Uitspraken

Feit 1: ontwikkelen en verkopen van tikkiepanels en phishingpanels

In deze zaak gaat het over zogeheten ‘tikkiepanels’ en ‘phishingpanels’. Hiermee wordt bedoeld software waarmee het mogelijk is om websites te maken die lijken op de inlogpagina’s van de internetbankieromgeving van banken. Voor de beheerder van het panel is het mogelijk om met op die websites ingevoerde gegevens de controle te krijgen over bankrekeningen en daarmee betalingen te doen. Met de term ‘phishing’ wordt geduid op een vorm van fraude waarbij een slachtoffer wordt verleid om bepaalde gegevens te delen.2 Met de term ‘tikkie’ wordt gedoeld op de dienst Tikkie waarmee betaalverzoeken kunnen worden gemaakt.3 De software zal in dit vonnis ook wel worden aangeduid als ‘panel’.

Het onderzoek in deze zaak is begonnen op 24 februari 2020 toen de beveiliging van de Mediamarkt te Den Haag [medeverdachte] aanhield. [medeverdachte] had zich bij de Mediamarkt gemeld om een internetbestelling op te halen. De beveiliging van de Mediamarkt was alert op deze bestelling omdat het bij de bestelling opgegeven adres eerder was gebruikt bij een andere oplichtingszaak. In die zaak was betaald via een bankrekening zonder dat de eigenaar daarvan op de hoogte was. Nadat [medeverdachte] was overgedragen aan de politie, zijn de telefoons die [medeverdachte] bij zich had, in beslag genomen en doorzocht. Op een van die telefoons werd een Telegram-chatsessie aangetroffen tussen twee personen, van wie één zich Haiku noemde. Deze chatsessie liep van 19 oktober 2019 tot en met 24 februari 2020. Uit de chats bleek dat Haiku een panel aanbood en dat de andere persoon dit wilde kopen. Dit panel kon betaalverzoekpagina’s van verschillende banken maken. Er werd overeenstemming bereikt over de prijs van het panel en door Haiku werd een bestand met daarin het panel verstuurd aan de andere persoon. Later gaf Haiku instructies voor gebruik van het panel.4

Het in deze chatsessie door Haiku verzonden bestand is door de politie geanalyseerd om de functionaliteit van het panel in kaart te brengen. Het betreft een webapplicatie met een beheergedeelte, genaamd ‘Haiku’s live panel’. Op het beheergedeelte kan de gebruiker inloggen. Vervolgens heeft de gebruiker de mogelijkheid om zogenaamde ‘betaallinks’ aan te maken. Wanneer een beoogd slachtoffer een betaallink opent, krijgt hij een webpagina te zien die uiterlijk vrijwel gelijk is aan de werkelijke online betaalomgeving van een bank. Wanneer het slachtoffer zijn bankgegevens invult krijgt hij een scherm te zien waaruit blijkt dat even gewacht moet worden. Op dit moment krijgt de gebruiker van het panel in het beheergedeelte de melding dat er een slachtoffer online is. De gebruiker kan zien welke gegevens het slachtoffer heeft ingevoerd. Terwijl het slachtoffer nog aan het wachten is, kan de gebruiker deze gegevens gebruiken om in te loggen bij de bank van het slachtoffer of een iDeal-betaling te verrichten. Voor het doen van een betaling is over het algemeen nog een extra code nodig. Per bank kunnen de vervolgstappen in het panel worden verwerkt om ook deze code te verkrijgen.5

Naar aanleiding hiervan is door de politie een onderzoek ingesteld naar de identiteit van Haiku. Na uitgebreid onderzoek in open bronnen, waarbij verschillende aliassen, nicknames en emailadressen door de politie met elkaar in verband konden worden gebracht, is de verdachte in beeld gekomen. Het dataverkeer op het IP-adres van de internetaansluiting op het huisadres van de verdachte is vervolgens enige tijd getapt en ook zijn telefoongesprekken zijn getapt. Uiteindelijk is de verdachte op 19 oktober 2020 aangehouden in zijn slaapkamer, in de woning van zijn moeder in Almelo. Zijn computer stond aan en werd live doorzocht. Er waren diverse programma’s geopend, waaronder een browser waarop een website met ‘developers tools’ van een tikkiepanel was geopend, en het programma Visual Studio met daarin een programmeercode waarin de woorden ‘rabobank’, ‘inloggen’, ‘pincode veranderen’ voorkwamen.6

Na zich aanvankelijk op zijn zwijgrecht te hebben beroepen, heeft de verdachte op 29 oktober 2020 bij de politie een verklaring afgelegd. Deze heeft hij ter terechtzitting herhaald. De verklaring van de verdachte komt erop neer dat hij Haiku is en dat hij tikkiepanels en phishingpanels heeft gemaakt en verkocht. Deze panels waren bedoeld om fraude mee te plegen.7

Op vragen over hoeveel panels hij heeft verkocht, in welke periode, en wat hij daarmee heeft verdiend, heeft de verdachte geen antwoord willen geven. De politie heeft daar onderzoek naar gedaan aan de hand van in de woning van de verdachte in beslag genomen gegevensdragers. Op de computer van de verdachte zijn veel chatberichten van het programma Telegram aangetroffen. Deze zijn door de politie geanalyseerd. Daaruit is gebleken dat de verdachte voor zijn panels onder meer werd betaald in bitcoins. Uit de berichten valt op te maken dat zodra de verdachte een panel klaar had, hij een bitcoinadres voor de betaling naar de afnemer stuurde. Als hij de bitcoins had ontvangen, stuurde hij via Telegram het panel naar de afnemer. Vanaf 23 januari 2019 heeft de verdachte 97 bitcoinadressen naar andere Telegramgebruikers gestuurd in gesprekken waarin de aanschaf van panels werd besproken. De politie heeft op deze manier 49 verschillende afnemers gevonden die een of meerdere panels hebben afgenomen van de verdachte.8

Het oordeel van de rechtbank

Naar het oordeel van de rechtbank zijn panels als de onderhavige technische hulpmiddelen die hoofdzakelijk zijn ontworpen tot het plegen van computervredebreuk. Immers zijn de panels specifiek ontworpen om gegevens te verkrijgen teneinde daarmee onbevoegd in te loggen op een internetbankieromgeving. De rechtbank acht wettig en overtuigend bewezen dat de verdachte deze technische hulpmiddelen heeft vervaardigd, verkocht, verspreid en voorhanden gehad. Niet bewezen kan worden dat de verdachte deze technische hulpmiddelen heeft verworven, verhuurd of heeft ingevoerd. De rechtbank zal de verdachte daarvan vrijspreken.

Feit 2: witwassen

Zoals hiervoor reeds is vermeld, is uit Telegramberichten op de computer van de verdachte op te maken dat hij voor de levering van zijn panels werd betaald in bitcoins. Vanaf de eerste helft van 2019 verliepen de betalingen uitsluitend in bitcoins. Uit analyse door de politie volgt dat vanaf 23 januari 2019 49 verschillende afnemers één of meer panels hebben afgenomen van de verdachte en daarvoor hebben betaald in bitcoins. De vraagprijs voor een panel bedroeg doorgaans tussen de € 300,- en € 600,-, afhankelijk van het aantal verschillende banken dat was opgenomen in het panel, maar kon oplopen tot € 2.000,-.9

De politie heeft onderzoek verricht naar de bij- en afschrijvingen op de bankrekening van de verdachte in de periode van 1 januari 2018 tot en met 1 september 2020. In 2018 was de geldstroom over de bankrekening gemiddeld € 150,- per maand. In 2019 ging er per maand gemiddeld € 1.000,- over de bankrekening. In 2019 is er in totaal € 6.566,97 bijgeschreven uit de verkoop van bitcoins. Dit bedrag is uitgegeven aan zaken als snacks en luxe aankopen als merkkleding en uitgaan. In de eerste acht maanden van 2020 ging er gemiddeld per maand € 3.000,- over de bankrekening. In deze periode is er in totaal € 16.768,25 bijgeschreven uit de verkoop van bitcoins. Van deze inkomsten zijn met name luxe goederen gekocht, is eten besteld en is een vakantie naar Griekenland betaald.10

De verdachte heeft ter terechtzitting verklaard dat de verkoop van de door hem ontwikkelde panels zijn voornaamste bron van inkomsten was.11

Oordeel van de rechtbank

De rechtbank stelt vast dat de verdachte, door zich voor de verkoop van zijn panels te laten betalen in bitcoins, uit misdrijf afkomstige bitcoins heeft verworven en voorhanden heeft gehad. Door deze bitcoins om te zetten naar giraal geld en dat geld vervolgens uit te geven, heeft de verdachte uit misdrijf afkomstige bitcoins omgezet en van uit misdrijf afkomstige geldbedragen gebruik gemaakt. Nu het gaat om ten minste 49 bitcointransacties in een periode van bijna twee jaar, heeft de verdachte daarvan een gewoonte gemaakt.

De rechtbank acht het onder 2 ten laste gelegde wettig en overtuigend bewezen. Of het bewezen verklaarde gekwalificeerd kan worden als witwassen, zal de rechtbank in rubriek 4 van dit vonnis bespreken.

Feit 3: voorhanden hebben van een vuurwapen en munitie

Bij zijn aanhouding op 19 oktober 2020 zijn in de slaapkamer van de verdachte in zijn woning in Almelo een pistool en munitie aangetroffen.12 Blijkens onderzoek van de politie betreft het een pistool van het merk Glock, model 19 GEN 4 9mm (categorie III sub 1)13 en was het patroonmagazijn van dit pistool gevuld met vijftien patronen van 9mm (categorie III). Voorts zijn een doosje met zes 9mm S&B volmantel pistoolpatronen (categorie III) en een doosje met achttien 9mm GECO hollow point pistoolpatronen (categorie II) aangetroffen.14

Het oordeel van de rechtbank

De rechtbank acht het onder 3 ten laste gelegde wettig en overtuigend bewezen.

Feiten 1, 2 en 3: oplichting, computervredebreuk en diefstal met een valse sleutel

Naar aanleiding van gegevens die zijn aangetroffen op de computer van de verdachte, in het bijzonder Telegramchats, is de verdenking ontstaan dat de verdachte niet alleen panels heeft ontworpen en verkocht, maar ook zelf, samen met anderen, van de door hem ontworpen panels gebruik heeft gemaakt om fraude te plegen. De politie heeft verbanden gelegd met de gegevens op de computer van de verdachte en diverse aangiftes van fraude. Ook heeft de politie bij ING Bank fraudedossiers opgevraagd waarin het IP-adres van het huisadres van de verdachte voorkwam. Dit heeft uiteindelijk geresulteerd in tenlastelegging van betrokkenheid bij vier gevallen van oplichting en diefstal met een valse sleutel en daarmee samenhangende computervredebreuk. De verdachte heeft hierover geen vragen willen beantwoorden. De rechtbank zal deze feiten in samenhang bespreken.

Aangiftes

Uit de aangifte van [slachtoffer 2] blijkt dat hij op 7 maart 2019 een SMS-bericht heeft ontvangen met de tekst: “Uw ING is in de quarantainezone geplaatst en dient opnieuw te worden geverifieerd. Voorkom blokkade en volg de stappen: https://mijn.ingblokkade.nl/”. Nadat hij op de link klikte, kwam hij in een menu terecht en heeft hij een SMS-bericht ontvangen met een iDeal-betaling voor een bedrag van € 102,49 en diverse volgnummers en TAN-codes. Uiteindelijk bleek dat er € 102,49 was overgemaakt naar een Duits rekeningnummer.15

Uit de aangifte van [slachtoffer 3] blijkt dat zij op 7 maart 2019 een SMS-bericht heeft ontvangen. In dit bericht stond dat haar betaalrekening in een quarantaine zone was geplaatst en dat deze opnieuw geverifieerd moest worden via de website https://mijn.ingdeblokkade.nl/. Zij heeft op de link geklikt en kwam op een ING-pagina waar zij haar persoonlijke gegevens moest invullen. Na het invullen van haar gegevens ontving zij wederom een SMS-bericht met de vraag een TAN-code in te vullen. Zij heeft vervolgens een TAN-code ingevuld. Daarna kwam zij op een nieuwe pagina waar zij wederom een TAN-code moest invullen, hetgeen zij ook gedaan heeft. Daarna kwam zij op een pagina waarop stond dat alles voltooid was. Zij heeft vervolgens op haar rekening gekeken en zag dat er twee keer € 102,95 euro was afgeschreven ten behoeve van ‘Beltegoed.nl’.16

Uit de aangifte van [slachtoffer 1] blijkt dat haar man op 8 november 2019 een SMS-bericht heeft ontvangen waarin het volgende stond: “Uw SNS is in de Quarantainezone geplaatst en dient opnieuw te worden geverifieerd. Voorkom blokkade en volg de stappen op https://sns-deblokkeren.com”. Haar man heeft op de link geklikt en kreeg een scherm te zien waarvan hij dacht dat dit van SNS Bank was. Hij moest inloggen met zijn digipas waarna hij een code toegestuurd kreeg, die hij vervolgens ook op de site moest invullen. Toen aangeefster [slachtoffer 1] op de rekening keek, zag zij dat € 846,35 was afgeschreven en overgemaakt naar [rekeningnummer 1] .17

Aanwijzingen dat de verdachte zich met fraude bezig hield

Uit een datatap op het IP-adres van de verdachte bleek dat in de weken voorafgaand aan de aanhouding van de verdachte veelvuldig verbinding werd gemaakt met de website https://wemoeteneten.online/. Ten tijde van zijn aanhouding stond zijn computer aan en stond deze website open. De titel van deze website was ‘Haiku’s live panel’. Uit analyse van deze website door de politie blijkt dat, na met een gebruikersnaam en wachtwoord te zijn ingelogd, kon worden genavigeerd naar de pagina ‘Entries’. Deze pagina bevatte een lijst met persoonsgegevens, bankgegevens en inlogcodes. Aan 55 van de 449 opgaven in de lijst was Haiku als ‘handler’ gekoppeld.18

Voorts bleek dat op de computer van de verdachte bestanden stonden met daarin een grote hoeveelheid persoonsgegevens, waaronder telefoonnummers. In één geval ging het om een bestand met de naam ‘243k leads’. Het is de politie bekend dat de term ‘leads’ wordt gebruikt om een collectie aan persoonsgegevens van potentiële slachtoffers van phishing aan de duiden.19

Op de computer van de verdachte is een Telegramchat, beginnend op 7 augustus 2019, aangetroffen tussen de verdachte (Haiku) en ‘V_SMS’. Hierin informeerde de verdachte naar de prijzen voor het sturen van SMS-berichten binnen Nederland en België. V_SMS schreef dat het verzenden van één SMS in Nederland € 0,12 kost en in België € 0,08. De verdachte heeft in augustus en september 2020 in vijftien etappes voor € 2.680 aan SMS-berichten gekocht.20

Ook is op de computer van de verdachte een Telegramgroepschat aangetroffen, genaamd ‘Andere Saus 2.0’, tussen de verdachte (Haiku) en twee anderen. Deze chat liep van 4 oktober tot 19 oktober 2020 en bevat duizenden berichten die verband houden met phishing. Van deze chat maakte ook een ‘bot’ genaamd ‘MeLogsV3’ deel uit. MeLogsV3 stuurde enkel berichten met daarin de standaardtekst: “New user landed on bank page [naam van een bank]”. MeLogsV3 heeft 175 van zulke berichten verstuurd. Wanneer een dergelijk bericht van MeLogsV3 binnenkwam, vroegen de gebruikers in de chat – onder wie dus de verdachte – aan elkaar of, en wanneer, er ‘geduwd’ ging worden. Verder werd er besproken wie er zou ‘pakken’ of ‘klemmen’. Te lezen is dat de verdachte dat ook regelmatig deed. Zo zei de verdachte, volgend op een bericht van MeLogsV3 over ING Bank, “orra? laat me klemme”. Daarop volgden vaak berichten over het al dan niet binnen kunnen geraken in de bankieromgeving van een potentieel slachtoffer en over het saldo dat op de rekening van een slachtoffer werd aangetroffen. Zo schreef een andere gebruiker, na een bericht van MeLogsV3, “hoeveel heeft ie. Hvl staat erop?”, waarop de verdachte antwoordde “gaan we nu checke”.21

Verder is op de computer van de verdachte een Telegramchat aangetroffen tussen de verdachte (Haiku) en ‘Ghost’. Daarin werd gesproken over het opzetten van een tikkiepanel. Op 26 september 2019 stuurde de verdachte: “Als de mijne klaar is kunnen we wel samen werken” en “Doen we gwn 50/50 met hosting betalen”. Hierop reageerde Ghost met “Isgoes”. In de gesprekken tot 31 oktober 2019 ging het hoofdzakelijk over het aankopen en opzetten van phishingdomeinen, en over het overnemen van bankrekeningen.22

Aanwijzingen dat de verdachte betrokken was bij fraude jegens de in de tenlastelegging genoemde aangevers

Eén van de door ING Bank verstrekte fraudedossiers betreft [slachtoffer 2] . Hierin staat dat op 7 maart 2019 een klantafwijkende inlog heeft plaatsgevonden. Op die datum is een geslaagde transactie geregistreerd van € 102,49. Deze transactie is uitgevoerd vanaf het [IP-adres] , dat op dat moment aan het huisadres van de verdachte was toebedeeld.23

In de Telegramchat tussen de verdachte en Ghost is te zien dat zij op 7 maart 2019 een gesprek hadden over ING Bank en beltegoed.nl. Zij waren bezig om geld van ING-bankrekeningen van slachtoffers over te boeken naar andere rekeningen en aankopen te doen op de website beltegoed.nl. De verdachte vroeg Ghost foto’s die door slachtoffers waren geüpload naar hem te sturen. Een van de foto’s betrof een foto van de voorkant van een identiteitskaart van een persoon genaamd [slachtoffer 3] . Tevens deelden de verdachte en Ghost persoonsgegevens van [slachtoffer 3] met elkaar, waaronder haar bankrekeningnummer.24

Op de computer van de verdachte is een Telegramchat aangetroffen tussen de verdachte (Haiku) en een gebruiker wiens account later is verwijderd, en die wordt aangeduid als ‘Deleted Account’. Vanaf het begin op 1 november 2019 ging dit gesprek over phishing activiteiten. Op 8 november 2019 om 20:34 uur (in Telegram weergegeven tijd) stuurde de verdachte als voorbeeld van een SMS-bericht: “Uw SNS is in de quarantainezone geplaatst en dient opnieuw te worden geverifieerd. Voorkom blokkade en volg de stappen op: https://sns-deblokkeren.com/”. Nadat Deleted Account de tekst had goedgekeurd stuurde hij een lijst met ‘leads’ naar het door de verdachte opgegeven emailadres. Nadat de route van de te gebruiken SMS-gateway was gewijzigd om een blokkade door de mobiele provider te omzeilen en de werking was getest, verstuurde de verdachte het hiervoor genoemde SMS-bericht naar de leads in etappes van 50. Om 22:08 uur (in Telegram weergegeven tijd) zei Haiku: “er is eentje”. Deleted Account zei dat Haiku die moest oppakken en gaf het volgende rekeningnummer door: [rekeningnummer 1] .25

Het oordeel van de rechtbank

Uit de hiervoor weergegeven bewijsmiddelen, in onderling verband en samenhang bezien, leidt de rechtbank af dat de verdachte niet alleen panels heeft ontwikkeld, maar deze ook heeft gebruikt om met anderen fraude te plegen. In het bijzonder leidt de rechtbank dit af uit de analyse van het panel dat open stond op de computer van de verdachte ten tijde van zijn aanhouding, de vele Telegramchats die gaan over phishing en het aantreffen van lijsten met telefoonnummers en chats over het in bulk verzenden van SMS-berichten. Uit de aangiftes komt immers naar voren dat de fraude telkens begon met de ontvangst door de aangevers van een SMS-bericht met daarin een link.

De rechtbank leidt uit de bewijsmiddelen ook af dat de verdachte met zijn mededader(s) betrokken was bij de fraude gepleegd jegens [slachtoffer 2] , [slachtoffer 3] en [slachtoffer 1] :

Op grond daarvan is de rechtbank van oordeel dat de verdachte door het aannemen van een valse hoedanigheid, listige kunstgrepen en een samenweefsel van verdichtsels, bij de aangevers een onjuiste voorstelling van zaken in het leven heeft geroepen waardoor deze zijn bewogen tot de afgifte van hun persoonsgegevens en/of de inloggegevens van hun internetbankieromgeving. In het bijzonder heeft de rechtbank bij de beoordeling van het gewicht van de betreffende oplichtingsmiddelen als omstandigheden in aanmerking genomen dat de verdachte telkens een samen met anderen tevoren bedachte werkwijze heeft gehanteerd waarbij hij de aangevers heeft doen geloven dat zij met de bank te maken hadden, dat hun bankrekening in een quarantainezone was geplaatst en dat zij actie moesten ondernemen om dat ongedaan te maken, waarna de aangevers zijn overgegaan tot het afgeven van hun gegevens.

Met deze gegevens is vervolgens door de verdachte en zijn mededader(s) ingelogd op de internetbankieromgeving van de aangevers. Daarmee is binnengedrongen in een (deel van een) geautomatiseerd werk, namelijk de servers van de beveiligde internetbankieromgeving van de bank. Nu de verdachte en zijn mededader(s) dat hebben gedaan met inloggegevens tot het gebruik waarvan zijn niet bevoegd waren, en door zich voor te doen als geautoriseerde klanten van de bank, is sprake van een valse sleutel en een valse hoedanigheid.

Nadat was binnengedrongen in de internetbankieromgeving, zijn door de verdachte en zijn mededaders(s) aankopen en overboekingen gedaan. Ook dit hebben zij gedaan met gebruikmaking van gegevens tot het gebruik waarvan zij niet bevoegd waren, zodat sprake is van een valse sleutel.

De rechtbank komt dus tot bewezenverklaring van het onder 1 en 3 ten laste gelegde voor zover dat ziet op [slachtoffer 2] , [slachtoffer 3] en [slachtoffer 1] en van het onder 2 ten laste gelegde.

Vrijspraak ten aanzien van [slachtoffer 4]

Ten laste gelegd is ook dat de verdachte betrokken is geweest bij soortgelijke fraude gepleegd jegens [slachtoffer 4] . Volgens de aangifte van [slachtoffer 4] vond deze fraude plaats op 29 augustus 2019. Op de computer van de verdachte is een foto van het identiteitsbewijs van [slachtoffer 4] aangetroffen. De rechtbank kan echter niet met voldoende zekerheid vaststellen dat de verdachte ook daadwerkelijk bij deze fraude betrokken is geweest. [slachtoffer 4] wordt in de Telegramchats niet genoemd. Uit de chatgesprekken op 29 augustus 2019 kan ook niet worden afgeleid dat de verdachte op die datum betrokken was bij fraude jegens [slachtoffer 4] . De verdachte wordt derhalve hiervan vrijgesproken.

Feit 4: voorhanden hebben van een lijst met emailadressen en wachtwoorden

De verdachte wordt verweten op een gegevensdrager een lijst voorhanden te hebben gehad met miljoenen emailadressen en bijbehorende wachtwoorden, met het oogmerk dat daarmee een misdrijf als bedoeld in artikel 138ab, eerste lid, 138b of 139c Sr werd gepleegd. Uit het dossier komt naar voren dat zogenoemde ‘combolijsten’ met miljoenen emailadressen en wachtwoorden zijn aangetroffen op een externe harde schijf van de verdachte. Ter terechtzitting heeft de verdachte hierover verklaard dat hij deze lijsten op internet heeft gevonden en dat hij deze heeft bewaard als verzameling. De rechtbank acht deze verklaring niet onaannemelijk. Zij neemt daarbij in aanmerking dat haar ambtshalve bekend is dat dergelijke lijsten, veelal afkomstig uit datalekken, circuleren op internet. Dergelijke lijsten met emailadressen en wachtwoorden passen bovendien niet bij de vorm van fraude waarmee de verdachte zich bezighield. Het dossier bevat onvoldoende aanwijzingen dat de verdachte met het voorhanden hebben van die lijsten het oogmerk had tot het plegen van voormelde misdrijven. De rechtbank merkt daarbij nog op dat op gegevensdragers van de verdachte ook andere lijsten zijn aangetroffen, namelijk lijsten met telefoonnummers en lijsten met namen, adressen en bankrekeningnummers. Die lijsten passen wél bij de vorm van fraude waarmee de verdachte zich bezighield, maar het voorhanden hebben van die lijsten is kennelijk niet ten laste gelegd.

De verdachte wordt derhalve vrijgesproken van het onder 4 ten laste gelegde.