Uitspraak Nº 10/961510-19. Rechtbank Rotterdam, 2020-03-19

• ECLI: ECLI:NL:RBROT:2020:2395
• Date: 19 Marzo 2020
• Docket Number: 10/961510-19

Rechtbank Rotterdam

Team straf 1

Parketnummer: 10/961510-19

Datum uitspraak: 19 maart 2020

Tegenspraak

Vonnis van de rechtbank Rotterdam, meervoudige kamer voor strafzaken, in de zaak tegen de verdachte:

[naam verdachte] ,

geboren te [geboorteplaats verdachte] op [geboortedatum verdachte] ,

ingeschreven in de basisregistratie personen op het adres:

[adres verdachte] , [woonplaats verdachte] ,

raadsvrouw mr. F.E. den Hertog, advocaat te Amersfoort.

1 Onderzoek op de terechtzitting

Gelet is op het onderzoek op de terechtzittingen van 20 februari 2020 en 19 maart 2020.

2 Tenlastelegging

Aan de verdachte is ten laste gelegd hetgeen is vermeld in de dagvaarding. De tekst van de tenlastelegging is als bijlage I aan dit vonnis gehecht.

3 Eis officier van justitie

De officier van justitie mr. W.S. Koorn heeft gevorderd:

• -

  bewezenverklaring van het onder 1 en 2 ten laste gelegde;

• -

  veroordeling van de verdachte tot een gevangenisstraf voor de duur van 18 maanden met aftrek van voorarrest, waarvan 6 maanden voorwaardelijk, met een proeftijd van 2 jaar.

4 Waardering van het bewijs

4.1.

Bewezenverklaring feit 2 zonder nadere motivering

Het onder 2 ten laste gelegde voorhanden hebben van creditcardgegevens is door de verdachte bekend. Dit feit zal zonder nadere bespreking bewezen worden verklaard.

4.2.

Bewijswaardering feit 1

4.2.1.

Standpunt officier van justitie

Aangevoerd is dat de verdachte drie typen malware heeft vervaardigd, te weten Rubella, Dryad en Cetan. Deze typen malware zijn hoofdzakelijk geschikt voor het voorbereiden van het plaatsen van afluister- en/of hackapparatuur. Dit is strafbaar op grond van artikel 139d lid 2 sub a van het Wetboek van Strafrecht (hierna: WvSr) voor wat betreft het faciliteren van hacken ex artikel 138ab WvSr. Voor wat betreft het kunnen aftappen van toetsaanslagen is dit strafbaar op grond van artikel 350d sub a WvSr. De verdachte heeft deze malware vervolgens verkocht, verspreid, anderszins ter beschikking gesteld en voorhanden gehad. Gelet op het type malware dat de verdachte ontwikkelde en de professionele manier waarop hij zijn handel inrichtte, had hij daarmee ook het oogmerk in de zin van artikel 139d lid 3 WvSr. Het was de persoonlijke bedoeling van de verdachte dat zijn malware zou worden gebruikt voor onder andere hacken.

4.2.2.

Standpunt verdediging

De verdediging heeft aangevoerd dat Rubella, Dryad en Cetan in feite één programma zijn. Rubella is door de verdachte vervaardigd en daarna door hem op kleine punten gewijzigd en doorontwikkeld, hetgeen heeft geleid tot de andere programma’s. De verdachte heeft deze software weliswaar vervaardigd en daarna op de markt gebracht, echter heeft de verdachte hierbij nooit de bedoeling gehad dat er met deze software strafbare feiten zouden worden gepleegd. Dat de verdachte handelde met het oogmerk op computervredebreuk en/of computersabotage kan niet worden vastgesteld. Voorwaardelijk opzet is daarvoor onvoldoende. De verdachte dient daarom te worden vrijgesproken van het onder 1 ten laste gelegde.

4.2.3.

Beoordeling

Onder feit 1 is de verdachte ten laste gelegd dat hij drie programma’s heeft vervaardigd die hoofdzakelijk geschikt gemaakt en/of ontworpen zijn tot het kortgezegd plegen van ‘(eenvoudige) computervredebreuk’ en (als cumulatief/alternatief) ‘computersabotage’, en dat hij deze programma’s met het oogmerk op deze misdrijven heeft vervaardigd, verkocht, verspreid, anderszins ter beschikking gesteld of voorhanden gehad.

De rechtbank stelt het volgende voorop. Ter zitting heeft de verdachte verklaard dat hij zich in de periode van 15 februari 2018 tot en met 11 maart 2019 bezig hield met het vervaardigen en verkopen van Rubella, Dryad en Cetan. De verdachte heeft verklaard dat hij zich al jaren eerder uit interesse in de beveiliging van geautomatiseerde werken en de werking van malware is gaan verdiepen in dit onderwerp. Toen hij hier veel kennis over had opgedaan heeft hij bij wijze van intellectuele uitdaging Rubella vervaardigd. De verdachte heeft verklaard dat Rubella gezien moet worden als een ‘lege huls’, die ongedetecteerd door anti-virussoftware toegang kan verkrijgen tot andermans computer. Het is mogelijk dat met gebruik van deze ‘lege huls’ andere (kwaadwillende) malware op een computer geplaatst wordt. De verdachte heeft ook verklaard dat hij Rubella is gaan verkopen toen hij merkte dat er interesse was voor dergelijke programma’s. Dryad en Cetan zijn iets later door hem (door)ontwikkeld en op de markt gebracht. Deze laatste twee programma’s dienen hetzelfde doel als Rubella. De verdachte heeft verklaard dat zijn oogmerk, zowel bij het vervaardigen als bij het verkopen van de software, niet gericht was op het faciliteren van computercriminaliteit en dat hij zijn programma’s ook niet als zodanig aanbood.

Hoofdzakelijk geschikt

De rechtbank is van oordeel dat Rubella, Dryad en Cetan hoofdzakelijk geschikt gemaakt of ontworpen zijn om computercriminaliteit mogelijk te maken. De rechtbank komt tot deze conclusie op basis van de volgende omstandigheden.

In het proces-verbaal van bevindingen ‘onderzoek aan Rubella Macro Builder’ relateert de politie dat (een programma als) Rubella Macro Builder een onmisbare functie vervult in het proces van cybercriminaliteit met behulp van malware. Rubella zorgt namelijk voor de eerste stap van ‘infectie’; het ongedetecteerd bezorgen van malware op een computersysteem. In het proces-verbaal van bevindingen ‘onderzoek aan Cetan’ en het proces-verbaal van bevindingen ‘onderzoek aan Dryad’ is door de politie gerelateerd dat het ook met deze programma’s mogelijk is om ongedetecteerd een geautomatiseerd werk binnen te komen. Cetan en Dryad werken op dezelfde manier als Rubella: met behulp van deze programma’s lukt het om een macro te genereren in een Worddocument. Zodra dit document wordt geopend, downloadt de macro een bestand van een externe server en voert deze uit. Cetan Macro Builder is een meer geavanceerde, dan wel verbeterde, macro builder ten opzichte van Rubella. Zo is het in Cetan mogelijk om een document door middel van een tekst en een foto een betrouwbaar uiterlijk te geven, zodat een slachtoffer eerder geneigd is om de macrofunctionaliteit in te schakelen. Met Dryad kan een Word-document worden geprepareerd met een macro die vervolgens een programma vanaf een externe locatie downloadt en uitvoert.

De rechtbank is van oordeel dat voor zover de software ook geschikt is voor legale activiteiten (bijvoorbeeld het testen van de eigen beveiliging) dit er niet aan af doet dat de software van de verdachte hoofdzakelijk geschikt gemaakt en ontworpen is om de delicten van eenvoudige computervredebreuk (artikel 138ab eerste lid WvSr), en vervolgens/tevens de delicten van 138b WvSr (belemmering van een geautomatiseerd werk) en/of 139c WvSr (het aftappen of opnemen van gegevens) mogelijk te maken. Uit berichtenverkeer van de telefoon van de verdachte kan worden afgeleid dat de verdachte zelf het verband tussen het maken en verkopen van deze software en de strafbaarstelling op grond van artikel 139d lid 2 WvSr onder a heeft gelegd.

Dat dit programma in hoofdzaak geschikt of ontworpen is om het wissen/onbruikbaar maken dan wel vernielen van een geautomatiseerd werk te plegen (artikel 350a en/of 350c WvSr) acht de rechtbank gelet op de dossierinformatie onvoldoende vaststaan. De verdachte wordt dan ook – partieel - vrijgesproken van overtreding van artikel 350d WvSr.

Oogmerk in artikel 139d lid 2 sub a WvSr

De rechtbank is van oordeel dat met ‘oogmerk’ in artikel 139d lid 2 WvSr wordt bedoeld ‘met de (persoonlijke) bedoeling’. Artikel 139d lid 2 WvSr is aan de Nederlandse strafwetgeving toegevoegd en op 1 september 2006 in werking getreden, om aan de verplichtingen die voortvloeien uit het Verdrag inzake de bestrijding van strafbare feiten verbonden met elektronische netwerken (hierna: Cybercrimeverdrag) te voldoen. Artikel 6 van het Cybercrimeverdrag verplicht de verdragspartijen om in hun nationale wetgeving als strafbaar aan te merken:

a. het opzettelijk en wederrechtelijk vervaardigen, verkopen, verkrijgen voor gebruik invoeren, verspreiden of anderszins beschikbaar stellen van:

i. een technisch hulpmiddel, waaronder begrepen een computerprogramma, dat hoofdzakelijk is ontworpen of geschikt gemaakt voor het plegen van een van de strafbare feiten, bedoeld in de artikel 2 tot en met 5 (van hetzelfde verdrag).

In artikel 6 lid 2 van het Cybercrimeverdrag is bepaald dat dit artikel niet als zodanig mag worden uitgelegd dat sprake is van strafrechtelijke aansprakelijkheid wanneer de in het eerste lid van dit artikel bedoelde vervaardiging, verkoop, verkrijging voor gebruik, invoer, verspreiding of andere vorm van beschikbaarstelling of het bedoelde bezit niet bedoeld is voor het plegen van een overeenkomstig de artikelen 2 tot en met 5 van dit Verdrag strafbaar gesteld feit, zoals ten behoeve van het geautoriseerd testen of het...