Bitcoin Meester hoeft wegens bug teruggedraaide transacties niet te vergoeden

Geplaatst op in Ondernemingsvrijheid, 4 reacties

Cryptoplatform Bitcoin Meester hoeft veertien transacties van een klant die daarmee vierduizend procent winst maakte maar wegens een systeemfout werden teruggedraaid niet te vergoeden, las ik bij Security.nl. Ook hoeft men geen ruim 42.000 euro schadevergoeding te betalen vanwege misgelopen winst. Dit alles op gezag van de rechtbank Amsterdam die aldus vonniste nadat de klant erg boos was over de misgelopen gelden.

Op 26 februari vorig jaar verkocht de klant de cryptovaluta Hedera aan Bitcoin Meester om daarmee de cryptovaluta Aion te verkrijgen. Vervolgens verkocht de klant de verkregen Aion weer aan Bitcoin Meester voor Hedera. Dat kan, daar is zo’n platform voor.

Alleen, de prijs waarvoor Bitcoin Meester de Hedera van de klant kocht lag 2,5 tot 25 hoger dan de prijs waartegen die vrijwel tegelijkertijd diezelfde Hedera van Bitcoin Meester kocht. Hierdoor kon de klant binnen een tijdsbestek van ongeveer 12 minuten met 14 transacties een winst maken van ruim 4.000%. Doordat deze 14 transacties opvielen maakte een bot in het systeem van Bitcoin Meester melding van de transacties en werd [eiser] uitgelogd uit zijn account. Na opnieuw inloggen bleken de transacties te zijn teruggedraaid.

Zo te lezen had de klant een bug ontdekt in het systeem van Bitcoin Meester:

Bitcoin Meester heeft overtuigend aangetoond dat er een fout in haar systeem zat waardoor zij aan [eiser] een hogere inkoopprijs voor Hedera betaalde dan zij van [eiser] ontving voor diezelfde Hedera. Op zitting heeft Bitcoin Meester uitgelegd dat zij als broker fungeert en zelf pas een transactie uitvoert nadat een klant een cryptovaluta heeft ge- of verkocht. Door de fout in het systeem lag er voor haar geen reële transactie onder de door [eiser] opgedragen transactie, want Bitcoin Meester kon door de foutieve prijs de transactie van [eiser] immers niet uitvoeren op de cryptovalutamarkt.
Dat verklaart ook waarom 14 transacties in zeer korte tijd natuurlijk. En dan krijg je dus de vraag, zit zo’n platform vast aan de bug die ze zelf bouwde? Nee, aldus de rechtbank. Ook bij geautomatiseerde contracten (note to self: cursus Smart Contracts pluggen) geldt gewoon het Burgerlijk Wetboek:
[M]ocht [eiser] er op vertrouwen dat Bitcoin Meester de Hedera keer op keer voor een beduidend hogere prijs van hem wilde terugkopen dan waarvoor zij deze even tevoren aan hem had verkocht?
Dan krijg je een optelsom van factoren. Allereerst ga je dus in 12 minuten 14 keer hetzelfde kop, en ten tweede krijg je steeds 2,5 à 25 keer je inleg aangeboden. Dat kan niet kloppen, althans daarvan moet je je achter de oren krabben of het platform dat wel had gewild. En dan is er dus in juridische zin geen redelijkerwijs gewekt vertrouwen, en dus geen overeenkomst.

Omdat er geen overeenkomst is, kan de klant Bitcoin Meester niet verwijten de transacties te hebben gewist en de gemaakte winst niet te vergoeden. Wel werd de klant veroordeeld tot het betalen van de proceskosten van Bitcoin Meester die bijna 2900 euro bedragen.

Arnoud

Bol.com trapte in phishingmail en maakte 750.000 euro over naar oplichters

Geplaatst op in Ondernemingsvrijheid, Regulering, 28 reacties

Bol.com heeft 750.000 euro overgemaakt naar oplichters nadat het bedrijf in een phishingmail was getrapt, las ik bij Tweakers. De rechtbank Midden-Nederland oordeelde recent dat men argwanender had moeten zijn. Weliswaar klopte het afzendermailadres (door een computerhack) en leken ook layout en namen correct, maar het taalgebruik was van het niveau Google Translate halfbakken Engels en dat is voor twee jarenlang samenwerkende Nederlandse bedrijven bepaald gek.

Op 25 november 2019 werd een e-mail aan ‘[email protected]’ gestuurd met onder meer de volgende inhoud: ‘Bijgevoegd vindt u onze nieuwe betalingsroute zoals opgedragen door het management, doe het nodige voor de volgende betaling. Alvast bedankt!’. Afzender: meneer [A], wiens mailbox was gehackt “via de cloud”. Het vonnis bevat een printscreen van de gehele mail. De strekking: een verzoek om betalingen voortaan niet meer over te maken aan de bij Bol.com bekende bankrekening van Brabantia Netherlands maar aan een Spaanse bankrekening die ten name van ‘Brabantia International B.V.’ zou staan.

De oplichter bleek hardnekkig want de navolgende dagen werd een keurige reminder gestuurd (“Kunt u bevestigen dat uw crediteurenadministratie is bijgewerkt als bijgevoegd.“) Uiteindelijk werd daarop gereageerd, maar die mail bleef buiten het zicht van de gehackte Brabantia-medewerker. Daarna dacht Bol.com alles geregeld te hebben en werden de verkoopopbrengsten keurig overgemaakt naar het nieuwe nummer. Na zo’n 750.000 euro niet te hebben gekregen, trok het Brabantse bedrijf aan de bol, sorry bel, en kwam de fraude uit.

Wie draait daar voor op? Het begon dus bij een overgenomen mailbox van een medewerker van Brabantia, en ook kon men bij het briefpapier-template van Brabantia, zodat het op zich echt doen lijken van de berichten mogelijk was. De inhoud van de mails gaf echter te denken:

Om te beginnen bevat deze merkwaardige fouten als ‘Houd he [?] rekening mee’ en de frase ‘een wijziging in onze bankrekeninggegevens hebben voor incaende [?] betalingen’, waarbij ‘incaende’ meer dan een gewone typefout lijkt. Bovenal roept de frase ‘moten all incoming betalingen have been overgemaakt’ onmiddellijk grote vraagtekens op, zelfs als een zekere mate van gebrekkig taalgebruik of een overmatig gebruik van het Engels voor lief wordt genomen.
Bol.com moest begrijpen dat dergelijke frases praktisch niet van directeuren van Brabantia Netherlands afkomstig kunnen zijn of door hen kunnen zijn goedgekeurd. Dat met de daarop volgende Engelstalige passage ‘niets mis is’, zoals Bol.com benadrukt, doet hier niet aan af, nog afgezien van het feit dat het gebruik van de Engelse taal in deze context op zich zelf al tot twijfel had moeten leiden.

Vanwege al deze omstandigheden is de conclusie voor de rechter helder: Bol.com had beter op moeten letten, en zij heeft dus wanprestatie gepleegd jegens Brabantia door die 750k niet te betalen op de rekening waar die hoorde te komen.

Het enige vind ik steekhoudende tegenargument is dat Bol.com dus had gereageerd naar Brabantia (het gehackte mailadres) en dat men daar het niet opgepakt had. Dat kwam omdat de crimineel mails met als afzender Bol.com in het mapje “RSS Feeds” (zo’n standaardmap van Outlook die niemand wil) had laten komen en automatisch als gelezen gemarkeerd. Zo kon die keurig reageren maar zou de medewerker die waarschijnlijk niet zien. Je zou dan zeggen: die berichten zijn bij Brabantia aangekomen, het niet checken van dat mapje is voor rekening van dat bedrijf dus die hadden het moeten zien. Alleen:

Bij de vraag of Bol.com te goeder trouw was bij de betalingen, is bepalend of zij had moeten twijfelen (zie hiervoor in 3.11). Hiervoor heeft de rechtbank vastgesteld dat Bol.com door de brief van 25 november 2019 ernstig moest twijfelen. Die ernstige twijfel wordt naar het oordeel van de rechtbank niet weggenomen doordat Brabantia Netherlands de bevestiging van Bol.com onbeantwoord heeft gelaten.
Bol.com had al moeten twijfelen vóórdat ze een reply stuurde, laat staan voordat ze het rekeningnummer aanpaste. En dan kun je dus niet zeggen “jullie hebben nooit gereageerd op ons bericht dat we het nummer aangepast hebben”. Ook het sturen van betalingsaankondigingen hielp haar niet, als leverancier hoef je daar niet naar te kijken en al helemaal niet te denken, wat raar dat ze vier weken na de aankondiging nog niet betaald hebben.

Ook een argument van Bol.com was dat Brabantia haar mailboxen beter had moeten beveiligen, bijvoorbeeld met tweefactorauthenticatie. Dan was de inbraak waarschijnlijk niet gelukt, en had dit alles voorkomen kunnen worden. Een terechte klacht, en dit had ook zeker de doorslag gegeven als de mail perfect Nederlands was geweest en een Nederlands IBAN was gebruikt. Maar dat was dus niet zo, en precies  daarom had Bol.com argwanender moeten zijn. Als de afzender klopt maar de inhoud bizar is, dan is er iets mis. En dan ligt de bal écht bij jou als ontvanger.

Arnoud

Facebook en Gucci klagen samen verkoper van nepspullen aan

Geplaatst op in Intellectuele rechten, 6 reacties

Facebook heeft een rechtszaak aangespannen tegen een verkoper van namaakspullen, las ik bij Tweakers. Facebook werkt daarbij samen met modehuis Gucci, de partij wiens producten nagemaakt werden door deze verkoper. Nu komt handel in namaak al vele decennia voor, ook met Facebook of Instagram als platform, dus het verbaast in zoverre niet dat er een rechtszaak komt, maar waarom doet Facebook mee zo vroegen veel mensen zich af?

Volgens de eigen blog is de zaak “part of our ongoing efforts to enforce our Terms and protect against abuse”. Immers, de TOS van Facebook verbieden al sinds het begin het schenden van rechten van derden. Daarnaast heeft men “robust IP protection measures including a global notice-and-takedown program, a robust repeat infringement policy and additional measures”, waartoe dan kennelijk ook behoort dat je samen naar de rechter gaat.

Het doet in zoverre raar aan dat dit volgens mij de eerste keer is dat Facebook meedoet met zo’n rechtszaak. Juridisch is het ook een tikje gek, want Gucci kan gewoon merkinbreuk (of auteursrechtinbreuk, eventueel) aandragen als basis voor haar claim maar Facebook moet het gooien op een wanprestatie onder de overeenkomst met de gebruiker – de juridische term voor “schending van de TOS”. En dat is juridisch iets heel anders.

In zoverre is het handig dat als Gucci aantoont dat haar merk geschonden wordt, Facebook meteen gelijk krijgt dat haar TOS geschonden is. Dus efficiënt is het wel.

Het onderliggende punt is natuurlijk dat Facebook zelf niet aansprakelijk is voor die merkinbreuk door haar gebruiker. Dus waarom doen ze dan die moeite, zo’n dure rechtszaak? Ze kunnen ook – zoals zo veel platforms al decennialang doen – achterover leunen en wachten op de notice & takedown en dan de specifieke advertentie weghalen. Kennelijk is er dus een reden waarom Facebook zelf ook van deze gebruiker af wil. Te veel klachten gehad? Een precedent willen zetten pour encourages les autres? Geld krijgen van Gucci voor actief meewerken?

Arnoud

Mag een computerwinkel geld vragen voor het resetten van je laptop?

Geplaatst op in Ondernemingsvrijheid, 36 reacties

Via Reddit:

[Ik heb online een laptop gekocht.] Ik heb de laptop aangezet, de verplichte installatie doorlopen, hem een tijdje lang de nodige Windows updates laten doen, en heb hem daarna even uitgeprobeerd door Chrome te installeren, wat webpagina’s te openen en Windows verkenner gelijktijdig te openen. [De laptop viel tegen] De volgende werkdag werd ik gebeld door de desbetreffende winkel: “heeft u de laptop aangehad? En de installatie doorlopen? Dan moet u 50 euro betalen omdat wij de laptop moeten resetten.”
De vraag is dan natuurlijk: mag een winkel dit zo eisen van een consument?

Hoofdregel bij een koop op afstand (want dat is het) is dat je het gekochte product mag uitproberen om te zien of deze bevalt. Dat doet je retourrecht (de 14-dagen-retourtermijn zeg maar) niet vervallen. Dus als je een jurk aan wil doen, even een rondje lopen met nieuwe schoenen of de tuinstoelen uitklappen om te zien of ze passen bij de schutting: dat is prima.

Het probleem is natuurlijk dat uitproberen kan leiden tot kleine (of grote) schade. Bij die jurk kan een kaartje er af vallen, die schoenen kunnen nét wat streepjes krijgen onder de zool en de tuinstoelen worden vies van het gras in je tuin, of van je kind dat er net een glas limonade op gooit tijdens het uitproberen van de springkussenfunctie. Ook dat is geen reden tot weigeren van de retour; wel mag de winkel dan soms een redelijke schadevergoeding berekenen voor de waardevermindering van de zaak. De wet (art. 6:230s lid 3 BW) bepaalt:

De consument is slechts aansprakelijk voor de waardevermindering van de zaak als een behandeling van de zaak verder is gegaan dan noodzakelijk om de aard, de kenmerken en de werking daarvan vast te stellen.
Dat afgevallen kaartje zou ik nauwelijks schade willen noemen, maar zelfs als het schade is (er moet een nieuw kaartje geprint) dan lijkt me dat voor rekening van de winkel. Dat een kaartje in de hals loskomt bij het passen van een jurk dat is normaal. Die krasjes onder de schoenen lijken me ook normaal bij gewoon uitproberen. Onder dat laatste valt dan weer niet het langdurig op een grindpad gaan lopen, dat zou ik onnodig vinden. Voor dergelijke krassen is denk ik wel een vergoeding mogelijk. En die limonade, dat spreekt voor zich want het is geen normale test om limonade ergens overheen te gooien.

Deze regel toepassend op een laptop geeft dus de vraag: is het aanzetten, updaten en even Chrome + spielerei proberen een vorm van “normaal uitproberen” of gaat men dan verder dan noodzakelijk? Ik neig toch naar dat laatste. Installeren van software en rondklikken in Windows is voor mij primair het uitproberen van Windows en niet de laptop, de hardware zeg maar. Hoe de toetsen typen en of je makkelijk de Sleep-knop indrukt omdat die zit waar jij de Insert-knop verwacht (ik kijk naar jou, Asus) dat is een hardwaretest maar die kun je ook met de laptop uit volgens mij.

Arnoud

Hoe toegankelijk moet je videospel zijn?

Geplaatst op in Ondernemingsvrijheid, 19 reacties

Via Reddit:

I can’t use one hand and some fingers on the other after an industrial accident. I do things on the computer using mouse and 3 foot pedals. I play this game called Path of Exile, and in the game you need to refresh 4 potion buffs every 3-8 seconds. I physically can’t press 4 keys every few seconds so I use a macro that automatically does it for me. I got banned for it recently.

Een en ander blijkt nep te zijn, maar de vraag bleek desondanks interessant genoeg om duizenden discussies in allerlei subreddits op te werpen. De kern is: hoe ver moet je als game-ontwikkelaar mensen tegemoet komen die vanwege een lichamelijke beperking het spel niet kunnen spelen op de manier die jij had bedacht?

In de VS gaat het dan om de Americans With Disabilities Act uit 1990, die kort gezegd bepaalt dat je mensen niet vanwege een fysieke beperking de toegang tot een “locatie opengesteld voor publiek” mag ontzeggen. Heb je een verhoogde ingang, dan moet daar dus een oprit voor rolstoelen bij, bijvoorbeeld. En moet je dingen lezen om wat te kunnen doen, dan moet er dus braille bij (zoals bij geldautomaten op het nummerpad). Maar is een website een locatie? In 2016 bepaalde het Hof van Beroep van niet – de website van Domino’s hoeft niet toegankelijk te zijn voor een schermlezer van een blinde persoon die een pizza wilde bestellen.

Rond die tijd was er ook in Europa ophef: in januari 2016 werd het verdrag inzake de rechten van personen met een handicap goedgekeurd. Dit verdrag beschrijft rechten van mensen met een handicap (langdurige fysieke, mentale, intellectuele of zintuiglijke beperkingen) en bevat tevens de verplichting dat verdragsstaten alle passende maatregelen nemen om te waarborgen dat redelijke aanpassingen worden verricht.

Vanaf 2017 geldt in Nederland daarom de reden dat dienstverleners – ook online – “verplicht [zijn] tot het treffen van voorzieningen van eenvoudige aard en gaandeweg zorg te dragen voor de algemene toegankelijkheid voor personen met een handicap of chronische ziekte, tenzij dat voor hem een onevenredige belasting vormt.” Er zijn geen harde specifieke regels; zo is het ondertitelen van Youtubevideo’s een voorziening maar die hoeft dus alleen als dat geen onevenredige belasting oplevert.

Maar wat betekent dat nu voor games? In 2001 bepaalde het Amerikaanse Supreme Court dat een golfer met een fysieke handicap toegestaan moest worden met een golfkarretje van hole naar hole te rijden, omdat de reglementair verplichte wandeling voor hem niet haalbaar was. Dit omdat “use of the golf cart does not “fundamentally alter the nature” of the game of golf.” Een eis dat hij de bal met de hand zou mogen werpen, zou dus niet toegewezen hoeven te worden om eens een simpel voorbeeld te noemen.

In Nederland is er volgens mij nooit zo’n zaak geweest, maar in principe zou dit criterium heel goed bij ons kunnen werken. Er zit een fundamenteel stukje eerlijkheid in: als de regel mede bepalend is voor hoe het spel verloopt, dan zou je het spel dus aantasten als je uitzonderingen gaat maken. Is het een zijdelingse kwestie (zoals dat je een bril nodig hebt als voetballer) dan is een uitzondering dus in beginsel vereist.

Tussengevallen houd je dan nog over, en die zijn lastig. In een restaurant moet de voedselhygiëne goed geregeld zijn, dus geen dieren naar binnen. Maar als ik een hond nodig heb om vrij te kunnen lopen, dan moet die hond mee naar binnen. Daar kom je denk ik niet snel uit – al is in de VS bepaald dat zo’n hond dan wél mag omdat de impact van één geleidehond op de hygiëne acceptabel klein is.

Hoe zou dat bij dit spel uitpakken? De vraagsteller gebruikt dus een trucje om niet elke zo veel minuten snel vier toetsen achter elkaar in te hoeven drukken, omdat hij daar simpelweg de vingers en flexibiliteit in de hand niet voor heeft. Het doel van deze eis uit het spel is te controleren dat je nog steeds in het spel zit. Dat voelt voor mij als een zijdelingse kwestie. Bij een boks-spel waar snel toetsen indrukken snel slaan zou betekenen, zou dit een oneerlijk voordeel opleveren namelijk beter vechten dan je eigenlijk kan.

De complicatie is natuurlijk dat de spel-aanbieder dat niet kan zien, in tegenstelling tot een scheidsrechter bij het voetbal die je medische verklaring over je ogen kan lezen, of een restaurateur die zelf waarneemt dat een persoon blind is en die hond dus nodig heeft. Het voelt dan ook best risicovol om dit toe te staan enkel omdat mensen zeggen vingers te missen. Maar heel cru oordelen “dat doen we niet want cheaters” is wettelijk ook weer niet de bedoeling.

Hebben jullie een idee?

Arnoud

 

Joh, AI met bias overtreedt discriminatiewetgeving, wie had dat nou gedacht

Geplaatst op in Innovatie, 2 reacties

De Amerikaanse FTC waarschuwt op haar blog bedrijven die AI inzetten: de verkoop of inzet van biased AI systemen is een oneerlijke handelspraktijk en kan overtreding van antidiscriminatiewetgeving zoals de Fair Credit Reporting Act en de Equal Credit Opportunity Act opleveren. Grote schok, wie had dat nou kunnen denken, dat een AI die mensen wegselecteert op basis van etnische afkomst mogelijk wel eens als discriminerend gezien kan worden?

Nou ja, niet helemaal eerlijk: de meeste AI’s worden natuurlijk niet ontworpen om op basis van die criteria te selecteren. Het is vrijwel altijd een onbedoelde uitkomst, meestal omdat de dataset scheef zat of omdat er een onbewuste aanname is gedaan op basis waarvan het systeem is gebouwd.

De waarschuwing is in zoverre opmerkelijk dat de markttoezichthouder zelden zo concreet en specifiek wordt, mede omdat ze zich expliciet richt tot leveranciers van technologie op basis van wetgeving gericht op gebruik daarvan:

For example, let’s say an AI developer tells clients that its product will provide “100% unbiased hiring decisions,” but the algorithm was built with data that lacked racial or gender diversity. The result may be deception, discrimination – and an FTC law enforcement action.
En men prikt de bedrijven waar het pijn doet: in de data, diep in de data. Zo was er het bedrijf Everalbum, een online fotodienstverlener “dedicated to helping you capture and rediscover your life’s memories.” Alleen bleek men alle foto’s, inclusief handige tags en namen, te gebruiken om een gezichtsherkenningsalgoritme te trainen:
 The FTC alleged that the company deceived users about their ability to control the app’s facial recognition feature and made misrepresentations about users’ ability delete their photos and videos upon account deactivation. To deter future violations, the proposed order requires the company to delete not only the ill-gotten data, but also the facial recognition models or algorithms developed with users’ photos or videos.
Een passende straf: je moet je data én modellen weggooien, oftewel je moet zakelijk opnieuw beginnen terwijl je het consumentenvertrouwen kwijt bent vanwege publicatie van deze beslissing. Veel beter dan een geldboete, die immers kan worden begroot en met investeerderskapitaal afgedaan.

In Europa rommelt het trouwens ook: op 21 april publiceerde de Europese Commissie een concept-Verordening over de aanpak van AI. En het is me een ding, inclusief AVG-niveau boetes en toezicht. De kern: AI met hoog risico is eigenlijk niet toegestaan, en daaronder rekent men ook AI die mensen beoordeelt op levensbesluiten zoals wel of niet toegelaten worden tot opleidingen, wel of niet in een sollicitatieronde mee mogen doen enzovoorts. Precies, dat is waar veel AI zich nu op wil richten.

Wie denkt dat ‘ie wel AI eerlijk kan krijgen: mijn cursus AI Compliance & Governance gaat 3 mei weer van start.

De Europese aanpak van AI regulering spreekt me wel aan. Natuurlijk, iedere regulering verstoort de mogelijkheid tot innovatie maar op dit gebied zie ik ondertussen zó veel gepruts en gerommel dat het onderhand wel tijd wordt voor een paar stevige strepen in het zand. Het lijkt wel of alle oude kwakwetenschap weer wordt afgestoft met een AI ‘sausje’, zoals bij ‘microexpressies’ voor het zogenaamd herkennen van iemands emotionele toestand of waarheidspreken.

Het grootste probleem voor mij blijft dat AI steeds vaker de menselijke procedures overneemt. En nu word je bij een bureaucratie natuurlijk gereduceerd tot een nummer, maar bij een AI word je een datapunt en daar zit nog veel minder menselijkheid in. Met name omdat een AI geen genade kent, geen uitzondering. En omdat voor AI alle voorheen fluide mogelijkheden moeten worden platgeslagen: u moet worden geclassificeerd als A, B óf C, en een beetje B of met wat duwen en handig invullen toch C dat zit er niet in.

Arnoud

Tesla-baas Musk zegt dat automatische piloot was uitgeschakeld bij fatale crash

Geplaatst op in Ondernemingsvrijheid, Privacy, 9 reacties

Tesla-oprichter Elon Musk weerspreekt maandag de bewering dat de automatische piloot was ingeschakeld bij de Tesla die vorig weekend in de VS bij een eenzijdig ongeluk betrokken was. Dat meldde Nu.nl eerder deze week. De Amerikaanse lokale politie had eerder gemeld dat het “bijna 99,9 procent zeker” was dat er niemand achter het stuur zat, met de implicatie dat het dan wel Tesla’s roemruchte “Autopilot” (ik verwijs naar de handleiding voor de disclaimer) moet zijn geweest die tegen een boom had gestuurd.

De Tesla Model S uit 2019 was volgens de politie met grote snelheid uit de bocht gevlogen, vervolgens tegen een boom beland en daarna in brand gevlogen. Het ongeval komt op een ongelukkig moment voor het bedrijf, dat van plan is om de software voor de volledig zelfrijdende auto binnenkort beschikbaar te maken voor meer klanten.

Het verbaast dan ook niet (maar toegegeven, niets verbaast bij Musk) dat de topman meteen in de Twitter klom om te melden dat

Data logs recovered so far show Autopilot was not enabled & this car did not purchase FSD. Moreover, standard Autopilot would require lane lines to turn on, which this street did not have.
En dat riep bij mij de lastige vraag op, mag een bedrijf zich op deze manier verweren tegen verwijten dat hun product slecht werkte? Enerzijds is het natuurlijk logisch dat als je kwaliteit ter discussie wordt gesteld, dat je dan met interne informatie komt om aan te geven dat het wél goed zit. Anderzijds betekent dat hier dat je de klantgeschiedenis openbaar maakt, wat een dingetje met privacy is.

Het verrast denk ik vooral omdat de politie deze gegevens nog niet had, waarschijnlijk omdat er nog geen subpoena was verkregen om dit op te eisen bij Tesla. En je wilt misschien eerst dat de politie nagaat welke informatie juist is, voordat het bedrijf alvast zelf zegt hoe het zit. Maar het blijft  raar, dat een autobedrijf kan nagaan én vertellen wat ik heb gekocht, wat ik aan had staan en wat niet.

Arnoud

Wat moet ik juridisch nou weer van NFT’s vinden?

Geplaatst op in Informatiemaatschappij, 9 reacties

In onze digitale wereld, ons ecosysteem dat bestaat uit enen en nullen, onze vrijplaats waar alles kan wat in het echt niet kan, daar is het heel lastig om zaken uniek te maken. Dat las ik in een recent Tweakers Plus-artikel, dat me wijs zou gaan maken over de lol van de non-fungible tokens oftewel NFT’s die nu hot, pardon cool, pardon wreed, pardon populair zijn. U ziet het: ik voel me oud bij het lezen over deze nieuwe technologie. Ik zag het recent voor het eerst voorbij komen als het digitale equivalent van Panini-voetbalplaatjes: de NBA Topshots, flitsen van een spannend basketbalmoment. Maar daar word je dan weer geen eigenaar van. Leeswaarschuwing: blockchain.

Waarom staan nft’s nu ineens zo in de belangstelling? Dat komt doordat Christie’s, een traditioneel kunstveilinghuis, ineens een nft ging veilen. Dat gaf “real world” aandacht voor een internethype, en omdat het ook nog eens over blockchain en crypto gaat is de hype dan snel gegroeid.

De kern van een nft is dat ergens (op de blockchain dus) wordt genoteerd dat jij ‘eigenaar’ bent van een bepaald stukje informatie. Net zoals je eigenaar bent van zo’n zeldzaam voetbalplaatje, of van een koekblik van Rembrandt om het Tweakers-artikel nog even te citeren. En dat is dus niet hetzelfde als eigenaar zijn van waar het echt om gaat; de afbeelding van de voetballer (u mag zelf zeggen of u zich oud voelt bij a) Messi b) Gullit c) Van der Kuijlen) dan wel het schilderij van Rembrandt.

Wat je dan in feite koopt of krijgt, is een token  dat gekoppeld is aan een bepaald digitaal bestand. Dat bestand is gewoon een serie nullen of enen en daar kan van alles mee gebeuren. Maar er is maar één token met die koppeling, en als jij dat token onder jouw beheer bent dan kun je jezelf dus ‘eigenaar’ van dat bestand noemen. De geregistreerde houder van het token kan worden gewijzigd, en zo draag je eigendom dan over. Door dit aan smart blockchains, pardon smart contracts te koppelen kan dat zelfs volledig automatisch gebeuren – na betaling, na een zekere periode, als het bestand ergens verplaatst wordt of ga zo maar door.

Juridisch betekent dit allemaal heel weinig. De échte eigendom op bijvoorbeeld dat schilderij van Rembrandt blijft liggen waar het ligt, en ook de auteursrechten op het werk veranderen niet van eigenaar. Dat vereist namelijk een ondertekend contract (een akte) en een nft is dat niet. Men heeft dus een digitale parallelle handelswereld gecreëerd, waarbinnen ruimte is om geheel eigen regels voor de zelfbedachte “nft eigendom” te hanteren. En dat mag, maar juridisch is daar weinig van te vinden.

Arnoud

Mag de politie je systeem patchen na een malware infectie?

Geplaatst op in Security, 9 reacties

De FBI gaat nu netwerken van privépartijen patchen, las ik (vrij vertaald) bij Schneier’s blog. Het gaat om honderden met malware geïnfecteerde Microsoft Exchange-servers, waar webshells (commandoregel-toegang op afstand) op waren geplaatst. Nadat de federale politie daartoe door een rechtbank was gemachtigd, gaf zij al deze servers een speciaal commando waarmee de kwaadaardige code werd gewist. Dat gaf dus ophef, want men passeerde zo het eigen IT-beleid van die organisaties. En hoezo mag de politie überhaupt bij mensen thuis dingen komen fixen?

Over een week gaat de politie bij ons Emotet wissen van een miljoen computers wereldwijd, dus dit is lekker actueel. Ik zei toen dat dat mocht, want wij hebben artikel 125o Wetboek van Strafvordering:

Indien bij een doorzoeking in een geautomatiseerd werk gegevens worden aangetroffen met betrekking tot welke of met behulp waarvan het strafbare feit is gepleegd, kan de officier van justitie dan wel indien deze de doorzoeking verricht, de rechter-commissaris bepalen dat die gegevens ontoegankelijk worden gemaakt voor zover dit noodzakelijk is ter beëindiging van het strafbare feit of ter voorkoming van nieuwe strafbare feiten.

De doorzoeking vond hier plaats in de centrale server, en via die server vind je dan ook de clientsoftware bij de slachtoffers thuis. Dat zijn “gegevens met behulp waarvan het strafbare feit is gepleegd”, zodat de politie die mag wissen (ontoegankelijk maken).

In de VS moet de FBI het doen met Rule 41, waarmee men algemeen gezegd warrants oftewel bevelen mag halen om bewijs of contraband mee te nemen, illegale voorwerpen in beslag te nemen of mensen op te halen. In het jargon, een search & seizure – zoeken en inbeslagname. Onder deze Rule heeft men nu de warrant gekregen om op al die Exchange-servers binnen te dringen en daar de wis-instructie te geven. En dat is wat vreemd, want oké ze zouden fysiek langs mogen gaan en al die servers meenemen met zo’n bevel maar dat blijft wat anders dan een stukje informatie daarop aanpassen.

Niet gek dus dat vele mensen op de achterste benen staan. Het gaat ook verder dan eerdere zaken waarbij de FBI botnets verwijderde: daar kwamen de geïnfecteerde computers naar de inbeslaggenomen server toe voor nieuwe instructies, en men kon toen vrij eenvoudig “wis jezelf” teruggeven. Dat is toch wat anders dan actief inloggen bij die clients en daar een wis-instructie geven.

Arnoud

Wanneer ben je een crimineel met een gelektewachtwoordensite?

Geplaatst op in Informatiemaatschappij, 5 reacties

De zoekmachine We Leak Info is volgens het Openbaar Ministerie (OM) opgezet om criminelen eenvoudig toegang te geven tot e-mailadressen en wachtwoorden, maar de betrokken Nederlandse verdachte beweert dat de website goede bedoelingen had. Dat las ik bij Nu.nl vorige week. Met deze website kon je – inclusief premiumabonnement – zoeken in de vele gelekte datadumps die er tegenwoordig zijn. Het verweer luidde natuurlijk dat er ook vele andere sites zijn, met name Have I Been Pwned van de bekende researcher Troy Hunt, waar je dat in kunt doen. Hoe zie je nou het verschil?

Even beginnen bij de wet. Artikel 139d Wetboek van Strafrecht zegt dat het een strafbaar feit is als je

  • een computerwachtwoord, toegangscode of daarmee vergelijkbaar gegeven waardoor toegang kan worden gekregen tot een geautomatiseerd werk of een deel daarvan, vervaardigt verkoopt, verwerft, invoert, verspreidt of anderszins ter beschikking stelt of voorhanden hebt
De beperking is dat je dat doet “met het oogmerk dat daarmee [computervredebreuk of gegevensdiefstal] wordt gepleegd”. En daar zit hem dus de crux: mensen adviseren “ja je wachtwoord is gelekt” is natuurlijk heel wat anders dan “het wachtwoord van Wim is BruineHoed123” verkopen aan criminelen.

Eh, wacht, verkopen? Ja, aldus het OM: meneer adverteerde op bekende criminelenforums dus kennelijk wil je dan misdadigers die gegevens verkopen, precies wat we hier strafbaar stellen. Maar nee:

Hen proberen te bereiken zou ook de reden zijn geweest dat We Leak Info op hackforums adverteerde, al leverde dat volgens de Nederlander ook “verkeerde klanten” op.
Mij lijkt dat als je in zo’n situatie weet dat een klant “verkeerd” is, dat je dan niet moet gaan handelen want dan val je – via voorwaardelijke opzet – onder dat oogmerk.

Verder vergeten heel veel mensen die deze vergelijking maken, dat Hunt buitengewoon veel moeite steekt in het niet daadwerkelijk lekken van wachtwoorden. Standaard kun je alleen zoeken op emailadres of telefoonnummer en dan zegt hij welke dienst het datalek had waar dat adres of nummer in zat. Het wachtwoord krijg je niet te zien. Daarmee is er hoe dan ook geen sprake van een strafbaar feit. Ik kan me omgekeerd eigenlijk ook niet voorstellen wat wél een legitieme use case is van het publiceren van login én wachtwoord.

Edit (14 mei 2021): verdachte veroordeeld, 2 jaar cel (1 voorwaardelijk) en winstafdracht van € 110.000.

Arnoud