Bol.com trapte in phishingmail en maakte 750.000 euro over naar oplichters

Geplaatst op in Ondernemingsvrijheid, Regulering, 28 reacties

Bol.com heeft 750.000 euro overgemaakt naar oplichters nadat het bedrijf in een phishingmail was getrapt, las ik bij Tweakers. De rechtbank Midden-Nederland oordeelde recent dat men argwanender had moeten zijn. Weliswaar klopte het afzendermailadres (door een computerhack) en leken ook layout en namen correct, maar het taalgebruik was van het niveau Google Translate halfbakken Engels en dat is voor twee jarenlang samenwerkende Nederlandse bedrijven bepaald gek.

Op 25 november 2019 werd een e-mail aan ‘[email protected]’ gestuurd met onder meer de volgende inhoud: ‘Bijgevoegd vindt u onze nieuwe betalingsroute zoals opgedragen door het management, doe het nodige voor de volgende betaling. Alvast bedankt!’. Afzender: meneer [A], wiens mailbox was gehackt “via de cloud”. Het vonnis bevat een printscreen van de gehele mail. De strekking: een verzoek om betalingen voortaan niet meer over te maken aan de bij Bol.com bekende bankrekening van Brabantia Netherlands maar aan een Spaanse bankrekening die ten name van ‘Brabantia International B.V.’ zou staan.

De oplichter bleek hardnekkig want de navolgende dagen werd een keurige reminder gestuurd (“Kunt u bevestigen dat uw crediteurenadministratie is bijgewerkt als bijgevoegd.“) Uiteindelijk werd daarop gereageerd, maar die mail bleef buiten het zicht van de gehackte Brabantia-medewerker. Daarna dacht Bol.com alles geregeld te hebben en werden de verkoopopbrengsten keurig overgemaakt naar het nieuwe nummer. Na zo’n 750.000 euro niet te hebben gekregen, trok het Brabantse bedrijf aan de bol, sorry bel, en kwam de fraude uit.

Wie draait daar voor op? Het begon dus bij een overgenomen mailbox van een medewerker van Brabantia, en ook kon men bij het briefpapier-template van Brabantia, zodat het op zich echt doen lijken van de berichten mogelijk was. De inhoud van de mails gaf echter te denken:

Om te beginnen bevat deze merkwaardige fouten als ‘Houd he [?] rekening mee’ en de frase ‘een wijziging in onze bankrekeninggegevens hebben voor incaende [?] betalingen’, waarbij ‘incaende’ meer dan een gewone typefout lijkt. Bovenal roept de frase ‘moten all incoming betalingen have been overgemaakt’ onmiddellijk grote vraagtekens op, zelfs als een zekere mate van gebrekkig taalgebruik of een overmatig gebruik van het Engels voor lief wordt genomen.
Bol.com moest begrijpen dat dergelijke frases praktisch niet van directeuren van Brabantia Netherlands afkomstig kunnen zijn of door hen kunnen zijn goedgekeurd. Dat met de daarop volgende Engelstalige passage ‘niets mis is’, zoals Bol.com benadrukt, doet hier niet aan af, nog afgezien van het feit dat het gebruik van de Engelse taal in deze context op zich zelf al tot twijfel had moeten leiden.

Vanwege al deze omstandigheden is de conclusie voor de rechter helder: Bol.com had beter op moeten letten, en zij heeft dus wanprestatie gepleegd jegens Brabantia door die 750k niet te betalen op de rekening waar die hoorde te komen.

Het enige vind ik steekhoudende tegenargument is dat Bol.com dus had gereageerd naar Brabantia (het gehackte mailadres) en dat men daar het niet opgepakt had. Dat kwam omdat de crimineel mails met als afzender Bol.com in het mapje “RSS Feeds” (zo’n standaardmap van Outlook die niemand wil) had laten komen en automatisch als gelezen gemarkeerd. Zo kon die keurig reageren maar zou de medewerker die waarschijnlijk niet zien. Je zou dan zeggen: die berichten zijn bij Brabantia aangekomen, het niet checken van dat mapje is voor rekening van dat bedrijf dus die hadden het moeten zien. Alleen:

Bij de vraag of Bol.com te goeder trouw was bij de betalingen, is bepalend of zij had moeten twijfelen (zie hiervoor in 3.11). Hiervoor heeft de rechtbank vastgesteld dat Bol.com door de brief van 25 november 2019 ernstig moest twijfelen. Die ernstige twijfel wordt naar het oordeel van de rechtbank niet weggenomen doordat Brabantia Netherlands de bevestiging van Bol.com onbeantwoord heeft gelaten.
Bol.com had al moeten twijfelen vóórdat ze een reply stuurde, laat staan voordat ze het rekeningnummer aanpaste. En dan kun je dus niet zeggen “jullie hebben nooit gereageerd op ons bericht dat we het nummer aangepast hebben”. Ook het sturen van betalingsaankondigingen hielp haar niet, als leverancier hoef je daar niet naar te kijken en al helemaal niet te denken, wat raar dat ze vier weken na de aankondiging nog niet betaald hebben.

Ook een argument van Bol.com was dat Brabantia haar mailboxen beter had moeten beveiligen, bijvoorbeeld met tweefactorauthenticatie. Dan was de inbraak waarschijnlijk niet gelukt, en had dit alles voorkomen kunnen worden. Een terechte klacht, en dit had ook zeker de doorslag gegeven als de mail perfect Nederlands was geweest en een Nederlands IBAN was gebruikt. Maar dat was dus niet zo, en precies  daarom had Bol.com argwanender moeten zijn. Als de afzender klopt maar de inhoud bizar is, dan is er iets mis. En dan ligt de bal écht bij jou als ontvanger.

Arnoud

Facebook en Gucci klagen samen verkoper van nepspullen aan

Geplaatst op in Intellectuele rechten, 6 reacties

Facebook heeft een rechtszaak aangespannen tegen een verkoper van namaakspullen, las ik bij Tweakers. Facebook werkt daarbij samen met modehuis Gucci, de partij wiens producten nagemaakt werden door deze verkoper. Nu komt handel in namaak al vele decennia voor, ook met Facebook of Instagram als platform, dus het verbaast in zoverre niet dat er een rechtszaak komt, maar waarom doet Facebook mee zo vroegen veel mensen zich af?

Volgens de eigen blog is de zaak “part of our ongoing efforts to enforce our Terms and protect against abuse”. Immers, de TOS van Facebook verbieden al sinds het begin het schenden van rechten van derden. Daarnaast heeft men “robust IP protection measures including a global notice-and-takedown program, a robust repeat infringement policy and additional measures”, waartoe dan kennelijk ook behoort dat je samen naar de rechter gaat.

Het doet in zoverre raar aan dat dit volgens mij de eerste keer is dat Facebook meedoet met zo’n rechtszaak. Juridisch is het ook een tikje gek, want Gucci kan gewoon merkinbreuk (of auteursrechtinbreuk, eventueel) aandragen als basis voor haar claim maar Facebook moet het gooien op een wanprestatie onder de overeenkomst met de gebruiker – de juridische term voor “schending van de TOS”. En dat is juridisch iets heel anders.

In zoverre is het handig dat als Gucci aantoont dat haar merk geschonden wordt, Facebook meteen gelijk krijgt dat haar TOS geschonden is. Dus efficiënt is het wel.

Het onderliggende punt is natuurlijk dat Facebook zelf niet aansprakelijk is voor die merkinbreuk door haar gebruiker. Dus waarom doen ze dan die moeite, zo’n dure rechtszaak? Ze kunnen ook – zoals zo veel platforms al decennialang doen – achterover leunen en wachten op de notice & takedown en dan de specifieke advertentie weghalen. Kennelijk is er dus een reden waarom Facebook zelf ook van deze gebruiker af wil. Te veel klachten gehad? Een precedent willen zetten pour encourages les autres? Geld krijgen van Gucci voor actief meewerken?

Arnoud

Mag een computerwinkel geld vragen voor het resetten van je laptop?

Geplaatst op in Ondernemingsvrijheid, 36 reacties

Via Reddit:

[Ik heb online een laptop gekocht.] Ik heb de laptop aangezet, de verplichte installatie doorlopen, hem een tijdje lang de nodige Windows updates laten doen, en heb hem daarna even uitgeprobeerd door Chrome te installeren, wat webpagina’s te openen en Windows verkenner gelijktijdig te openen. [De laptop viel tegen] De volgende werkdag werd ik gebeld door de desbetreffende winkel: “heeft u de laptop aangehad? En de installatie doorlopen? Dan moet u 50 euro betalen omdat wij de laptop moeten resetten.”
De vraag is dan natuurlijk: mag een winkel dit zo eisen van een consument?

Hoofdregel bij een koop op afstand (want dat is het) is dat je het gekochte product mag uitproberen om te zien of deze bevalt. Dat doet je retourrecht (de 14-dagen-retourtermijn zeg maar) niet vervallen. Dus als je een jurk aan wil doen, even een rondje lopen met nieuwe schoenen of de tuinstoelen uitklappen om te zien of ze passen bij de schutting: dat is prima.

Het probleem is natuurlijk dat uitproberen kan leiden tot kleine (of grote) schade. Bij die jurk kan een kaartje er af vallen, die schoenen kunnen nét wat streepjes krijgen onder de zool en de tuinstoelen worden vies van het gras in je tuin, of van je kind dat er net een glas limonade op gooit tijdens het uitproberen van de springkussenfunctie. Ook dat is geen reden tot weigeren van de retour; wel mag de winkel dan soms een redelijke schadevergoeding berekenen voor de waardevermindering van de zaak. De wet (art. 6:230s lid 3 BW) bepaalt:

De consument is slechts aansprakelijk voor de waardevermindering van de zaak als een behandeling van de zaak verder is gegaan dan noodzakelijk om de aard, de kenmerken en de werking daarvan vast te stellen.
Dat afgevallen kaartje zou ik nauwelijks schade willen noemen, maar zelfs als het schade is (er moet een nieuw kaartje geprint) dan lijkt me dat voor rekening van de winkel. Dat een kaartje in de hals loskomt bij het passen van een jurk dat is normaal. Die krasjes onder de schoenen lijken me ook normaal bij gewoon uitproberen. Onder dat laatste valt dan weer niet het langdurig op een grindpad gaan lopen, dat zou ik onnodig vinden. Voor dergelijke krassen is denk ik wel een vergoeding mogelijk. En die limonade, dat spreekt voor zich want het is geen normale test om limonade ergens overheen te gooien.

Deze regel toepassend op een laptop geeft dus de vraag: is het aanzetten, updaten en even Chrome + spielerei proberen een vorm van “normaal uitproberen” of gaat men dan verder dan noodzakelijk? Ik neig toch naar dat laatste. Installeren van software en rondklikken in Windows is voor mij primair het uitproberen van Windows en niet de laptop, de hardware zeg maar. Hoe de toetsen typen en of je makkelijk de Sleep-knop indrukt omdat die zit waar jij de Insert-knop verwacht (ik kijk naar jou, Asus) dat is een hardwaretest maar die kun je ook met de laptop uit volgens mij.

Arnoud

Hoe toegankelijk moet je videospel zijn?

Geplaatst op in Ondernemingsvrijheid, 19 reacties

Via Reddit:

I can’t use one hand and some fingers on the other after an industrial accident. I do things on the computer using mouse and 3 foot pedals. I play this game called Path of Exile, and in the game you need to refresh 4 potion buffs every 3-8 seconds. I physically can’t press 4 keys every few seconds so I use a macro that automatically does it for me. I got banned for it recently.

Een en ander blijkt nep te zijn, maar de vraag bleek desondanks interessant genoeg om duizenden discussies in allerlei subreddits op te werpen. De kern is: hoe ver moet je als game-ontwikkelaar mensen tegemoet komen die vanwege een lichamelijke beperking het spel niet kunnen spelen op de manier die jij had bedacht?

In de VS gaat het dan om de Americans With Disabilities Act uit 1990, die kort gezegd bepaalt dat je mensen niet vanwege een fysieke beperking de toegang tot een “locatie opengesteld voor publiek” mag ontzeggen. Heb je een verhoogde ingang, dan moet daar dus een oprit voor rolstoelen bij, bijvoorbeeld. En moet je dingen lezen om wat te kunnen doen, dan moet er dus braille bij (zoals bij geldautomaten op het nummerpad). Maar is een website een locatie? In 2016 bepaalde het Hof van Beroep van niet – de website van Domino’s hoeft niet toegankelijk te zijn voor een schermlezer van een blinde persoon die een pizza wilde bestellen.

Rond die tijd was er ook in Europa ophef: in januari 2016 werd het verdrag inzake de rechten van personen met een handicap goedgekeurd. Dit verdrag beschrijft rechten van mensen met een handicap (langdurige fysieke, mentale, intellectuele of zintuiglijke beperkingen) en bevat tevens de verplichting dat verdragsstaten alle passende maatregelen nemen om te waarborgen dat redelijke aanpassingen worden verricht.

Vanaf 2017 geldt in Nederland daarom de reden dat dienstverleners – ook online – “verplicht [zijn] tot het treffen van voorzieningen van eenvoudige aard en gaandeweg zorg te dragen voor de algemene toegankelijkheid voor personen met een handicap of chronische ziekte, tenzij dat voor hem een onevenredige belasting vormt.” Er zijn geen harde specifieke regels; zo is het ondertitelen van Youtubevideo’s een voorziening maar die hoeft dus alleen als dat geen onevenredige belasting oplevert.

Maar wat betekent dat nu voor games? In 2001 bepaalde het Amerikaanse Supreme Court dat een golfer met een fysieke handicap toegestaan moest worden met een golfkarretje van hole naar hole te rijden, omdat de reglementair verplichte wandeling voor hem niet haalbaar was. Dit omdat “use of the golf cart does not “fundamentally alter the nature” of the game of golf.” Een eis dat hij de bal met de hand zou mogen werpen, zou dus niet toegewezen hoeven te worden om eens een simpel voorbeeld te noemen.

In Nederland is er volgens mij nooit zo’n zaak geweest, maar in principe zou dit criterium heel goed bij ons kunnen werken. Er zit een fundamenteel stukje eerlijkheid in: als de regel mede bepalend is voor hoe het spel verloopt, dan zou je het spel dus aantasten als je uitzonderingen gaat maken. Is het een zijdelingse kwestie (zoals dat je een bril nodig hebt als voetballer) dan is een uitzondering dus in beginsel vereist.

Tussengevallen houd je dan nog over, en die zijn lastig. In een restaurant moet de voedselhygiëne goed geregeld zijn, dus geen dieren naar binnen. Maar als ik een hond nodig heb om vrij te kunnen lopen, dan moet die hond mee naar binnen. Daar kom je denk ik niet snel uit – al is in de VS bepaald dat zo’n hond dan wél mag omdat de impact van één geleidehond op de hygiëne acceptabel klein is.

Hoe zou dat bij dit spel uitpakken? De vraagsteller gebruikt dus een trucje om niet elke zo veel minuten snel vier toetsen achter elkaar in te hoeven drukken, omdat hij daar simpelweg de vingers en flexibiliteit in de hand niet voor heeft. Het doel van deze eis uit het spel is te controleren dat je nog steeds in het spel zit. Dat voelt voor mij als een zijdelingse kwestie. Bij een boks-spel waar snel toetsen indrukken snel slaan zou betekenen, zou dit een oneerlijk voordeel opleveren namelijk beter vechten dan je eigenlijk kan.

De complicatie is natuurlijk dat de spel-aanbieder dat niet kan zien, in tegenstelling tot een scheidsrechter bij het voetbal die je medische verklaring over je ogen kan lezen, of een restaurateur die zelf waarneemt dat een persoon blind is en die hond dus nodig heeft. Het voelt dan ook best risicovol om dit toe te staan enkel omdat mensen zeggen vingers te missen. Maar heel cru oordelen “dat doen we niet want cheaters” is wettelijk ook weer niet de bedoeling.

Hebben jullie een idee?

Arnoud

 

Joh, AI met bias overtreedt discriminatiewetgeving, wie had dat nou gedacht

Geplaatst op in Innovatie, 2 reacties

De Amerikaanse FTC waarschuwt op haar blog bedrijven die AI inzetten: de verkoop of inzet van biased AI systemen is een oneerlijke handelspraktijk en kan overtreding van antidiscriminatiewetgeving zoals de Fair Credit Reporting Act en de Equal Credit Opportunity Act opleveren. Grote schok, wie had dat nou kunnen denken, dat een AI die mensen wegselecteert op basis van etnische afkomst mogelijk wel eens als discriminerend gezien kan worden?

Nou ja, niet helemaal eerlijk: de meeste AI’s worden natuurlijk niet ontworpen om op basis van die criteria te selecteren. Het is vrijwel altijd een onbedoelde uitkomst, meestal omdat de dataset scheef zat of omdat er een onbewuste aanname is gedaan op basis waarvan het systeem is gebouwd.

De waarschuwing is in zoverre opmerkelijk dat de markttoezichthouder zelden zo concreet en specifiek wordt, mede omdat ze zich expliciet richt tot leveranciers van technologie op basis van wetgeving gericht op gebruik daarvan:

For example, let’s say an AI developer tells clients that its product will provide “100% unbiased hiring decisions,” but the algorithm was built with data that lacked racial or gender diversity. The result may be deception, discrimination – and an FTC law enforcement action.
En men prikt de bedrijven waar het pijn doet: in de data, diep in de data. Zo was er het bedrijf Everalbum, een online fotodienstverlener “dedicated to helping you capture and rediscover your life’s memories.” Alleen bleek men alle foto’s, inclusief handige tags en namen, te gebruiken om een gezichtsherkenningsalgoritme te trainen:
 The FTC alleged that the company deceived users about their ability to control the app’s facial recognition feature and made misrepresentations about users’ ability delete their photos and videos upon account deactivation. To deter future violations, the proposed order requires the company to delete not only the ill-gotten data, but also the facial recognition models or algorithms developed with users’ photos or videos.
Een passende straf: je moet je data én modellen weggooien, oftewel je moet zakelijk opnieuw beginnen terwijl je het consumentenvertrouwen kwijt bent vanwege publicatie van deze beslissing. Veel beter dan een geldboete, die immers kan worden begroot en met investeerderskapitaal afgedaan.

In Europa rommelt het trouwens ook: op 21 april publiceerde de Europese Commissie een concept-Verordening over de aanpak van AI. En het is me een ding, inclusief AVG-niveau boetes en toezicht. De kern: AI met hoog risico is eigenlijk niet toegestaan, en daaronder rekent men ook AI die mensen beoordeelt op levensbesluiten zoals wel of niet toegelaten worden tot opleidingen, wel of niet in een sollicitatieronde mee mogen doen enzovoorts. Precies, dat is waar veel AI zich nu op wil richten.

Wie denkt dat ‘ie wel AI eerlijk kan krijgen: mijn cursus AI Compliance & Governance gaat 3 mei weer van start.

De Europese aanpak van AI regulering spreekt me wel aan. Natuurlijk, iedere regulering verstoort de mogelijkheid tot innovatie maar op dit gebied zie ik ondertussen zó veel gepruts en gerommel dat het onderhand wel tijd wordt voor een paar stevige strepen in het zand. Het lijkt wel of alle oude kwakwetenschap weer wordt afgestoft met een AI ‘sausje’, zoals bij ‘microexpressies’ voor het zogenaamd herkennen van iemands emotionele toestand of waarheidspreken.

Het grootste probleem voor mij blijft dat AI steeds vaker de menselijke procedures overneemt. En nu word je bij een bureaucratie natuurlijk gereduceerd tot een nummer, maar bij een AI word je een datapunt en daar zit nog veel minder menselijkheid in. Met name omdat een AI geen genade kent, geen uitzondering. En omdat voor AI alle voorheen fluide mogelijkheden moeten worden platgeslagen: u moet worden geclassificeerd als A, B óf C, en een beetje B of met wat duwen en handig invullen toch C dat zit er niet in.

Arnoud

Tesla-baas Musk zegt dat automatische piloot was uitgeschakeld bij fatale crash

Geplaatst op in Ondernemingsvrijheid, Privacy, 9 reacties

Tesla-oprichter Elon Musk weerspreekt maandag de bewering dat de automatische piloot was ingeschakeld bij de Tesla die vorig weekend in de VS bij een eenzijdig ongeluk betrokken was. Dat meldde Nu.nl eerder deze week. De Amerikaanse lokale politie had eerder gemeld dat het “bijna 99,9 procent zeker” was dat er niemand achter het stuur zat, met de implicatie dat het dan wel Tesla’s roemruchte “Autopilot” (ik verwijs naar de handleiding voor de disclaimer) moet zijn geweest die tegen een boom had gestuurd.

De Tesla Model S uit 2019 was volgens de politie met grote snelheid uit de bocht gevlogen, vervolgens tegen een boom beland en daarna in brand gevlogen. Het ongeval komt op een ongelukkig moment voor het bedrijf, dat van plan is om de software voor de volledig zelfrijdende auto binnenkort beschikbaar te maken voor meer klanten.

Het verbaast dan ook niet (maar toegegeven, niets verbaast bij Musk) dat de topman meteen in de Twitter klom om te melden dat

Data logs recovered so far show Autopilot was not enabled & this car did not purchase FSD. Moreover, standard Autopilot would require lane lines to turn on, which this street did not have.
En dat riep bij mij de lastige vraag op, mag een bedrijf zich op deze manier verweren tegen verwijten dat hun product slecht werkte? Enerzijds is het natuurlijk logisch dat als je kwaliteit ter discussie wordt gesteld, dat je dan met interne informatie komt om aan te geven dat het wél goed zit. Anderzijds betekent dat hier dat je de klantgeschiedenis openbaar maakt, wat een dingetje met privacy is.

Het verrast denk ik vooral omdat de politie deze gegevens nog niet had, waarschijnlijk omdat er nog geen subpoena was verkregen om dit op te eisen bij Tesla. En je wilt misschien eerst dat de politie nagaat welke informatie juist is, voordat het bedrijf alvast zelf zegt hoe het zit. Maar het blijft  raar, dat een autobedrijf kan nagaan én vertellen wat ik heb gekocht, wat ik aan had staan en wat niet.

Arnoud

Wat moet ik juridisch nou weer van NFT’s vinden?

Geplaatst op in Informatiemaatschappij, 9 reacties

In onze digitale wereld, ons ecosysteem dat bestaat uit enen en nullen, onze vrijplaats waar alles kan wat in het echt niet kan, daar is het heel lastig om zaken uniek te maken. Dat las ik in een recent Tweakers Plus-artikel, dat me wijs zou gaan maken over de lol van de non-fungible tokens oftewel NFT’s die nu hot, pardon cool, pardon wreed, pardon populair zijn. U ziet het: ik voel me oud bij het lezen over deze nieuwe technologie. Ik zag het recent voor het eerst voorbij komen als het digitale equivalent van Panini-voetbalplaatjes: de NBA Topshots, flitsen van een spannend basketbalmoment. Maar daar word je dan weer geen eigenaar van. Leeswaarschuwing: blockchain.

Waarom staan nft’s nu ineens zo in de belangstelling? Dat komt doordat Christie’s, een traditioneel kunstveilinghuis, ineens een nft ging veilen. Dat gaf “real world” aandacht voor een internethype, en omdat het ook nog eens over blockchain en crypto gaat is de hype dan snel gegroeid.

De kern van een nft is dat ergens (op de blockchain dus) wordt genoteerd dat jij ‘eigenaar’ bent van een bepaald stukje informatie. Net zoals je eigenaar bent van zo’n zeldzaam voetbalplaatje, of van een koekblik van Rembrandt om het Tweakers-artikel nog even te citeren. En dat is dus niet hetzelfde als eigenaar zijn van waar het echt om gaat; de afbeelding van de voetballer (u mag zelf zeggen of u zich oud voelt bij a) Messi b) Gullit c) Van der Kuijlen) dan wel het schilderij van Rembrandt.

Wat je dan in feite koopt of krijgt, is een token  dat gekoppeld is aan een bepaald digitaal bestand. Dat bestand is gewoon een serie nullen of enen en daar kan van alles mee gebeuren. Maar er is maar één token met die koppeling, en als jij dat token onder jouw beheer bent dan kun je jezelf dus ‘eigenaar’ van dat bestand noemen. De geregistreerde houder van het token kan worden gewijzigd, en zo draag je eigendom dan over. Door dit aan smart blockchains, pardon smart contracts te koppelen kan dat zelfs volledig automatisch gebeuren – na betaling, na een zekere periode, als het bestand ergens verplaatst wordt of ga zo maar door.

Juridisch betekent dit allemaal heel weinig. De échte eigendom op bijvoorbeeld dat schilderij van Rembrandt blijft liggen waar het ligt, en ook de auteursrechten op het werk veranderen niet van eigenaar. Dat vereist namelijk een ondertekend contract (een akte) en een nft is dat niet. Men heeft dus een digitale parallelle handelswereld gecreëerd, waarbinnen ruimte is om geheel eigen regels voor de zelfbedachte “nft eigendom” te hanteren. En dat mag, maar juridisch is daar weinig van te vinden.

Arnoud

Mag de politie je systeem patchen na een malware infectie?

Geplaatst op in Security, 9 reacties

De FBI gaat nu netwerken van privépartijen patchen, las ik (vrij vertaald) bij Schneier’s blog. Het gaat om honderden met malware geïnfecteerde Microsoft Exchange-servers, waar webshells (commandoregel-toegang op afstand) op waren geplaatst. Nadat de federale politie daartoe door een rechtbank was gemachtigd, gaf zij al deze servers een speciaal commando waarmee de kwaadaardige code werd gewist. Dat gaf dus ophef, want men passeerde zo het eigen IT-beleid van die organisaties. En hoezo mag de politie überhaupt bij mensen thuis dingen komen fixen?

Over een week gaat de politie bij ons Emotet wissen van een miljoen computers wereldwijd, dus dit is lekker actueel. Ik zei toen dat dat mocht, want wij hebben artikel 125o Wetboek van Strafvordering:

Indien bij een doorzoeking in een geautomatiseerd werk gegevens worden aangetroffen met betrekking tot welke of met behulp waarvan het strafbare feit is gepleegd, kan de officier van justitie dan wel indien deze de doorzoeking verricht, de rechter-commissaris bepalen dat die gegevens ontoegankelijk worden gemaakt voor zover dit noodzakelijk is ter beëindiging van het strafbare feit of ter voorkoming van nieuwe strafbare feiten.

De doorzoeking vond hier plaats in de centrale server, en via die server vind je dan ook de clientsoftware bij de slachtoffers thuis. Dat zijn “gegevens met behulp waarvan het strafbare feit is gepleegd”, zodat de politie die mag wissen (ontoegankelijk maken).

In de VS moet de FBI het doen met Rule 41, waarmee men algemeen gezegd warrants oftewel bevelen mag halen om bewijs of contraband mee te nemen, illegale voorwerpen in beslag te nemen of mensen op te halen. In het jargon, een search & seizure – zoeken en inbeslagname. Onder deze Rule heeft men nu de warrant gekregen om op al die Exchange-servers binnen te dringen en daar de wis-instructie te geven. En dat is wat vreemd, want oké ze zouden fysiek langs mogen gaan en al die servers meenemen met zo’n bevel maar dat blijft wat anders dan een stukje informatie daarop aanpassen.

Niet gek dus dat vele mensen op de achterste benen staan. Het gaat ook verder dan eerdere zaken waarbij de FBI botnets verwijderde: daar kwamen de geïnfecteerde computers naar de inbeslaggenomen server toe voor nieuwe instructies, en men kon toen vrij eenvoudig “wis jezelf” teruggeven. Dat is toch wat anders dan actief inloggen bij die clients en daar een wis-instructie geven.

Arnoud

Wanneer ben je een crimineel met een gelektewachtwoordensite?

Geplaatst op in Informatiemaatschappij, 5 reacties

De zoekmachine We Leak Info is volgens het Openbaar Ministerie (OM) opgezet om criminelen eenvoudig toegang te geven tot e-mailadressen en wachtwoorden, maar de betrokken Nederlandse verdachte beweert dat de website goede bedoelingen had. Dat las ik bij Nu.nl vorige week. Met deze website kon je – inclusief premiumabonnement – zoeken in de vele gelekte datadumps die er tegenwoordig zijn. Het verweer luidde natuurlijk dat er ook vele andere sites zijn, met name Have I Been Pwned van de bekende researcher Troy Hunt, waar je dat in kunt doen. Hoe zie je nou het verschil?

Even beginnen bij de wet. Artikel 139d Wetboek van Strafrecht zegt dat het een strafbaar feit is als je

  • een computerwachtwoord, toegangscode of daarmee vergelijkbaar gegeven waardoor toegang kan worden gekregen tot een geautomatiseerd werk of een deel daarvan, vervaardigt verkoopt, verwerft, invoert, verspreidt of anderszins ter beschikking stelt of voorhanden hebt
De beperking is dat je dat doet “met het oogmerk dat daarmee [computervredebreuk of gegevensdiefstal] wordt gepleegd”. En daar zit hem dus de crux: mensen adviseren “ja je wachtwoord is gelekt” is natuurlijk heel wat anders dan “het wachtwoord van Wim is BruineHoed123” verkopen aan criminelen.

Eh, wacht, verkopen? Ja, aldus het OM: meneer adverteerde op bekende criminelenforums dus kennelijk wil je dan misdadigers die gegevens verkopen, precies wat we hier strafbaar stellen. Maar nee:

Hen proberen te bereiken zou ook de reden zijn geweest dat We Leak Info op hackforums adverteerde, al leverde dat volgens de Nederlander ook “verkeerde klanten” op.
Mij lijkt dat als je in zo’n situatie weet dat een klant “verkeerd” is, dat je dan niet moet gaan handelen want dan val je – via voorwaardelijke opzet – onder dat oogmerk.

Verder vergeten heel veel mensen die deze vergelijking maken, dat Hunt buitengewoon veel moeite steekt in het niet daadwerkelijk lekken van wachtwoorden. Standaard kun je alleen zoeken op emailadres of telefoonnummer en dan zegt hij welke dienst het datalek had waar dat adres of nummer in zat. Het wachtwoord krijg je niet te zien. Daarmee is er hoe dan ook geen sprake van een strafbaar feit. Ik kan me omgekeerd eigenlijk ook niet voorstellen wat wél een legitieme use case is van het publiceren van login én wachtwoord.

Edit (14 mei 2021): verdachte veroordeeld, 2 jaar cel (1 voorwaardelijk) en winstafdracht van € 110.000.

Arnoud

Mogen winkels preorders van grafische kaarten annuleren omdat de fabrikant de productie stopt?

Geplaatst op in Ondernemingsvrijheid, 21 reacties

Webwinkels als Azerty en Alternate melden klanten die de RTX 3080 Gaming X Trio 10G van MSI besteld hadden, dat ze deze niet meer gaan leveren. Dat las ik bij Tweakers. Alternate geeft aan: “Helaas heeft MSI besloten om de RTX 3080 Gaming X Trio 10G niet meer te produceren. Door dit besluit, dat buiten onze macht ligt, is levering van dit product onmogelijk geworden.” Pijnlijk voor hele hordes mensen die vijf maanden op een wachtlijst hebben gestaan, nadat de eerste batch van deze kaarten snel uitverkocht bleek en er nu dus geen nieuwe gaat komen. Mogen winkels dat, en kun je wat claimen?

Hoofdregel uit het overeenkomstenrecht is natuurlijk dat je moet leveren wat je belooft. (Iedere advocaat leert dat je het pleidooi dan opent met Pacta Sunt Servanda. Rechters weten dan dat het een lange dag gaat worden.) Dat waren die webwinkels natuurlijk ook van plan, alleen als de fabrikant dan vijf maanden lang je aan het lijntje houdt en daarna mededeelt dat ze toch niet meer komen, dan houdt het op.

Je schiet dan tekort, je levert niet wat je had beloofd. Dat is ook onmogelijk, die kaart is er niet meer op de markt. Feitelijk noem je dat overmacht (handelen van fabrikant MSI is geheel buiten de macht van webwinkel Azerty) maar juridisch gezien kun je daar fors wat vraagtekens bij zetten. Een fabrikant lijkt mij formeel een “hulppersoon” en diens handelen wordt jou toegerekend. Anders gezegd, het is niet mijn probleem dat jij het een ander laat produceren en dat jij geen afspraken maakt over gegarandeerde levering.

Maar hoe dan ook, die grafische kaart ga je niet krijgen. Natuurlijk krijg je je geld terug, maar menig Tweaker zal nu denken of er meer te halen is. Schadevergoeding dus. Maar dan krijg je – omdat het consumentenrecht is – meteen de vraag wat je schade is. Dingen als “ik had vijf maanden crypto kunnen minen” of “ik heb niet kunnen thuiswerken als zzp’er” gaan niet op, dat is te speculatief en daar hoeft een winkel geen rekening mee te houden.

Iets reëler is “ik moet nu een andere kopen en die is duurder, compenseer me het prijsverschil”. Juridisch noem je dat vervangende schadevergoeding (art. 6:74 lid 1 BW). Ik zie daar vooral praktische problemen mee: weliswaar zijn andere kaarten duurder (want de hele markt voor grafische kaarten is krankzinnig vanwege milieuvervuilende cryptospeculanten) maar het is per kaart niet zó veel duurder dat een rechtszaak de moeite waard is. Nog even los van hoe je dan bepaalt welke kaart vergelijkbaar genoeg is om als het alternatief te gelden.

(De voorwaarden van die webwinkels zijn verder totaal niet interessant want dit is allemaal dwingend consumentenrecht.)

Arnoud