illegale drugshandel, wapenhandel en kinderporno. Daarnaast worden ook veel persoonsgegevens, in het bijzondere gegevens over betaalkaarten en login gegevens voor online bankieren, op het dark web aangeboden. Volgens Europol maken de volgende drie factoren het gebruik van Tor voor criminelen aantrekkelijk: (1) een bepaalde mate van anonimiteit, (2) een diverse markt aan kopers die minder lijflijk risico lopen en kunnen betalen met cryptocurrencies en (3) een goede kwaliteit van producten die worden verkocht door aanbieders die worden beoordeeld op basis van reviews.

Encryptie en dataretentie belemmering de opsporing

Voor het tweede jaar achtereen geeft Europol in het rapport ook de boodschap af encryptie de opsporing voor cybercrime belemmert. Het maakt het aftappen van telecommunicatieverkeer minder effectief en belemmert digitaal forensisch onderzoek. Daarnaast is helder dat de onrechtmatig verklaring van de dataretentierichtlijn op 8 april 2014 door het Hof van Justitie van de EU een ‘aanzienlijke negatieve invloed’ heeft op de mogelijkheden van opsporingsautoriteiten om bewijsmateriaal veilig te stellen. In sommige lidstaten is nog steeds dataretentieregelgeving voor telecommunicatiedienstverleners (waaronder ISP’s) van kracht, maar veel andere EU lidstaten niet. Deze fragmentatie belemmert de internationale opsporing van cybercrime. Europol doet geen voorstellen tot maatregelen op dit gebied, wellicht omdat het te politiek gevoelig is, maar benadrukt de problematiek die het met zich meebrengt.

Criminal procedure and the digital revolution

A digital revolution has taken place for law enforcement authorities. A treasure trove of information is currently publicly available on the Internet. In addition, large amounts of information can be gathered from third parties, such as telecommunication providers, financial institutions and online service providers. Furthermore, law enforcement authorities can analyse every piece of information on seized computers with specialised software. All that information can be combined and processed and thereby provides great investigative potential for law enforcement authorities.

The Dutch legislator is currently seeking to amend (in Dutch) the Dutch Criminal Code of Criminal Procedure (DCCP) and aims to take into account the influence of Information and Communication Technology on police work. However the current plans only take into consideration the gathering of publicly available information and the seizure of computers. Yet these investigation methods are not the full spectrum of digital investigation methods that is available to law enforcement authorities. Remarkably, even the planned amendments to the DCCP to accommodate these two investigation methods – and beef up the safeguards to protect the individuals involved – have now been put on hold or will be further researched to assess their desirability.

‘Open source information’

Publicly available online information provides a powerful tool for surveillance by law enforcement authorities. People willingly post large amounts of personal information about themselves on online forums and social media services. Other individuals can also post information about people on the Internet. In law enforcement terms that information is called ‘open source’ information, i.e. information that anyone can access, purchase, or gather by observation. The thing is that law enforcement officials do not even know themselves under which conditions and to what extent the information can be collected.

Also note that the collected information can be combined with other information collected from third parties and further processed. By use of specialised software an intricate picture of certain aspects of an individual’s life and relationships with other individuals can be obtained. In first instance, the Dutch legislator proposed creating detailed regulations in the DCCP to regulate the investigation method. However the Dutch police do not support this proposal and the Dutch Minister of Security and Justice has now put these plans on hold to assess their desirability.

A warrant for computer searches

The second amendment proposed was for the seizure and subsequent analysis of data stored on computers. The Dutch Minister of Security and Justice acknowledges (p. 83) the serious privacy interference that takes place when computers are seized and suggests that ‘a higher authority’ should authorise the seizure. In my previous blog post I argued that a warrant requirement and mandatory limitation of the scope of the warrant are therefore appropriate safeguards for the seizure of computers. These safeguards can be derived from case law by the European Court of Human Rights regarding computer searches. Yet the Dutch Minister of Security and Justice does not even refer to that case law or current Dutch case law on the subject. Dutch law enforcement authorities fear a significant administrative burden (p. 8) due to proposed changes in legislation. Therefore further research has been announced to investigate the desirability of the amendment. Indeed, a warrant requirement will bring with it more paperwork. Yet it is an important safeguard in protecting individuals from the arbitrary interference of law enforcement authorities in our private lives. Possibly the Dutch Supreme Court will step in and require a warrant for seizing and analysing the contents stored on computers in the meantime.

Concluding remarks

In my view, the proposed Dutch reforms for criminal procedure do not fully appreciate the consequences that technology bring with for criminal investigations. The amount of data that law enforcement authorities can collect and the tools at their disposal to process every piece of that information should not be underestimated. The two proposed amendments are a start in thinking about those consequences and how to regulate digital investigation methods. Therefore it is unfortunate that those amendments will now be put on hold, possibly toned down, and further researched for their desirability.

Arguably, the ambition of updating criminal procedure law to fit the new digital investigation landscape is too ambitious and a separate legislative project is desirable. In addition, it is possible that certain restrictions on investigation methods are better suited for regulation outside criminal procedure. However, in any case, there should be a sense of urgency to accommodate digital investigation methods in our legal framework and provide sufficient safeguards for the individuals involved. To be continued I hope.

This blog post is cross-post from LeidenLawBlog.nl

Hacking without a legal basis

In May 2014, the Dutch Public Prosecution Office announced that the Dutch police participated in a global action against ‘Blackshades’ malware. Blackshades enables individuals to remotely take over computers and copy information (among other functionalities). The Dutch press release stated that:

“Team High Tech Crime of the Dutch police saw an opportunity to enter the Blackshades server and secure a large amount of information. The location of the server is unknown”.

This statement implies that Dutch law enforcement authorities entered the server remotely to copy data. Said in other words, Dutch law enforcement authorities hacked a server without knowing the location of the server to secure information. Indeed, recent answers to parliamentary questions confirmed the computer was ‘remotely accessed’(hacked) by law enforcement authorities during the operation in May. In addition, the Dutch Minister of Security of Justice stated in the letter to the Dutch Parliament that art. 125i of the Dutch Code of Criminal Procedural (DCCP) provides for a legal basis to access computer remotely (by hacking) and copy information.

The problem with this letter is that there is arguably no legal basis for hacking in Dutch criminal procedural law. The statement of the Minister of Safety and Justice is in my view worrisome, because a special investigation power is interpreted very broadly by the minister to suit the needs of law enforcement authorities. This undermines a fundamental principle of our criminal law system.

Art. 125i DCCP does not provide a legal basis for hacking

Art. 125i DCCP provides for an ill-understood investigation power that allows law enforcement authorities to search a place in order to secure information stored on computers. The article specifically refers to existing investigation powers for search and seizure at a particular place by law enforcement authorities. Therefore, art. 125i DCCP should always be read in conjunction with the power to search a place, seize a computer and subsequently search data on a computer. In the letter, the minister seems to ignore these explicitly referred to powers of search and seizure at a particular place.

For example, a public prosecutor can seize a computer located at hosting provider and search the data stored on a computer in an effort to secure the sought after data upon the legal basis of art. 125i DCCP jo art. 96c DCCP. These powers for search and seizure are simply different from hacking as an investigation method. The most notable difference between hacking and the search and seizure of computers is that hacking takes place remotely in secret, whereas the search and seizure of computers takes place at a particular place in the presence of witnesses.

There are good reasons to think that the Dutch legal framework to analyse data on computers is outdated. Additionally, there are good reasons why law enforcement authorities feel the need to be able to access computers remotely to acquire information relevant to a criminal investigation. But a key principle and essential to the rule of law is that law enforcement authorities are bound by the law. In my view, as I argued extensively in 2011 and 2013 (in Dutch), Dutch criminal procedural law does not provide for the investigation power to hack computers by law enforcement authorities.

Criminal procedural legality principle

In Dutch criminal procedural law, investigation methods that infringe in the right to privacy in more than a minor way or threaten the integrity of a criminal investigation require detailed regulations. This ‘criminal procedural legality principle’ with regard to the regulation of investigation methods ensures that governmental powers are controlled by the law and prevent arbitrary interferences by the government in the private lives of citizens. The principle also ensures that governmental powers to investigate crime are foreseeable to citizens. In essence, this legality principle harnesses governmental power which is essential to the rule of law.

Therefore, I find it curious our Minister of Security and Justice endorses a broad and highly debatable interpretation of the law to enable law enforcement authorities to hack computers, especially considering that a new legislative proposal is under way which aims to regulate hacking as an investigation power. This ‘Computer Crime Act III’ will be send to the Dutch Parliament in early 2015.

A democratic legislative process is required to provide Dutch law enforcement authorities with the powers that a majority of the elected representatives of the Dutch people find appropriate. Perhaps hacking computers under stringent conditions to allow for evidence gathering activities is desirable as a new investigation power. But in the meantime, the criminal procedural legality principle as a key principle in Dutch criminal procedural law should not be ignored.

This is a cross post from LeidenLawBlog.nl