Vier verdachten van internationale cybercrime staan deze week terecht bij de rechtbank Rotterdam. Zij zijn door het Landelijk Parket gedagvaard om zich te verantwoorden voor een reeks misdrijven, waaronder aanvallen op online banksystemen met geavanceerde kwaadaardige software.
Het arrest van het Gerechtshof Arnhem-Leeuwarden van 22 april 2015 is van belang, omdat met het arrest voor het eerst een bijzondere status wordt toegekend aan een smartphone. Volgens het gerechtshof brengt het analyseren van de gegevens op een smartphone een ernstige privacyschending met zich mee, omdat “niet alleen toegang wordt verkregen tot verkeersgegevens, maar ook tot de inhoud van communicatie en privé-informatie van de gebruiker van de smartphone”. Daarmee zou de regeling tot inbeslagname van een voorwerp door een opsporingsambtenaar van art. 94 Sv niet voldoende kenbaar en voorzien zijn, aldus het hof.
Bij dit arrest schreef J.J. Oerlemans een noot die onlangs verscheen in Computerrecht.
Op 15 maart 2011 heeft de politie een landelijk onderzoek ingesteld naar gepleegde bedrijfsinbraken, waarbij het doel van de daders het verkrijgen van bankpassen en de bijbehorende pincodes betrof. Gedurende het onderzoek is naar voren gekomen dat na de gepleegde inbraken, door middel van bankfraude, geldbedragen van de bankrekeningen van de getroffen rekeninghouders werden overgeboekt naar de bankrekeningen van katvangers en dat deze katvangers de geldbedragen opnamen om deze vervolgens af te geven. Het werven van de katvangers gebeurde op internet, via de kennissenkring op straat en bij voetbalpleintjes en hangplekken door zogenaamde ronselaars, die de katvangers er toe bewogen hun bankrekeningen ter beschikking te stellen. Uit de resultaten van het onderzoek heeft de politie afgeleid dat er organisatorisch te werk is gegaan en ter voorbereiding van het overboeken van de geldbedragen gebruik is gemaakt van twee werkwijzen. Het verschil in deze werkwijzen is gelegen in de manier waarop informatie over de klantgegevens van rekeninghouders werd verkregen om de bankfraude mogelijk te maken. In eerste instantie gebeurde dit door het verspreiden van e-mails waarin de website van een bankinstelling werd nagebootst en rekeninghouders werd gevraagd persoonlijke gegevens in te vullen. Daarna werd informatie verkregen door het stelselmatig verduisteren van poststukken van bankinstellingen, inhoudende klantgegevens, bankpassen en pinbrieven. Voor beide werkwijzen werd voorts gebruik gemaakt van de diensten en informatie van bankmedewerkers.
De politie heeft onderzoek gedaan naar aanwijzingen voor de betrokkenheid van bankmedewerkers bij de bankfraude en bankinstellingen hiervan op de hoogte gesteld. Mede naar aanleiding van deze informatie hebben bankinstellingen op het moment dat rekeninghouders zich meldden als slachtoffer van fraude, nader intern onderzoek verricht. Dit onderzoek hield in dat de bankrekeningen van de rekeninghouders werden bekeken op het feit of bankmedewerkers zonder noodzaak de betreffende rekeningen hadden geraadpleegd, ten behoeve van het vergaren van informatie als de personalia en handtekeningen van de rekeninghouders, pasnummers, saldi en opnamelimieten. Dit viel na te gaan met behulp van de gebruikerscodes die alle bankmedewerkers hebben om te kunnen inloggen in de banksystemen.
Rechtbank Amsterdam 21 juli 2015, ECLI:NL:RBAMS:2015:4736
Volgens de politie volgt uit het onderzoek dat verdachte medeverdachte 11, die werkzaam was bij ING, heeft geronseld om aan de bankfraude mee te werken en dat medeverdachte 11 vervolgens in opdracht van verdachte raadplegingen heeft gedaan van klantgegevens van rekeninghouders die later slachtoffer zijn geworden van fraude, terwijl daar in het kader van haar werkzaamheden geen aanleiding voor was.
Aan verdachte is ten laste gelegd dat hij door het geven van opdrachten aan medeverdachte 11 en het daarna verstrekken van informatie van medeverdachte 11 over klantgegevens van rekeninghouders van ING aan derden, zich samen met anderen heeft schuldig gemaakt aan oplichting van ING, dan wel medeplichtigheid daaraan.
Verdachte speelde rol een in de voorbereiding, uitvoering en afhandeling van de oplichting van ING. Hij was contactpersoon voor een ING-bankmedewerker, had wetenschap van het oogmerk van anderen om oplichting te plegen en was voor de verwezenlijking ervan van wezenlijk belang. Ook heeft hij geprofiteerd van het misdrijf. Bewezen is dat verdachte als medepleger, in een nauwe en bewuste samenwerking met anderen een significante bijdrage heeft geleverd aan de oplichting van ING.
Voor de deelneming aan een criminele organisatie geldt dat verdachte een substantieel aandeel had in de criminele organisatie en de verwezenlijking van het oogmerk van die organisatie om bankinstellingen op te lichten. Verdachte was in de voorbereidings- en de uitvoeringsfase herhaaldelijk aanwezig en betrokken bij de oplichtingen, had contact met leidinggevende figuren van de criminele organisatie en was als schakel tussen de verschillende lagen van de organisatie onmisbaar.
Bij strafoplegging is rekening gehouden met de ernst van de feiten. Met de oplichting van ING en de bankfraude die door de criminele organisatie is begaan, is het vertrouwen in het betalingsverkeer en bankwezen ernstig ondermijnd. Vooral nu mededaders bij bankinstellingen werkzaam waren. Ook is schade veroorzaakt. Verdachte en de organisatie waren erop uit geldelijke gewin te behalen, zonder zich rekenschap te geven van de gevolgen. Verder is gelet op de overschrijding van de redelijke termijn met veertien maanden.
ING heeft zich als benadeelde partij gevoegd met een schadevergoedingsvordering van € 21.110,- uit hoofde van met name schadeloosstelling van gedupeerde rekeninghouders. Nu de vordering onvoldoende met stukken is onderbouwd, deze door de verdediging gemotiveerd is betwist en namens ING niemand ter terechtzitting was verschenen om de vordering toe te lichten, is de vordering niet-ontvankelijk verklaard.
Lees hier de volledige uitspraak.
Rechtbank Amsterdam 21 juli 2015, ECLI:NL:RBAMS:2015:4737
Uit het onderzoek van de politie is gebleken dat verdachte, die werkzaam was bij ABN AMRO, raadplegingen heeft gedaan van klantgegevens van rekeninghouders die later slachtoffer zijn geworden van fraude, terwijl daar in het kader van zijn werkzaamheden geen aanleiding voor was. Aan verdachte is ten laste gelegd dat hij door het verstrekken van informatie over klantgegevens van rekeninghouders van ABN AMRO aan derden en het wijzigen van adressen van deze rekeninghouders, zich samen met anderen heeft schuldig gemaakt aan oplichting van ABN AMRO, dan wel medeplichtigheid daaraan.
Verdachte speelde een rol in de voorbereiding van de oplichting van ABN AMRO. Wetenschap over het aantal deelnemers en de taakverdeling had hij niet. Van een nauwe en bewuste samenwerking tussen verdachte en de daders van de oplichting is geen sprake geweest, wel van strafbare behulpzaamheid tot dit misdrijf. Daarom wordt medeplichtigheid bewezen verklaard.
Vrijspraak van deelneming aan een criminele organisatie: Weliswaar wist verdachte dat hij gedragingen verrichtte in opdracht van een organisatie, maar bewijs voor de concrete wetenschap van verdachte van de veronderstelde criminele organisatie en het opzet van verdachte op het oogmerk van de organisatie ontbreekt.
Beroep op psychische overmacht verworpen: Aannemelijk is dat op verdachte enige druk is uitgeoefend. Van een druk waaraan verdachte redelijkerwijs geen weerstand kon en behoefde te bieden, is echter niet gebleken.
Bij strafoplegging is rekening gehouden met de ernst van het feit. Met deze bankfraude is het vertrouwen in het betalingsverkeer en bankwezen ernstig ondermijnd. Vooral nu verdachte bij ABN AMRO werkzaam was. Hij heeft in ernstige mate misbruik gemaakt van zijn positie en het in hem gestelde vertrouwen. Ook is schade veroorzaakt. Verder is gelet op de ondergeschikte rol van verdachte en de overschrijding van de redelijke termijn met negentien maanden.
ABN AMRO heeft zich als benadeelde partij gevoegd met een schadevergoedingsvordering van € 316.500,- uit hoofde van schadeloosstelling van gedupeerde rekeninghouders. Nu de vordering onvoldoende met stukken is onderbouwd, deze door de verdediging gemotiveerd is betwist en namens ABN AMRO niemand ter terechtzitting was verschenen om de vordering toe te lichten, is de vordering niet-ontvankelijk verklaard.
Lees hier de volledige uitspraak.
Het Hof Den Bosch heeft met zijn arrest van 18 februari 2014 uitspraak gedaan in een geschil over phishing tussen Nuijten Montage en Rabobank het Markiezaat. In deze bijdrage bespreekt de auteur dit arrest en de twee tussenarresten die het hof in deze zaak wees in 2012, waarbij met name wordt ingegaan op de waarschuwingsplicht van de bank/betaaldienstverlener wat betreft het risico van internetfraude. Lees verder:
Nederland is een toonaangevend land bij de internationale aanpak van cybercrime. Het OM in Nederland heeft een aanjagende rol vervuld bij de afstemming van de justitiële aanpak van gebruikers van software van het bedrijf ‘Blackshades’ (zie kader). Verder was Nederland in 2015 gastheer van de Global Conference on Cyber Security in Den Haag, een internationale conferentie over een open, vrij en veilig digitaal domein.
Het team HTC heeft in 2014 negentien volwaardige opsporingsonderzoeken afgerond. Deze onderzoeken zijn gestart binnen de doelstellingen van HTC voor 2014: aanvallen op vitale infrastructuren, aanvallen op het financiële stelsel en ransomware, botnets, facilitators en malwareverspreiding. Drie van de negentien opsporingsonderzoeken vonden plaats in het kader van een omvangrijk rechtshulpverzoek dat een ander land bij Nederland had ingediend. De doelstelling voor 2014 – twintig omvangrijke opsporingsonderzoeken – is net niet behaald. Dit heeft onder andere te maken met andere urgente prioriteiten.
Het aantal grote, complexe cybercrimeonderzoeken is afgelopen jaren gestegen van een enkel onderzoek naar zo’n twintig onderzoeken per jaar. De ambitie voor de komende jaren is de aanpak verder te verbreden. Naar verwachting neemt cybercrime in de komende jaren toe. Als zelfstandige criminele activiteit (computervredebreuk) waarmee burgers en bedrijven en overheden slachtoffer worden van hacks en kwaadaardige software. Nu steeds meer apparaten en databases met internet worden verbonden neemt de kwetsbaarheid op dit punt toe. Maar ook speelt de digitale wereld steeds meer een sleutelrol in andere criminele activiteiten. Bijvoorbeeld waar beroepscriminelen handelen via online handelsplaatsen (zie kader), berovingen zich verplaatsen van de straat naar het web, of middelbare scholieren elkaar bestelen of bedreigen in online games of apps. De aanpak van cybercrime staat daarom samen met andere thema’s centraal in de veiligheidsagenda 2015-2018. De strafrechtelijke aanpak van cybercrime wordt in alle regio’s geïntensiveerd en het OM gaat meer onderzoeken starten en verdachten vervolgen. Daarnaast is het doel om samen met partners cybercrime terug te dringen, door onder andere de weerbaarheid van burgers en bedrijven te vergroten en preventieve systeemmaatregelen te treffen.
Bron: OM Jaarbericht 2014
Door de vaste commissie voor Veiligheid en Justitie zijn naar aanleiding van het Jaarverslag Ministerie van Veiligheid en Justitie 2014 vragen ter beantwoording aan de regering voorgelegd. Uit de beantwoording van die vragen blijkt dat het wetsvoorstel Wet Computercriminaliteit III waarschijnlijk kort na het zomerreces kan worden ingediend, althans dat is het streven.
Dit wetsvoorstel beoogt het juridische instrumentarium voor de opsporing en vervolging van computercriminaliteit te verbeteren en te versterken.
Het wetsvoorstel regelt vier onderwerpen:
Rechtbank Midden-Nederland 13 mei 2015, ECLI:NL:RBMNE:2015:3388 De rechtbank spreekt een man vrij van phishing, oplichting en stelen van geld van verschillende bankrekeningen. Hoewel het opvallend te noemen is dat verdachte de klantgegevens van 14 van de 15 slachtoffers heeft bevraagd in de banksystemen waar hij werkte, kan dit niet zonder meer tot de conclusie leiden dat verdachte op enigerlei wijze betrokken is geweest bij en opzet heeft gehad op de aan hem ten laste gelegde feiten.
De pingberichten die op een harde schijf van een in verdachtes woning gevonden computer zijn aangetroffen, waaruit afgeleid kan worden dat verdachte met een ander sprak over fraude via een bank, kunnen in dit verband niet tot het bewijs gebruikt worden. Uit het proces-verbaal van bevindingen volgt immers dat deze ping-bestanden gedurende de periode van 17 oktober 2011 tot en met 2 januari 2012 zijn gewijzigd. De ten laste gelegde feiten zouden echter zijn begaan vanaf september 2012, zodat de pingberichten niet in direct verband gebracht kunnen worden met deze feiten.
De rechtbank oordeelde dat niet wettig en overtuigend bewezen kan worden dat verdachte de ten laste gelegde feiten heeft begaan.
Lees hier de volledige uitspraak.
Rechtbank Rotterdam 22 mei 2015, ECLI:NL:RBROT:2015:3488 Verdachte heeft, samen met haar mededaders, klanten van een bank via de e-mail benaderd en deze klanten later opgebeld, waarbij zij zich heeft voorgedaan als beveiligingsmedewerkster van die bank. De slachtoffers van verdachtes handelen hebben de inlogcodes van hun internetbankierenaccount afgegeven, waarna deze gegevens zijn gebruikt om op de accounts van de slachtoffers in te loggen en geld van hun rekeningen over te maken naar rekeningen van verdachtes mededaders, die dit geld vervolgens contant hebben opgenomen.
De rechtbank veroordeelt de verdachte tot een gevangenisstraf voor de duur van 227 dagen, waarvan 180 voorwaardelijk met een proeftijd van 2 jaar.
Klik hier voor de volledige uitspraak.
Rechtbank Den Haag 13 mei 2015, ECLI:NL:RBDHA:2015:5525 Verdachte heeft zich gedurende een periode van bijna negen maanden samen met een ander of anderen schuldig gemaakt aan phishing op het internet. Op die manier heeft hij geprobeerd om grote aantallen personen hun vertrouwelijke DigiD-gegevens te laten afstaan. Van zeker zes personen staat vast dat dit verdachte ook is gelukt. Daarnaast heeft verdachte op dezelfde manier en met succes inlogcodes van bankrekeningen bemachtigd (en waarmee later misbruik is gemaakt door relatief grote bedragen van bankrekeningen van gedupeerden te afschrijven).
Daarnaast heeft verdachte zich schuldig gemaakt aan computervredebreuk van een webserver en heeft hij phishingprogrammatuur verworven en voorhanden gehad. Deze feiten nopen tot nog zwaardere beveiligingsmaatregelen en leiden daarmee uiteindelijk tot hogere consumentenprijzen. Uit het dossier blijkt dat slechts door ingrijpen van de politie een eind is gekomen aan verdachtes bezigheden, en uit de ontkenning ter terechtzitting kan de rechtbank niet opmaken dat verdachte enig inzicht heeft in de ernst van de bewezenverklaarde feiten.
Algemeen
Phishing is een vorm van internetoplichting, die bestaat uit het lokken (bijvoorbeeld door middel van valse e-mails) van personen naar een nagemaakte website - die uiterlijke gelijkenissen vertoont met de echte website – om hen daar vertrouwelijke gegevens, zoals inlognamen en wachtwoorden, in te laten voeren. Het uiteindelijke doel is om onrechtmatig over vertrouwelijke gegevens te beschikken. Voor phishing wordt gebruik gemaakt van zogenoemde scripts. Deze scripts zijn geschreven in een daartoe bestemde programmeertaal en worden ondergebracht op (meestal gehackte) websites. Scripts bevatten computerinstructies die bijvoorbeeld zorgen voor de weergave van de nagemaakte phishingsite en instructies voor het ondervangen en doorsturen van vertrouwelijke gegevens naar een bepaalde persoon.
Verdenkingen
De verdenking tegen verdachte bestaat er uit dat hij zich door middel van phishing naar DigiD-gegevens zou hebben schuldig gemaakt aan het medeplegen van oplichting (feit 1) van respectievelijk aangever, een aantal onbekend gebleven personen en zes met BSN-nummers aangeduide personen, en aan meerdere pogingen daartoe (feit 2). Bovendien zou verdachte aangevers slachtoffer 1, slachtoffer 2 en slachtoffer 3 en voorts een aantal onbekend gebleven personen hebben opgelicht door phishing naar hun bank- en digipasgegevens van de SNS Bank en Rabobank (feit 3). Daarnaast zou verdachte zich schuldig hebben gemaakt aan computervredebreuk door onbevoegd binnen te dringen in een Braziliaanse mailserver en een Senegalese webserver (feit 4 eerste cumulatief/alternatief). Verder zou verdachte zich hebben schuldig gemaakt aan het vervaardigen, verkopen, verwerven, invoeren, verspreiden of voorhanden hebben van een technisch hulpmiddel dat geschikt is gemaakt of ontworpen is met het oogmerk tot het plegen van computervredebreuk, en hij zou DigiD-gegevens hebben verkocht, verworven, verspreid of voorhanden hebben gehad (feit 4 tweede cumulatief/alternatief).
Standpunt van de verdediging
De verdediging heeft verzocht verdachte van alle ten laste gelegde feiten vrij te spreken. De verdediging heeft in het bijzonder de betrokkenheid van verdachte bij het voorgaande betwist, nu er de mogelijkheid bestaat dat anderen, in het bijzonder ene Peter, daarvoor verantwoordelijk kunnen worden gehouden.
Oordeel van de rechtbank
Betrokkenheid verdachte De rechtbank hecht er aan om op te merken dat zij bij de beoordeling van de betrokkenheid van verdachte telkens oog heeft gehouden voor de niet helemaal denkbeeldige mogelijkheid dat derden, die fysiek in de buurt van verdachte hebben verbleven of via internet of een virus de laptop hebben overgenomen, voor de feiten verantwoordelijk zouden kunnen zijn. De behoedzaamheid waarmee de betrokkenheid van verdachte moet worden aangenomen, wordt versterkt nu uit het door de officier van justitie aangehaalde proces-verbaal blijkt dat er virussen op de laptop van verdachte zijn aangetroffen. Van die virussen is echter niet vastgesteld dat deze geschikt of bedoeld waren om de laptop door (onbekende) derden te laten overnemen. Voor een strafrechtelijk relevante rol van onbekend gebleven derden zijn ook overigens in het dossier geen aanknopingspunten gevonden.
De rechtbank stelt bij de beoordeling voorop dat op de laptop, waarachter verdachte zat bij zijn aanhouding, zeer belastende gegevens, namelijk grote hoeveelheden e-mailadressen, phishinge-mails, scripts (digid.zip), DigiD-gegevens en gegevens van klanten van de SNS Bank en Rabobank, zijn aangetroffen. Op deze laptop kwamen bovendien e-mails binnen van het in phishingscripts genoemde e-mailaccount mailadres 3. Een aantal van deze e-mails, die zijn gedateerd van april 2014 tot en met januari 2015, bevatte verwijzingen naar het in de scripts genoemde onderwerp DigiD ReZulTs, en bijvoorbeeld de websites website 1 en internetadres 6, waarop phishingaparatuur is gevonden.
De verklaring van verdachte dat de laptop van ene Peter was en hij de laptop pas kort voor zijn aanhouding heeft gekregen, acht de rechtbank niet aannemelijk, nu verdachte daarvoor geen enkele concrete onderbouwing heeft gegeven, ook niet na daartoe expliciet ter terechtzitting te zijn bevraagd, en dit niet strookt met andere gegevens in het dossier. Zo zijn er aanwijzingen dat verdachte de laptop al langer in bezit had. Vastgesteld is dat al op 18 april 2014 het programma Windows 8.1 op de laptop is geïnstalleerd en dat daarbij het e-mailadres mailadres 1 is ingevuld en een map met de naam amaechi is aangemaakt, hetgeen correspondeert met de voornaam van verdachte. Bovendien is alias 2@yahoo.com, waarvan verdachte in zijn eerste verhoor van de politie heeft aangegeven dat dit zijn e-mailadres is, het alternatieve adres van het e-mailaccount mailadres 1. Voorts heeft zijn vriendin in haar eerste verhoor door de politie verklaard dat verdachte de laptop al een jaar of twee heeft. De rechtbank acht het daarbij verder belastend dat op het moment van aanhouding op het scherm van de laptop een raster (een soort Excel) stond en dat verdachte, bij het zien van de herkenbare verbalisant, zich zeer snel naar de computer omdraaide en deze uitzette. Een dergelijke handelwijze past naar uiterlijke verschijningsvorm enkel bij het willen verbergen van (en dus het hebben van wetenschap over) de gegevens en handelingen op de laptop. De rechtbank acht het, gezien al deze feiten en omstandigheden, aannemelijk dat de verdachte vanaf april 2014 de beschikking over de laptop heeft gehad.
Op de laptop van verdachte is het chatprogramma Yahoo Messenger gevonden waarmee de gebruiker alias 2 chatgesprekken heeft gevoerd met alias 3. De laptop van verdachte was via de Wi-Fi met de router van de adres en het internet verbonden, waarbij de internetverbinding het IP-adres 1 toegewezen had gekregen. De rechtbank merkt op dat de tijdstippen waarop de van dit IP-adres getapte chatgesprekken tussen alias 2 en alias 3 op 25 november 2014 hebben plaatsgevonden precies passen bij de observaties op de adres met betrekking tot de fysieke aan- en afwezigheid van persoon A, die wel verdachte moet zijn. Zo was alias 2 van 09.25 tot en met 10.18 uur online en verliet verdachte om 10.20 uur de woning om 13.01 uur weer terug te keren. Om 13.07 uur begon alias 2 vervolgens weer te chatten. De rechtbank acht het uitgesloten dat iemand anders op de laptop van verdachte én op het IP-adres van de adres én precies binnen deze intervallen met alias 3 heeft gechat. Dit geldt te meer nu de gesprekken in Pidgin Engels, de taal die verdachte spreekt, zijn gevoerd.
Daarnaast kunnen ook de e-mailadressen waarnaar de gephishte gegevens werden verzonden – naast de koppeling via het IP-adres – ook op andere wijze aan verdachte worden gelinkt. Naast het hiervoor al genoemde alternatieve adres van het e-mailaccount mailadres 1 en het account zelf (dit was immers ook geregistreerd bij de installatie van de laptop) wijst ook het telefoonnummer +telefoonnummer 1 dat bij e-mailaccount mailadres 3 is opgegeven in de richting van verdachte. Dit telefoonnummer heeft tussen 21 november 2013 en 20 december 2013 in een mobiele telefoon met IMEI-nummer nummer 1 gewerkt. In de telefoon met dit IMEI-nummer was ook het telefoonnummer +telefoonnummer 2 gebruikt. Het telefoonnummer +telefoonnummer 2 was ook gebruikt in een telefoon met IMEI-nummer nummer 5, welke telefoon bij verdachte is aangetroffen. Saillant is daarbij dat deze mobiele telefoon ook werd gebruikt door het telefoonnummer 3, welk nummer op 10 januari 2015 door alias 2 via Yahoo Messenger werd opgegeven als het zijne.
Het bovenstaande kan - in onderling verband en samenhang bezien - enkel tot de conclusie leiden dat verdachte degene moet zijn geweest die (mede) verantwoordelijk is voor de phishing naar DigiD en bankgegevens. Het is verdachte geweest die onder de naam alias 2 via chatgesprekken alias 1 opdrachten heeft gegeven om scripts te vervaardigen. Daarnaast heeft verdachte een webshell voorhanden gehad waarmee hij onrechtmatig een webserver is binnengedrongen. Van alias 3 heeft verdachte bovendien valse sleutels voor mailservers en een programma verkregen om grote hoeveelheden e-mail te kunnen versturen. Op de laptop van verdachte zijn ook phishinge-mails en grote hoeveelheden e-mailadressen aangetroffen. Vervolgens heeft verdachte de gephishte gegevens via zijn e-mailadres ontvangen en deze gegevens in enkele gevallen – in ieder geval die van de SNS Bank en de Rabobank – aan derden verstrekt zodat er fraude mee kon worden gepleegd. Verdachte heeft derhalve bewust een grote intellectuele en materiële bijdrage geleverd aan de phishing. Dat hij dit niet alleen heeft gedaan, maakt de rechtbank op uit de chatgesprekken met de maker van de scripts. De rechtbank gaat er daarbij van uit dat de scriptmaker daarbij de kennelijke bedoeling heeft, zoals verdachte als opdrachtgever die ook had, dat die scripts daadwerkelijk zullen kunnen worden gebruikt voor phishingactiviteiten. Derhalve moet verdachte als medepleger worden beschouwd.
Kwalificatie feit 2
Gelet op het voorgaande heeft verdachte zich schuldig gemaakt aan meerdere pogingen tot oplichting. Immers heeft verdachte door scripts te plaatsen en links daarnaar in phishingmails te (laten) versturen geprobeerd om personen te misleiden om hun DigiD-gegevens in te vullen. Deze gedragingen zijn naar uiterlijke verschijningsvorm zozeer gericht op het verkrijgen en daarmee de afgifte van de gegevens dat sprake is van een begin van uitvoering die is gericht op het voltooien van oplichting. Op grond van de omstandigheid dat ook enkele malen e-mails zonder gegevens of met kennelijk onjuiste gegevens zijn ontvangen (al dan niet van personen die de misleiding doorzagen) staat vast dat het meerdere malen bij een poging is gebleven.
Kwalificatie feit 1
Anders dan de officier van justitie acht de rechtbank niet bewezen dat verdachte verantwoordelijk is voor de oplichting van aangever. Daarvoor sluit de rechtbank zich aan bij de opmerking van de raadsman dat moet worden gewogen hoe uniek de programma’s en werkwijzen van verdachte nu precies zijn. Nu niet is vastgesteld naar welke website de link in de phishinge-mail naar aangever verwees, kan deze ook niet in verband worden gebracht met verdachte. Hoewel het er de schijn van heeft dat verdacht ook hier achter zit, valt niet met voldoende zekerheid uit te sluiten dat naast verdachte ook anderen gebruik hebben gemaakt van de tekst van de e-mail, de mailserver en de diensten van alias 1. De omstandigheden dat een phishingwebsite van verdachte op een ander moment is te koppelen aan het e-mailadres mailadres 13 en de mailserver die bij een Braziliaanse organisatie hoort, zijn daarvoor onvoldoende. Voorts zijn de gegevens van aangever niet op de laptop aangetroffen. De rechtbank zal verdachte van dit onderdeel dan ook vrijspreken. Dit ligt anders voor de met BSN-nummers genoemde personen, nu verdachte zich schuldig heeft gemaakt aan phishing en hij daarin in deze gevallen – blijkens de informatie van Logius – ook succesvol is geweest.
Met de officier van justitie en de verdediging acht de rechtbank niet bewezen dat verdachte een aantal onbekend gebleven personen heeft opgelicht, al was het maar om het simpele feit dat het overige deel van de DigiD-gegevens niet gevalideerd konden worden. Het is in die gevallen – zoals hiervoor overwogen – bij een poging gebleven.
Kwalificatie feit 3
Anders dan de officier van justitie acht de rechtbank niet bewezen dat verdachte verantwoordelijk moet zijn geweest voor de oplichting van slachtoffer 2. Wederom lijkt het er op – gelet op de modus operandi van verdachte – dat hij er iets mee te maken heeft gehad, maar er kan, enkel op grond van een aangiftenummer, niet met voldoende zekerheid worden vastgesteld dat verdachte in het bezit is geweest van haar gegevens. Daarnaast ziet de rechtbank een contra-indicatie in de verklaring van slachtoffer 2 dat zij de e-mail op 5 november 2014 (en niet 6 november) zou hebben ontvangen. De rechtbank zal verdachte dan ook van dit onderdeel vrijspreken. Dit ligt anders voor slachtoffer 1 en slachtoffer 3 en een aantal onbekend gebleven personen, nu verdachte zich schuldig heeft gemaakt aan phishing en hij daarin – blijkens de informatie van de SNS Bank en de Rabobank – ook succesvol is geweest.
Uit de vastgestelde feiten blijkt dat ook een ander zich na de verzending van de eerste e-mail met deze oplichting heeft bemoeid. Maar zoals dit feit is tenlastegelegd, ziet de omschrijving uitsluitend op de oplichting per e‑mail. Dit brengt mee dat medeplegen van dit feit niet is bewezen.
Kwalificatie feit 4 eerste cumulatief/alternatief
Anders dan de officier van justitie acht de rechtbank niet bewezen dat verdachte een mailserver in Brazilië is binnengedrongen. Uit de chatgegevens blijkt immers niets meer dan dat verdachte de beschikking heeft gehad over valse sleutels van (Braziliaanse) mailservers. Niet kan worden uitgesloten dat de phishinge-mails vanaf mailservers zijn verstuurd waartoe hij bevoegde toegang had. Bovendien kan verdachte niet worden gekoppeld aan de e-mail van 20 mei 2014 vanaf het adres mailadres 13, nu de summiere opmerking dat sprake is van karakteristieke overeenkomsten met (kennelijk) het door verdachte gebruikte website 1, zonder verdere onderbouwing daarvoor onvoldoende is. Omdat de in de e-mail van 20 mei 2014 geplaatste link ook niet voorkomt in het proces-verbaal over de samenhang tussen de phishingsites voor DigiD, ziet de rechtbank geen aanleiding om op dit punt tot een bewezenverklaring te komen.
Dit ligt anders voor het binnendringen van een webserver. Verdachte heeft immers door middel van het gebruik van een webshell de beveiliging van de website internetadres 9 omzeild om daarop phishingwebsites te (laten) plaatsen. De rechtbank kan echter niet vaststellen dat de webserver in Senegal stond, nu de enkele extensie van de website daarover onvoldoende duidelijkheid geeft en de mogelijkheid openlaat dat de webserver zich ergens anders bevond.
Hoewel aannemelijk is dat verdachte ook bij dit feit niet alleen heeft gehandeld, ontbreekt in het dossier het bewijs van betrokkenheid van een of meer anderen, waardoor het medeplegen niet is bewezen.
Kwalificatie feit 4 tweede cumulatief/alternatief
De rechtbank overweegt dat de phishingscripts die verdachte heeft verworven en voorhanden heeft gehad daadwerkelijk door middel van webshells in webservers zijn binnengedrongen. Dit geheel van phishingprogrammatuur was derhalve gericht op het plegen van computervredebreuk, waarbij de gegevens door de webserver werden verwerkt en overgedragen om deze voor verdachte op te nemen. Daarnaast heeft verdachte – zoals bij feit 1 bewezenverklaard – feitelijk de beschikking gehad over gestolen maar valide DigiD-gegevens, waarvan gelet op al het voorgaande het kennelijke doel was om daarmee te kunnen inloggen, voorhanden gehad en verworven. De rechtbank acht de onder 4 tweede cumulatief/alternatief ten laste gelegde feiten- ook hier zonder het medeplegen- derhalve wettig en overtuigend bewezen.
Bewezenverklaring
Strafoplegging
De rechtbank
veroordeelt de verdachte tot een gevangenisstraf voor de duur van 3 jaar.
Lees hier de volledige uitspraak.
Op het gebied van cybercrime moet rekening gehouden worden met een toename van complexiteit, aantal en omvang van zaken, alsmede het aantal slachtoffers en de economische schade. De Rechtspraak investeert dan ook in de kennis en deskundigheid op dit gebied. Om rechtspraakmedewerkers bij te praten op het gebied van cybercrime organiseerde 'De Kennisgroep Cybercrime' van het Gerechtshof Den Haag op 29 april de zesde Themadag Cybercrime in Eye In Amsterdam.
Tijdens de themadag kwamen deskundigen van onder meer Europol, de landelijke politie , het Nederlands Forensisch Instituut (NFI) en de Universiteit Tilburg aan het woord over de laatste ontwikkelingen op het gebied van computercriminaliteit, opsporing en data-onderzoek.
Het Kenniscentrum Cybercrime van Gerechtshof Den Haag heeft als taak om rechters en juridisch medewerkers in het hele land te informeren over de jurisprudentie, wet- en regelgeving en literatuur op het gebied van cybercrime, digitale opsporing en digitaal bewijs.
