Europol: huidige wetgeving niet klaar voor cybercrime

De huidige wetgeving maakt het lastig voor opsporingsdiensten zoals Europol om cybercriminelen aan te pakken en moet dan ook worden gemoderniseerd. Daarvoor pleit Troels Oerting, hoofd van het Europees Cybercrime Centrum (EC3) van Europol. "We proberen misdrijven van de 21ste eeuw met het juridische systeem van de 19e eeuw te bestrijden".

Lees verder:

• Europol: huidige wetgeving niet klaar voor cybercrime, Security.nl

Meer weten over de uitdagingen die cybercrime met zich brengt? Kom dan op Vrijdag 28 november 2014 naar de Studiedag Cybercrime. 

Klik hier voor meer informatie.

Antwoorden kamervragen over het hacken van servers door de politie terwijl de zogenaamde hackwet nog niet door de Kamer is behandeld

Op 22 augustus berichtte Nu.nl over huiszoekingen bij 34 personen in mei van dit jaar, gedaan nadat de politie een server had gehackt met daarop een verkooplijst van de zogeheten Blackshades-software. Naar aanleiding van dit bericht zijn aan Minister van Veiligheid en Justitie Opstelten kamervragen gesteld over het hacken van servers door de politie terwijl de zogenaamde ‘hackwet’ nog niet door de Kamer is behandeld.

Opstelten erkent dat de berichtgeving klopt, in zoverre dat in diverse Europese landen, de VS en Canada strafrechtelijke onderzoeken hebben gelopen of lopen tegen (ver)kopers en/of verspreiders en/of vervaardigers van software die hoofdzakelijk geschikt is gemaakt of ontworpen is tot het plegen van kort gezegd computercriminaliteit als bedoeld in de artikelen 138ab, eerste lid, 138b en 139c Sr.

Volgens de minister heeft het Openbaar Ministerie, in het kader van onderzoek naar Blackshades, echter geen opdracht gegeven tot het hacken van de server van Blackshades. De politie heeft onder verantwoordelijkheid van het Openbaar Ministerie en na daartoe te zijn gemachtigd door een rechter- commissaris op afstand een server betreden en deze server vervolgens doorzocht ter vastlegging van gegevens op grond van artikel 125i Sv.

Het is onder bepaalde omstandigheden op basis van artikel 125i Sv met een machtiging van de rechter-commissaris mogelijk om op afstand een computersysteem te betreden, met als uitsluitende doel de computer te doorzoeken op vooraf bepaalde gegevensbestanden en deze zonodig in beslag te nemen door ze vast te leggen, aldus Opstelten. In twee strafzaken waarin het ging om zeer ernstige feiten is hiervan sprake geweest.

Op de vraag of het klopt het dat het wetsvoorstel Computercriminaliteit III juist beoogt in een wettelijke grondslag te voorzien voor het hacken van servers en computers door justitie ten behoeve van het opsporingsonderzoek antwoordt de minister dat de huidige wettelijke regeling dient te worden aangevuld, hetgeen gebeurt in het wetsvoorstel Computercriminaliteit III. Doel van dat wetsvoorstel is het juridisch kader voor de opsporing en vervolging van cybercrime meer toe te snijden op de opsporing en vervolging van computercriminaliteit en de nieuwe werkwijzen van criminelen. De huidige samenleving en de snelle veranderingen van techniek om met elkaar te communiceren en informatie te delen of op te slaan overal ter wereld, vereisen dat opsporingsautoriteiten met die veranderingen mee ontwikkelen.

Het wetsvoorstel voorziet naast diverse veranderingen en aanvullingen in een nieuwe bevoegdheid waarin een opsporingsambtenaar zich, na een daartoe gegeven bevel van een officier van justitie, onder strikte voorwaarden heimelijk en op afstand de toegang mag verschaffen tot een geautomatiseerd werk om in dat geautomatiseerde werk bepaalde bevoegdheden toe te passen. Dit binnendringen in een geautomatiseerd werk is een verdergaande bevoegdheid dan het doorzoeken ervan en noodzakelijk voor de opsporing van veel vormen van internetcriminaliteit.

Het wetsvoorstel wordt begin volgend jaar ingediend bij de Tweede Kamer.

• Antwoorden kamervragen over het hacken van servers door de politie terwijl de zogenaamde hackwet nog niet door de Kamer is behandeld

Veroordeling wegens uitvoeren van een Denial of Service-aanval gericht op de website van een bank

Rechtbank Zeeland-West-Brabant 2 september 2014, ECLI:NL:RBZWB:2014:6659

Verdachte heeft zich schuldig gemaakt aan het uitvoeren van een Denial of Service aanval oftewel DoS-aanval gericht op de website van een bank. Door middel van een onvolledige http post-request heeft verdachte ervoor gezorgd dat het maximale aantal verbindingen werd bereikt waardoor de website niet meer toegankelijk was voor klanten van de bank. Zij konden daardoor geen gebruik meer maken van het telebankieren, iDeal en Mobielbankieren. 

Het standpunt van de officier van justitie

De officier van justitie acht wettig en overtuigend bewezen dat verdachte een Denial Of Service-aanval heeft uitgevoerd op de website van de bank, waardoor deze gedurende één uur niet toegankelijk is geweest. Zij baseert zich daarbij op de aangifte van de bank waaruit onder meer blijkt dat er op 10 april 2013 een verhoogd verkeer over het netwerk was en dat de http-post request afkom-stig was van een enkel IP-adres dat hoorde bij het adres van verdachte. Voorts wijst zij op het proces-verbaal van bevindingen betreffende de uitwerking van de IP-tap en de processen-verbaal betreffende het onderzoek naar de inbeslaggenomen computer, USB-stick en iPad van verdachte. Het verweer van de verdediging dat de computer van verdachte is overgenomen door derden acht de officier van justitie ongeloofwaardig. Los van het feit dat uit de stukken blijkt dat deze stelling vanuit een technisch oogpunt hoogst onwaarschijnlijk is, komt de verklaring van verdachte er in essentie op neer dat niet hij de DoS-aanval heeft gepleegd, maar iemand anders. Verdachte kan echter niet aangeven wie deze andere persoon is geweest. Onder die omstandigheden en onder verwijzing naar het arrest van de Hoge Raad, gepubliceerd in NJ 1999, nr. 152, behoeft het verweer van de verdediging geen verdere weerlegging, aldus de officier van justitie.

Het standpunt van de verdediging

De verdediging stelt zich op het standpunt dat verdachte een logische en uitvoerige weerlegging heeft gegeven van de verdenkingen. Verdachte heeft verklaard dat zijn computer, zonder zijn toestemming, is overgenomen door hackers en dat deze hackers de vermeende DDoS-aanvallen hebben verricht waarbij zij gebruik hebben gemaakt van het IP-adres van verdachte. Verdachte heeft, als bewijs, de door de hackers geïnstalleerde software op een USB-stick gezet om te laten zien dat deze software door anderen op zijn computer is gezet. De stelling van de politie dat het zeer onwaarschijnlijk is dat de computer van verdachte op afstand overgenomen zou zijn, is volgens de verdediging uiterst suggestief geformuleerd. De verdediging is dan ook van mening dat de rechtbank niet tot een bewezenverklaring kan komen en verzoekt verdachte vrij te spreken van zowel het primair als subsidiair ten laste gelegde.

Het oordeel van de rechtbank

Op 10 april 2013 is de bank tussen 13.15 uur en 14.15 uur geconfronteerd met het uitvallen van de website. Als gevolg hiervan was het voor klanten van de bank niet meer mogelijk om hun geldzaken te regelen via internet- en mobiel bankieren en iDeal. Na analyse bleek dat er sprake was van verhoogd dataverkeer over het netwerk. Daarnaast bleek dat een http post-request, afkomstig van één IP-adres, hiervoor verantwoor-delijk was. De post zorgde ervoor dat het maximale aantal verbindingen werd bereikt. Als gevolg hiervan was het voor de overige gebruikers niet mogelijk de pagina te laden en was de site “down”. Het IP-adres dat verantwoordelijk was voor deze actie, was IP-nummer. Nadat dit IP-adres werd geblokkeerd, kwam de site van de bank weer ter beschikking. Uit nader onderzoek bleek dat met het betreffende IP-adres op 26 augustus 2012 een transactie is uitgevoerd bij de bank door middel van internetbankieren. De transactie werd uitgevoerd met een rekeningnummer op naam van de heer en/of mevrouw.

De politie heeft in het kader van het opsporingsonderzoek de verstrekking van de gebruikersgegevens gevorderd van het voornoemde IP-adres. Uit deze gebruikersgegevens bleek dat het IP-adres op naam staat van de vader van verdachte op het adres waar verdachte en zijn ouders wonen.

Vervolgens is in het kader van het opsporingsonderzoek een IP-tap aangesloten op het IP-adres. Hieruit kwam naar voren dat er in de periode 19 april 2013 tot 26 april 2013 uitzonderlijk veel POST-aanvragen werden toegezonden naar bepaalde IP-adressen of domeinnamen. Het aanbieden van een grote hoeveelheid POST aanvragen kan in bepaalde omstandigheden resulteren in het belemmeren van de toegankelijkheid van een webserver. In voornoemde periode is op verschillende websites getracht in te loggen met verschillende e-mailadressen, gebruikersnamen en wachtwoorden met daarin de naam van verdachte.

Bij de doorzoeking in de woning waar verdachte woont, zijn door de politie onder meer een Personal Computer van het merk DELL, een USB-stick van het merk Lexor en een iPad van het merk Apple in beslag genomen. Op de computer zijn verschillende bestanden aangetroffen waarvan bekend is, dat door het gebruik van deze programma’s zogenaamde DDoS-aanvallen worden uitgevoerd. In de submap Prefetch van de Windows map zijn onder meer de volgende bestanden aangetroffen:

• Bestandsnaam: [bestandsnaam 1]
• Gemaakt op: 6-4-2013 13:12:58
• Bestand : [bestandsnaam 1a]
• Opgestart vanaf: [gebruiker 1]
• Totaal keer opgestart: 30
• Bestandsnaam: [bestandsnaam 2]
• Gemaakt op: 5-4-2013 18:01:07
• Bestand: [bestandsnaam 2a]
• Opgestart vanaf: [gebruiker 2]
• Totaal keer opgestart: 70

In de map ProgramData/MFAData/cfgdump werd op de computer van verdachte het bestand naam 1 aangetroffen. Dit bestand bevat data betreffende de instellingen van de op de harde schijf geïnstalleerde AVG antivirus software. Normaliter zou het antivirusprogramma de hieronder genoemde bestanden in de map naam 2 en naam 3 moeten aanmerken als bestanden welke een bedreiging vormen voor het computersysteem. Met de AVG Exceptionmanager kunnen bestanden echter worden aangemerkt als vertrouw-de bestanden. Dit moet handmatig worden ingesteld.

Bij onderzoek in het bestand naam 1 waren onder meer de navolgende bestanden als "vertrouwd" ingesteld: 2013-03-24/14-24-50, naam 4, 2013-03-24/14-39-56, naam 5,  2013-04-06/11-19-54, naam 6.

In de unallocated clusters (vrije ruimte) van voornoemde computer zijn sporen aangetroffen, welke duiden op het bevragen van de beschikbaarheid van de website http://website 2. Middels deze website kan de beschikbaarheid van websites worden gecontroleerd. Uit de IP-tap blijkt dat middels website 2 de beschikbaarheid van het domein is opgevraagd.

Op de root van de inbeslaggenomen USB-stick zijn mappen aanwezig geweest met de naam map naam 1 en de naam ddos aanvallen. Daarnaast is op de USB-stick in de map VIDEO aangetroffen het bestand map naam 2. Op de inbeslaggenomen iPad is in de Unrecognized files een bestand aangetroffen met naam 7. Dit bestand is binnengekomen op 12 februari 2013.

De rechtbank overweegt dat uit voornoemde bewijsmiddelen volgt dat er op 10 april 2013 een DoS-aanval op de website van de bank is gepleegd. Na onderzoek bleek dat er ten tijde van de aanval sprake was van verhoogd verkeer over het netwerk waarvoor een http post-request verantwoordelijk was. Deze post was afkomstig van één IP-adres. Dit is het adres waar verdachte woonachtig is. De post zorgde er voor dat het maximale aantal verbindingen werd bereikt waardoor de website van de bank niet langer toegankelijk was. Het is een feit van algemene bekendheid dat wanneer een website ontoegankelijk is, de opslag en/of verwer-king en/of overdracht van gegevens is verhinderd. Nadat het IP-adres werd geblokkeerd, was de website van de bank weer toegankelijk.

Op het adres waar verdachte woont, is tijdens de doorzoeking één computer van het merk Dell in beslag genomen. Op deze computer zijn verschillende programma’s aangetroffen waarmee een (d)DoS-aanval kan worden uitgevoerd. Uit onderzoek is gebleken dat het programma op 5 april 2013 is gedownload en het programma 2 op 6 april 2013. Deze bestanden zijn met de virusscanner handmatig als ‘betrouwbaar’ aangemerkt. Beide programma’s bevonden zich derhalve vóór de onderhavige DoS-aanval op de computer. Uit de IP-tap is voorts gebleken dat deze programma’s in de periode net na de DoS-aanval een groot aantal keer zijn opgestart. Op grond van het voorgaande concludeert de rechtbank dat de DoS-aanval is uitgevoerd vanaf de computer die tijdens de doorzoeking in voornoemde woning is aangetroffen.

De rechtbank overweegt voorts dat verdachte heeft verklaard dat hij een beetje computer-verslaafd was en uren achter voornoemde computer zat. Verdachte heeft voorts verklaard dat zijn zusje zes jaar oud is en dat zijn ouders niet zo goed zijn met een computer. Daarnaast zijn op de in beslag genomen USB-stick mappen aangetroffen met de namen ‘dDoS-aanvallen’ en ‘map naam 1’, alsmede een YouTube-video met de titel ‘map naam 2’. Verdachte heeft verklaard dat de USB-stick van hem is en door niemand anders wordt gebruikt. Ten slotte is door de politie geanalyseerd welke websites in de periode 19 april 2013 tot en met 26 april 2013 vanaf voornoemde IP-adres zijn bezocht en welke user-agent daarvoor is gebruikt. Hieruit is gebleken dat er in die periode regelmatig websites werden bezocht die duidelijk raakvlakken hebben met (d)DoS-aanvallen en hacken. Daarvoor werd gebruikt gemaakt van inlognamen, e-mailadressen of wachtwoorden die rechtstreeks zijn te linken aan verdachte zoals: ‘verdachte’, ‘emailadres 1’, ‘emailadres 2’ en ‘wachtwoord’.

Op grond van het voorgaande is de rechtbank van oordeel dat verdachte degene is geweest die de DoS-aanval heeft gepleegd.

Het verweer van de verdediging dat de computer van verdachte is overgenomen door derden en dat op deze wijze de DoS-aanval is uitgevoerd, volgt de rechtbank niet. Uit het dossier volgt dat het vanuit een technisch oogpunt zeer onwaarschijnlijk is dat de computer is overgenomen op een wijze zoals door verdachte is verklaard. Voorts zijn er in het kader van het technisch onderzoek op de computer geen sporen aangetroffen die wijzen op een overname van de computer door een derde. Ook in de overige bewijsmiddelen wordt voor dit standpunt geen steun gevonden. Daar komt bij dat verdachte niet consistent in zijn verklaring is en dat hij, op het moment dat hem meer informatie wordt gegeven, zijn verklaring steeds aanpast. De rechtbank acht de verklaring van verdachte dan ook niet geloofwaardig. Het verweer van de verdediging wordt dan ook verworpen.

Bewezenverklaring

Opzettelijk stoornis in de werking van enig geautomatiseerd werk veroorzaken, terwijl daardoor wederrechtelijk verhindering van de opslag, verwerking of overdracht van gegevens ten algemenen nutte of stoornis in een openbaar telecommunicatienetwerk ontstaat;

Strafoplegging

De rechtbank veroordeelt verdachte tot een werkstraf van 60 uren, subsidiair 30 dagen vervangende jeugddetentie, waarvan 30 uren, subsidiair 15 dagen vervangende jeugddetentie, voorwaardelijk met een proeftijd van twee jaar en bepaalt dat het voorwaardelijke deel van deze werkstraf niet ten uitvoer wordt gelegd, tenzij de rechter tenuitvoerlegging gelast:

• omdat verdachte, ten behoeve van het vaststellen van zijn identiteit, geen medewerking verleent aan het nemen van een of meer vingerafdrukken of een identiteitsbewijs als bedoeld in artikel 1 van de Wet op de identificatieplicht niet ter inzage aanbiedt;
• omdat verdachte zich voor het einde van de proeftijd schuldig maakt aan een strafbaar feit;
• omdat verdachte tijdens de proeftijd de bijzondere voorwaarde niet heeft nageleefd;

De rechtbank stelt als bijzondere voorwaarde dat verdachte zich tijdens de proeftijd moet gedragen naar de voorschriften en aanwijzingen die worden gegeven door of namens de jeugdreclassering, uit te voeren door de William Schrikker Groep, draagt deze reclasseringsinstelling op om aan verdachte hulp en steun te verlenen bij de naleving van deze voorwaarde en bepaalt dat verdachte, hoewel hij de leeftijd van 18 jaar heeft bereikt, bij omzetting van de taakstraf in aanmerking komt voor vervangende jeugddetentie overeenkomstig artikel 77p, lid 4, van het Wetboek van Strafrecht.

Lees hier de volledige uitspraak.

Wetsvoorstel implementatie EU-richtlijn aanvallen op informatiesystemen ingediend bij parlement

Het Wetsvoorstel dat strekt tot implementatie van de richtlijn 2013/40/EU van het Europees parlement en de Raad van 12 augustus 2013 over aanvullen op informatiesystemen is gisteren ingediend bij het parlement. De implementatie van de richtlijn leidt tot enkele aanscherpingen van strafbaarstellingen van computercriminaliteit in het Wetboek van Strafrecht. De wijzigingen betreffen enkele verhogingen van strafmaxima en de toevoeging van een aantal strafverzwarende omstandigheden aan de computerdelicten.

Het kabinet onderkent de toenemende risico’s van cybercriminaliteit en wil dit fenomeen krachtig aanpakken. Zie bijvoorbeeld ook het wetsvoorstel tot wijziging van het Wetboek van Strafrecht en het Wetboek van Strafvordering in verband met de verbetering en versterking van de opsporing en vervolging van cybercrime (computercriminaliteit III), waarover de Afdeling advisering van de Raad van State advies heeft uitgebracht. De aanpak wordt door de bepalingen uit de richtlijn versterkt.

Hoofdlijnen wetsvoorstel

Voor een groot deel voldoet Nederland al aan hetgeen waartoe de richtlijn verplicht.

In de jaren negentig van de vorige eeuw is het Wetboek van Strafrecht uitgebreid met bepalingen die specifiek zijn toegespitst op strafbare feiten gepleegd door middel van of met betrekking tot geautomatiseerde werken (Wet computercriminaliteit). De Wet computercriminaliteit II bouwde hierop voort. Met die wet werden het Cybercrimeverdrag en het kaderbesluit uit 2005 geïmplementeerd.

Anders dan in het Cybercrimeverdrag, het kaderbesluit en de richtlijn, waar de strafbare gedragingen bij elkaar zijn geplaatst, zijn de strafbaarstellingen van de verschillende vormen van computercriminaliteit verspreid over het Wetboek van Strafrecht opgenomen. Het betreft in de eerste plaats de computervre- debreuk (artikel 138ab Sr) en de strafbaarstelling van ernstige spam of bom- bing (artikel 138b Sr), die staan opgenomen in de Titel over de misdrijven tegen de openbare orde (Boek II, Titel V). Ook de bepalingen uit die Titel over het aftappen of opnemen van gegevens (artikelen 139ba tot en met 139e Sr) zijn relevant, voor zover het gaat om het aftappen en opnemen van computer- gegevens. Daarnaast gaat het om de artikelen 161sexies en 161septies Sr, waarin de vernieling etc. van geautomatiseerde werken en werken voor tele- communicatie is strafbaar gesteld. Deze bepalingen zijn opgenomen in Boek II, Titel VII, misdrijven waardoor de algemene veiligheid van personen of goederen in gevaar wordt gebracht. Verder kan nog gewezen worden op artikel 326c Sr, het listiglijk gebruikmaken van telecommunicatiediensten, ondergebracht in Titel XXV van Boek II over bedrog. Ook Boek II, Titel XXVII, over vernieling, bevat enkele computermisdrijven. Het betreft de artikelen 350a en 350b (beschadi- ging van computergegevens), en 351 en 351bis Sr (beschadiging van werken ten algemenen nutte), voor zover betrekking hebbend op geautomatiseerde werken.

Tot slot valt een aantal gedragingen ook binnen de termen van commune delicten, zoals valsheid in geschrift (artikelen 225 en 226 Sr) en vernieling (artikel 350 Sr).

Met bovengenoemde bepalingen is het grootste deel van de gedragingen, omschreven in de richtlijn, reeds strafbaar gesteld. Alleen artikel 9 van de richtlijn behoeft nog in wetgeving geïmplementeerd te worden. Dat artikel bevat enkele bepalingen over de minimale maximumstraffen die op de ver- schillende gedragingen moeten worden gesteld. Implementatie van dit artikel leidt tot een verhoging van de strafmaat van enkele in het Wetboek van Strafrecht opgenomen computermisdrijven naar een maximale gevangenisstraf van twee jaar. Daarnaast worden ten behoeve van de implementatie van artikel 9 van de richtlijn drie strafverzwarende omstandigheden geïntroduceerd. De maximaal op te leggen gevangenisstraf zal worden verhoogd naar drie jaar wanneer gebruik wordt gemaakt van een botnet, en naar vijf jaar wanneer het strafbare feit ernstige schade ten gevolge heeft of wanneer het feit is gepleegd tegen een geautomatiseerd werk van een vitale infrastructuur.

De implementatietermijn van de richtlijn loopt af op 4 september 2015 (artikel 16 van de richtlijn). Vóór die datum dient de richtlijn door de lidstaten op nationaal niveau te zijn omgezet.

• Voorstel van Wet
• Memorie van Toelichting
• Richtlijn 2013/40/EU

'Policing a digital world'

Law enforcement has been confronted with a form of crime difficult for them to keep track of over the last decades. Cyberspace creates different offenders because of the lack of location proximity, the use of technology and the relative anonymity. Gone are the days when the usual suspects were evident and lived around the corner. Proximity of the offender to the victim or goal is no longer needed and therefore traditional surveillance and investigatory methods no longer suffice. This change in the offender landscape pushes law enforcement agencies to change their ways as well. Patrolling the streets has changed into surveilling social media. Investigation of trace evidence on the physical crime scene has transformed into finding evidence in manipulation of bits and bytes in computers, networks and telephones. Without these changes, law enfor- cement would not be able to keep up with cybercriminals. But it is not only cybercrime that is investigated digitally by law enforcement.

Lees verder:

• Policing a digital world, Leiden Law Blog

Meer weten over de uitdagingen van de politie in de toenemende gedigitaliseerde wereld? Of over welke (grensoverschrijdende) opspo- ringsmogelijkheden zij beschikken in een geautomatiseerde omgeving?

Kom dan op Vrijdag 28 november 2014 naar de Studiedag Cybercrime in het centrum van Den Haag.

Klik hier voor meer informatie.

OM eist 137 dagen cel en TBS met voorwaarden voor verdachte van grootschalig hacken

Het Openbaar Ministerie heeft donderdag 137 dagen gevangenisstraf en TBS met voorwaarden geëist tegen de 19-jarige Rotterdammer die wordt verdacht van het hacken van ruim 2.000 computers, tussen december 2010 en oktober 2013. Hij zou met behulp van malafide software (malware) onder meer webcams hebben overgenomen en opnames hebben gemaakt. Ook zou hij bestanden op de gehackte computers hebben gedownload, vernietigd en verspreid. In totaal gaat het om ruim 40 miljoen afbeeldingen en video's.

Op basis van psychologisch onderzoek naar de persoonlijkheid van de verdachte werd door deskundigen geadviseerd om een tbs-maatregel op te leggen, waarbij verdachte niet in een kliniek hoeft te verblijven, maar wel behandeld moet worden. De tbs-maatregel werd geadviseerd gelet op de noodzaak en de te verwachten duur van een behandeling. Het OM hield bij de eis rekening met dat advies, en heeft gevraagd om onmiddellijke uitvoerbaarheid van de TBS maatregel, om de behandeling op korte termijn te kunnen starten.

De verdachte was tijdens een deel van de tenlastegelegde feiten minderjarig, daarom was de zaak aangebracht voor de jeugdrechter. Aan de jeugdrechter werd een dagvaarding voorgelegd waarop een klein aantal feiten  stond die de verdachte op minderjarige leeftijd zou hebben gepleegd, en een groot aantal feiten waarvan hij als meerderjarige wordt verdacht. Het OM heeft één straf geëist en gevraagd om de verdachte als meerderjarige te berechten. Omdat het gaat om een doorlopende reeks van feiten, met een volwassen karakter, de verdachte tijdens het grootste deel daarvan meerderjarig was en bovendien reeds was gewaarschuwd door een eerder opgelegde werkstraf voor vergelijkbare feiten, was er volgens het OM geen reden om te komen tot een aparte eis volgens het minderjarigenstrafrecht.

De officier van justitie benadrukte tijdens de zitting dat er sprake was van ernstige feiten. Niet alleen zou de verdachte vele willekeurige slachtoffers hebben begluurd, hij zou hen ook bewust schade hebben toegebracht door zich voor te doen als de gehackte personen, of door hun bestanden te wissen of  te verspreiden. In totaal zou de verdachte ruim 40 miljoen afbeeldingen en video's in zijn bezit hebben gehad. Omdat op een deel daarvan tieners in seksuele poses te zien zijn, wordt ook bezit en verspreiding van kinderpornografisch materiaal tenlastegelegd.

Aanleiding voor het onderzoek waren drie aangiftes, van gehackte social media accounts en een computer. Daaronder was een minderjarig meisje, die aangifte deed nadat op haar Facebook account een seksueel getint filmpje werd geplaatst dat was gemaakt met haar webcam. De 19-jarige Rotterdammer zou ook verantwoordelijk zijn voor het online plaatsen van het uitgelekte VWO-eindexamen Frans, via een gehackte computer. De eigenaar van die computer werd daardoor ten onrechte beschuldigd. Op een andere computer werden bijvoorbeeld schoolbestanden gewijzigd en een scriptie verwijderd. De grootschalige hack had niet alleen gevolgen voor individuele benadeelden. Toen na de aanhouding van de verdachte bekend werd dat op grote schaal computers waren gehackt, werd met het Nationaal Cyber Security Centrum (NCSC) gewerkt aan een oplossing voor de besmette computers.

Het Openbaar Ministerie heeft donderdagmiddag ook gevraagd om een schadevergoeding voor vier slachtoffers die daar een vordering voor hadden ingediend. In totaal gaat het om een bedrag van ruim 10.000 euro.

Bron: OM

Studiedag Cybercrime

Door de ontwikkelingen op het gebied van ICT is een nieuwe vorm van criminaliteit ontstaan. Het inbreken in computers (computervredebreuk) en het daarbij wijzigen van gegevens en het verstoren van de werking (fraude, sabotage, virussen), het schenden van de intellectuele eigendomsrechten, van geheimen en privacy (diefstal, heling, aftappen), het verspreiden van schadelijke informatie (uitingsdelicten, kinderpornografie e.d.) vormen hiervan belangrijke voorbeelden.

Tijdens deze studiedag krijgt u allereerst een korte introductie, waarbij de ontwikkeling van computercriminaliteit wordt besproken en een overzicht wordt gegeven van de meest voorkomende delicten en hoe zij worden gepleegd. Het juridisch kader wordt uiteen gezet met toepasselijk internationaal, Europees en nationaal recht. Hoe passen deze nieuwe vormen van criminaliteit in ons huidige (straf)rechtstelsel? Biedt de huidige wet- en regelgeving wel voldoende soelaas? Ook zal aandacht worden besteed aan toekomstige ontwikkelingen, waarbij het Wetsvoorstel versterking aanpak computercriminaliteit (Computercriminaliteit III) uitgebreid besproken zal worden.

Welke (grensoverschrijdende) opsporingsmogelijkheden bestaan er in een geautomatiseerde omgeving? Behandeld worden bevoegdheden als aftappen en het opvragen van gegevens tot het doorzoeken van computers en netwerken en het vinden van digitaal sporenmateriaal. Wie is wanneer bevoegd en welke handelingen kunnen worden verricht? Kan en moet een bedrijf aan alle vorderingen in dit verband voldoen? Wat zijn de gevolgen van de forse uitbreiding van de bijzondere opsporingsbevoegdheden van de politie en het OM? Welke praktische problemen spelen er met betrekking tot jurisdictie en hoe wordt daarmee in de praktijk omgegaan?

Tot slot: e-evidence als nieuwe vorm van bewijs in strafzaken en onderzoek in cyberspace. Wat kan als digitaal bewijs dienen en hoe kan het worden vergaard? Welke praktische uitdagingen bestaan er bij het verzamelen en analyseren van e-evidence? Aan bod komen ook de juridische implicaties: de toelaatbaarheid en betrouwbaarheid van e-evidence in strafzaken; De invloed van nieuwe technologieën als mobiele telefoons en cloud computing op de bewaring en beheer van elektronisch bewijs. Praktijkvoorbeelden: het gebruik van e-evidence in cybercrime zaken (identiteitsfraude, kinder- pornografie, internetfraude).

Sprekers

• Bert-Jaap Koops: Hoogleraar regulering van technologie aan de Universiteit van Tilburg
• Jan-Jaap Oerlemans: Promovendus Universiteit Leiden, juridisch adviseur bij Fox IT en redacteur bij het tijdschrift Computerrecht
• Christiaan Baardman: Ex-advocaat, raadsheer bij het Gerechtshof Den Haag en voorzitter van het Kenniscentrum Cybercrime
• Frans Kolkman: Programma Aanpak Cybercrime, Nederlandse Politie
• Olivier Burgersdijk: Vertegenwoordiger van het European Cybercrime Centre

Doelgroep

• Advocaten
• Bedrijfsjuristen
• Overheidsjuristen
• Leden van de rechterlijke macht
• Leden van het Openbaar Ministerie
• Juristen van opsporingsdiensten (FIOD/ECD, SIOD)
• Juristen bij politie/recherche

Programma

Introductie cybercrime & Juridisch kader (Jan-Jaap Oerlemans)             

• Ontwikkeling van computercriminaliteit
• Meest voorkomende delicten
• Toepasselijk internationaal, Europees en nationaal recht
• Biedt huidige wet- en regelgeving voldoende soelaas?

Actualiteiten & Toekomstige ontwikkelingen: Wetsvoorstel Computercriminaliteit III (Bert-Jaap Koops)

• Ontsleutelbevel
• Strafbaarstelling heling van gegevens
• Notice and Takedown
• Overige actualiteiten

Grensoverschrijdende opsporing in cyberspace (Jan-Jaap Oerlemans & Bert-Jaap Koops)    

• Doorzoeking op afstand en terughacken
• Cloud computing

De strijd tegen cybercrime in Europa (Olivier Burgersdijk)

E-evidence als nieuwe vorm van bewijs (Christiaan Baardman)

• Wat kan als digitaal bewijs dienen en hoe kan het worden vergaard?
• Juridische implicaties: de toelaatbaarheid en betrouwbaarheid van e-evidence in strafzaken
• Praktijkvoorbeelden: het gebruik van e-evidence in cybercrime zaken

Uitdagingen in de praktijk (Frans Kolkman)

Praktische Informatie

Datum & tijd: Vrijdag 28 november 2013 van 10.00 – 17.15 uur

Locatie: Plein 15-16 (2511 CR) te Den Haag. Op loopafstand van station Den Haag Centraal (ca. 8 minuten) en nabij Pleingarage (2 minuten).

Routebeschrijving Klik hier voor de routebeschrijving.

Kosten: € 345,- excl. BTW Neem een collega mee en ontvang beiden € 35,- korting!

PO-punten: 6 NOvA

Klik hier voor meer informatie of om in te schrijven.

Kamerbrief over de aanpak van botnets

Een botnet is een netwerk van samenwerkende apparaten, meestal prive- of bedrijfscomputers, de zogeheten ‘bots’, die met dezelfde malware zijn besmet. Criminelen kunnen een botnet centraal aansturen om de bots voor eigen doeleinden in te zetten. 

Bij het bestrijden van botnets is het van belang dat de overheid, bedrijfs- leven en burgers de volgende maatregelen nemen:

• het verhogen van veiligheidsbewustzijn en het tegengaan van besmettingen,
• het actief bestrijden van besmettingen,
• het opsporen en vervolgen van beheerders van botnets en
• het verstoren van de werking van botnets.

Verhogen van veiligheidsbewustzijn en het tegengaan van besmettingen

De eigenaar van een computer is zelf verantwoordelijk voor de eigen informatiebeveiliging en heeft daarmee de taak om voldoende maatregelen te nemen om zijn of haar computer vrij te houden van malware. De samenleving dient zich daarom in toenemende mate bewust te zijn van de dreigingen en daarbij bekwaam te handelen. Hiertoe zet de overheid vanuit de NCSS-2 actief in op het verhogen van dit bewustzijn en het versterken van de bekwaamheid. Van 27 oktober tot 6 november 2014 zal voor de derde keer de awareness-campagne Alert Online worden gehouden. Deze draagt bij aan de bewustwording van iedereen in de samenleving om veilig om te gaan met computers. Ook werkt het ministerie van Economische Zaken samen met het ministerie van Veiligheid en Justitie en ECP, platform voor de informatiesamenleving, aan een nieuwe informatiebron voor burgers, veiliginternetten.nl. Deze zal in het najaar tijdens de campagne Alert Online worden gelanceerd.

Bestrijden van besmettingen

Bij brief van 17 mei 2011 is de Tweede Kamer geïnformeerd over de Digitale Agenda Nederland. Hierin is de actielijn Schone computers door aanpak van Botnets opgenomen. Uit deze actielijn is met eenmalige steun van het ministerie van Economische Zaken het private initiatief van de vereniging Abuse Information Exchange ontstaan. Deze vereniging van internet service providers heeft recent een centrum (Abuse HUB) opgericht dat centraal informatie over botnetbesmettingen verzamelt en verwerkt. Deze informatie wordt ter beschikking gesteld aan leden van de vereniging. Zij kunnen zo besmette computers sneller opmerken en hun klanten beter helpen bij de ontsmetting van hun computers. Bij Abuse Information Exchange zijn de meeste nationale internetproviders aangesloten, samen goed voor meer dan 90 % van de vaste internettoegangsmarkt. Het ministerie van Economische Zaken doet in 2014 onderzoek naar de vraag of botnetbesmettingen bij eindgebruikers in Nederland zijn afgenomen ten opzichte van landen die geen vergelijkbare initiatieven als Abuse Information Exchange hebben ontplooid. Eind 2014 zullen de uitkomsten daarvan beschikbaar zijn. Deze kunnen bruikbaar zijn voor de verbetering van de werking van Abuse HUB en van de aanpak van botnets in Nederland in het algemeen.

Opsporen en vervolgen van botnetbeheerders

Het creëren en gebruiken van een botnet is in Nederland strafbaar. De politie is belast met de opsporing, het Openbaar Ministerie is belast met de vervolging en heeft de leiding bij opsporingsonderzoeken. Botnets zijn een prioriteit voor het Team High Tech Crime (THTC) van de politie. Het THTC heeft in 2013 15 grote onderzoeken uitgevoerd. Bij het merendeel van die onderzoeken maakte een botnet deel uit van de werkwijze van de criminelen. Ook wordt door de politie bijgedragen aan gecoördineerde internationale acties tegen botnets. Botnets worden vaak aangestuurd via computers uit het buitenland. Het is mede daarom vaak lastig de identiteit en locatie van de desbetreffende crimineel te achterhalen. Indien het land waar de crimineel zich bevindt bekend is, dan kan een rechtshulpverzoek worden gedaan of kan de opsporing gezamenlijk ter hand worden genomen. Het is van belang dat het creëren en gebruiken van botnets ook in dat land strafbaar is en dat de autoriteiten voldoende capaciteit en expertise beschikbaar hebben om op te treden. Dat is helaas niet altijd het geval. Het kabinet zet daarom in op het versterken van de internationale samenwerking en het harmoniseren van de (straf)wetgeving. Richtlijn 2013/40 van de Europese Unie over aanvallen tegen informatiesystemen verplicht lidstaten onder meer het stellen van een bepaalde maximumstraf voor het gebruik van botnets bij bepaalde vormen van cybercrime in de strafwetgeving op te nemen. Opstelten heeft een wetsvoorstel in procedure gebracht om de Nederlandse wetgeving in overeenstemming te brengen met deze richtlijn. Dit wetsvoorstel is thans aanhangig bij de afdeling advisering van de Raad van State.

Verstoren van de werking van botnets

Naast op het opsporen van daders, wordt ingezet op het effectief verstoren van botnets zodat burgers en bedrijven die als gevolg van een besmetting onderdeel zijn van een botnet, niet langer bloot staan aan de kwaadaardige invloed van de comman and control server (de centrale computer waarmee een botnet wordt aangestuurd). Bij het verstoren wordt veelal op vordering van het Openbaar Ministerie het dataverkeer van deze command and control server uitgeschakeld door de betrokken provider en worden de voor de opsporing relevante gegevens zeker gesteld. Verder vraagt het NCSC met enige regelmaat, bij gebleken aanwijzingen voor een botnet, nadrukkelijke aandacht hiervoor van de providers. Soms is er sprake van zogenoemde bad hosters. Dat zijn providers die bewust of onbewust een platform bieden aan bad hosting, het aanbieden van servers die onder meer gebruikt worden in botnets. In het najaar zullen politie en OM een pilot starten om bad hosters effectief aan te kunnen pakken. De pilot bestaat uit een samenwerking met de TU Delft om de omvang van bad hosting in kaart te brengen. Daarnaast worden publieke en private partners bij elkaar gebracht om tot een gezamenlijke aanpak van bad hosters te komen.

Rol van het NCSC

Het NCSC, als onderdeel van de NCTV van het ministerie van Veiligheid en Justitie, vervult zijn taken ter voorkoming en beperking van verstoringen in het digitale domein in het belang van de nationale veiligheid. Het NCSC richt zich daarom op de (rijks)overheid en vitale sectoren. Als spin in het web heeft het centrum toegang tot een veelheid aan informatie over ICT-gerelateerde kwetsbaarheden en dreigingen, waaronder botnets. Wanneer het NCSC de beschikking krijgt over IP-adressen van computers die deel uit maken van een botnet, dan streeft het NCSC ernaar de eigenaar hiervan zo mogelijk op de hoogte te stellen. Bij vitale organisaties en (rijks)overheid gebeurt dat in de regel rechtstreeks. In andere gevallen wordt zo mogelijk samengewerkt met organisaties die op hun beurt de eigenaar op de hoogte stellen. In geval van een grootschalig cyberincident waar botnets bij betrokken zijn en dat kan leiden tot maatschappelijke ontwrichting zal het NCSC conform haar rol, met inachtneming van de bestaande publiek-private contacten en crisismanagementstructuren, de coördinatie op zich nemen voor een gezamenlijke respons. Daarbij voert het NCSC, in samenspraak met andere betrokken overheidspartijen, de eerste analyse uit van de aard van de verstoring en geeft een inschatting van de potentiële maatschappelijke gevolgen. Dit is bijvoorbeeld gebeurd bij het onderzoek naar het Pobelka botnet in het voorjaar van 2013.

Privacybescherming

Bij de activiteiten die worden ondernomen op het gebied van botnetbestrijding is het van belang om zorgvuldig om te gaan met informatiestromen, in het bijzonder daar waar het persoonsgegevens betreft. Bedrijven en overheden die persoonsgegevens verwerken moeten in beginsel aan de eisen van de Wet bescherming persoonsgegevens voldoen. Dit betekent onder meer het nemen van passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen, rekening houdend met de stand van de techniek en afgezet tegen de risico’s die met de specifieke gegevensverwerking(en) zijn gemoeid. In specifieke gevallen kan in aanvulling hierop sectorale wet- en regelgeving van toepassing zijn. De politie verwerkt (persoons)gegevens op basis van een specifieke wet, te weten de Wet politiegegevens (Wpg). Het College bescherming persoonsgegevens is met het toezicht op de naleving en de handhaving van de Wbp en de Wpg belast.

Aansprakelijkheid

Op het punt van civielrechtelijke aansprakelijkheid geldt als uitgangspunt dat wanneer iemand als gevolg van handelen door de overheid of private partijen schade lijdt, ook als dat handelen plaatsvindt in het kader van de aanpak van botnets, in voorkomende gevallen een actie uit onrechtmatige daad kan worden gestart.

Ter afsluiting

De aanpak van botnets een samenspel van activiteiten van private en publieke partners vormt. Op 20 juni jl. heeft op initiatief van de ministeries van Veiligheid en Justitie en Economische Zaken en ECP, een publiek-private bijeenkomst plaats gevonden om de aanpak van botnets te bespreken. Naar aanleiding van deze bijeenkomst is besloten tot het instellen een publiek-private botnetwerkgroep, waarin sleutelorganisaties bij botnetaanpak in Nederland vertegenwoordigd zullen zijn. ECP zal het secretariaat van deze werkgroep verzorgen. De werkgroep start na de zomer en zal voor afstemming en regie zorgen op de botnetaanpak in Nederland, kennis en informatie uitwisselen en nieuwe initiatieven ontwikkelen en aanjagen.

Hiermee is het kabinet van mening dat er een samenhangende, brede aanpak van botnets bestaat, die verder wordt uitgebouwd en verdiept. Een veiliger internet door minder botnets versterkt het vertrouwen van eindgebruikers bij het internetgebruik, geeft een impuls voor de ontwikkeling van meer online diensten en leidt tot meer economische groei. Zo wordt een bijdrage geleverd aan een samenleving waarin de kansen die digitalisering ons biedt volop worden benut, dreigingen het hoofd worden geboden en fundamentele rechten en waarden worden beschermd.

• Brief van minister Opstelten aan de Tweede Kamer over de aanpak van botnets in Nederland

DigiNotar: verkopers zijn schadevergoeding aan Vasco verschuldigd wegens schending garanties (beveiligingslekken)

Rechtbank Amsterdam 30 juli 2014, ECLI:NL:RBAMS:2014:4888 (Civiel)

In deze zaak is de vraag aan de orde of de verkoper van de aandelen in DigiNotar alle redelijke stappen heeft gezet en alle redelijke procedures heeft geïmplementeerd om de systemen van DigiNotar te beveiligen ten einde een hack als zich in de zomer van 2011 heeft voorgedaan te voorkomen (zoals gegarandeerd in de koopovereenkomst aandelen). De rechtbank oordeelt dat sprake is van garantieschendingen en dat de verkoper de schade die de koper hierdoor lijdt, moet vergoeden. De schade bestaat ten minste uit de koopprijs van de aandelen.

Lees hier de volledige uitspraak.

'Reforming the legal regime for search and seizure of computer data'

On 6 June 2014, the Dutch Ministry of Security and Justice published several ‘discussion documents’ about reforming Dutch criminal procedural law. Of particular interest to this blog post is the document relating to search and seizure(in Dutch). The authors of this discussion document suggest amending the legislation with regard to the search and seizure of data on computer systems. In the view of Jan Jaap Oerlemens, that is a very good idea considering the old-fashioned approach we now have towards search and seizure of computer systems.

Lees verder:

• Reforming the legal regime for search and seizure of computer data, Leiden Law Blog