Rechter staat gekraakte PGP-berichten van telefoon toe als bewijs

| AE 9392 | Strafrecht | 13 reacties

Het Openbaar Ministerie (OM) mag de inhoud van versleutelde berichten uit speciale telefoons gebruiken als bewijs in strafzaken, las ik bij Nu.nl. De Blackberry van een verdachte in een grote drugszaak had PGP gebruikt om zijn berichten te versleutelen, en het OM wist die te kraken.

Het verweer in deze zaak sluit aan bij de recente discussie over het mogen doorzoeken van telefoons. De rechtbank hier volgt de Hoge Raad, die uiteindelijk soort van vond dat het wettelijk voldoende is geregeld met de algemene bevoegdheid om dingen te mogen doorzoeken, in combinatie met gepaste terughoudendheid die men bij de politie en het OM mag verwachten. Namelijk:

Het uitlezen van de telefoon heeft in dit geval plaatsgevonden in het kader van een onderzoek naar een buitengewoon ernstig feit, namelijk de grootschalige handel in en de productie van synthetische drugs en daarnaast wordt een telefoon zoals hier aan de orde enkel gebruikt om versleutelde berichten te verzenden en bevat het in die zin nagenoeg verder geen privacygevoelige informatie vergeleken met bijvoorbeeld reguliere smartphones. Verdachte heeft zich bovendien op zijn zwijgrecht beroepen, wat de mogelijkheden beperkte om op andere wijze zicht te krijgen op de betrokkenen bij het feit en op ieders rol.

In maart maakte de politie bekend 3,6 miljoen met PGP versleutelde berichten te kunnen lezen. Encryptiesleutels daarvoor waren namelijk op de servers van aanbieder Ennetcom beschikbaar, in plaats van alleen op de telefoons zelf. De berichten in deze zaak zaten daar dus tussen.

Uit de ontsleutelde berichten blijkt dat er druk werd gecommuniceerd over het opzetten en beheren van een synthethischedrugslab. Deze berichten waren volgens de rechtbank verzonden en ontvangen door de verdachte, gezien de strekking van de berichten en verklaringen van andere verdachten. Dat levert dan het bewijs op van zijn betrokkenheid bij de productie van de drugs.

Ik blijf er moeite mee houden dat “het moet in de wet geregeld zijn” vertaald wordt naar “we mogen je rugzak doorzoeken dus ook je telefoon”. Maar ik vermoed dat na uitspraken als deze er weinig noodzaak meer zal komen bij de wetgever om nog een apart wetsartikel te gaan invoeren.

Arnoud

Mag je mensen hacken als je van de televisie bent?

| AE 9367 | Strafrecht | 15 reacties

Voor het nieuwe programma What the #Hack?! gaat presentator en rapper Yes-R internetgebruikers confronteren met hun onvoorzichtige sociale mediagedrag. Dat meldde RTL gisteren. Het programma wil aantonen hoe onveilig mensen online zijn, onder meer door met social engineering en keyloggers (naar ik aanneem via Trojans verspreid) te gebruiken. Wat de vraag oproept: mag dat dan, mensen hacken omdat je een televisieprogramma gaat maken?

Een journalist heeft onder de wet geen andere positie dan andere burgers. Je moet je aan precies dezelfde regels houden als anderen, ook waar het gaat over strafrecht en ook als het nieuwsbelang in het gedrang zou komen. Inbreken of privécommunicatie aftappen is strafbaar, dus ook voor journalisten. Dus dan is het antwoord vrij snel duidelijk: nee, dat mag niet.

Het recht zou het recht niet zijn als “ja, toch wel” ook geen mogelijk antwoord was. Want soms heb je belangwekkende kwesties die gewoon aan de kaak gesteld móeten worden, en dat je dan als journalist de wet moet overtreden dat neem je dan voor lief. De rechter neemt de nieuwswaarde wel degelijk mee, en kan je zelfs vrijspreken als blijkt dat je daad puur ingegeven was door het brengen van zo’n algemeen belangwekkend nieuwsitem en dat je zo zorgvuldig mogelijk te werk bent gegaan. Met name is dan van belang dat je geen schade hebt aangericht en niet meer hebt gedaan dan nodig voor je item.

De AVROTROS ziet een dergelijk belang met hun programma:

We willen met het programma impact hebben op de kijkers van NPO 3 op een manier die hen aanspreekt. Het daadwerkelijk laten zien wat de gevaren zijn, is de de enige manier om awareness te creëren

Daar zit natuurlijk wat in. Een theoretisch verhaal heeft veel minder impact dan een daadwerkelijke hack bij echte mensen: kijk, zo makkelijk was het om Marieke haar Facebook over te nemen en met deze truc kregen we Ali zijn WhatsApp-berichtenlogs toegemaild. Maar is het dan ook nodig om dat te doen zonder toestemming te vragen? Had je niet kunnen zeggen, ben jij een echte internetfreak, meld je aan en we kijken hoe hackbaar jij bent? Dan heb je toestemming én echte mensen.

Weliswaar wordt er met een quitclaim gewerkt (hier tekenen dat wij mogen uitzenden) maar die wordt pas achteraf getekend. Wanneer iemand die weigert te tekenen, is er dus geen toestemming – ook niet voor het binnendringen op hun computer of het aftappen van hun datacommunicatie. En dat maakt het strafbaar.

Wat vinden jullie? Slimme manier van awareness creëren of gewoon strafbaar?

Arnoud

Hoe strafbaar is het versturen van epilepsie-triggerplaatjes?

| AE 9322 | Strafrecht | 8 reacties

De FBI heeft een man aangehouden die Newsweek-auteur Kurt Eichenwald, waarvan bekend was dat hij epilepsie heeft, een epilepsie-triggerend Twitterbericht zou hebben gestuurd. Dat meldde Ars Technica onlangs. De arrestatie zou de eerste keer zijn voor online geweldpleging (“assault”). De FBI trekt de vergelijking met een bom of miltvuur via de post sturen naar iemand. Hoe zou dat in Nederland uitpakken?

Het is al langer bekend dat mensen met epilepsie gevoelig kunnen zijn voor bepaalde afbeeldingen. Er zijn patronen waar men sneller hoofdpijn van krijgt, en met animaties kunnen zelfs aanvallen worden opgewekt bij mensen die daar gevoelig voor zijn. Een berucht voorbeeld is een Pokémon-aflevering uit 1997 die met stroboscopische effecten kinderen hoofdpijn of aanvallen zou hebben bezorgd.

Dat was natuurlijk per ongeluk, maar hoe zit het als je dat nu opzettelijk doet, zo’n afbeelding sturen naar iemand van wie je weet dat hij er gevoelig voor is? Dan kom je in het strafrecht uit bij mishandeling (art. 300 Strafrecht): Mishandeling wordt gestraft met gevangenisstraf van ten hoogste drie jaren of geldboete van de vierde categorie. Het gaat dan meestal over fysieke mishandeling, zoals slaan of schoppen. Maar gezien het resultaat dat zo’n afbeelding kan hebben, lijkt het mij evident dat ook dit een vorm van mishandeling is.

Opzet wil zeggen dat je daadwerkelijk de bedoeling had het misdrijf te plegen. Bij deze Amerikaanse meneer lijkt daar wel sprake van, hij voorzag het bericht van de tekst “You deserve a seizure”. Daar valt weinig anders van te maken dan dat hij het wilde.

Had hij nou een andere tekst gebruikt, dan had hij wellicht kunnen zeggen dat het maar een grapje was of niet zo bedoeld. Dan wordt het juridisch iets lastiger, want je voelt aan dat dat niet geheel geloofwaardig is maar opzet bewijzen zal niet lukken. Gelukkig kent het strafrecht dan de constructie van voorwaardelijke opzet: de dader weet dat zijn daad een bepaald negatief gevolg kan hebben, maar neemt dat op de koop toe. Hoe je zo’n tweet ook voorziet van tekst, als je weet dat zo’n plaatje een toeval kan opwekken en je stuurt het dan naar een bekende epilepticus, dan is dat voorwaardelijke opzet en dan ben je net zo goed strafbaar.

Een plaatje zomaar ergens publiceren zonder specifieke doelgroep zou geen voorwaardelijke opzet zijn. Hoe weet je dan dat die daad dat gevolg kan hebben? Dat voelt wat mager. Een epilepsie-forum uitzoeken zou wél voorwaardelijke opzet zijn overigens, je hoeft niet een specifieke persoon op het oog te hebben. Tenzij je het op het forum plaatst met twaalf disclaimers en waarschuwingen en duidelijk maakt dat mensen zichzelf hiermee kunnen testen maar wel iemand erbij moeten hebben om ze eventueel te helpen. En zo kan ik nog wel even doorgaan (en ongetwijfeld gaat Wim dat hieronder doen ook).

Arnoud

Rechter veroordeelt webcamafperser ondanks claims over dubieuze keylogger

| AE 9320 | Strafrecht | 16 reacties

Een man is strafrechtelijk veroordeeld op basis van bewijs verkregen met een politie-keylogger. Dat meldde Tweakers vorige week. De politie heeft eind 2013 de woning van de man in het geheim betreden, waarbij op de aangetroffen laptop en desktop een keylogger werd geïnstalleerd. Zo kreeg men inzicht in zijn internetgedrag en pogingen dat te verhullen…. Lees verder

Mag de politie computerreparateurs betalen om te dataspitten?

| AE 9308 | Strafrecht | 34 reacties

De Amerikaanse FBI zou sinds 2007 medewerkers van de Geek Squad, een computerreparatiedienst van elektronicaketen Best Buy, betaald hebben om als informanten te dienen. Dat meldde Tweakers onlangs. De reparateurs spitten door binnengebrachte computers heen op zoek naar bijvoorbeeld kinderporno. De truc daarachter zou zijn dat de reparateurs dat kunnen zonder gerechtelijk bevel of zelfs… Lees verder

Mag je gekraakte wachtwoorden of hashes in je bezit hebben?

| AE 9278 | Hacken, Strafrecht | 16 reacties

Een lezer vroeg me: Er zijn veel dumps van gehackte wachtwoorddatabases (b.v. LinkedIn) beschikbaar op internet. Is het strafbaar om (1) deze in je bezit te hebben (2) hashes in zo’n dump te kraken en (3) gekraakte wachtwoorden publiek te maken in b.v. presentaties of publicaties? Het is op dit moment algemeen niet strafbaar om… Lees verder

Belastingdienst mag camerabeelden met nummerplaatherkenning niet gebruiken

| AE 9286 | Privacy, Strafrecht | 8 reacties

De Belastingdienst mag de foto’s die langs de snelweg zijn genomen met camera’s die zijn voorzien van automatische nummerplaatherkenning niet gebruiken, oordeelt de Hoge Raad. Dat meldde Tweakers afgelopen vrijdag. Door te datagraaien in de nummerplaatinfo vastgelegd door deze zogeheten ANPR-camera’s kon de Belastingdienst achterhalen dat een aantal zakelijke rijders een onjuiste ritregistratie had opgevoerd…. Lees verder

‘Driekwart Nederlanders voor verbod smartphonegebruik op fiets’

| AE 9211 | Strafrecht | 11 reacties

Driekwart van de Nederlanders is voorstander van een verbod op het gebruik van smartphones op de fiets, meldde Nu.nl onlangs. Dit bleek uit onderzoek van het ministerie van Infrastructuur en Milieu, in de opmaat naar een wettelijk verbod op smartphonegebruik dan wel -vasthouden voor fietsers. De discussie gaat namelijk over dat laatste punt: moeten we… Lees verder

Politie krijgt tien nieuwe teams om cybercriminaliteit te bestrijden

| AE 9187 | Strafrecht | 65 reacties

De politie gaat tien nieuwe cyberteams oprichten om cybercriminaliteit beter te kunnen bestrijden. Dat las ik bij Nu.nl. De teams gaan uit minimaal tien rechercheurs bestaan, die al in dienst zijn bij de politie. Zij worden ondersteund door digitaal specialisten die beschikken over specifieke ICT-kennis. NRC vult aan dat de focus mede komt te liggen… Lees verder

Jaar cel voor hacken en phishing, maar creditcardgegevens kun je niet stelen

| AE 9128 | Strafrecht | 20 reacties

Een man uit Amsterdam heeft vrijdag een celstraf van één jaar gekregen omdat hij verschillende websites heeft gehackt, e-mailadressen heeft gestolen en zich in phishing-e-mails heeft voorgedaan als een creditcardbedrijf. Dat meldde Nu.nl onlangs. Hij had ook creditcardgegevens te pakken gekregen, maar deze heeft hij niet gestolen want dat kan juridisch niet, zo blijkt uit… Lees verder