Vietnamese student pas uitgeleverd na dit schooljaar

Rechtbank Den Haag 16 oktober 2013, ECLI:NL:RBDHA:2013:13766

De Vietnamese student die in Amerika verdacht wordt van medeplichtigheid aan cybercrime, mag het schooljaar 2013/2014 afronden voordat hij uitgeleverd wordt. De rechtbank Den Haag heeft dat bepaald in een kort geding. De student wilde dat de uitlevering aan Amerika zou worden verboden.

De student mag van de rechtbank dit schooljaar afronden, en daarmee zijn studie. Een belangrijke reden hiervoor is dat hij meewerkt en wil blijven meewerken aan een strafproces in de VS. Ook wil de rechtbank voorkomen dat de (financiële) investering in zijn studie teniet wordt gedaan. De rechtbank is van oordeel dat de kans klein is dat hij de studie nog kan afmaken na afloop van de strafzaak in Amerika.

De rechtbank heeft het verzoek van de student om helemaal niet uitgeleverd te worden aan de VS afgewezen. Hij stelt weliswaar dat hij onschuldig is, maar de rechtbank oordeelt dat Nederland zich moet houden aan internationale afspraken. De VS ziet wel voldoende bewijs, ondanks nieuwe informatie uit Vietnam over betrokkenheid van een andere verdachte. De uitlevering is daarom volgens de rechtbank toegestaan, maar wel pas op het moment dat hij het lopende schooljaar heeft afgemaakt.

Lees hier de volledige uitspraak.

Onbevoegd gebruik maken van andermans beveiligde wifi netwerk valt onder computervredebreuk

Gerechtshof Den Haag 14 oktober 2013, ECLI:NL:GHDHA:2013:3871

Procesgang

In eerste aanleg is de verdachte vrijgesproken van het onder 1 en 2 tenlastegelegde.

De officier van justitie heeft tegen het vonnis hoger beroep ingesteld.

Dit hof heeft het beroepen vonnis vernietigd en opnieuw rechtdoende de verdachte vrijgesproken van het onder 2 tenlastegelegde vrijgesproken en veroordeeld terzake het onder 1 tenlastegelegde.

Zowel de verdachte als de advocaat-generaal heeft tegen het arrest beroep in cassatie ingesteld.

De Hoge Raad der Nederlanden heeft bij arrest van 26 maart 2013 het arrest van het hof vernietigd, doch uitsluitend wat betreft de beslissingen ter zake van het onder 2 tenlastegelegde en de strafoplegging, en de zaak teruggewezen naar dit gerechtshof, opdat de zaak in zoverre op het bestaande hoger beroep opnieuw wordt berecht en afgedaan.

Omvang hoger beroep

Aan de verdachte is onder 2 ten laste gelegd dat hij op een of meer tijdstippen in de periode van 01 februari 2009 tot en met 13 maart 2009 te 's-Gravenhage opzettelijk en wederrechtelijk in een of meer geautomatiseerde werken, te weten een computer en/of router en/of een (beveiligde) draadloze internetverbinding (van de provider Planet/KPN toebehorende aan [benadeelde]), of in een deel daarvan, is binnengedrongen, waarbij hij de beveiliging heeft doorbroken, in elk geval de toegang heeft verworven door een technische ingreep, met behulp van een valse sleutel, te weten het onbevoegd gebruik maken van de code en/of het wachtwoord van die [achternaam benadeelde] en/of door het aannemen van een valse hoedanigheid (Computervredebreuk).

Standpunt verdediging

De raadsvrouw van de verdachte heeft zich ter terechtzitting op het standpunt gesteld dat een router geen geautomatiseerd werk is.

Beoordeling hof

Het hof overweegt te dien aanzien als volgt. Nog daargelaten dat blijkens het dossier bij onderzoek van de instellingen van de router van mevr. [achternaam benadeelde] is vastgesteld dat het MAC-adres van de computer waarmee de verdachte zich toegang tot die router heeft verschaft ([X]) op die router was opgeslagen, waarmede die inrichting naast verwerking en overdracht van gegevens aan de drie cumulatieve functies voldeed die art. 80sexies van het Wetboek van Strafrecht (Sr) aan een inrichting stelt om te kunnen spreken van een geautomatiseerd werk, vloeit uit het arrest van de Hoge Raad van 26 maart 2013 voort dat uit de wetsgeschiedenis moet worden afgeleid dat het begrip ‘geautomatiseerd werk’ in de zin van art. 80sexies Sr niet beperkt is tot apparaten die zelfstandig aan de drievoudige eis van dat artikel voldoen. Ook netwerken (mede) bestaande uit computers en/of telecommunicatievoorzieningen heeft de wetgever onder dat begrip willen brengen, terwijl artikel 138s (oud) Sr ook toepasselijk is op delen van zulke geautomatiseerde werken. Een en ander leidt tot de conclusie dat de router van mevr. [achternaam benadeelde] heeft te gelden als een geautomatiseerd werk in de zin van art. 80sexies Sr, zodat het binnendringen op die router en daarmee op een deel van het netwerk waarvan die router deel uitmaakte computervredebreuk in de zin van art. 138a (oud) Sr oplevert.

Voorts heeft de raadsvrouw van de verdachte ter terechtzitting bepleit dat de verdachte het door de wetgever beschermde belang niet heeft geschaad. Uit de parlementaire behandeling van de Wet Computercriminaliteit II (Stb. 2006, 300) volgt dat de wetgever met artikel 138a (oud) Sr diegene wil beschermen die blijkens feitelijke beveiliging heeft duidelijk gemaakt dat hij zijn gegevens heeft willen beschermen tegen nieuwsgierige blikken. De verdachte heeft geen gegevens van de eigenaresse van de router ingezien of meegenomen, aldus de raadsvrouw.

Het hof is van oordeel dat de raadsvrouw aldus een te enge interpretatie van de wetsgeschiedenis en van het door artikel 138a (oud) beschermde belang hanteert. In navolging van de overweging van de Hoge Raad (onder 2.6) is het hof van oordeel dat de omstandigheid dat de verdachte zich geen toegang heeft verschaft tot beveiligde gegevens in de computer van mevr. [achternaam benadeelde] op zichzelf niet uitsluit dat de verdachte zich heeft schuldig gemaakt aan computervredebreuk in de zin van art. 138a (oud) Sr.

Strafoplegging

Het hof veroordeelt de verdachte tot een taakstraf bestaande uit een werkstraf voor de duur van 160 uren.

Lees hier de volledige uitspraak.

Spaanse politie en Europol houden cybercrime 'service providers' aan

Het European Cybercrime Centre (EC3) van Europol heeft de Spaanse Nationale politie ondersteund  bij de aanhouding van twee uit Oekraïne afkomstige verdachten in Madrid. De verdachte verkochten cybercriminelen toegang tot een groot aantal besmette somputer servers hetgeen de kopers in staat stelde hun internet activiteiten te verhullen.

Lees verder:

• Spanish police and Europol arrest cybercrime service providers, Europol

ICT in the context of criminal procedure: The Netherlands

The aim of this report is to analyze (aspects of) the use of Information and Communication Technology (ICT) in the context of Dutch criminal procedure. The questionnaire underlying this report generally deals with cyber crime. ‘Cyber crime’ is understood to cover criminal conduct that affects interests associated with the use of ICT, such as the proper functioning of computer systems and the internet, the privacy and integrity of data stored or transferred in or through ICT, or the virtual identity of internet users. The common denominator and characteristic feature of all cyber crime offences and cyber crime investigation can be found in their relation to computer systems, computer networks and computer data on the one hand and to cyber systems, cyber networks and cyber data on the other hand. Cyber crime covers offences concerning traditional computers as well as cloud cyber space and cyber databases. Although the background of the questionnaire is related to cyber crime as a topic of substantive criminal law, it would not be expedient to narrow the focus of this report to the (legal) aspects of ICT in the context of criminal procedure insofar as it deals with specifically this type of crime. ICT (in the context of criminal procedure) is too broad a phenomenon to limit this report to cyber crime.

The use of ICT in criminal procedure in order to tackle criminal offences can take various forms. Investigation in criminals’ computers will be made possible but, for instance, the interception of telecommunication, the access to a DNA-database and the use of ANPRsystems can be brought under the broad description of ICT too. Anno 2013, one has to conclude that not many aspects of criminal procedure are imaginable which are not to some extent connected to ICT. From this point of view, writing a report about the use of ICT in criminal procedure might basically come down to writing a report about criminal procedure itself. Since this could not reasonably be the aim of a national report on this topic, the questionnaire was followed strictly, in which the use of ICT in criminal procedure is somewhat narrowed down.

Lees verder:

• ICT in the context of criminal procedure: The Netherlands door T. Kooijmans & P.A.M.. Mevis (Tilburg University)

18-jarige aangehouden voor computermisdrijven

De politie heeft in Maastricht een 18-jarige student aangehouden vanwege een reeks computermisdrijven. Hij wordt verdacht van betrokkenheid bij het verspreiden van kwaadaardige software. Onderzocht wordt of deze zogenoemde malware computers van bankklanten heeft besmet.

Door gebruik te maken van  creditcard gegevens van derden zou hij ook tientallen aankopen via  internet in ontvangst hebben genomen, die hij via Marktplaats weer verkocht. De omvang van de die aan- en verkopen  bedraagt mogelijk duizenden euro’s .

De politie kwam de verdachte op het spoor in een onderzoek naar ransomware. Dat is een kwaadaardig virus waarbij computers worden geblokkeerd. De getroffen gebruikers krijgen een bericht op hun scherm dat afkomstig lijkt te zijn van de politie. Ze worden beschuldigd van computercriminaliteit en gesommeerd een boete te betalen.

Bij een doorzoeking van de ouderlijke woning van de 18-jarige is beslag gelegd op een computer, een tablet, usb-sticks en andere gegevensdragers, gsm’s, bankpassen, foto- en videocamera’s en ruim 18.000 euro contant geld.

De verdachte is deze week door de politie verhoord. Hij is zaterdagavond in vrijheid gesteld in afwachting van het verder verloop van het onderzoek.

Bron: OM

Kunnen opsporingsinstanties een server offline halen voor onderzoek?

Als opsporingsinstanties op zoek zijn naar een verdachte kunnen ze gegevens opvragen bij online aanbieders. Als uit bankgegevens blijkt dat een verdachte online schoenen heeft gekocht kan de politie de opgegeven adresgegevens vorderen bij de desbetreffende webwinkel. Als blijkt dat de verdachte met behulp van een specifieke server strafbare feiten heeft gepleegd kunnen opsporingsinstanties gegevens vorderen bij een hostingdienst. Dit kan voor vervelende situaties zorgen.

• Kunnen opsporingsinstanties een server offline halen voor onderzoek? ICTRECHT.nl

Nico Kwakman: Wetsvoorstel Computercriminaliteit III

Met het wetsvoorstel Computercriminaliteit III beoogt het Kabinet het voornemen om de toenemende bedreigingen op het gebied van computercriminaliteit het hoofd te bieden – zoals verwoord in het regeerakkoord ‘Bruggen slaan’ van het Kabinet PvdA en VVD –te vertalen in een aantal (aanvullende) strafrechtelijke voorzieningen. Daartoe worden bepaalde cybercrime-gerelateerde strafbepalingen aangescherpt en bepaalde cybercrime-gerelateerde opsporingsbevoegdheden verruimd.

Lees verder:

• Wetsvoorstel Computercriminaliteit III (Decryptiebevel en andere voorstellen), Straf(proces)recht globaal in detail

Meer weten over de nieuwe Wet Computercriminaliteit III en cybercrime? Kom op donderdag 14 november naar de Studiedag Cybercrime in Den Haag.

Tijdens deze studiedag wordt de ontwikkeling van computercriminaliteit besproken en een overzicht gegeven van de meest voorkomende delicten en hoe zij worden gepleegd. Het juridisch kader wordt uiteen gezet met toepasselijk internationaal, Europees en nationaal recht. Hier zal ook uitgebreid aandacht worden besteed aan toekomstige ontwikkelingen, zoals het Wetsvoorstel versterking aanpak computer- criminaliteit. Welke (grensoverschrijdende) opsporingsmogelijkheden bestaan er in een geautomati- seerde omgeving? Welke praktische problemen spelen er met betrekking tot jurisdictie en hoe wordt daarmee omgegaan? Ook zal uitgebreid aandacht worden besteed aan e-evidence als nieuwe vorm van bewijs in strafzaken en onderzoek in cyberspace.

Sprekers o.a.: Bert-Jaap Koops, Christiaan Baardman, Jan-Jaap Oerlemans en vele anderen.

Klik hier voor meer informatie.

Strafrechtelijke aspecten van anti-botnetacties

Deze notitie, geschreven in opdracht van SURFnet, geeft een globaal overzicht van de strafrechtelijke aspecten van anti-botnetacties door SURFnet en bij SURFnet aangesloten instellingen. Hierin wordt de vraag beantwoord of en onder welke omstandigheden welke typen van anti-botnetacties strafbaar zouden kunnen zijn. De meeste anti-botnetacties die verder gaan dan pure beveiliging van de eigen systemen, maken inbreuk op de vertrouwelijkheid, integriteit of beschikbaarheid van computers of computergegevens van anderen. Deze acties zijn daarom snel te kwalificeren als aftappen en opnemen van communicatie, computervredebreuk, gegevensaantasting, computersabotage en heling van gegevens – gedragingen die in het Wetboek van Strafrecht strafbaar zijn gesteld wanneer ze opzettelijk en wederrechtelijk worden uitgevoerd. De kernvraag daarbij is wanneer een actie wederrechtelijk is.

Er valt niet in het algemeen te zeggen wanneer een anti-botnetactie wederrechtelijk is. Dat hangt af van veel factoren, zoals de contracten en gedragscodes die binnen SURFnet gelden, de stand van de techniek, de (mogelijke) schade door het botnet en de kosten van ingrijpen, (on)mogelijkheden van diverse actoren om in te grijpen, en hoe de maatschappij aankijkt tegen ingrijpen door private actoren in het kader van misdaadbestrijding in een Internetomgeving. Leidende beginselen zijn subsidiariteit (een actie moet de minst ingrijpende maatregel kiezen die geschikt is om het beoogde doel te bereiken) en proportionaliteit (de maatregel moet in verhouding staan tot het doel). Voor elk type actie, en in elke context, moet worden bekeken of het nodig is dat SURFnet of een aangesloten instelling deze actie uitvoert (in plaats van het over te laten aan politie, antivirusaanbieders of eindgebruikers), en of de bedreiging – de mogelijke of aangerichte schade – van het botnet de mate van ingrijpen in computers en gegevensstromen van anderen rechtvaardigt.

Omdat de maatschappelijke normen voor de aanvaarbaarheid van anti-botnetacties (dat wil zeggen of deze rechtmatig of wederrechtelijk zijn) nog sterk in ontwikkeling zijn, verdient het aanbeveling dat SURFnet richtlijnen opstelt voor anti-botnetacties, bij voorkeur na overleg met andere belanghebbende actoren. In elk geval kan SURFnet als netwerkaanbieder in de contracten met instellingen, en als dienstaanbieder in het opstellen van model-gedragscodes en integriteitscodes, tot op zekere hoogte zelf bepalen welke anti-botnetacties onder welke omstandigheden uitgevoerd kunnen worden binnen het SURFnet-netwerk. Voor acties die effect hebben op computers en gegevensstromen buiten het SURFnet-netwerk kan SURFnet, liefst samen met vergelijkbare private partijen, een gedragscode opstellen voor anti-botnetacties, die weliswaar geen bindende werking heeft maar wel de beoordeling door de rechter van de rechtmatigheid van de acties kan inkleuren.

Het Nederlandse strafrecht stelt daarbij wel grenzen aan anti-botnetacties, maar die grenzen zijn contextafhankelijk. Zorgvuldig overdachte, proportionele acties ter bestrijding van botnets hoeven niet strafbaar te zijn, en voor zover ze dat op papier wel zijn zullen ze in de praktijk vermoedelijk niet snel worden vervolgd.

Lees verder:

• Acties tegen botnets door SURFnet en bij SURFnet aangesloten instellingen: strafrechtelijke aspecten | Een expert opinion door prof.dr. Bert-Jaap Koops

Twee aanhoudingen in onderzoek naar phishing

De Koninklijke Marechaussee heeft afgelopen dinsdag in Amsterdam twee mannen aangehouden op verdenking van phishing en drugshandel. Het gaat om een 39-jarige man uit Ghana en een 31-jarige man uit Deventer. De 39-jarige verdachte wordt vandaag voorgeleid aan de rechter-commissaris bij de rechtbank Arnhem.

De twee verdachten zijn vermoedelijk betrokken bij vijf phishing-zaken, waarmee naar schatting 165.000 euro  is buitgemaakt. Dat gebeurde door met vervalste mailberichten de gebruikersnaam en het wachtwoord voor internetbankieren te ontfutselen van particuliere klanten. De gedupeerden van deze fraude waren veelal vermogende ouderen.

Geldezels

Om het gestolen geld weg te kunnen sluizen, maakten de verdachten gebruik van zogenoemde geldezels. Dit zijn mensen die tegen betaling het geld van gedupeerden op hun bankrekening laten storten. Criminelen die phishing-fraude plegen, kunnen het geld vervolgens contant laten opnemen of doorsluizen naar een andere bankrekening. In de vijf phishing-zaken waarvan de twee mannen worden verdacht, zijn inmiddels al zeventien personen aangehouden en gehoord omdat zij als geldezel zouden hebben gefungeerd.

Valse identiteit

Het onderzoek onder leiding van het Landelijk Parket is in november vorig jaar gestart na een controle Mobiel Toezicht Veiligheid van de Marechaussee aan de grensovergang bij Zevenaar. Tijdens de controle werd de 39-jarige verdachte staande gehouden. Hij legitimeerde zich vervolgens met een verlopen Nederlands verblijfsdocument. Uit nader onderzoek bleek dat de man gebruikmaakte van een valse identiteit.

Het aangehouden tweetal wordt ook verdacht van drugshandel. Die verdenking is ontstaan uit afgeluisterde telefoongesprekken. Daaruit blijkt onder meer dat de twee in februari vermoedelijk onder bedreiging van een vuurwapen zijn ‘geript' toen ze in Amsterdam-Zuidoost een kilo cocaïne probeerden te verkopen.

Bron: OM

Moet Nederland nu al rekening houden met de nieuwe EU Cybercrimerichtlijn?

Op 4 juli 2013 heeft het Europese Parlement de richtlijn ‘aanvallen tegen informatiesystemen ter vervanging van Kaderbesluit 2005/222/JBZ’ met een grote meerderheid aangenomen. De Raad van de Europese Unie heeft ook het voorstel op 22 juli 2013 aangenomen, zodat aan  alle officiële procedures is voldaan en de richtlijn kan worden gepubliceerd. De richtlijn moet na publicatie binnen twee jaar in de nationale wetgeving geïmplementeerd worden. Daarom vraagt Oerlemens zich af of de noodzakelijke wijzigingen niet moeten worden verwerkt in de nieuwe Wet Computercriminaliteit III.

Lees verder:

• Moet Nederland nu al rekening houden met de nieuwe EU Cybercrimerichtlijn? OerlemansBlog – Blog about cybercrime and privacy