Categorie: Security

About Security

Subscribe Feeds

Kan ik iemand aansprakelijk stellen als vanwege php2shell mijn site offline ging?

Geplaatst op in Ondernemingsvrijheid, Security, 9 reacties
Photo by Blake Wisz on Unsplash

Een lezer vroeg me:

Wie is aansprakelijk voor gederfde inkomsten na het dringende advies om een webshop die PHP gebruikt offline te nemen? Zou een Cyberverzekering hier van toepassing kunnen zijn?
Uit zorgen over de impact van de php2shell kwetsbaarheid hebben vele site-aanbieders of hosters er voor gekozen om preventief de site offline te halen. Daardoor kun je (fors) bezoek of omzet mislopen, dus logisch dat je dan om je heen kijkt of je dat kunt verhalen.

Als je zelf besloot je site offline te halen vanwege zorgen over deze exploit, dan is dat je eigen keuze en moet je

daar zelf het ondernemersrisico van dragen. Het opvolgen van een verstandig beveiligingsadvies (NCSC) schept geen recht op vergoeding.

Soms was het de hoster en niet de klant die besloot de site(s) offline te halen. Opzettelijk een site uitzetten is een tekortkoming in de overeenkomst, want de site wordt dan niet gehost. De vraag is dan of dat verwijtbaar is (dan wordt het wanprestatie, in juridische termen). Dan wordt relevant wat is overeengekomen over beschikbaarheid, noodonderhoud en beveiligingsincidenten.

Is niets overeen gekomen, dan kom je bij de algemene zorgplicht van de hoster. Die moet zorgen dat de dienst goed werkt, maar ingrijpen en offline halen kán daar een gepaste maatregel bij zijn. En dan is zo’n zwaarwegend advies als van het NCSC echt belangrijk: je volgt dan het aanbevolen overheidsadvies, en daaruit wanprestatie concluderen is vrij ingewikkeld. Vereist is wel dat de hoster daarna zo snel als haalbaar gaat patchen en dan de sites weer live zet.

Op 23 oktober meldde het NCSC dat exploitatie ingewikkelder bleek dan aanvankelijk ingeschat en dat de kans op grootschalig misbruik kleiner was. Maar dat is geen argument voor een besluit daarvóór: de beste informatie was toen dat offline halen verstandig was.

Inkomstenderving door een op advies uitgeschakelde webshop of -dienst is dus in principe niet verhaalbaar, afgezien van wanneer het contract daar expliciet geen ruimte voor biedt.

Veel cyberverzekeringen dekken bedrijfsschade door een hack of systeemuitval, maar niet noodzakelijkerwijs door een preventieve sluiting zonder daadwerkelijk incident. Daarvoor moet je in de polisvoorwaarden duiken: valt onder een bedrijfsonderbrekingsincident ook het redelijkerwijs noodzakelijk uitschakelen van systemen om de gevolgen van onder meer een beveiligingsfout of programmeerfout te voorkomen?

De wet noemt “redelijke kosten ter voorkoming of beperking van schade die als gevolg van de gebeurtenis waarop de aansprakelijkheid berust, mocht worden verwacht” als voorbeelden van schade (art. 6:96 lid 2 punt a BW). Maar die term wordt beperkt uitgelegd. In 2023 hield een bedrijf preventief een productiemachine buiten gebruik vanwege eerdere storingen. De rechtbank vond dat bedrijfseconomisch begrijpelijk, maar het daardoor veroorzaakte omzetverlies was niet als bereddingskosten gedekt. De toekomstige schade was daarvoor onvoldoende onmiddellijk dreigend.

Arnoud

Amerikaanse sanctiewetgeving is geen juridisch toverwoord

Geplaatst op in Ondernemingsvrijheid, Regulering, Security, 1 reacties
Photo by Vlad Deep on Unsplash

Volgens de verzekeraar is het vergoeden van het losgeld in dit geval in strijd met Amerikaanse sanctieregelgeving. Intrigerende zin in een recent arrest over losgeld terugkrijgen van de cyberverzekering.

De verzekerde is een logistiek bedrijf, dat een cyberverzekering had genomen voor het geval er incidenten zouden plaatsvinden zoals ransomware. De polis noemt dat “digitale afpersing” en dekte “door u te betalen losgeld inclusief cryptogeld”.

Bij een later optredend dergelijk incident werd cybersecuritybedrijf Northwave er bij gehaald. Die adviseerde betalen van het losgeld, na een uitdrukkelijke check dat de beoogde ontvanger niet op Amerikaanse of Europese sanctielijsten staan.

De verzekeraar weigerde echter dat te vergoeden, omdat zij vermoedde (“kan niet anders”) dat het losgeld uiteindelijk bij de Russische groep Evil Corp terecht zou komen, en die staan op dergelijke lijsten. En dan zou dat tot sancties tegen haar bedrijf leiden.

Alleen: in de voorwaarden staat dat men niet hoeft te betalen ‘indien dit een inbreuk zou vormen’, oftewel ‘indien dit een inbreuk vormt’. Het Hof neemt de kleine lettertjes zeer serieus:

Er staat niet ‘indien dit een inbreuk zou kunnen vormen’, ‘indien dit mogelijk een inbreuk zou vormen’, ‘indien er een reële kans is dat dit een inbreuk vormt’, of iets soortgelijks. Uit de tekst van artikel 4.28 volgt dan ook niet dat met deze bepaling is beoogd om [verzekeraar] (en de betrokken verzekerde zelf) te beschermen tegen de onzekerheid die gemoeid is met de toepasselijkheid van sanctieregelgeving bij gebreke van een beslissing van de toezichthouder.
Dat is het probleem met veel van dit soort wetgeving: veel angstverhalen, zou kunnen, er dreigt van alles, maar concrete voorbeelden en wat er dan precies gebeurd? Ja nee gag orders NDA staatsgeheim.

Het Hof eist duidelijkheid:

In de Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments, een advies van het OFAC (productie 26 bij de conclusie van antwoord), staat het volgende (de onderstrepingen zijn door het hof aangebracht): “Companies that facilitate ransomware payments to cyber actors on behalf of victims, including financial institutions, cyber insurance firms, and companies involved in digital forensics and incident response, not only encourage future ransomware payment demands but also may risk violating OFAC regulations.” In de Updated Advisory (productie 27 bij de conclusive van antwoord) staat het volgende: “This advisory describes the potential sanctions risks associated with making and facilitating ransomware payments (…)”.
Dit is typisch zo’n tekst waarmee bedrijven besluiten een risico niet te willen nemen. Maar hoe hard moet je dit lezen? Potentiële sancties, het zou kunnen dat je regels overtreedt, wie weet staat ergens een artikelnummer.

Maar, zo zegt het Hof, gáát dit wel over deze situatie?

[Verzekeraar] kan er echter niet van beschuldigd worden dat zij namens een slachtoffer van een hack de betaling van losgeld aan Evil Corp heeft gefaciliteerd. [De klant] heeft het losgeld zelf betaald, twee dagen na de hack, omdat een groot deel van haar netwerk versleuteld was geraakt. Er staat bovendien “may risk” en “potential”, wat duidt op regelgeving die niet in steen is gebeiteld en waarbij het kan afhangen van de omstandigheden van het geval of sancties worden opgelegd of niet. Dat, zoals [verzekeraar] gesteld heeft, OFAC verregaande bevoegdheden heeft bij het interpreteren van sanctiewetten (en het vereiste van material support), maakt niet dat OFAC deze bevoegdheden ook in dit geval zal inzetten jegens [appellante] (of haar moeder- of zustervennootschap), ook niet als aangenomen wordt dat de Amerikaanse overheid het bestrijden van Evil Corp hoog op de agenda heeft staan.
Wat dat laatste betreft: de OFAC was gevraagd om toestemming om het losgeld te mogen betalen, maar men leek niet echt interesse in de kwestie te hebben.

Wat mij vooral bevalt aan dit arrest, is dat het Hof niet onder de indruk raakt van de bezweringsformule “Amerikaanse wetgeving”. Ik hoor die vaker: de Patriot Act, de CLOUD Act, Section 702, geheime bevelen aan Amerikaanse medewerkers, gag orders, noem maar op. En dan volgt steevast de conclusie dat de Amerikaanse overheid van alles kan eisen, want <handwuif>.

Het Hof vraagt gewoon door. Welke bevoegdheid precies, tegen wie, voor welke handeling en waarom zou die hier worden ingezet? Natuurlijk heeft de Amerikaanse overheid vergaande bevoegdheden. Maar dat is geen vrijbrief om bij iedere juridische discussie het Amerikaanse sanctie- en veiligheidsapparaat als spookbeeld op te voeren. Wie zich op zulke wetten beroept, moet concreet maken waarom ze in dit geval relevant zijn. Ook Amerikaanse wetgeving is geen juridisch toverwoord.

Arnoud

Commotie om studenten die met een lege telefoon hun huis niet meer in kunnen

Geplaatst op in Security, 33 reacties
Photo by wiredsmartio on Pixabay

Huurders van een aantal panden van SSH, de woningcorporatie voor studentenhuisvesting in Utrecht, kunnen hun huis alleen nog maar in met een app op hun telefoon. Dat las ik bij RTV Utrecht onlangs. Dus als je na een avondje stappen midden in de nacht thuiskomt met een lege telefoon dan kom je je huis niet meer in.

Eind 2024 blogde ik over een vergelijkbare kwestie: in studentenhuizen worden wel vaker fysieke sloten vervangen door apps, en jij moet dat maar werkend zien te krijgen. Toen was de zorg, kun je nog wel veilig naar buiten? Maar überhaupt naar binnen kunnen in je eigen huis is natuurlijk ook een ding.

Bij de huurcommissie vond ik vooralsnog geen uitspraken hierover. In 2025 was hierover ophef bij Veste Wonen, dat opgelost lijkt te zijn met een aantal maatregelen:

  • Openen en sluiten moet met de Veste app, die je toch al nodig hebt voor alles rondom je huurcontract.
  • Er staan telefoonlaadpunten op het terrein, zodat je een lege telefoon snel een paar procent kunt geven.
  • Je kunt iemand anders een digitale sleutel van je deur geven en die vragen om open te doen.
  • Openen en sluiten wordt niet gelogd.
  • Op verzoek krijg je een tag, tegen een borg van 100 euro.
Dit komt me vrij schappelijk over, met name de zo te lezen gratis in bruikleen verstrekte tag zou de belangrijkste problemen op moeten lossen.

In Utrecht kosten de tags 200 euro, aldus RTV Utrecht. En je moet nog moeite doen ook want kennelijk mag het alleen als je bewijst geen smartphone te hebben:

Wil je, zoals Milou, een keyfob omdat je niet afhankelijk wilt zijn van je smartphone, dan krijg je die niet. “Je moet fysiek bij een medewerker van SSH aantonen dat je écht geen smartphone met NFC-chip hebt.” Ook medestudent Jasmijn* die om dezelfde reden als Milou anoniem haar verhaal doet, kreeg geen keyfob terwijl iLOQ niet werkte op haar Android-telefoon.
Dat van het niet werken is nog een dingetje: kennelijk gaan de deuren allemaal open als er een storing is, en dat gebeurt nogal eens – “Ook tijdens het maken van dit verhaal was er een storing waardoor alle deuren tot aan de woningen openstonden”.
De digitale sloten geven de bewoners een gevoel van onveiligheid, met name onder de vrouwen, zeggen de twee studenten. “Dan stuurt iemand een appje met een ‘heads up’ dat er een dakloze in de fietsenkelder of wasruimte ligt. Als je nietsvermoedend binnenkomt, kan je daarvan schrikken”, zegt Milou. “Sommige meiden durven dan niet meer alleen zo’n ruimte in.”
Bij Veste Wonen lijkt dit probleem niet te spelen en spreken ze van “proven technology that is widely used in vital infrastructure”, zij het zonder concrete onderbouwing.

Arnoud (Geen grappen over ssh inloggen op de voordeur)

Mogen beveiligingsbedrijven gestolen wachtwoorden verzamelen en verkopen?

Geplaatst op in Privacy, Security, 9 reacties
Photo by Lee Campbell on Unsplash

Een lezer vroeg me:

Er zijn cybersecuritybedrijven die gestolen wachtwoorden en andere gegevens uit datalekken verzamelen, bijvoorbeeld via het darkweb of Telegram. Ze maken deze gegevens doorzoekbaar en verkopen aan bedrijven informatie over gelekte accounts van hun medewerkers. Maar het blijven gestolen persoonsgegevens, waarvan de betrokkenen vaak niet eens weten dat ze worden verwerkt. Mag dit zomaar van de AVG? En is het niet een vorm van digitale heling?
Het klinkt wat tegenstrijdig, maar juist door gestolen gegevens te verzamelen kunnen beveiligingsbedrijven veel schade voorkomen. Denk aan een werknemer wiens laptop besmet raakt met malware die wachtwoorden steelt. Door die gegevens terug te vinden, kan de werkgever tijdig accounts blokkeren en wachtwoorden laten wijzigen. Ook de werknemer profiteert hiervan, omdat bijvoorbeeld zijn privéaccounts gecompromitteerd kunnen zijn.

Strafrechtelijk bestaat er inderdaad zoiets als digitale heling. Artikel 139g Strafrecht verbiedt het verwerven, bezitten en verhandelen van niet-openbare gegevens waarvan je weet of moet vermoeden dat ze door een misdrijf zijn verkregen. Maar gegevens die al openbaar op internet staan, vallen hier niet onder. En voor niet-openbare gegevens kent de wet een uitzondering wanneer iemand te goeder trouw mocht aannemen dat het algemeen belang het gebruik noodzakelijk maakte. Het waarschuwen voor beveiligingsincidenten kan daaronder vallen, ook als er een commercieel motief mee gediend is.

Dan de AVG. Die erkent in overweging 49 uitdrukkelijk dat netwerk- en informatiebeveiliging een gerechtvaardigd belang kan opleveren. Toestemming van iedere betrokken werknemer is dus niet per definitie nodig. Wel moet de verwerking noodzakelijk en proportioneel zijn. Een werkgever waarschuwen dat een zakelijk account is gehackt, is iets heel anders dan hem de complete browsergeschiedenis en privéwachtwoorden van zijn medewerker verstrekken.

Daar komt bij dat het Hof van Justitie recent heeft geoordeeld dat wie weet dat persoonsgegevens eerder onrechtmatig zijn verzameld, zich voor het vervolgens gebruiken daarvan niet op het gerechtvaardigd belang kan beroepen (NTH Haustechnik, r.o. 112). De context was weliswaar of de rechter zulke stukken als bewijs mocht toelaten, maar de redenering is algemeen: je belang is niet gerechtvaardigd als je begint met onrechtmatig verkregen gegevens.

Ik denk dat dit oordeel de commerciële handel in gestolen gegevens behoorlijk onder druk zet. Bij infostealer-logs weet de aanbieder immers dat de gegevens door malware zijn buitgemaakt. Dat een beveiligingsbedrijf hiermee anderen wil beschermen, maakt het opnieuw verzamelen van die gegevens niet rechtmatig. Het gerechtvaardigd belang is daarvoor volgens het Hof geen beschikbare grondslag.

Een andere AVG-grondslag voor het systematisch binnenhalen en indexeren van complete gestolen datasets zie ik niet snel. Anders ligt het bij een werkgever die eigen beveiligingslogs analyseert, of een meldpunt dat op basis van door slachtoffers verstrekte informatie anderen waarschuwt. Daarvoor kan het gerechtvaardigd belang nog steeds een geschikte grondslag zijn.

Arnoud

De bank moet phishinggeld eerst terugbetalen, ook als de klant grof nalatig was

Geplaatst op in Ondernemingsvrijheid, Security, 8 reacties
Photo by Markus Winkler on Unsplash

Een bank mag slachtoffers van phishing niet langer met een beroep op grove nalatigheid hun geld terug weigeren. Dat oordeelde het Hof van Justitie onlangs. Blijkt achteraf dat de klant inderdaad grof nalatig was, dan mag de bank het geld terugvorderen. Een opsteker voor de consument: de bank moet de consument aanklagen om zijn geld terug te krijgen, niet andersom.

Wie door phishing geld kwijtraakt, krijgt van de bank nogal eens te horen dat hij zelf te slordig is geweest. Dat heeft een juridische basis: banken moeten ongeautoriseerde transacties terugdraaien, tenzij sprake is van “grove nalatigheid” bij de klant.

Waar ligt de bewijslast, en hoe moet de procedure gaan, als de bank zegt te denken aan die uitzondering? Vaak zie je dat er dan wordt gezegd: wij zien grove nalatigheid, stap maar naar de rechter om te bewijzen dat wij ongelijk hebben. Tot die tijd krijg je je geld niet.

Daar zet het Hof van Justitie nu een streep door. Een bank moet een niet-toegestane betaling onmiddellijk terugbetalen, ook als zij vindt dat de klant door grove nalatigheid de fraude mogelijk heeft gemaakt. Wil de bank de schade vervolgens op de klant verhalen, dan moet zij daar zelf achteraan.

De regels zijn te herleiden tot de Europese PSD2-richtlijn. De basis van die redenering is dat de klant de schade zelf draagt wanneer hij door grove nalatigheid zijn beveiligingsverplichtingen heeft geschonden (artikel 74), zodat de terugbetaalregeling bij ongeautoriseerde betalingen (artikel 73) niet uitgevoerd hoeft te worden.

Nee, zegt het Hof. Die twee artikelen gaan over verschillende momenten. Artikel 73 bepaalt dat de bank “onmiddellijk, en in elk geval uiterlijk aan het einde van de eerstvolgende werkdag” het geld moet terugbetalen zodra vaststaat dat de transactie niet geautoriseerd was. Weliswaar staat in artikel 74 dat

De betaler draagt alle verliezen in verband met niet-toegestane betalingstransacties indien de betaler deze heeft geleden doordat hij frauduleus heeft gehandeld of opzettelijk of door grove nalatigheid een of meer van de [beveiligings]verplichtingen niet is nagekomen.
Maar dat is een aparte regeling over het eindresultaat, die los staat van de terugbetaalregeling uit artikel 73. Het zou de terugbetalingsplicht zinloos maken als een bank die kon omzeilen door simpelweg grove nalatigheid te stellen.

Concreet betekent dit dat een klant na ontdekking van een niet-toegestane betaling zijn bank informeert, waarna die uiterlijk de volgende werkdag het geld moet terugboeken. De bank mag vervolgens onderzoeken wat er is gebeurd. Vindt zij dat de klant grof nalatig was, dan moet zij dat bewijzen en het geld terugvorderen. Wil de klant niet betalen, dan zal de bank zo nodig naar de rechter moeten.

Belangrijke nuance nog wel: het moet wel gaan om niet-geautoriseerde transacties. Wanneer jij wél de transactie zelf goedkeurt, kan het nog steeds phishing zijn (je dacht de bank aan de lijn te hebben en maakte geld over naar een ‘kluisrekening’) maar dan krijg je je geld niet automatisch terug onder dit arrest.

Arnoud

Nederlander krijgt 18 maanden cel voor verkoop GTA-cheatcodes

Geplaatst op in Regulering, Security, 3 reacties
Photo by Eren Li on Pexels

Een 25-jarige man uit de gemeente Noordoostpolder is veroordeeld tot een celstraf van achttien maanden vanwege de verkoop van software om vals te spelen in Grand Theft Auto V.  Dat meldde Nu.nl vorige week. De man zou met de illegale handel honderdduizenden euro’s hebben verdiend. Cheatcodes als computervredebreuk?

Als ik het vonnis erbij pak, dan blijkt het te gaan om cheat-software en dat voelt toch net wat anders:

Via de website [website 3] wordt diverse software aangeboden om in een game te kunnen cheaten’. Eenvoudig omschreven wordt de software gebruikt om in het spel acties uit te voeren die normaliter niet uitvoerbaar zijn. Ik zag dat er onder andere software te koop was op [website 3] , waar, vanuit de productomschrijving of productvideos bleek, dat een gameserver door het gebruik van de software belast werd of voor andere spelers onspeelbaar werd gemaakt: Phaze Redengine Premium Menu en Lumia Redengine Premium Menu.
Voor wie niet dagelijks in de GTA wereld rondhupst: FiveM is een legitiem multiplayer-modificatieplatform voor GTA V waarmee servers eigen auto’s, maps, scripts, spelregels enzovoort kunnen draaien. Maar ook andere software, zoals Redengine dat allerlei cheatfuncties mogelijk maakt:
Phaze Lua Menu. The big Lua menu for the redENGINE Executor, formerly known as Nexus. Silent aim with hit chance and prediction, a detailed overlay with chams and radar, a complete vehicle workshop, world and weather control, and server tools on top: trigger finder, event logger, resource blocker and webhook finder.
Artikel 350b Strafrecht verbiedt ‘hackingtools’, hulpmiddelen voor het plegen van twee cyberdelicten: vernielen/verstoren van een server, en het manipuleren van de daar opgeslagen gegevens. Daarnaast zijn inbraaktools verboden (art. 139d), tools die “hoofdzakelijk geschikt gemaakt of ontworpen” zijn om computervredebreuk mee te plegen.

De uitspraak laat mooi zien dat de rechter kijkt naar hoe de software wordt gepresenteerd en wat het voornaamste beoogde doel is. Dat er technisch ook allerlei legale dingen mee kunnen, is dus niet relevant.

Voor Nexus en Lumia is van belang dat ze de server kunnen overbelasten en het spel onspeelbaar maken. Dat is in geen enkele omstandigheid legitiem voor een gewone speler, en dus valt die software onder artikel 350b.

Voor Redengine Fivem Spoofer ligt dat anders. Hiermee verniel je niets, maar verhul je je digitale identificerende kenmerken (zoals hardware-IDs, identifiers of game-accountgegevens) zodat je een ban kunt omzeilen. Dat valt niet onder dit artikel, maar de rechtbank ziet het wél als een hulpmiddel om mee in te breken op de server: een geband persoon is per definitie wederrechtelijk aanwezig op de server.

Belangrijk is wel goed vast te leggen in het proces-verbaal wat de software doet. Voor Eulen FiveM wordt vrijspraak gegeven, want “[u]it de enkele omschrijving als cheat- of modmenu volgt echter niet welke functies de aangetroffen versie had of dat deze versie gegevens kon toevoegen of wijzigen”. Hetzelfde geldt voor diverse andere pakketten.

De verdachte krijgt 18 maanden cel, mede vanwege enkele andere delicten zoals witwassen en handel in drugs. De straf is wel lager dan geëist mede omdat er vele softwarepakketten waren benoemd die niet strafbaar bleken.

Arnoud

 

Met een script anderhalve ton OV-compensaties claimen is een vorm van computervredebreuk

Geplaatst op in Security, 5 reacties
Bron: Wikimedia Commons, Moeerd

De verdachte heeft zich schuldig gemaakt aan oplichting van de NS en zo de beschikking gekregen over een groot geldbedrag van bijna 1,5 ton. Aldus een recent vonnis uit Utrecht. De truc? Met een script OV-chipkaarten met ongeclaimde compensaties zoeken en die vervolgens zelf claimen.

Bij Security.nl leggen ze het uit:

De verdachte maakte op uitcheckgemist.nl en ns.nl/mijnns gebruik van het programma OpenBullet2 en door hem gemaakte scripts. Daarbij gebruikte hij een lijst met 100.000 mogelijke OV-chipkaartnummers, alsmede andere gegevens, om zo OV-chipkaarten met ongeclaimde compensaties te vinden. Vervolgens heeft hij bij de NS deze gemiste check-outs geclaimd. Hiervoor koppelde de verdachte de gevonden OV-chipkaartnummers aan een NS-account [met verschillende bankrekeningen op naam van gefingeerde personen].
Dat zou strafbaar moeten zijn, zou je denken. Maar op welke grond precies? Het OM had gekozen voor computervredebreuk: met die lijst en script was hij ‘binnengedrongen’ in de servers van TLS en NS, om er zo data uit te krijgen waar hij geen toegang tot zou moeten hebben.

De verdachte maakte een punt van de term ‘website’: de Hoge Raad vindt dat geen geautomatiseerd werk, immers. Een website is immers niet meer dan een verzameling software en data, en een “inrichting” is een fysiek ding. Maar de rechter hier heeft daar weinig moeite mee:

Iedere website moet, om zijn functie op het internet te kunnen vervullen, zijn ondergebracht (worden ‘gehost’) op een geautomatiseerd werk (een server), dat met dat internet is verbonden. Dat gold ook voor beide websites. In die zin bestaat er een duidelijk functioneel verband tussen een website en een geautomatiseerd werk. Gelet hierop gaat de rechtbank er bij de beoordeling van de zaak vanuit dat activiteiten op een actieve website activiteiten op de achterliggende server impliceren.
De lastiger vraag voor mij is: dring je wel binnen? Wat hij deed, was in feite versneld en systematisch iets doen dat iedereen mag met een ov-chipkaart, namelijk kaartgegevens, halte en datum invullen en dan tegoed terugvragen.

En nee, hij breekt geen beveiligingsmaatregelen en er werd ook geen geraden sleutel gebruikt of iets dergelijks. Maar dat hoeft ook niet: de wet heeft het over “opzettelijk en wederrechtelijk binnendringen”, en welke truc je daarbij gebruikt is niet relevant.

De rechter vult het hier ruim in:

Van wederrechtelijk binnendringen in een geautomatiseerd werk is sprake als men zich de toegang verschaft tot dat werk tegen de onmiskenbare wil van de rechthebbende. Die wil kan blijken uit woorden en daden, maar in ieder geval moet die blijken uit enige beveiliging van dat werk, ofwel een kenbare drempel zodat onbevoegden zich niet zomaar de toegang daartoe kunnen verschaffen. De beveiliging hoeft niet adequaat te zijn; een minimale beveiliging is voldoende. Van binnendringen kan sprake zijn als die beveiliging wordt doorbroken, maar ook bijvoorbeeld door het aannemen van een valse hoedanigheid.
De term ‘hoedanigheid’ doet misschien denken aan accounts of privileges, zoals dat je als gast beheerdersautorisaties zou kunnen verkrijgen. Maar de rechter leest dit als de meer algemene hoedanigheid die je kunt hebben, namelijk die van de eigenaar van die kaarten. En die was vals, want hij was die eigenaar niet.

Dat is dan TLS. Om op die gemiste check-outs vervolgens een claim in te kunnen dienen bij NS, moeten deze OV-chipkaarten gekoppeld worden aan een NS-account. Dit deed de verdachte handmatig, met bankrekeningen op naam van gefingeerde personen met valse identiteiten. (Ik mis even hoe, maar uiteindelijk doet dat er niet toe.)

Vervolgens heeft hij met behulp van een script allerlei gegevens ingevoerd (waaronder telkens een check-in en check-out station), hetgeen resulteerde in een uit te betalen geldbedrag op de door de verdachte gekoppelde bankrekeningen.
Ook dit ziet de rechter als wederrechtelijk binnendringen met een valse hoedanigheid, namelijk datzelfde “zogenaamd eigenaar zijn van die ov-chipkaarten”.

De software OpenBullet2 werd door het OM aangewezen als hulpmiddel bij dit alles. Dit is een opensourcepakket voor securitytesten, waarbij je van alles en nog wat kunt doen. Is dat “geschikt of ontworpen” voor computervredebreuk? Altijd goed voor veel discussie (zoals bij de Flipper Zero), maar ook hier weet de rechter een pragmatische uitweg:

De in deze zaak aan OpenBullet2 door de verdachte gemaakte en gekoppelde configuraties en scripts laten geen andere conclusie toe dan dat ook het door de verdachte gebruikte programma OpenBullet2 hoofdzakelijk geschikt is gemaakt tot het plegen van computermisdrijven.
In technische termen: bezit/gebruik van vanilla OpenBullet2 is dus niet strafbaar, maar een fork die bedoeld is voor het daarnet behandelde misdrijf wordt dat wel.

Arnoud

 

Als je wordt afgeperst met je persoonsgegevens, kun je het losgeld dan verhalen op de datalekker?

Geplaatst op in Privacy, Security, 18 reacties
Photo by RoyBuri on Pixabay

Hackers persen klanten boodschappendienst Flink af: betalen of data gepubliceerd. Dat kopte de NOS vorige week. Dus niet de organisatie, maar de klanten die dachten dat hun data daar veilig was. Voor diverse lezers aanleiding te vragen: kun je dat als schadevergoeding claimen bij Flink?

Het gaat niet om grote bedragen: men wil 10 tot 15 euro, “een klein bedrag voor je gemoedsrust” zo citeert men de criminelen. Er zouden gegevens van een miljoen klanten buitgemaakt zijn, en 15 keer een miljoen is toch aantrekkelijk voor criminelen.

Moet je betalen? Nee, natuurlijk niet, zo luidt het verstandige advies. Je hebt geen zekerheid dat ze later niet terugkomen, net zoals je dat bij ‘ouderwetse’ chanteurs en afpersers niet hebt. Aangifte doen, chantage is strafbaar (art. 318 Sr) en gelekte persoonsgegevens kunnen een ‘geheim’ zijn onder dat wetsartikel.

Maar goed, iemand betaalt dan toch. Is dat schade die je bij de verwerkingsverantwoordelijke kunt claimen? Op geld waardeerbare schade komt voor vergoeding in aanmerking (aangenomen dat het datalek verwijtbaar is). En hier heb je een direct hard getal in geld.

Juridisch is het probleem dat losgeld betalen niet direct voortvloeit uit het datalek zelf. Het is een nieuw feit, ontstaan door acceptatie van het chantage-aanbod. Een hardvochtig jurist citeert dan artikel 6:101 BW en noemt het “eigen schuld”: jij koos er voor te betalen, daar kan de gehackte partij niets aan doen.

Ik heb daar moeite mee, en zou dit dus pareren met een beroep op de billijkheid uit de omstandigheden van dit geval. Wie bedreigd wordt met publicatie van gevoelige persoonsgegevens, kun je niet verwijten een onlogische keuze te hebben gemaakt. Die persoon had niet in die situatie gebracht moeten zijn, en dat dat wel is gebeurd, is (bij een verwijtbaar datalek) de schuld van de verwerkingsverantwoordelijke.

Dus ja, ik zie die schade wel als verhaalbaar op de partij die de gegevens lekte. Natuurlijk moet dan wel vaststaan dát die gegevens daar vandaan zijn verkregen, maar de criminelen zeggen dat er kennelijk netjes bij.

Arnoud

AI-agents die in het wilde weg bedrijven hacken: is dat strafbaar?

Geplaatst op in Innovatie, Security, 5 reacties
Photo by jamesmarkosborne on Pixabay

Excuses voor de kop, maar Tweakers deed het ook: “De ene na de andere organisatie wordt geteisterd door hacks die ongehoorzame AI-agents uitvoeren.” Alsof agents agency hebben en dingen doen. Het zijn scripts, die nalatig beheerd worden. Punt.

Het artikel gaat in op de vraag of het strafbaar is wat hier gebeurt. Terecht wordt de nuance gemaakt dat je je kunt afvragen of de beheerders van die diensten “opzettelijk” handelden. Hun bedoeling was het waarschijnlijk niet, tenzij je in de rabbit hole zit dat OpenAI haar beursgang wilde uitstellen om eerst flink angst te zaaien over rogue agents en dan de oplossing op de markt te brengen.

Voorwaardelijke opzet dan, zeggen strafrechtadvocaten meteen. Nam je bewust het risico op de koop toe dat dit gevolg zou gebeuren? Ook die lijkt me lastig. Het leest vooral als te snel tevreden zijn: bij de laatste uitbraak kon via DNS toegang tot internet worden verkregen. Dat is niet je eerste gedachte bij het dichttimmeren, maar dit helemaal vergeten is ook weer slordig.

Onder artikel 350b Strafrecht is al lang strafbaar dat je door nalatigheid (“schuld”) malware schade laat aanrichten. Vroeger ging dat om virussen (dingen die zichzelf repliceren) maar wat mij betreft leest dit sinds de laatste wetswijziging vrij letterlijk op agents:

Hij aan wiens schuld te wijten is dat gegevens die door middel van een geautomatiseerd werk of door middel van telecommunicatie zijn opgeslagen, worden verwerkt of overgedragen, wederrechtelijk worden veranderd, gewist, onbruikbaar of ontoegankelijk gemaakt, dan wel dat andere gegevens daaraan worden toegevoegd, wordt, indien daardoor ernstige schade met betrekking tot die gegevens wordt veroorzaakt, gestraft met gevangenisstraf of hechtenis van ten hoogste een maand of geldboete van de tweede categorie.
De enige vraag is dus: is er schade in de zin van veranderen, toevoegen of beschadigen. Malware die alleen informatie downloadt, valt buiten dit artikel en inderdaad is voor computervredebreuk opzet nodig. Ik kom er niet helemaal uit wat er nu stukgegaan is. Maar op papier is enkel een bericht op een messageboard plaatsen al genoeg voor dit artikel.

Kan de AI Act hier wat mee? Nee, want is primair gericht op productveiligheid en een experimentele agent-setup zoals van OpenAI is geen ‘product’ of ‘AI-systeem’ zoals de wet dat noemt. Ik zou het wel een GPAI-model willen noemen, en dan kan het worden aangewezen als met systeemrisico. Dat betekent dat er gerichte maatregelen moeten komen (artikel 55, een passend niveau van cyberbeveiligingsbescherming). Helaas ontbreekt het vooralsnog aan criteria om deze norm (artikel 51) mee in te vullen.

Arnoud

Moet een supermarkt het melden als ze met AI winkeldieven opsporen via het camerasysteem?

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, 20 reacties
Photo by ElasticComputeFarm on Pixabay

Een lezer vroeg me:

Sommige winkels gebruiken beveiligingscamera’s met AI om gemaakte beelden te analyseren. Dit zou winkeldiefstal moeten tegengaan. Hoewel vrijwel iedereen keurig waarschuwt voor cameratoezicht, heb ik nog nergens bordjes gezien dat er ook een AI-analyse plaatsvindt. Is dat eigenlijk niet verplicht onder de AI Act?
Per 2 augustus jongstleden is de zogeheten transparantieplicht uit de AI Act (artikel 50 lid 1) van kracht geworden. “AI-systemen die voor directe interactie met natuurlijke personen zijn bedoeld” moeten die personen duidelijk maken “dat zij interageren met een AI-systeem”. Primair is dit bedoeld tegen misleidende chatbots die zich voordoen als mensen.

De AI Act definieert niet wat “directe interactie” betekent. De Richtsnoeren van de Commissie, die in juli verschenen  (sectie 3.1.1), vullen de term nader in: het moet gaan om realtime of near realtime interactie, waarbij de AI-uitvoer direct bij de betrokken persoon terecht komt. “Interactie” is dan een bidirectionele uitwisseling van informatie, waarbij iedere partij ten minste één bericht naar de ander stuurt.

Dit is waar het op misgaat met een antidiefstal-AI: die communiceert niet met shoppers, dus de shoppers hoeven niet te weten dat die AI wordt ingezet. Hooguit moet het personeel dat weten, als we “het scherm geeft een waarschuwing en jij moet op Ok klikken” lezen als een interactie. Maar als professioneel gebruiker zal dat wel duidelijk voor ze zijn, en dan hoeft een aparte melding niet.

Dat is alleen niet het hele verhaal. Zo’n AI-signalering is onder de AVG een vorm van geautomatiseerde besluitvorming. Ik ben er nog niet uit of dit onder het verbod van artikel 22 valt, want is dit “in aanmerkelijke mate treffen”? De AVG noemt zaken als automatisch een kredietaanvraag weigeren of een sollicitatie afwijzen, en de Richtsnoeren (WP251) geven als aanvullend criterium of het “de omstandigheden, het gedrag of de keuzen van de betrokken personen in aanmerkelijke mate [treft]”. Zeg het maar.

Maar los van die discussie, als er persoonsgegevens worden verwerkt met als doel te komen tot een signalering “mogelijk winkeldief” dan moet dat duidelijk worden gemeld (artikel 12 en 14). Op zijn minst vereist dat een toelichting in de privacyverklaring, maar ik denk dat je niet ontkomt aan een bordje gezien het nieuwe en bijzondere karakter van deze verwerking. Wie er eentje ziet: ik ontvang graag de foto!

Arnoud