De kosten die banken maken voor phishing, worden indirect door alle Nederlanders betaald. “Daarmee raken cybercriminelen niet alleen de huishoudboekjes, maar ook het gevoel van vertrouwen. Het vertrouwen in de mensen om je heen en het vertrouwen in de digitale wereld.”
Dat zei de officier van justitie maandag in zijn pleidooi tegen een 24-jarige cybercrimineel uit Uithoorn.
Verdachte verstuurde meer dan 100.000 phishingmails
De verdachte kwam in beeld toen de politie een gestolen Mercedes bij hem aantrof. Toen agenten om de aankoopfactuur vroegen, bleek dat de man de auto contant had afgerekend. Hij had bijna 42.000 euro neergelegd voor de uit Italië gestolen bolide. De man was een bekende voor de politie vanwege fraudezaken. Omdat hij in een gestolen wagen rondreed, vermoedde de politie dat hi zich schuldig maakte aan witwassen. Ook zou hij schuldig hebben gemaakt aan phishing.
De politie kreeg toestemming om de telefoon van de verdachte af te tappen. Uit analyse bleek dat er in een week tijd meer dan 100.000 e-mails waren, waarvan 60.000 via een niet-beveiligde verbinding. Ontvangers kregen het verzoek om op een malafide link te klikken. De e-mails waren verstuurd vanaf een server en domeinnaam waarvan de verdachte eigenaar van was.
Politie vindt voor tienduizenden euro’s aan luxegoederen
Op dinsdag 1 februari doorzicht de politie de huis van de 24-jarige man uit Uithoorn. Agenten namen onder meer een laptop, meerdere iPhones, externe harde schijven, dure horloges en luxueuze kleding in beslag. Meest opmerkelijke voorwerp dat de politie aantrof, was een goudkleurige replica van een AK67. De goederen hadden een waarde van zo’n 65.000 euro. De man had op zijn laptop phishingsoftware geïnstalleerd om vervalste coronavaccinatiebewijzen en nepfacturen mee te versturen.
Een dag na de huiszoeking vond de politie een verzameling van Pokémon-kaarten met een geschatte waarde van 8.000 euro. Agenten troffen tevens een doodshoofdring van een SS-officier uit de Tweede Wereldoorlog aan. Deze was voor 10.000 euro aangeschaft.
Tot slot bezat de man ruim 860.000 euro aan cryptovaluta. Hoe hij daar aan kwam kon de man niet aantonen en uitleggen. Het Openbaar Ministerie denkt dat de man het fortuin op illegale manier heeft verkregen. Daarom eiste de officier van justitie een gevangenisstraf van 40 maanden, onder meer vanwege phishing en witwassen.
‘Cybercriminelen tasten vertrouwen in digitale wereld aan’
Wat het Openbaar Ministerie dwarszit, is dat de verdachte het vertrouwen in de digitale wereld heeft aangetast. Banken vergoeden in de meeste gevallen de schade die slachtoffers van phishing en andere vormen van online fraude hebben opgelopen. De kosten die banken hiervoor maken, worden echter doorberekend aan hun klanten. Zodoende betalen Nederlanders indirect mee aan de winsten van de oplichtingspraktijken van internetcriminelen.
“Daarmee raken cybercriminelen niet alleen de huishoudboekjes, maar ook het gevoel van vertrouwen. Het vertrouwen in de mensen om je heen en het vertrouwen in de digitale wereld”, zo zei de officier van justitie tijdens de zitting.
De rechtbank doet over twee weken uitspraak.
Update (29 oktober 2022): de rechtbank van Amsterdam heeft haar uitspraak openbaar gemaakt. De rechter heeft de 24-jarige verdachte uit Uithoorn veroordeeld tot 24 maanden gevangenisstraf, waarvan acht maanden voorwaardelijk.
De straf valt aanzienlijk lager dan de eis van het Openbaar Ministerie -die veertig maanden cel eiste- omdat de officier van justitie niet overtuigend heeft weten te bewijzen dat de verdachte op grote schaal e-mails verzond om inlog- of verificatiegegevens te stelen. “De rechtbank kan uit het dossier niet afleiden dat deze e-mails zijn verstuurd voor het aanwenden van één of meer oplichtingsmiddelen zoals tenlastegelegd en waarmee getracht is tot het ter beschikking stellen van de gegevens zoals tenlastegelegd”, zo staat er in het vonnis. De rechtbank stelt wel dat de man actief spam heeft verstuurd.
Op de laptop van de verdachte vond het Openbaar Ministerie phishingsoftware en bladwijzers naar tientallen sites die admin-panels aanboden. Het is echter niet bewezen dat de verdachte hiermee daadwerkelijk inloggegevens van nietsvermoedende slachtoffers heeft onderschept. Wel vond de rechtbank dat de man zich schuldig maakte aan het voorbereiden van computervredebreuk, onder meer omdat er leads op zijn laptop en smartphone waren aangetroffen.
