Uitspraken

De officier van justitie heeft gerekwireerd tot bewezenverklaring van de ten laste gelegde feiten, met dien verstande dat de verdachte deze feiten volgens de officier van justitie tussen maart 2020 en 13 juli 2021 heeft gepleegd.

De raadsvrouw heeft– kort gezegd – het volgende bepleit.

Ten aanzien van feit 1 kan slechts bewezen worden dat de verdachte een betaalfraudepanel voorhanden heeft gehad, zodat hij van het verkrijgen moet worden vrijgesproken. Ten aanzien van feit 2 moet de verdachte worden vrijgesproken van oplichting met behulp van een bonafide 2ehands.be link. Ten aanzien van de feiten 2 en 4 kan slechts worden bewezen worden dat de verdachte zeven slachtoffers heeft opgelicht en bestolen. Ten aanzien van feit 5 moet het bedrag dat zou zijn witgewassen fors worden gematigd, namelijk tot het bedrag dat van de zeven te bewijzen slachtoffers is gestolen. Ten aanzien van feit 6 moet vrijspraak volgen van ‘1.183 personen’. Van feit 7 moet de verdachte in zijn geheel worden vrijgesproken.

Over de pleegperiodes heeft de raadsvrouw het volgende bepleit. Ten aanzien van de feiten 1, 2, 3, 4, en 7 kan slechts worden bewezen dat de verdachte die tussen 20 september 2020 en 8 juli 2021 heeft gepleegd, ten aanzien van feit 5 moet de pleegperiode aanvangen in maart 2021 en ten aanzien van feit 6 kan slechts bewezen worden een periode van 20 september 2020 tot en met 19 oktober 2020. Ten aanzien van feit 7 heeft de verdediging subsidiair bepleit dat de pleegperiode moet worden beperkt van september 2020 tot en met 8 juli 2021, indien de primair bepleite vrijspraak niet gevolgd wordt.

De beoordeling van de tenlastelegging1

Inleiding en algemene overwegingen

In deze zaak gaat het over zogeheten betaalfraudepanels, ook wel phishingpanels genoemd. Hiermee wordt bedoeld software waarmee het mogelijk is om websites te maken die nagenoeg gelijk zijn aan de inlogpagina’s van de internetbankieromgeving van banken. Voor de beheerder van het panel is het mogelijk om met op die websites ingevoerde gegevens, zoals bijvoorbeeld bankrekeningnummer, pasnummer en autorisatiecodes, de controle te krijgen over bankrekeningen en daarmee betalingen te doen. Met de term phishing wordt geduid op een vorm van fraude waarbij een slachtoffer wordt verleid om bepaalde gegevens te delen, vaak door op een link te klikken die het slachtoffer via mail, sms of WhatsApp heeft ontvangen.

Het onderzoek naar de verdachte vloeit voort uit het onderzoek ‘Sauer’ dat was gericht op [verdachte 2] , die gebruik maakte van de gebruikersnaam ‘Haiku’. [verdachte 2] werd onder meer verdacht van het ontwerpen van betaalfraudepanels. Op zijn computer zijn twee Telegram-conversaties aangetroffen. Een gesprek met ‘Guru 3.147’ en een groepsgesprek genaamd ‘Andere Saus 2.0’ waaraan die Haiku deelnam met twee andere personen: ‘Guru 3.147’ en ‘LazyLinks’. In de chat tussen Haiku en Guru werd veelvuldig gesproken over een betaalfraudepanel, dat door Haiku zou worden ontworpen en door Guru zou worden aangeschaft. In de groepschat Andere Saus 2.0 werd gesproken over het plegen van fraude met behulp van een betaalfraudepanel door Haiku, Guru en LazyLinks. Gezien het vermoeden dat ook Guru en LazyLinks zich bezig hielden met grootschalige digitale fraude, heeft de politie onderzoek gedaan naar de personen die achter deze gebruikersnamen schuil gingen. Dit mondde uit in het onderzoek ‘Weezing’. Door informatie uit de Telegram-conversaties te koppelen aan onder meer open bronnen, kwam [verdachte 3] in beeld als Guru 3.147 (ook wel ‘DmpG’ of ‘Bonkara’).2 Op dezelfde wijze kwam de verdachte in beeld als ‘LazyLinks’ (ook wel ‘Lazy’ of ‘.’).3 Op een onder [verdachte 3] in beslag genomen telefoon werden weer andere Telegram-conversaties aangetroffen, met ene ‘Ano 020’ (ook wel ‘Jerry V2.0’). Hierachter bleek [verdachte 4] schuil te gaan.4

Uit de Telegram-conversatie tussen [verdachte 2] en [verdachte 3] blijkt dat [verdachte 2] op 27 juli 2020 een betaalfraudepanel stuurde aan [verdachte 3] . De werking van dit panel is door de politie onderzocht. Het bleek dat dit panel, getiteld ‘Haiku’s live panel’, hetzelfde was als het panel dat ten tijde van de aanhouding van [verdachte 2] , op 19 oktober 2020, draaide op het adres https://wemoeteneten.online.5 Over het gebruik van dat panel is uit verschillende bronnen informatie beschikbaar. Na de aanhouding van [verdachte 2] heeft de politie op 24 december 2020 ingelogd op het panel op https://wemoeteneten.online en daar een lijst met ‘entries’ veiliggesteld, die de periode bestrijkt van 20 september 2020 tot en met 24 december 2020.6 Later, na de aanhouding van [verdachte 3] op 13 juli 2021, heeft de politie vanaf zijn telefoon bestanden met loggegevens van het panel veiliggesteld. Deze logbestanden bestrijken de periode van 20 september 2020 tot en met 2 juli 2021.7

Uit onderzoek van de entries en de logbestanden is gebleken dat zowel [verdachte 2] (Haiku), [verdachte 3] (Guru), [verdachte 4] (Ano020) als de verdachte (LazyLinks) op enig moment toegang had tot het panel en daarvan gebruik heeft gemaakt.8

Nadat de verdachte zich eerst op zijn zwijgrecht heeft beroepen, heeft hij op 1 april 2022 in een politieverhoor erkend dat hij de persoon is die schuil gaat achter de aliassen LazyLinks, ‘Lazy’ en ‘.’.9 De verdachte heeft verder een grotendeels bekennende verklaring afgelegd, in die zin dat hij heeft verklaard dat hij zich bezig heeft gehouden met phishing vanaf september 2020 tot en met 19 oktober 2020 met [verdachte 2] en [verdachte 3] , en later, vanaf 8 maart 2021 tot en met 8 juli 2021, met [verdachte 4] en [verdachte 3] .

[verdachte 3] heeft eveneens een grotendeels bekennende verklaring afgelegd. Hij heeft verklaard dat hij op 26 maart 2020 voor € 500,- een betaalfraudepanel heeft aangeschaft. Dat betaalfraudepanel heeft hij laten ontwerpen door [verdachte 2] . Omdat dit panel niet goed werkte, heeft hij in juli 2020 een nieuw panel laten ontwerpen door [verdachte 2] . Dit panel heeft hij op 27 juli 2020 voor € 2000,- aangeschaft. Vervolgens is hij dit panel gaan gebruiken.10

Uit onderzoek door de politie naar de werking van het betaalfraudepanel komt het volgende naar voren. Het panel betreft een webapplicatie waarmee het mogelijk is om sms-berichten te versturen, vermoedelijk met het doel personen via een link naar de nagemaakte Itsme-pagina te leiden. Wie zo’n link opent krijgt een webpagina te zien die de indruk wekt dat dit een service van Itsme.be betreft.11 Op deze pagina wordt gevraagd om een bank te selecteren. Wie voor Axa, Argenta, Belfius, BNP, ING of KBC kiest krijgt daarna een webpagina te zien waarbij een debetkaartnummer wordt gevraagd en de vervaldatum. Op de pagina wordt het logo van de bank gebruikt en het logo van Itsme, waardoor het lijkt alsof de bezoeker wordt doorgestuurd naar de bankwebsite vanuit Itsme. De gegevens die op deze webpagina worden ingevoerd komen terecht bij de gebruiker van het betaalfraudepanel. De gebruiker van het betaalfraudepanel kan vervolgens met deze gegevens proberen in te loggen op de echte bankwebsite. Bij het inloggen wordt om een verificatiecode oftewel aanmeldcode, gevraagd. De gebruiker van het panel vraagt vervolgens aan de bezoeker van de nagemaakte Itsme-pagina om de aanmeldcode te genereren via diens kaartlezer. Op deze manier kan de gebruiker van het betaalfraudepanel inloggen op het bankaccount van de bezoeker van de nagemaakte Itsme-pagina.12

[verdachte 3] heeft aan de politie verklaard dat hij via Telegram lijsten met telefoonnummers van voornamelijk klanten van Belgische banken had gekocht. Naar die telefoonnummers stuurde hij een sms-bericht waarin stond dat het beoogde slachtoffer zijn of haar Itsme-account opnieuw moest activeren, met daarbij een frauduleuze link. Later is [verdachte 3] op Telegram in contact gekomen met een persoon met de gebruikersnaam ‘EXP’, die ervoor kon zorgen dat een link naar de nepwebsite voor een bepaalde periode als advertentie bovenaan de Google zoekresultaten zou verschijnen, wanneer bepaalde trefwoorden in Google werden ingevoerd, zoals ‘Argenta’ of ‘Bpostbank aanmelden’.13, 14

Uit de Telegram-groepschat ‘Andere Saus 2.0’, waaraan de verdachte, [verdachte 3] en [verdachte 2] deelnamen, blijkt dat zij beurten verdeelden wanneer een potentieel slachtoffer op een frauduleuze link had geklikt.15

Wanneer op de hiervoor omschreven wijze toegang was verkregen tot de internetbankieromgeving van een slachtoffer, werd geprobeerd geld van de bankrekening van het slachtoffer over te maken naar de bankrekening van derden. Deze derden, zogenoemde geldezels, waren personen die [verdachte 3] had gevonden via tussen personen die hij kende van Telegram, schuilgaande onder de gebruikersnamen ‘Phantom’ en ‘3AKABOUZ’.16 Ook werd geprobeerd om met banktegoeden van slachtoffers cryptovaluta te kopen bij Bitvavo of Litebit, die ten bate kwam van de cryptowallet van een geldezel. Phantom en 3AKABOUZ kregen voor het aanleveren van de geldezels een vergoeding van 50% van de opbrengst van de fraude. De resterende 50% werd verdeeld tussen [verdachte 3] , de verdachte en de derde persoon ( [verdachte 4] dan wel [verdachte 2] ). Zij kregen dus een zesde deel van de totale opbrengst. Dit werd uitbetaald als cryptovaluta in hun eigen wallet.17, 18, 19

Feit 1: Verwerven en voorhanden hebben van betaalfraudepanels

De verdachte heeft in zijn politieverhoor en tijdens het onderzoek ter terechtzitting een grotendeels bekennende verklaring afgelegd. Hij heeft echter verklaard niet betrokken te zijn geweest bij het verwerven van de betaalfraudepanels en ook niet betrokken te zijn geweest bij het eerste betaalfraudepanel dat door [verdachte 3] op 26 maart 2020 van [verdachte 2] gekocht werd.

Uit een Telegram-chat tussen [verdachte 3] en [verdachte 2] blijkt dat zij al vanaf juni 2019 in contact zijn en spreken over het maken van een betaalfraudepanel. In maart 2020 wordt door [verdachte 3] het eerste panel voor € 500,- aangeschaft. De enige bewijsmiddelen waaruit mogelijke betrokkenheid van de verdachte bij dit eerste betaalfraudepanel blijkt, zijn twee chatberichten die door [verdachte 3] zijn doorgestuurd naar [verdachte 2] . Het eerste bericht betreft een screenshot van een bericht van LazyLinks aan Guru van 13 maart 2020, met daarin een link die betrekking heeft op internetbankieren bij de Argenta bank. In het tweede bericht, van 24 maart 2020, zegt Guru ‘Ff nachecken, wacht heel even op antwoord neefje’. De verdachte heeft ter terechtzitting verklaard dat [verdachte 3] steeds naar hem verwijst, als hij het over zijn neefje heeft.20 Uit die chatberichten blijkt weliswaar van enige betrokkenheid van de verdachte, maar de rechtbank kan op basis van die chatberichten alleen niet buiten redelijke twijfel vaststellen dat de verdachte dat eerste betaalfraudepanel ook daadwerkelijk heeft verworven of voorhanden gehad. De rechtbank zal de verdachte dan ook vrijspreken met betrekking tot deze periode en de betrokkenheid van verdachte bij het eerste betaalfraudepanel.

Over het verwerven en voorhanden hebben van het tweede betaalfraudepanel overweegt de rechtbank als volgt.

De politie heeft onderzoek verricht naar het panel dat draaide op het adres https://wemoeteneten.online. Uit de veiliggestelde lijst met ‘entries’ blijkt dat ‘Lazy’ in de periode van 20 september 2020 tot en met 19 oktober 2020 als ‘handler’ is vermeld naast in totaal 69 rijen met persoons- en/of bankgegevens.21 De handler is de persoon die als laatste een wijziging heeft aangebracht in de ingevoerde gegevens.22 De veiliggestelde lijst met entries loopt tot 24 december 2020. Lazy komt daarin na 19 oktober 2020 niet meer voor. Uit onderzoek naar de logbestanden van het panel, veiliggesteld van de telefoon van [verdachte 3] , blijkt dat Lazy daarin na 19 oktober 2020 voor het eerst weer voorkomt als ‘operator’ vanaf 8 maart 2021.23

Dit stemt overeen met de verklaring van de verdachte dat hij in de periode van 20 september 2020 tot en met 19 oktober 2020 en vanaf 8 maart 2021 actief was op het panel.24

Het tweede betaalfraudepanel is in opdracht van [verdachte 3] ontwikkeld.25 Uit de chatgesprekken tussen [verdachte 3] en [verdachte 2] blijkt dat [verdachte 3] op een kladblok concepten heeft uitgeschreven en getekend over hoe het panel eruit moet komen te zien en moet werken. [verdachte 3] stuurt op 22 juli 2020 echter schermafbeeldingen van berichten van afkomstig LazyLinks, waarin deze afbeeldingen stuurt van een Bancontact betaling bij diverse Belgische banken. In de daaropvolgende dagen heeft [verdachte 3] het in de chat veelvuldig over zijn neefje, oftewel de verdachte. [verdachte 3] zegt: ‘m’n neefje zegt of die aanmeldcode zonder puntje ervoor kan en dan gelijk boven’, ‘Dat is m als t goed is heb m’n neefje ook ff gestuurd’ en ‘Yess ik ga t sws dan ff helemaal checken met m’n neefje’. [verdachte 3] stuurt ook een schermafbeelding van een bericht van LazyLinks van 23 juli 2020 waarin LazyLinks een voorbeeld stuurt van het stappenplan dat bij ING België doorlopen moet worden om in te loggen op internetbankieren.26

De verdachte heeft ter terechtzitting verklaard dat hij ook voor 20 september 2020 wel eens meedacht met [verdachte 3] over het ontwerp van het panel.27

Op grond van het voorgaande oordeelt de rechtbank dat de verdachte al vanaf 22 juli 2020 nauw en bewust heeft samengewerkt met [verdachte 3] met betrekking tot het verwerven en vervolgens het voorhanden hebben van het (tweede) betaalfraudepanel. De verdachte heeft dat panel daarna nog geruime tijd voorhanden gehad, getuige een groepschat tussen de verdachte, [verdachte 3] en [verdachte 4] waarin zij overleggen over het gebruik van het panel en de verdachte op 12 juli 2021 zegt ‘ik pak gewoon 2e’, en ‘alleen kan niet betalen met die kaart op vavo’.28

Gezien het voorgaande is de rechtbank van oordeel dat de verdachte van 22 juli 2020 tot en met 13 juli 2021 tezamen en in vereniging met anderen een betaalfraudepanel heeft verworven en voorhanden gehad.

Feit 2: Oplichting

De verdachte heeft bekend zich in de periode van 20 september 2020 tot en met 19 oktober 2020 en van 8 maart 2021 tot en met 8 juli 2021 bezig te hebben gehouden met phishing. Hij heeft samen met anderen het betaalfraudepanel bediend en ook heeft hij sms-berichten met frauduleuze links gestuurd. 29

Daarmee is gegeven dat de verdachte zich schuldig heeft gemaakt aan oplichting. Over de omvang van die oplichting overweegt de rechtbank als volgt.

In het kader van het opsporingsonderzoek naar [verdachte 2] heeft een opsporingsambtenaar op 24 december 2020, na toestemming van de officier van justitie, ingelogd op het betaalfraudepanel op het adres https://wemoeteneten.online. Genavigeerd kon worden naar de pagina ‘Entries’, waar vervolgens een tabel zichtbaar was met 449 rijen. In de kolom ‘Connected on’ waren data en tijdstippen vermeld. In de kolom ‘Quick input’ stonden persoons- en/of bankgegevens. In de kolom ‘Page’ stonden namen van banken. In de kolom ‘Handler’ stonden gebruikersnamen. Op basis van die bevindingen is de opsporingsambtenaar ervan uitgegaan dat de lijst met ‘Entries’ een lijst met doelwitten van phishing-acties is. De gegevens zijn veiliggesteld voor nader onderzoek.30

De officier van justitie heeft toestemming gegeven om deze gegevens ook te gebruiken in het opsporingsonderzoek naar de verdachte. Een van de veiliggestelde bestanden betreft voormelde tabel die is toegevoegd als digitale bijlage bij het proces-verbaal, onder de bestandsnaam ‘Entries wemoeteneten.online.xlsx’.31

Bij opening van dit bestand verschijnt een tabel met 449 rijen. Wanneer wordt gefilterd op ‘entries’ die gedateerd zijn van 20 september tot en met 19 oktober 2020, blijven er 337 rijen over. Van die 337 zijn er meerdere rijen die in het geheel geen persoonsgegevens en bankgegevens bevatten en die overduidelijk een testinvoer betreffen. Worden die eruit gefilterd, dan blijven er 183 rijen over. Worden dubbele entries eruit gefilterd, dan resteren 116 rijen. Deze rijen bevatten in de kolom ‘Quick input’ ten minste een kaartnummer en een vervaldatum, maar in veel gevallen veel meer (persoons)gegevens, zoals namen en geboortedata en aanmeldcodes.32

De rechtbank acht op grond van het voorgaande bewezen dat de verdachte door het aannemen van een valse hoedanigheid, door listige kunstgrepen en door een samenweefsel van verdichtsels een groot aantal personen heeft bewogen tot het ter beschikking stellen van hun persoons- en/of bankgegevens. Dat blijkt in de eerste plaats uit de tabel met entries afkomstig uit het phishingpanel op het adres https://wemoeteneten.online. De rechtbank gaat ervan uit dat elk van de 116 entries is verkregen doordat een (potentieel) slachtoffer op een frauduleuze link heeft geklikt en vervolgens – denkend op de site van Itsme.be of een bank te zijn beland – zijn of haar gegevens heeft ingevuld. Tot die 116 behoren de in de tenlastelegging met naam genoemde slachtoffers [slachtoffer 1] , [slachtoffer 2] , [slachtoffer 3] en [slachtoffer 4] . Verder blijkt uit andere bronnen, namelijk de Telegramgesprekken tussen de verdachte en zijn mededaders en de op de laptop van [verdachte 3] aangetroffen bestanden, dat er nog meer slachtoffers zijn gemaakt. Tot die slachtoffers behoren de in de tenlastelegging genoemde [slachtoffer 5] , [slachtoffer 6] , [slachtoffer 7] en [slachtoffer 8] en de niet in de tenlastelegging bij naam genoemde slachtoffers [slachtoffer 9] , [slachtoffer 10] en [slachtoffer 11] . Dit zal hieronder bij de feiten 3 en 4 nader worden toegelicht.

De rechtbank oordeelt dat wettig en overtuigend is bewezen dat de verdachte zich tezamen en in vereniging met anderen schuldig heeft gemaakt aan oplichting van een groot aantal personen, in de periode van 20 september 2020 tot en met 25 mei 2021 (de datum waarop blijkens de aangiftes van de hierboven genoemde personen laatstelijk door de verdachte met gebruik van het betaalfraudepanel is opgelicht).

Feit 6: voorhanden hebben lijsten met entries

De middels oplichting verkregen gegevens waarmee toegang kon worden gekregen tot een (deel van een) geautomatiseerd werk, heeft de verdachte ook voorhanden gehad. In het licht van alle feiten en omstandigheden uit het dossier en het verhandelde ter terechtzitting staat ook vast dat hij deze gegevens voorhanden had met het oogmerk dat daarmee een misdrijf als bedoeld in artikel 138ab, eerste lid, Wetboek van Strafrecht werd gepleegd.

De rechtbank acht dan ook het onder 6 ten laste gelegde wettig en overtuigend bewezen, tezamen en in vereniging met anderen, eveneens gepleegd in de periode van 20 september 2020 tot en met 25 mei 2021.

Feit 4: diefstal met valse sleutel

De verdachte heeft in zijn politieverhoor en tijdens het onderzoek ter terechtzitting verklaard dat hij eerst samen met [verdachte 2] en [verdachte 3] en vervolgens met [verdachte 3] en [verdachte 4] , de via phishing verkregen persoons- en bankgegevens heeft gebruikt om in te loggen op de internetbankieromgevingen van slachtoffers en vervolgens geld weg te nemen van hun bankrekeningen. Ook heeft de verdachte verklaard dat de werkwijze steeds in de kern op hetzelfde neerkwam: zodra er een bericht binnenkwam dat een potentieel slachtoffer op een link had geklikt, ging één van het drietal met de door een slachtoffer in te vullen gegevens aan de slag en werd er geprobeerd om met die gegevens geld van de rekening van dat slachtoffer over te boeken. Daarbij was het om het even wie de diefstal voltooide; de ene keer deed de een dat, de andere keer de ander.33

De rechtbank acht deze laatste twee omstandigheden van cruciaal belang voor de vraag of en in welke gevallen diefstal in vereniging kan worden bewezen: ook als de rechtbank niet zou kunnen vaststellen wie van de dadergroep bij een bepaalde diefstal feitelijk geld afhandig heeft gemaakt, dan nog kan uit het voorgaande worden afgeleid dat tussen de verdachte en de anderen bij alle diefstallen die met behulp van het voornoemde panel zijn gepleegd een nauwe en bewuste samenwerking bestond. Daarbij geldt, uiteraard, de kanttekening dat de verdachte alleen verantwoordelijk kan worden gehouden voor diefstallen die hebben plaatsgevonden in de periode(s) waarin hij ook daadwerkelijk werkzaamheden verrichtte binnen de groep.

In het dossier zijn aangiftes van 39 Belgische slachtoffers opgenomen die volgens de politie in verband kunnen worden gebracht met de verdachte, [verdachte 3] , [verdachte 4] en [verdachte 2] .34 Dertien van deze slachtoffers zijn bij naam genoemd in de tenlastelegging onder 3.

Bij naam genoemde slachtoffers in de tenlastelegging

De rechtbank stelt vast dat van deze dertien slachtoffers acht slachtoffers aangifte hebben gedaan van diefstal gepleegd in de periodes waarin de verdachte actief is geweest op het betaalfraudepanel. Het gaat om [slachtoffer 1] (14 oktober 2020, schadebedrag € 1.119,79)35, [slachtoffer 2] (15 oktober 2020, schadebedrag € 1.249,44)36, [slachtoffer 3] (7 oktober 2020, schadebedrag € 955,20)37, [slachtoffer 4] (7 oktober 2020, schadebedrag € 4.837,67)38, [slachtoffer 5] (23 mei 2021, schadebedrag € 22.482,37)39, [slachtoffer 6] (18 april 2021, schadebedrag € 2.351,57)40, [slachtoffer 7] (25 mei 2021, schadebedrag € 2.012,-)41 en L. [slachtoffer 8] (23 maart 2021, schadebedrag € 3.402,61)42.

[slachtoffer 1] , [slachtoffer 2] , [slachtoffer 3] , [slachtoffer 4] en [slachtoffer 6] hebben allen verklaard een sms-bericht te hebben ontvangen waarin stond dat zij op hun Itsme-account moesten inloggen. Dit hebben zij gedaan, waarna er geldbedragen werden afgeschreven van hun bankrekeningen en overgemaakt naar derden.43 In de groepschat ‘Andere Saus 2.0’, waaraan de verdachte, [verdachte 3] en [verdachte 2] deelnamen, zijn schermafbeeldingen verstuurd waarop te zien is dat was ingelogd op de internetbankieromgeving van [slachtoffer 1] , [slachtoffer 2] , [slachtoffer 3] en [slachtoffer 4] .44 Van het banktegoed van [slachtoffer 6] is cryptovaluta gekocht, ten bate van een cryptowallet op naam van [geldezel 1]45 Op de laptop van [verdachte 3] zijn de inloggegevens van de cryptowallet van [geldezel 1] aangetroffen.46

[slachtoffer 5] heeft op 23 mei 2021 gebruik gemaakt van de zoekfunctie van Google om bij haar bank, Argenta, in te loggen. Zij klikte op de door Google gepresenteerde link, heeft vervolgens ingelogd, maar kreeg de melding dat er onderhoudswerkzaamheden waren. Vervolgens is er een bedrag van € 22.482,37 van haar rekening afgeschreven naar een bankrekening op naam van [geldezel 2] .47

[slachtoffer 7] beschrijft in haar verhoor dat zij op exact dezelfde wijze opgelicht en bestolen is, maar in haar geval is een bedrag van € 2012,- overgeschreven naar Stichting Bitvavo te Amsterdam.48

Zoals hiervoor onder de inleidende en algemene overwegingen is beschreven, heeft de dadergroep waarvan de verdachte deel uitmaakte op enig moment gebruik gemaakt van Google advertenties. Wanneer in de zoekfunctie van Google bepaalde trefwoorden werden intikt, verscheen bovenaan de zoekresultaten een advertentie, die doorverwees naar het betaalfraudepanel van de verdachten.

Op de laptop van [verdachte 3] is een tekstbestand aangetroffen met de naam "main 1.txt". Daarin stond de volgende regel: " [geldezel 2] : [bankrekeningnummer 1] ".49

Van het banktegoed van [slachtoffer 7] is cryptovaluta gekocht, ten bate van een cryptowallet op naam van [geldezel 3] .50 Op de laptop van [verdachte 3] zijn de inloggegevens van de cryptowallet van [geldezel 3] aangetroffen.51

[slachtoffer 8] installeerde op 23 maart 2021 de app Itsme op haar telefoon. Ze voerde alle gevraagde stappen succesvol uit. Om 09:47 uur ontving ze een bericht dat ze haar activatie nog verder diende te voltooien en daarvoor de meegezonden link diende te gebruiken. Toen ze even later haar bankrekening controleerde, zag ze dat er eenmaal € 1.100,- en eenmaal € 2.634,10 was overgeschreven van haar spaarrekening naar haar betaalrekening en vervolgens via bancontact betaald aan 2525 Ventures B.V, oftewel het cryptocurrency-exchange bedrijf Litebit.52

Uit onderzoek naar de laptop van [verdachte 3] is gebleken dat daarop inloggegevens stonden van onder andere een Litebit-account op naam van [geldezel 4] .53 Dit Litebit-account is door de politie onderzocht en daaruit blijkt dat op 23 maart 2021 om 10:00 uur een aankoop is gedaan van 0,049724 Bitcoin ter waarde van € 2.306,50 en op 23 maart 2021 om 10:05 een aankoop van 0,02367 Bitcoin ter waarde van € 1.096,11 euro vanaf het bankrekeningnummer [bankrekeningnummer 2] : het bankrekeningnummer van [slachtoffer 8] .

Gezien voormelde feiten en omstandigheden, en in aanmerking genomen dat de door de slachtoffers beschreven modus operandi overeenkomt met de werkwijze van de dadergroep waarvan de verdachte deel uitmaakte, acht de rechtbank wettig en overtuigend bewezen dat de verdachte zich tezamen en in vereniging met anderen schuldig heeft gemaakt aan diefstal van geldbedragen van deze slachtoffers door middel van een valse sleutel.

Overige slachtoffers

Naast de dertien in de tenlastelegging genoemde slachtoffers, zijn nog (delen van) 26 dossiers van Belgische slachtoffers van digitale fraude opgenomen.

[slachtoffer 12] (pleegdatum feit 29 september 2020) en [slachtoffer 9] (pleegdatum feit 27 april 2021) hebben aangifte gedaan van diefstal.54, 55 Zij zijn opgelicht en bestolen via dezelfde modus operandi: zij ontvingen een sms met de tekst dat zij op hun Itsme-account moesten inloggen en werden vervolgens geïnstrueerd om in te loggen in hun digitale bankomgeving. Daarna bleken er geldbedragen van hun bankrekeningen afgeschreven te zijn naar een bankrekening op naam van [geldezel 5] ( [slachtoffer 12] ) en Stichting Bitvavo ( [slachtoffer 9] ). Deze bankrekening op naam van [geldezel 5] is meerdere keren in het onderzoek opgedoken. Zo is het geldbedrag dat van [slachtoffer 1] afhandig is gemaakt ook naar die bankrekening gestort en heeft [verdachte 3] op 6 oktober 2020 in een Telegram groepschat met als titel ‘Karta’s’ en als andere deelnemers de verdachte en [verdachte 2] , het bankrekeningnummer van [geldezel 5] gedeeld.56, 57

[slachtoffer 10] (pleegdatum feit 25 mei 2021, schadebedrag € 2.312,23)58 en [slachtoffer 11] (pleegdatum feit 25 mei 2021, schadebedrag € 2.249,10)59 meldden in hun aangiftes dat zij na een poging tot inloggen in de digitale omgeving van de Argenta Bank een zelfde melding kregen als slachtoffer [slachtoffer 5] , namelijk dat er onderhoud aan de site gepleegd werd. Bij beide slachtoffers zijn vervolgens geldbedragen overgemaakt naar Stichting Bitvavo te Amsterdam. Van de banktegoeden van [slachtoffer 10] en [slachtoffer 11] is cryptovaluta gekocht, ten bate van een cryptowallet op naam van [geldezel 3] .60 Op de laptop van [verdachte 3] zijn de inloggegevens van de cryptowallet van [geldezel 3] aangetroffen.61

Gezien voormelde feiten en omstandigheden, en in aanmerking genomen dat de door de slachtoffers beschreven modus operandi overeenkomt met de werkwijze van de dadergroep waarvan de verdachte deel uitmaakte, acht de rechtbank wettig en overtuigend bewezen dat de verdachte zich tezamen en in vereniging met anderen schuldig heeft gemaakt aan diefstal van geldbedragen van deze slachtoffers door middel van een valse sleutel.

Van de overige 21 aangiftes in het dossier kan de rechtbank in onvoldoende mate vaststellen dat de verdachte betrokken is geweest bij de daarin gemelde strafbare feiten. De pleegdata genoemd in deze aangiftes vallen buiten de periode dat de verdachte actief is geweest, of kunnen vanwege een te sterk afwijkende modus operandi niet met zekerheid met de dadergroep waarvan de verdachte deel uitmaakte in verband worden gebracht. Dit geldt dus ook voor [slachtoffer 13] , die als benadeelde partij een vordering heeft ingediend (zie hierna onder 7).

Slotsom

De slotsom luidt dat de rechtbank wettig en overtuigend bewezen acht dat de verdachte zich schuldig heeft gemaakt aan diefstal in vereniging met behulp van een valse sleutel van geldbedragen tot een totaal € 48.050,64, van de slachtoffers [slachtoffer 1] , [slachtoffer 2] , [slachtoffer 3] , [slachtoffer 4] , [slachtoffer 5] , [slachtoffer 6] , [slachtoffer 7] , [slachtoffer 8] , [slachtoffer 12] , [slachtoffer 9] , [slachtoffer 11] en [slachtoffer 10] , gepleegd in de periode van 7 oktober 2020 tot en met 25 mei 2021. Deze periode is gebaseerd op de eerste en laatste pleegdatum van de diefstallen, zoals die blijken uit de aangiftes van de hiervoor genoemde personen.

Feit 3: computervredebreuk

Met de door middel van oplichting verkregen gegevens is door de verdachte en zijn mededader(s) ingelogd op de internetbankieromgeving van de hierboven genoemde slachtoffers, alvorens de genoemde geldbedragen te stelen. Daarmee is binnengedrongen in een (deel van een) geautomatiseerd werk, namelijk de servers van de beveiligde internetbankieromgeving van de bank. Nu de verdachte en zijn mededader(s) dat hebben gedaan met inloggegevens tot het gebruik waarvan zijn niet bevoegd waren, en door zich voor te doen als geautoriseerde klanten van de bank, is sprake van een valse sleutel en een valse hoedanigheid. Aldus heeft de verdachte zich tezamen en in vereniging met anderen schuldig gemaakt aan computervredebreuk, in de periode van 7 oktober 2020 tot en met 25 mei 2021. Deze periode is gebaseerd op de eerste en laatste pleegdatum van de diefstallen, zoals die blijken uit de aangiftes van de hiervoor bij de bespreking van feit 4 genoemde personen.

Feit 5: Gewoontewitwassen

Zoals hiervoor overwogen, heeft de verdachte zich schuldig gemaakt aan diefstal van geldbedragen van twaalf slachtoffers, bij elkaar opgeteld € 48.050,64. De verdachte heeft verklaard dat deze geldbedragen van de bankrekeningen van slachtoffers werden overgemaakt naar de bankrekeningen van derden, dan wel dat daarmee cryptovaluta werden gekocht ten bate van de cryptowallets van derden, alvorens de verdachte en de anderen delen van de opbrengst zelf in de vorm van cryptovaluta in hun wallet binnen kregen.62 De verdachte wist dat dit geld uit misdrijf afkomstig was, immers heeft hij die misdrijven zelf (mede)gepleegd. Door de geldbedragen over te maken naar andere bankrekeningen en daarna als cryptovaluta aan zichzelf en zijn mededaders te laten uitbetalen, of deze direct om te zetten in cryptovaluta en een deel naar zijn wallet en de wallets van zijn mededaders over te boeken, heeft hij de herkomst van deze geldbedragen verhuld. Daarmee heeft de verdachte zich tezamen en in vereniging schuldig gemaakt aan het witwassen van een geldbedrag van in totaal € 48.050,64, in de periode van 7 oktober 2020 tot en met 25 mei 2021. Deze periode is gebaseerd op de eerste en laatste pleegdatum van de diefstallen, zoals die blijken uit de aangiftes van de hiervoor bij de bespreking van feit 4 genoemde personen. De rechtbank oordeelt tevens dat de verdachte hiervan een gewoonte heeft gemaakt, gelet op de duur, het aantal slachtoffers en de planmatigheid van het witwassen.

Het dossier biedt aanknopingspunten dat, gelet op de modus operandi en de vele persoons- dan wel bankgegevens die in het panel zijn ingevoerd, nog veel meer geldbedragen zijn buitgemaakt en witgewassen door de dadergroep waarvan de verdachte deel uitmaakte. [verdachte 4] heeft verklaard dat hij, [verdachte 3] en de verdachte ieder zo’n € 70.000,- hebben buitgemaakt. Die zou een zesde deel van het totale door hen gestolen bedrag zijn geweest. Het enige ondersteunende bewijsmiddel daarvoor is een gesprek in de groepschat van [verdachte 3] , [verdachte 4] en de verdachte op 7 juli 2021 waarin [verdachte 4] zegt dat zij per persoon al ‘70’ hebben ‘gechapt’. De verdachte zegt in datzelfde gesprek dat als ‘deze lukt’ (de rechtbank begrijpt: de volgende phishingactie) ‘is al t de man’, waarbij ‘t’ staat voor een ton. De verdachte, daarover ter terechtzitting bevraagd, heeft verklaard dat hij hier meepraatte met [verdachte 4] en dat het grootspraak van zijn kant was. Verder heeft hij erop gewezen dat hij tussen 19 oktober 2020 en 8 maart 2021 niet actief is geweest op het betaalfraudepanel, maar [verdachte 3] en [verdachte 4] wel, en dat het onlogisch zou zijn als hij dan in gelijke mate als de anderen zou hebben meegedeeld in de opbrengst. Uit het onderzoek is gebleken dat de verdachte tussen 19 oktober 2020 en 8 maart 2021 inderdaad niet actief is geweest op het betaalfraudepanel. Daarentegen vallen 24 van de 39 aangiftes van Belgische slachtoffers in het dossier in die periode. Anders dan bij [verdachte 3] en [verdachte 4] , is bij de verdachte geen nader onderzoek gedaan naar zijn eigen bankrekeningen of cryptowallets, waaruit zou kunnen blijken dat hij over (aanzienlijke) vermogensbestanddelen beschikt. Gelet op dit alles kan de rechtbank niet met voldoende zekerheid en nauwkeurigheid vaststellen dat de verdachte zich schuldig heeft gemaakt aan het witwassen van meer dan € 48.050,64.

Feit 7: Deelneming aan een criminele organisatie

Om van een criminele organisatie te kunnen spreken, moet sprake zijn van een samenwerkingsverband gericht op het plegen van strafbare feiten met een zekere duurzaamheid en structuur, tussen de verdachte en ten minste één andere persoon.

Samenwerkingsverband

De verdachte heeft bekend zich in de periode van 20 september 2020 tot en met 19 oktober 2020 en van 8 maart 2021 tot en met 8 juli 2021 bezig te hebben gehouden met phishing. Hij heeft samen met [verdachte 3] en [verdachte 2] het betaalfraudepanel bediend en ook heeft hij sms-berichten met frauduleuze links gestuurd. Het drietal was samen actief op het panel en in de groepschat werd afgesproken wie welk slachtoffer op zich zou nemen.63 Verder is een audiobestand van [verdachte 3] uitgeluisterd, dat hij op 3 oktober 2010 via Telegram aan [verdachte 2] stuurde en waarin hij het volgende zegt: “Bro ik zie dit gewoon letterlijk als een team. Jij, ik en lazy bro. En ik wil gewoon dienen”.64 De verdachte en [verdachte 3] hebben verklaard dat [verdachte 4] zich bij hen gevoegd heeft als vervanger van de op 19 oktober 2020 aangehouden [verdachte 2] , maar uit de lijst met entries en de logbestanden blijkt dat [verdachte 4] (Ano 020) daarin al vanaf 25 september 2020 voorkomt als ‘handler’, naast de verdachte (Lazy), [verdachte 3] (Guru) en [verdachte 2] (Haiku).65 Er is daarom sprake geweest van een samenwerkingsverband dat in ieder geval heeft bestaan vanaf 20 september 2020 tot en met 13 juli 2021 (de datum van aanhouding van [verdachte 3] ) en waar de verdachte, [verdachte 3] , [verdachte 2] en [verdachte 4] in wisselende samenstelling en op verschillende momenten deel van hebben uitgemaakt.

Deelneming

De rol van de verdachte binnen dit samenwerkingsverband bestond uit het bedienen van het panel, het versturen van sms-berichten naar potentiële slachtoffers en geldbedragen van slachtoffers wegnemen door bedragen van hun bankrekeningen over te maken naar derden. Hoewel uit de logbestanden blijkt dat hij daarin veel minder actief was dan de anderen, heeft de verdachte hiermee deelgenomen aan het samenwerkingsverband.

Duurzaamheid

De verdachte is in ieder geval vanaf 20 september 2020 betrokken geraakt bij deze samenwerking. Als op 19 oktober 2020 [verdachte 2] wordt aangehouden, trekt de verdachte zich tijdelijk terug, en gaan [verdachte 3] en [verdachte 4] samen verder. Zij blijven gebruik maken van hetzelfde betaalfraudepanel en hanteren dezelfde modus operandi. Op 8 maart 2021 voegt de verdachte zich weer bij [verdachte 3] en [verdachte 4] en vanaf dan is hij weer actief op het panel. Dit gaat door tot en met 13 juli 2021, wanneer [verdachte 3] aangehouden wordt. In de periode van bijna een jaar wordt telkens gebruik gemaakt van hetzelfde betaalfraudepanel. Er is dus sprake van een zekere duurzaamheid van een organisatie rondom [verdachte 3] met gebruikmaking van hetzelfde betaalfraudepanel en dezelfde modus operandi.

Structuur

De deelnemers aan het samenwerkingsverband spraken telkens af wie welk slachtoffer op zich zou nemen en wanneer welke persoon diensten zou draaien op het panel. Ter terechtzitting heeft de verdachte verklaard dat ‘in de groepschat meteen gesproken werd wie pakt de eerste, wie pakt de tweede. Ik pakte de eerste die op mijn naam zou moeten komen’.66Dit blijkt ook uit de veiliggestelde groepschats ‘Andere Saus 2.0’ en ‘Werken kankerjong’. Hieruit blijkt al van een gestructureerde samenwerking. Dat blijkt tevens uit de wijze waarop zij de buit gemaakte geldbedragen wegsluisden, door deze naar bankrekeningen of cryptowallets van geldezels over te maken, die daarvoor betaald werden, en het geld vervolgens in de vorm van cryptovaluta naar hun eigen wallets over te boeken.

Oogmerk tot het plegen van misdrijven

Het oogmerk van het samenwerkingsverband is het plegen van misdrijven geweest, zo blijkt uit de verklaringen van de verdachten en uit de berichten in de Telegram-groepschats ‘Andere Saus 2.0’ en ‘Werken kankerjong’, waarin vrijwel uitsluitend werd gesproken over phishing.67, 68 Hun hele samenwerking was gericht op phishing en het wegsluizen van de opbrengst daarvan. Het gaat dan om de misdrijven oplichting, het verwerven en voorhanden hebben van gegevens waardoor toegang kan worden verkregen tot geautomatiseerde werken, computervredebreuk, diefstal door middel van een valse sleutel en gewoontewitwassen.

Slotsom

De slotsom luidt dat de rechtbank wettig en overtuigend bewezen acht dat de verdachte in de periode van 20 september 2020 tot en met 13 juli 2021 heeft deelgenomen aan een organisatie bestaande uit de verdachte, [verdachte 3] , [verdachte 2] en [verdachte 4] , die tot oogmerk had het plegen van misdrijven.

De rechtbank oordeelt dat de in de tenlastelegging genoemde ‘Phantom’, ‘Exp’ en ‘3AKABOUZ’ wel een bijdrage hebben geleverd aan het plegen van de misdrijven waarop de organisatie was gericht, maar dat het dossier onvoldoende aanknopingspunten biedt om vast te stellen dat zij hebben deelgenomen aan deze organisatie.

De rechtbank verklaart ten laste van de verdachte bewezen dat:

hij in de periode van 20 september 2020 tot en met 25 mei 2021 in Nederland en, tezamen en in vereniging met anderen, met het oogmerk om zich of een ander wederrechtelijk te bevoordelen, door het aannemen van een valse naam of van een valse hoedanigheid, hetzij door listige kunstgrepen, een groot aantal personen, waaronder in elk geval:

- [slachtoffer 1] ;

- [slachtoffer 2] ;

- [slachtoffer 3] ;

- [slachtoffer 4] ;

- [slachtoffer 5] ;

- [slachtoffer 6] ;

- [slachtoffer 7] ;

- [slachtoffer 8] ;

heeft bewogen tot het ter beschikking stellen van gegevens, te weten:

voor het gebruik van Itsme en/of (internet)bankieren bij de Argenta Bank en/of Axa Bank en/of Belfius Bank en/of BNP Paribas en/of ING Bank en/of KBC Bank,

door aan voornoemde personen een SMS-bericht te sturen, danwel ze via Google Ads naar een phishing site te leiden, waarbij verdachte en/of zijn mededaders zich voordeden als Itsme en/of de Argenta Bank en/of Axa Bank en/of Belfius Bank en/of BNP Paribas en/of ING Bank en/of KBC Bank, en/of een (bonafide) verkoper op 2ehands.be,

waarbij men telkens in het bericht danwel in de Google zoekresultaten werd bewogen op een URL (link) te klikken, waarna voornoemde personen werden doorgeleid naar een door verdachte(n) beheerde website, waar zij zijn bewogen tot afgifte van voornoemde gegevens;

hij in de periode van 7 oktober 2020 tot en met 25 mei 2021 in Nederland, tezamen en in vereniging met anderen, meermalen, telkens met het oogmerk van wederrechtelijke toe-eigening heeft weggenomen één of meerdere geldbedragen, toebehorende aan een klant van de Argenta Bank en/of Axa Bank en/of Belfius Bank en/of BNP Paribas en/of ING Bank en/of KBC Bank, waaronder in elk geval:

- [slachtoffer 1] ;

- [slachtoffer 2] ;

- [slachtoffer 3] ;

- [slachtoffer 4] ;

- [slachtoffer 5] ;

- [slachtoffer 6] ;

- [slachtoffer 7] ;

- [slachtoffer 8] ;

waarbij verdachte en/of zijn mededader(s) de/het weg te nemen goed(eren) onder zijn/hun bereik heeft/hebben gebracht door middel van een valse sleutel, immers heeft verdachte, tezamen en in vereniging,

hij in de periode van 7 oktober 2020 tot en met 25 mei 2021 , in Nederland, tezamen en in vereniging met anderen, van het plegen van witwassen een gewoonte heeft gemaakt, door van voorwerpen, te weten meerdere geldbedragen (van in totaal - in ieder geval - € 48.050,64), de herkomst te verhullen, immers hebben verdachte en mededaders wederrechtelijk toegang verkregen tot de servers van de (beveiligde) internetbankieren omgeving van de banken van meerdere slachtoffers en hebben zij vervolgens (meermalen)

-de digitale banktegoeden omgezet in cryptocurrencies en/of;

-de digitale banktegoeden overgeboekt naar bankrekeningen op naam van anderen en deze vervolgens weer verder door geboekt en/of omgezet;

welke geldbedragen - middellijk of onmiddellijk - van misdrijf afkomstig zijn, terwijl hij en zijn mededaders wisten dat die voorwerpen - onmiddellijk of middellijk - afkomstig waren uit enig misdrijf.

hij in de periode van 20 september 2020 tot en met 25 mei 2021 te ’s-Gravenhage,

tezamen en in vereniging met anderen, 1.183 gebruikersnamen en/of (daarbij behorende) wachtwoorden en/of andere inloggegevens en/of daarmee vergelijkbare gegevens (ten behoeve van internetbankieren), waardoor toegang kon worden gekregen tot een (deel van een) geautomatiseerd werk, voorhanden heeft gehad, met het oogmerk dat daarmee een misdrijf als bedoeld in artikel 138ab, eerste lid, Wetboek van Strafrecht werd gepleegd, door op een betaalfraudepane, een lijst met zogeheten “entries” voorhanden te hebben met hierop voornoemde gegevens;

Voor zover in de tenlastelegging type- en taalfouten voorkomen, zijn deze in de bewezenverklaring verbeterd en gecursiveerd weergegeven, zonder dat de verdachte daardoor in de verdediging is geschaad.