Gerechtshof Den Haag 22 januari 2025, ECLI:NL:GHDHA:2025:66

De verdachte wordt vervolgd voor grootschalige cybercriminaliteit, waarbij hij zich bezighield met het verkrijgen en verhandelen van gestolen digitale identificatiegegevens, computervredebreuk en phishing. Zijn handelswijze omvatte het gebruik van Genesis Market, een illegale marktplaats waarop gehackte inloggegevens en digitale vingerafdrukken werden verkocht.

De verdachte kocht gedurende een periode van meerdere jaren in totaal 1885 “bots” aan. Deze bots bevatten gestolen inloggegevens, wachtwoorden, browsercookies en digitale “fingerprints”, waarmee hij zich kon voordoen als de rechtmatige eigenaar van de gegevens. Hierdoor kon hij op frauduleuze wijze toegang krijgen tot online accounts en bankgegevens van derden.

Daarnaast heeft de verdachte zich schuldig gemaakt aan computervredebreuk en phishing. Hij maakte op grote schaal gebruik van gestolen gebruikersgegevens om in te loggen op bank- en bedrijfsnetwerken, waar hij frauduleuze transacties uitvoerde. Door het inzetten van phishing-software en lijsten met bijna 100.000 e-mailadressen trachtte hij slachtoffers te misleiden en gevoelige informatie buit te maken.

Tenlastelegging

De verdachte werd vervolgd voor vier afzonderlijke feiten:

Verwerving en bezit van gestolen digitale gegevens
- De verdachte verwierf via Genesis Market toegang tot 1885 bots, die gebruikersnamen, wachtwoorden, browsercookies en digitale vingerafdrukken van anderen bevatten.
- Deze gegevens werden gebruikt om beveiligingssystemen te omzeilen en onrechtmatige toegang te krijgen tot online platforms.
Computervredebreuk
- De verdachte drong tussen 2019 en 2020 in op verschillende computersystemen, waaronder netwerken van financiële instellingen en bedrijven.
- Dit gebeurde door gebruik te maken van valse signalen, valse sleutels en gestolen inloggegevens.
Diefstal van geldbedragen door middel van valse sleutels
- Met behulp van de gestolen gegevens heeft de verdachte aanzienlijke geldbedragen buitgemaakt van meerdere slachtoffers.
- Hij wijzigde bankgegevens en voerde frauduleuze transacties uit.
Bezitten van phishing-software en frauduleuze gegevens
- De verdachte had software in bezit waarmee phishing-e-mails konden worden verstuurd.
- Hij beschikte over een database met bijna 100.000 e-mailadressen en phishing-websites die zich voordeden als officiële instanties.

Standpunt van het Openbaar Ministerie

De advocaat-generaal achtte alle tenlastegelegde feiten wettig en overtuigend bewezen en eiste een gevangenisstraf van vier jaar met aftrek van voorarrest. De eis werd onderbouwd door de ernst en omvang van de feiten, alsmede het feit dat de verdachte eerder veroordeeld was voor soortgelijke delicten.

Volgens het Openbaar Ministerie maakte de verdachte deel uit van een crimineel netwerk dat zich bezighield met online fraude. Door zijn handelingen werd niet alleen schade berokkend aan individuele slachtoffers, maar ook aan het vertrouwen in de digitale infrastructuur.

Standpunt van de verdediging

De verdediging voerde verschillende verweren aan, waaronder:

Onrechtmatig verkregen bewijs: De verdediging stelde dat de in beslag genomen smartphone van de verdachte zonder de juiste toestemming was uitgelezen. Dit zou een ernstige schending van het recht op privacy vormen.
Ontbreken van bewijs voor medeplegen: De verdediging betoogde dat de verdachte mogelijk alleen heeft gehandeld en niet samen met anderen.
Ontkenning van financiële transacties: De verdachte erkende weliswaar toegang te hebben gehad tot de gehackte accounts, maar ontkende dat hij degene was die daadwerkelijk geldbedragen had overgeboekt.

Oordeel van het hof

Het hof acht de verdachte schuldig aan alle vier de tenlastegelegde feiten, met uitzondering van enkele onderdelen van de computervredebreuk en diefstal, waarvoor onvoldoende bewijs was. Het hof overwoog onder meer het volgende:

Gebruik van Genesis Market: De verdachte gaf toe dat hij accounts had op Genesis Market en dat hij de aangeschafte bots gebruikte om zich voor te doen als andere personen. Hierdoor kon hij beveiligingssystemen van gokwebsites en financiële instellingen misleiden.
Computervredebreuk bewezen: Op basis van digitaal forensisch onderzoek werd vastgesteld dat de verdachte via gestolen gegevens onbevoegd inlogde bij financiële instellingen en grote geldbedragen wegnam.
Privacy-inbreuk bij uitlezen telefoon: Het hof erkende dat de telefoon van de verdachte zonder rechterlijke toetsing was uitgelezen. Dit vormde een schending van artikel 8 EVRM. Echter, omdat dit verzuim de verdachte niet concreet had benadeeld, werd geen bewijs uitgesloten en volgde geen strafvermindering.

Bewezenverklaring

De verdachte wordt schuldig bevonden aan het verwerven van gestolen digitale gegevens, computervredebreuk, diefstal door middel van valse sleutels en het bezit van phishing-software.

Strafoplegging

De verdachte wordt veroordeeld tot een gevangenisstraf van vier jaar.

Het hof benadrukt dat de verdachte eerder voor soortgelijke feiten is veroordeeld en kort na zijn vorige veroordeling opnieuw cybercriminelen heeft gefaciliteerd.

Bijkomende beslissingen

De verdachte moet een schadevergoeding van €50.525 betalen aan een van de gedupeerden.
De vorderingen van twee andere benadeelde partijen worden niet-ontvankelijk verklaard wegens onvoldoende onderbouwing.
Een in beslag genomen Apple-computer wordt verbeurd verklaard, en een Apple-telefoon wordt onttrokken aan het verkeer.
Het verzoek tot schorsing van de voorlopige hechtenis in verband met een IVF-behandeling wordt afgewezen wegens onvoldoende concrete onderbouwing.

Lees hier de volledige uitspraak.