Categorie: Security

About Security

Subscribe Feeds

Twitter laat gebruikers betalen voor tweefactorauthenticatie via sms, mag dat van de AVG?

Geplaatst op in Security, 11 reacties
OpenClipart-Vectors / Pixabay

Bestaande Twitter-gebruikers die van tweefactorauthenticatie (2FA) via sms gebruikmaken zullen hier vanaf 20 maart voor moeten betalen. Dat meldde Security.nl onlangs. Het platform heeft de beveiligingsmaatregel namelijk onderdeel gemaakt van het betaalde Twitter Blue-abonnement. Voor velen reden om me te vragen, “mag dat wel” met name omdat de AVG adequate beveiliging eist en dit toch een manier is om velen van de sms 2fa af te krijgen.

De reden die Twitter opgeeft is het veelvoorkomende misbruik van deze functie, wat met name een probleem is omdat elk sms-bericht Twitter geld kost (en niet de gebruiker). Twitterbaas Musk stelt dat dit aan bots van de telecomoperators zou liggen, wat ik niet helemaal begrijp maar ik ben dan ook maar een jurist.

Oké, dus mag het van de AVG? Die eist immers dat je persoonsgegevens adequaat beveiligt (art. 32) en bij online dienstaccounts van de omvang van Twitter is 2fa dan wel een aangewezen maatregel. Alleen: specifiek de vorm met sms is dan weer de slechtste keuze, omdat sim swapping een makkelijke truc is om de authenticatieberichten om te leiden en daarmee het account te kapen. Een 2fa authenticatieapp of liever nog een securitykey zijn veel betere opties.

De ophef komt met name omdat mensen die voor 2fa kiezen, vrijwel altijd voor sms kiezen en dan zich nu gedwongen zien om over te stappen. Beter zou zijn om nu dus te wisselen naar een authenticatieapp. En dat mag van de AVG.

Arnoud

 

DeGiro moet schade door gekaapt beleggingsaccount deels vergoeden

Geplaatst op in Security, 1 reacties

DeGiro moet de schade die een klant door een gekaapt beleggingsaccount leed deels vergoeden, meldde Security.nl onlangs. De klant probeerde te herstellen van een gekaapt account, maar kreeg te weinig medewerking van de aandelenbroker. Klachteninstituut Kifid vindt de schade beide partijen gelijk te verwijten.

De klant ontdekte vorig jaar maart dat er aankoopopdrachten via zijn account waren uitgevoerd waar hij geen opdracht tot had gegeven. Diezelfde dag nam hij contact op met de broker, die meteen het account blokkeerde, want dit kon wijzen op misbruik door een derde. Vervolgens zou tweefactorauthenticatie aangezet worden, waarna de klant weer mocht inloggen.

Dit duurde alleen even, en die aandelen zaten nog steeds in zijn account en waren ondertussen aan het dalen. Hij kreeg alleen DeGiro niet zo ver om deze te verkopen om zo de schade te beperken. De verkoop lukte pas toen het account weer open ging, maar toen waren er al duizenden euro’s aan schade geleden.

In haar dupliek heeft DeGiro aangevoerd dat de consument op 4 maart 2022 om 16.59 uur twee orders heeft geplaatst, waaruit zij afleidt dat de rekening toen niet meer geblokkeerd was. Volgens DeGiro houdt het feit dat de aandelen pas op 14 maart 2022 zijn verkocht geen verband met het tijdelijk blokkeren van de rekening, maar is dit waarschijnlijk veroorzaakt door de (limiet)prijzen in verkooporders van de consument.
Echt een reactie op de vele mails en dergelijke van de consument is dat niet, en dat is natuurlijk raar. Je kunt natuurlijk normaal wel zeggen dat je alleen opdrachten via het account wil hebben, maar dat gaat hier niet want het account is dicht. En je bent bezig die consument te helpen het probleem op te lossen, dus daar hoort dan ook iéts meer meegaandheid bij in het oplossen van het probleem.

DeGiro is daarmee aansprakelijk voor de gevolgen. Zij het dat het Kifid de schade halveert, omdat de consument ook tekort geschoten was door niet uit zichzelf eerder al tweefactorauthenticatie aan te zetten. Iets waar DeGiro al regelmatig over gewaarschuwd had.

Arnoud

Ethische hackers mogen dankzij nieuwe wet Belgische bedrijven hacken zonder toestemming

Geplaatst op in Security, 14 reacties

Hoogdag voor de ethische hackers, want vanaf vandaag gaat een wet in die hen een pak meer vrijheid geeft. Dat meldde de VRT onlangs. Maar met ook een pak restricties: melden bij de verantwoordelijke binnen 72 uur, geen geld of ander gewin, en iets waar den Floor ambetant van wordt: een geheimhoudingsplicht voor de ethisch hacker. Hoe zit dit juridisch?

Sinds vorig jaar november geldt in België een kaderwet voor de beveiliging van netwerk- en informatiesystemen, waarbij het Centrum voor Cybersecurity België (CCB) de coördinerende instantie is. Eén van hun taken (art. 62 van die wet) is het nemen van maatregelen om te reageren op incidenten, problemen op te sporen et cetera. Die bevoegdheid is ingezet om een beleidsmaatregel te nemen (zouden wij zeggen) over de bekendmaking van kwetsbaarheden aan het CCB.

Het beleid komt neer op een aantal bekende zaken:

  1. Niet verder gaan dan noodzakelijk voor het aantonen van het probleem.
  2. Handelen zonder bedrieglijk opzet of het oogmerk om te schaden. Dat betekent enerzijds jezelf identificeerbaar maken tijdens de hack en anderzijds geen geld vragen achteraf voor de geleverde ‘dienst’.
  3. Het incident zo snel mogelijk melden bij de organisatie. Op diverse plekken lees ik 72 uur, maar dat gaat over incidenten waarbij je persoonsgegevens ontdekt (datalekken), want dat is de AVG deadline. En het CCB ziet dus de ethisch hacker als verwerkingsverantwoordelijke daarvoor, uiteraard naast de ‘echte’ verantwoordelijke. Dat gaat mij wat snel, ik zou dat alleen zo zien als je daadwerkelijk gegevens te pakken hebt gekregen.
  4. Het incident ook zo snel mogelijk melden bij het CCB, tenzij de organisatie een duidelijk responsible disclosure beleid heeft (want daarin staat dan al een meldingsregeling door de organisatie).
  5. Geen informatie openbaar maken zonder toestemming van het CCB.
Als je je aan deze regels houdt, dan geldt een “rechtvaardigingsgrond op limitatieve wijze” in de zin van de strafwet, oftewel dan kun je niet worden vervolgd. Ik zie niet meteen hoe deze regeling het Belgische OM tegen zou houden, maar omdat het beleid vanuit de overheid komt, zou dat in principe genoeg moeten zijn.

In Nederland is de constructie dat bedrijven zelf een responsible disclosure beleid opstellen, en dat het OM in principe niet vervolgt als een ethisch hacker die regels volgt. De bedoeling van zo’n beleid is dat er enige ruimte is om te publiceren, dit hele ding heet immers responsible disclosure en is bedoeld om druk te creëren dat dingen gerepareerd worden. Een veelgebruikte termijn daarbij is 60 of 90 dagen na melding (hoewel de modeltekst van d’n Floor geen deadline noemt).

Natuurlijk kun je als CCB zeggen, niets aan de hand want zodra de situatie veilig is dan geven wij uiteraard toestemming. Maar een afhankelijkheid van een welwillende instantie is niet hetzelfde als een wettelijk recht om iets te mogen doen. Dus dat is wel een vervelende beperking.

Arnoud

 

 

ABN Amro mag onbewerkte kopie van identiteitsdocument toch opslaan

Geplaatst op in Ondernemingsvrijheid, Security, 29 reacties

ABN Amro mag een foto of scan van een onbewerkt identiteitsdocument toch opslaan, aangezien dit niet in strijd met de AVG is, las ik bij Security.nl. De beroepscommissie van het financiële klachteninstituut Kifid oordeelde anders dan de klachtenuitspraak van vorig jaar, waarin het vastleggen en bewaren van een kopie van dit ID-bewijs juist sterk aan banden werd gelegd.

Achterliggende discussie is dat wie bij een bank zit, met enige regelmaat een kopie ID moet overleggen. Dit in verband met anti-witwaswetgeving (de Wet ter voorkoming van witwassen en financieren van terrorisme, Wwft) waarbij “ken je klant” en bewijzen dat je goed hebt gecontroleerd centraal staat. Dat die hele wetgeving niets oplevert behalve een pak bureaucratie daar gaat niemand over, maar dat terzijde.

In de uitspraak van vorig jaar werd bepaald dat om die wettelijke reden de bank dus een onbewerkte kopie (geen watermerk en geen uitgestreepte dingen) mag eisen. Echtheidskenmerken kunnen zijn afgeschermd of verminkt door zo’n bewerkte kopie. En omdat een bank wettelijk verplicht moet toetsen aan die kenmerken, moet de bank dus een originele, volledige kopie van het identiteitsbewijs hebben. Fair enough, maar hoezo mag de bank die kopie dan ook nog bewaren?

Het bewaren van bewijs van die verificatie is geregeld in artikel 33 Wwft. Alleen: pasfoto en echtheidskenmerken zijn nu niet meer relevant, want de check is al gedaan. Dit moet de bank dus afschermen bij het opslaan van de kopie, aldus het Kifid vorig jaar. Maar daar komt men in de interne beroepsprocedure dus op terug, met de voor mij gekunstelde argumentatie dat

Het bewaren van het onbewerkte identiteitsdocument heeft immers (onder meer) tot doel om aan te tonen dat dit cliëntenonderzoek heeft plaatsgevonden overeenkomstig de wettelijke eisen. … [ook] omdat aan de hand daarvan de toezichthoudende autoriteiten kunnen vaststellen of de bank haar wettelijke verplichtingen in het kader van het cliëntenonderzoek heeft nageleefd.
Dit zie ik als de klassieke fout: ja, je moet kunnen bewijzen dat je de identificatieprocedure hebt uitgevoerd, maar nee het is niet noodzakelijk dat je daarvoor de kopie ID laat zien. Als je conform procedure de ID hebt gezien en de bij jou benodigde gegevens hebt overgenomen, inclusief het nummer van het identiteitsbewijs, dan heb je bewijs genoeg dat je het ID hebt gezien. Hoe kom je anders aan die gegevens? Het bewaren van de ID is daarmee een bovenmatige stap. Ik dacht dat we deze discussie al gehad hadden?

Arnoud

Mag je gelekte software doorspitten om te zien of deze tegen jou gebruikt is?

Geplaatst op in Security, Uitingsvrijheid, 2 reacties

Activistische hackers hebben 1,8 terabyte aan software en broncode online gezet van het Israëlische spionagebedrijf Cellebrite. Dat meldde Tweakers vorige week. Onder meer ons NFI gebruikt deze software om mobiele telefoons te kraken, bijvoorbeeld in een strafrechtelijk onderzoek. De discussie in de comments focuste op een interessante vraag: mag je in deze publicatie snuffelen als je vermoedt dat deze software ook tegen jou gebruikt zou (kunnen) zijn?

Hoe ernstig het lek is, is nog wel de vraag. Reageerder Eltweako meldt bijvoorbeeld dat “verreweg de meeste files gewoon te downloaden van de Cellebrite portal als je hun software afneemt.”

Het grootste deel van de 1.7TB zijn de offline map packages. Die zijn bedoeld om in te laden in de Physical Analyzer als je “in het veld” aan het werk bent. Grofweg zijn er 2 tools die je gebruikt en die ook in deze leak zitten: De Physical Analyzer en UFED4PC. UFED4PC is de tool die je gebruikt voor het uitlezen van mobiele apparaten, en is gelijk aan de software die op hun hardware draait.
De software is vrij breed beschikbaar onder vakgenoten, er zitten geen spectaculaire 0day inbraaktools tussen. Dat is relevant, want de zorg over of je erin mag kijken komt vanwege het recente wetsartikel tegen helen van gegevens, artikel 139g Wetboek van Strafrecht, dat het verwerven, hebben of verspreiden van “niet-openbare gegevens” strafbaar stelt. Dus of het nou software is of data, persoonsgegevens of niet, je mag ze niet verspreiden – als je wist of moest weten dat de gegevens door misdrijf zijn verkregen uit de originele bron.

Er is een uitzondering in lid 2:

Niet strafbaar is degene die te goeder trouw heeft kunnen aannemen dat het algemeen belang het verwerven, voorhanden hebben, ter beschikkingstellen, bekendmaken of gebruik van de gegevens, bedoeld in het eerste lid, vereiste.
Deze uitzondering is met name bedoeld voor journalisten, die zouden willen publiceren over misstanden en daarbij deze gegevens als brongegevens nodig hadden. Stel tussen die gelekte gegevens zat ook een klantenlijst en men ziet daarop allerlei onfrisse geheime diensten in schurkenstaten, dan zou dat nieuwswaarde hebben om te publiceren en dan is het ongewenst dat het OM de nieuwsmedia kan vervolgen wegens “heling van informatie”.

De vraag die hier opdook, was echter of je zelf mag kijken of die software iets kan waardoor jou onrecht kan zijn aangedaan. Een soort van terughacken, zeg maar. Want dat is dan in jouw eigen belang, maar is dat hetzelfde als het algemeen belang, zeker als je niet publiceert? Indirect denk ik toch wel, want dat belang dat jij nastreeft is een belang voor het algemeen, het bestrijden van onrecht dat jou is aangedaan zodat je juridische stappen kunt nemen lijkt me daar wel aan te voldoen.

Arnoud

 

Verdachte krijgt lagere straf voor phishing wegens politie-onderzoek naar iPhone

Geplaatst op in Regulering, Security, 3 reacties

Een man die via sms en WhatsApp phishingaanvallen uitvoerde heeft een lagere straf gekregen omdat de politie zijn iPhone zonder toestemming van de rechter-commissaris onderzocht, las ik bij Security.nl. De rechtbank Midden-Nederland oordeelde dat

De strafzaak was het gevolg van een smishing-zaak (sms-phishing, sorry) waarbij verzekeraar Achmea als gezicht was gebruikt. Dat lijkt competent genoeg te zijn opgepakt:

Het Cyber Defence Center van Achmea heeft onderzoek gedaan naar de links die in de sms-berichten stonden en heeft daarbij achterhaald dat de website waarop men terecht kwam na het klikken op de link werd beheerd vanaf het IP-adres [IP-adres] . Op dit IP-adres is vervolgens een IP-tap aangesloten, waaruit het vermoeden ontstond dat er op 11 februari 2021 live phishing activiteiten plaatsvonden. De politie is daarop binnengetreden in de woning die hoorde bij het voornoemde IP-adres aan de [adres] in [woonplaats] (hierna: [woonplaats] ) en trof daar verdachte en zijn twee medeverdachten ( [medeverdachte 1] en [medeverdachte 2] ) aan.
En ja, daar staat dus dat de phisher de nepsite vanuit huis draaide. Niet beheerde maar echt de website fysiek op zijn thuisadres gehost.

Bij de inval werden naast diverse andere zaken ook een telefoon gevonden (een iPhone X Max Pro) die vermoedelijk van de verdachte was. Daarop werd deze inhoudelijk onderzocht, wat een complex dingetje is in de strafvordering want daar is dus geen formele wettelijke bevoegdheid voor. De Hoge Raad staat het echter toe onder de voorwaarde dat je bij het onderzoek vooraf moet kijken hoe ‘diep’ je wilt gaan, en afhankelijk daarvan moet beslissen hoe ernstig de inbreuk op de privacy is. In dit geval vrij ernstig:

De rechtbank constateert dat er bij het onderzoek aan de telefoon van verdachte zeer veel persoonlijke informatie is aangetroffen. De rechtbank denkt daarbij specifiek aan chats tussen verdachte en zijn (ex-)vriendin, chats met zijn zus, informatie over verkeersboetes en de enorme hoeveelheid afbeeldingen (meer dan 75.000) en video’s (ruim 4.000). De rechtbank is van oordeel dat er met het onderzoek aan de telefoon een min of meer volledig beeld is verkregen van het leven van verdachte. Daarmee is in vergaande mate een inbreuk op de persoonlijke levenssfeer van verdachte gemaakt. Nu het onderzoek in het licht van artikel 8 EVRM pas had mogen plaatsvinden na toestemming van de rechter-commissaris, is er sprake van een onherstelbaar vormverzuim in het voorbereidend onderzoek jegens verdachte.
Die term “onherstelbaar vormverzuim” klinkt ernstig: de zaak kan de prullenbak in, volledige vrijspraak en een schadevergoeding voor alle dagen onterecht vastzitten. Maar nee, zo werkt dat niet in Nederland. Wij houden het simpel: als het wel was gevraagd, had de r-c vast wel toestemming gegeven dus eigenlijk is er niets aan de hand. Ook ging het hier om een situatie waarin 22 telefoons waren gevonden en de informatie in brokjes naar boven kwam. Kan gebeuren, begrijpelijk, niets aan de hand.

Of nou ja, niet helemáál niets, omdat de privacy van de verdachte is geschonden door deze doorzoeking wordt een van de zes maanden celstraf kwijtgescholden. Die straf is an sich veel lager dan de 42 gevorderde maanden, maar dat kwam omdat de rechtbank de bewijsstukken veel minder sterk weegt.

Arnoud

Wordt de directie persoonlijk aansprakelijk voor IT-fouten onder de NIS2-richtlijn?

Geplaatst op in Ondernemingsvrijheid, Security, 6 reacties

De NIS2-richtlijn lijkt nog ver weg, maar omdat de gevolgen groot kunnen zijn, moeten bedrijven niet te lang wachten met actie. Dat las ik bij Dutch IT Channel.  “Heel belangrijk detail is dat de directie van bedrijven persoonlijk aansprakelijk wordt voor het conformeren aan deze wetgeving”, zo werd uitgelegd tijdens een bijeenkomst van de Dutch Cybersecurity Assembly. Oh wacht even, heb ik iets gemist?

NIS-2 is de tweede versie van de Europese Network and Information Systems-richtlijn, die voor het eerst in 2016 uitkwam. Bij Computable leggen ze uit waar het om gaat:

[De] kern bestaat uit twee elementen: de zorgplicht en de meldplicht. De zorgplicht verplicht organisaties om de hele infrastructuur op orde te brengen. Zo wordt het verplicht om de faciliteiten te hebben om te monitoren wat er gebeurt op het netwerk. De meldplicht wil dat organisaties melding moeten maken wanneer ze te maken krijgen met een cyberincident. Voor alle organisaties die gezien worden als leverancier van ‘essentiële diensten’ is er dus (veel) werk aan de winkel.
En de ophef is groot, want waar de eerste NIS-richtlijn alleen enkele specifieke sectoren betrof, is de reikwijdte nu zo groot dat ook bijvoorbeeld managed hostingbedrijven eronder gaan vallen. Computable noemt een aantal van zesduizend bedrijven dat binnenkort met deze regels te maken krijgt.

Nou is dat niet de eerste keer – ik noem de AVG – maar er lijkt nu extra veel herrie te komen, wat mogelijk komt door die angst voor persoonlijke aansprakelijkheid. Bij de AVG viel dat wel mee, daar kun je als directeur alleen persoonlijk een claim krijgen als je niet-naleving zo ernstig is dat we van wanbestuur kunnen spreken.

Bij de NIS2-richtlijn is er meer. Het governance-artikel (20) bepaalt namelijk in lid 1:

De lidstaten zorgen ervoor dat de bestuursorganen van essentiële en belangrijke entiteiten de door deze entiteiten genomen maatregelen voor het beheer van cyberbeveiligingsrisico’s goedkeuren om te voldoen aan artikel 21, toezien op de uitvoering ervan en aansprakelijk kunnen worden gesteld voor inbreuken door de entiteiten op dat artikel.
Dus bestuursorganen van de entiteiten die onder de richtlijnen vallen, moeten zorgen dat ze toezicht houden op de uitvoering en de wetgever moet zorgen dat ze aansprakelijk gesteld kunnen worden als ze artikel 21 schenden. Artikel 21 is dan het artikel met de algemene beveiligingseisen. Maar wat is een “bestuursorgaan”? De NIS-richtlijn definieert het niet, en het begrip is duidelijk niet bedoeld als het bestuursrechtelijke begrip ‘bestuursorgaan’. Vermoedelijk zocht men een generieke term voor zaken zoals een holding, of de bestuursafdeling.

Maar het gaat verder, in artikel 29 staat letterlijk (lid 6):

De lidstaten zorgen ervoor dat elke natuurlijke persoon die verantwoordelijk is voor of optreedt als wettelijke vertegenwoordiger van een essentiële entiteit op basis van de bevoegdheid om deze te vertegenwoordigen, de bevoegdheid om namens deze entiteit beslissingen te nemen of de bevoegdheid om controle uit te oefenen op deze entiteit, de bevoegdheid heeft om ervoor te zorgen dat deze entiteit deze richtlijn nakomt. De lidstaten zorgen ervoor dat dergelijke natuurlijke personen aansprakelijk kunnen worden gesteld voor het niet nakomen van hun verplichtingen om te zorgen voor de naleving van deze richtlijn.
Kort gezegd: iedere bestuurder van een bedrijf moet wettelijk bevoegd zijn om security-maatregelen te nemen, zodat directeur A dat niet klein kan houden “vanwege de kosten” terwijl directeur B graag breed wil uitpakken. Maar ook zijn deze personen dus zélf aansprakelijk voor het niet-nakomen.

Dat wil natuurlijk niet zeggen dat iedereen ter wereld maar even geld mag komen eisen bij de directeur privé zodra een bedrijf een of andere maatregel niet is nagekomen. De crux zit hem erin dat de beveiligingseis een open norm is: je moet adequaat beveiligen, en pas als je dus écht onder maat bent gebleven, is er mogelijk een aansprakelijkheidsdiscussie te voeren. En dan moet er ook nog eens geldelijk schade geleden zijn die aan die directeur te verwijten is.

Arnoud

 

Onderzoeker: automobilisten eenvoudig te volgen via populaire parkeerapps

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, 24 reacties

Meer dan een kwart van alle auto’s is eenvoudig te traceren door middel van populaire parkeerapps zoals EasyPark, Q-Park, Indigo Neo, Interparking en APCOA, zo stelt de Belgische beveiligingsonderzoeker Inti De Ceukelaire op basis van eigen onderzoek. Dat meldde Security.nl onlangs. Bij al die apps kun je gemakkelijk kentekens toevoegen, maar zonder controle of je er houder van bent. Zo kun je dus vervolgens parkeeracties van die auto’s inzien. Inti maakte ook een opt-out.

De kern van het onderzoek is verbazingwekkend simpel. Vrijwel iedere parkeerapp biedt de mogelijkheid meerdere kentekens toe te voegen, waarbij geen enkele controle volgt of je daar houder van bent, of dat de eigenaar van die auto het goed vond. Een legitieme reden kan zijn dat je een buurman of vaste klant wilt laten parkeren via jouw app, maar je kunt zo ook mensen stalken (het nummerbord van je ex of die man/vrouw die je laatst klemreed bij de afrit Nieuwegein).

Natuurlijk werkt dat alleen als je vervolgens ook een parkeeractie uitvoert, pas dan zie je (ter controle) de straat of parkeergarage waar de auto is. Door sessies van 1 seconde te doen, voorkwam de onderzoeker dat de slachtoffers zouden zien dat ze al geparkeerd staan (als ze bijvoorbeeld dezelfde app hebben, of doordat de slagbomen opengaan zonder betalen).

Een gebrek bij kentekens is dat je geen verificatie kunt doen, zoals bij 06-nummers of e-mailadressen wel kan. Een systeem dat werkt op basis van kentekens (zoals parkeerapps) heeft dus fundamenteel dit probleem, en daar is geen oplossing voor behalve de RDW zo gek krijgen dat ze brieven gaan sturen naar de kentekenhouder wanneer een app deze wil registreren. (Ik zie dat niet gebeuren.)

De Ceukelaire merkt op dat parkeersessies een onschatbare bron van informatie prijsgeven over bestuurders. “Aan de hand van de parkeerduur, locatie en tijd kan je afleiden wat de persoon daar komt doen. Zo zijn er tijdens het onderzoek personen gelokaliseerd nabij kantoorruimten, winkelcentra, concertzalen, sportcomplexen, casino’s en ziekenhuizen.”
Het onderzoek werd overigens netjes uitgevoerd op kentekens van vrijwilligers die wel eens wilden weten of ze werkelijk getrackt konden worden.

Arnoud

Rechtbank Breda veegt zaak met Sky-Ecc bewijs van tafel

Geplaatst op in Regulering, Security, 9 reacties

Een man die werd verdacht van handel in 40 kilo MDMA, 300.000 xtc-pillen en ruim twintig kilo ketamine is door de rechtbank in Breda geheel vrijgesproken omdat de rechtbank het enkele bewijs van een reeks door de politie ontsleutelde pgp-berichten van Sky-ECC niet voldoende vindt. Dat meldde Crimesite onlangs. De uitspraak is opmerkelijk, omdat in tientallen rechtszaken zwaar is geleund op Sky-ECC berichten zonder dat rechters daar moeite mee hadden.

In 2016 wist de Nederlandse politie een gouden greep te doen in afluisterland: men kreeg de sleutels te pakken waarmee versleutelde communicatie tussen criminelen te ontcijferen was – de app Sky ECC van het bedrijf Ennetcom. Sindsdien zijn de betreffende berichten in vele zaken gebruikt, een snelle zoekopdracht geeft 84 uitspraken waarbij het mede ging om Sky ECC berichten.

In vrijwel al die zaken maakte de advocaat een punt van de toelaatbaarheid van dit bewijs. Meestal ging het dan om inzage in de hele dataset die hoorde bij het account van de verdachte, omdat je berichten in de context wil kunnen beoordelen. Dat is een principieel punt, in het kader van een eerlijk proces (artikel 6 EVRM) moet je als verdediging het gebruikte bewijs kunnen beoordelen:

De rechtbank stelt vast dat er verschillende niveaus van onderzoek aan data te onderscheiden zijn. Op het eerste niveau gaat het om het onderzoek naar de ruwe, ongefilterde data (de primaire dataset). … In de praktijk kan dit betekenen dat de verdediging zelf trefwoorden kan aandragen waarop zij de data wil laten onderzoeken. In dit stadium mag wat het EHRM betreft echter wel het nodige van de verdediging verwacht worden om te specificeren wat en te motiveren waarom daarnaar gezocht moet worden.
Een Excelsheet met de relevante conversatiedraden kun je krijgen, en voor de rest kun je spelen met het systeem van het NFI. Wie om meer vraagt (zoals alle ruwe data over de zaak, alle gesprekken waar je aan deelnam, of documentatie over hoe alles precies is verkregen) krijgt al snel het verwijt van “fishing expedition” om de oren:
Aan verzoeken die neer zouden komen op “fishing expeditions” van de zijde van de verdediging hoeft niet tegemoet te worden gekomen. Ook schrijft het EHRM niet voor dat de verdediging dit onderzoek zelf zou moeten kunnen uitvoeren. De mogelijkheid om aan te geven hoe de data onderzocht moeten worden is in deze fase voldoende.
In de zaak waar deze blog mee begon, zit de rechter er zelf ook mee dat ze niet alle berichten kan inzien:
De rechtbank stelt vast dat de verdenkingen tegen verdachte gebaseerd zijn op de in het procesdossier aanwezige Sky ECC-berichten. Deze berichten komen naar het oordeel van de rechtbank allemaal uit één bron, namelijk de gekraakte berichtendienst Sky ECC. Dat door het Openbaar Ministerie wordt verwezen naar meerdere chatsessies van het account [accountnummer] met verschillende andere gebruikers van Sky ECC maakt dit niet anders. In het procesdossier zijn geen bewijsmiddelen opgenomen die de inhoud van de berichten ondersteunen. Hierdoor is de inhoud van de berichten niet te toetsen. De rechtbank is van oordeel dat hierdoor het wettige bewijs voor de tenlastegelegde feiten ontbreekt. Zij spreekt verdachte daarom vrij van alle tenlastegelegde feiten.
Bij Crimesite lees ik dan als conclusie dat “[z]onder context van alle berichten zouden de Sky-berichten die het Openbaar Ministerie heeft aangedragen [] moeten worden uitgesloten van het bewijs.” Dat gaat me dan weer wat ver. Ik haal uit deze uitspraak dat er geen ander bewijs was tegen de verdachte, zoals bij hem gevonden drugs (deze of deze zaak). Ik zie in de tenlastelegging bijvoorbeeld dat de verdachte enorme hoeveelheden xtc en mdma zou hebben gehad en verhandeld, maar niets over een huiszoeking waar dat gevonden zou zijn of een getuige die de verkoop heeft gezien bijvoorbeeld.

Maar het punt is op zich wel heel belangrijk: hoe stel je vast dat een chatlog een betrouwbare weergave is van wat de verdachte gechat heeft? Natuurlijk zit er een hele bewijsketen aan vast om precies dit vast te stellen, bij instanties als TNO (de Hansken-tool, waarmee deze berichten worden doorzocht, komt van TNO) mag je er wel op vertrouwen dat die het goed op orde hebben. Maar als het gaat om vragen als “hebben we alle relevante berichten” of “wat is er gezegd óver de verdachte” dan ontstijg je dat niveau.

Arnoud