3.2.2.Veroordeling overige feiten
De rechtbank vindt bewezen dat verdachte samen met anderen phisinglinks en binlists heeft verworven en voorhanden heeft gehad op de Acer laptop (5914803), de Alcatel telefoon (5875343) en de iPhone 6 (5914835) en dat hij die phishinglinks en binlists had om daar computervredebreuk mee te plegen (feit 1). De rechtbank vindt ook bewezen dat verdachte samen met een ander met valse inloggegevens geld heeft gestolen van [slachtoffer 1] (feit 2). Daarnaast wordt verdachte veroordeeld voor het deelnemen aan een criminele organisatie (feit 4).
Binnen het onderzoek Haramachi bleek dat slachtoffers vaak werden gevonden op websites als www.marktplaats.nl en www.2dehands.be. Slachtoffers werden door iemand onder alias benaderd, waarbij – zogenaamd ter verificatie van de identiteit van het beoogde slachtoffer – een link naar de phishingwebsite werd gestuurd. Ook deelden verdachte onderling regelmatig zogeheten binlists. Dit betreffen lijsten met persoonsgegevens, accounts, e-mailadressen en wachtwoorden van (mogelijke) slachtoffers. Nader onderzoek naar de gedeelde gegevens leverde een reeks van aangiften op waaruit bleek dat er op grote schaal goederen (vaak pakketten) uit naam van de slachtoffers werden besteld.
Op 4 mei 2020 is de woning van verdachte en zijn broertje, [medeverdachte 1] , doorzocht. Daarbij zijn meerdere telefoons en laptops inbeslaggenomen.Onderzoek aan de Acer Laptop met goednummer 5914803 wees uit dat deze laptop gebruikt werd door verdachte en zijn drie broers. Op de laptop zijn de links
http://betaalverzoek.best/panel/index/ [naam account]en
http://tikkie.ovh/panelvanderppaangetroffen. Ook zijn er binlists gevonden met ruim een half miljoen accounts en wachtwoorden van verschillende platformen, waaronder van Bol.com, Adidas, Otto, 2dehands.be, Wehkamp en Zalando. De binlists werden daadwerkelijk geopend op de laptop.Op 28 november 2019 werd het bestand Adidas.txt. geopend, een binlist met meerdere gehackte wachtwoorden en emailadressen.
Verdachte heeft op de zitting verklaard dat het klopt dat er phishinglinks op de laptop stonden. Die heeft hij gekregen via Telegram. Sommige waren gratis en voor andere moest worden betaald. Verdachte heeft wel eens zo’n link aan iemand gestuurd. Als die persoon dan zijn bankgegevens invulde op die omgeving kon verdachte met die persoon meekijken en de bankgegevens kopiëren. Daarna probeerde hij in te loggen met die gegevens om zo het geld van die rekening te halen. Ook de binlists kreeg verdachte soms via Telegram. Ook waren dit soort lijsten gratis op het internet te vinden.
De iPhone 6 met goednummer 5914835 is aangetroffen onder het bed van verdachte en zijn broertje. Verdachte heeft de telefoon met de code ontgrendeld. Verdachte heeft bij de politie verklaard dat deze iPhone 6 van hem was.Op de telefoon stonden meerdere Instagramgesprekken en uitnodigingen die gelinkt zijn aan het account [naam account] . Ook werd veelvuldig gebruik gemaakt van het emailadres [emailadres 1] en stonden er foto’s van verdachte op de telefoon. De laatste activiteit op de telefoon was tweeëneenhalf uur voor de aanhouding van verdachte. Daarbij was gezocht naar een phishinglink voor de website Marktplaats.nl (
http://marktplaatsverificatie.site/panelvanderpp). Verder stonden er notities op de telefoon genaamd 'marktplaats verificatie vissen' met daarin benodigdheden en de werkwijze voor phishing en verschillende e-mailadressen en wachtwoorden.Ook zijn er werkinstructies aangetroffen voor phishing en oplichting gerelateerde zaken en stonden er tientallen chatgroepen in de applicatie Telegram waarin veelvuldig combolists werden aangeboden.
Verdachte heeft op de zitting ontkend dat de iPhone 6 van hem was, maar op grond van het voorgaande, stelt de rechtbank vast dat verdachte de gebruiker is geweest van de iPhone 6.
Bij een doorzoeking bij [medeverdachte 2] op 29 januari 2020 is een Alcatel telefoon met goednummer 5875343 in beslag genomen. Uit onderzoek bleek dat deze Alcatel door meerdere verdachten werd gebruikt voor phishing.Er stond een binlist op met 564 Zalando-accounts. Nader onderzoek wees uit dat er op 300 van deze accounts frauduleuze handelingen zijn gepleegd.Op 45 van de 102 aangetroffen Bol.com-accounts was onrechtmatig ingelogd.Op de telefoon is in Telegram onder het account ‘ [accountnaam 2] ’ een chat gevonden met ‘ [accountnaam 1] ’ waarin een phishinglink (
https://betalingsverzoekjesbelgie.xyz)en een binlist met betrekking tot Bol.com stonden.Verdachte heeft op de zitting verklaard dat telefoons onderling werden doorgegeven en hij ‘ [accountnaam 1] ’ als accountnaam gebruikt.
De rechtbank stelt op basis hiervan vast dat de Alcatel telefoon (ook) in gebruik is geweest bij verdachte.
De rechtbank vindt bewezen dat verdachte de phishinglinks en binlists heeft verworven en voorhanden heeft gehad met het oogmerk tot het plegen van computervredebreuk. Verdachte heeft op de zitting verklaard dat hij de links wel eens naar mensen stuurde om zo hun gegevens te kunnen achterhalen en om vervolgens geld van de rekening af te halen. Daarnaast valt niet in te zien welk ander doel binlists kunnen dienen dan dat daarmee frauduleuze handelingen worden verricht, wat – zoals blijkt uit het dossier – ook daadwerkelijk met veel van de gegevens uit de bij verdachte aangetroffen binlists is gebeurd.
Voor het verspreiden, verkopen, vervaardigen en invoeren van phishinglinks en binlists ziet de rechtbank onvoldoende aanknopingspunten. Verdachte wordt daarom vrijgesproken van dit deel van de tenlastelegging.
Verdachte heeft verklaard dat hij de phishinglinks en binlists via anderen heeft verkregen. Bovendien blijkt uit de bewijsmiddelen dat verdachte en zijn broers gezamenlijk gebruik maakten van de Acer laptop (5914803) en dat de aangetroffen Alcatel telefoon (5875343) aan anderen werd doorgegeven om phishing-gerelateerde feiten mee te plegen. De rechtbank vindt dus dat verdachte heeft samengewerkt met medeverdachten en vindt medeplegen daarom bewezen.
De officier van justitie vindt dat verdachte vanaf 1 oktober 2019 binlists voorhanden heeft gehad. Zij heeft daartoe aangevoerd dat uit de historie van Google Chrome op de Acer laptop het emailadres [emailadres 2] naar voren is gekomen en dat deze [naam 1] in oktober 2019 het slachtoffer is geworden van pakketfraude. De rechtbank vindt het feit dat er op die datum een slachtoffer is geweest, onvoldoende om vast te stellen dat verdachte deze binlists toen voorhanden had, ook niet als medepleger. Uit het onderzoek aan de Acer laptop blijkt dat op 28 november 2019 voor het eerst een binlist met meerdere gehackte wachtwoorden en emailadressen is geopend. Hoewel het waarschijnlijk is dat verdachte al voor die datum die lijsten heeft verworven, stelt de rechtbank op grond van het voorgaande vast dat verdachte in ieder geval vanaf 28 november 2019 binlists heeft geopend en deze vanaf dat moment dus ook heeft verworven en voorhanden heeft gehad. Omdat op de iPhone 6 van verdachte tweeëneenhalf uur voor zijn aanhouding nog een phishinglink heeft gebruikt, vindt de rechtbank ook bewezen dat verdachte het feit heeft gepleegd tot vlak voor zijn aanhouding op 3 mei 2020.
[slachtoffer 1] heeft aangifte gedaan in België. Hij verklaarde dat zijn zoon op 25 januari 2020 via www.2dehands.be contact heeft gehad met iemand die zichzelf [naam 2] noemde, die zijn product graag wilde kopen. Na een aantal gesprekken stuurde [naam 2] de link
http://betaalverzoekjesbelgie.xyzmet een betaalverzoek van 10 cent zodat zijn zoon daarmee zou bevestigen dat de betaling van [naam 2] daadwerkelijk naar zijn bankrekening zou gaan. Diezelfde avond is, zonder dat aangever dit wist, om 23.27:56 uur € 454,70 en om 23.51:15 uur € 712,45 overgeboekt naar de rekening van [naam 3] .Vrijwel direct na de eerste overboeking werd bij het ING-filiaal [filiaaladres 1] met de bankpas van [naam 3] € 400 opgenomen. Vrijwel direct na de tweede overboeking werd bij het ING-filiaal [filiaaladres 2] met de bankpas van [naam 3] een geldbedrag van € 750 opgenomen.De Belgische autoriteit heeft vastgesteld dat er op 25 januari 2020 om 23.52 uur via het IP-adres [IP-adres] ingelogd was op de rekening van aangever en dat dit IP-adres toebehoorde aan [adres 1] , het woonadres van medeverdachte [medeverdachte 3] .Op de camerabeelden van de ING heeft de politie verdachte herkend als de persoon die de pintransacties deed.Op de zitting heeft verdachte verklaard dat het klopt dat hij de persoon op de beelden is en dat hij het geld heeft gepind met een pinpas die hij van iemand anders had gekregen. Hij moest geld opnemen vanaf de rekening van iemand anders omdat dit geld via phishing was verkregen. Verdachte heeft ook verklaard dat hij de medeverdachte [medeverdachte 3] kent.
De rechtbank vindt dat verdachte dit feit samen met [medeverdachte 3] heeft gepleegd. Uit het dossier blijkt dat er ongeveer 20 seconden zat tussen het overmaken van het geld van de rekening van aangever naar de rekening van [naam 3] en het pinnen van het geld bij de ING in België. De rechtbank leidt hieruit af dat er contact moet zijn geweest tussen verdachte en [medeverdachte 3] en dat het van aangever gestolen geld alleen zou zijn overgemaakt naar een andere rekening als het geld ook direct weer van die rekening kon worden opgenomen. De rechtbank vindt dan ook dat verdachte door het geld te pinnen van de rekening van [naam 3] een substantiële bijdrage heeft geleverd aan de diefstal vanaf de rekening van [slachtoffer 1] door zijn inloggegevens te gebruiken en daarom kan worden aangemerkt als medepleger.
In het dossier zitten tapgesprekken waarin verdachte met anderen spreekt over “vissen”, “de alcatel”, “ING” en “barkies”.Ook vraagt hij in tapgesprekken met [medeverdachte 6] of hij “het pakketje gaat ophalen omdat hij bang is dat het account en het pakket weg zijn, het pakket is 2 barkies”. Verdachte zegt dat “als hij door de brievenbus is gekomen, hij hem er gewoon uit kon trekken, want het was een klein pakket”.Uit het dossier blijkt dat in tapgesprekken tussen verschillende verdachten een zeker vakjargon wordt gebruikt zoals vissen, bonken, fino (bankrekening), swipen (pakketten bestellen/ophalen), legen (pinnen/overboeken), panel (phishingsoftware), SPA’s (bankpassen) en money mules.Verdachte heeft verklaard dat een ‘bonker’ iemand is die het geld van de rekening van het slachtoffer haalt. Het geld dat zo werd buitgemaakt werd vervolgens overgemaakt naar de geldezels (‘money mules’).Medeverdachte [medeverdachte 5] heeft verklaard dat bij het phishen vooraf werd afgesproken dat er 25% van de buit naar de visser ging, 25% naar de bonker en dat hij niet wist wie die andere 50% kreeg.In het dossier zitten tapgesprekken waaruit blijkt dat verdachten elkaar hielpen als ze bij het phishen tegen bepaalde problemen aanliepen. Op de diverse in beslag genomen telefoons zijn adviezen en werkwijzen voor phishing en het gebruik van binlists aangetroffen.Verdachte maakte deel uit van de chatgroep ‘ [naam 4] ’ waarin onder meer werkzaamheden en bankoverschrijvingen werden besproken.Verdachte heeft op de zitting bevestigd dat hij veel van de phishinglinks en lijsten met gegevens via Telegram van anderen heeft gekregen.
Beoordelingskader criminele organisatie
Voor een veroordeling voor deelneming aan een criminele organisatie moet sprake zijn (geweest) van een organisatie, die als doel het plegen van misdrijven had waaraan verdachte heeft deelgenomen. Om van een organisatie als hier bedoeld te spreken, moet het gaan om een samenwerkingsverband met een zekere duurzaamheid en structuur, tussen twee of meer personen. Voor de deelneming aan die organisatie is van belang dat verdachte bij de organisatie hoort en een bijdrage levert aan het verwezenlijken van het doel van de organisatie. Verdachte moet in zijn algemeenheid weten dat het doel van de organisatie het plegen van misdrijven is en moet opzet hebben op het deelnemen aan die organisatie. Als uit de bewijsmiddelen volgt dat verdachte heeft bijgedragen aan de verwezenlijking van het doel van de organisatie of een aan die organisatie ondersteunende handeling heeft verricht, dan volgt daaruit zijn wetenschap met betrekking tot dat doel.
De organisatie
De rechtbank vindt dat sprake is geweest van een duurzaam samenwerkingsverband. Dit samenwerkingsverband blijkt uit de tapgesprekken over cybercriminaliteit, het gebruikte vakjargon, het uitwisselen van telefoons, phishinglinks en binlists en het elkaar helpen bij problemen rondom de phishing. Een voorbeeld van de samenwerking is feit 2, waarin [medeverdachte 3] en verdachte nauw moesten samenwerken om precies op het juiste moment te kunnen pinnen nadat er op de rekening van aangever was ingelogd. Er moet snel gehandeld worden om de fraude succesvol te laten zijn en daarvoor is een dergelijke samenwerking noodzakelijk en dus inherent aan deze vorm van fraude. Uit de afspraak dat er 25% van de buit naar de visser ging, 25% naar de bonker en 50% naar iemand anders leidt de rechtbank af dat sprake was van een bepaalde hiërarchie binnen het samenwerkingsverband. Dit duurzame samenwerkingsverband waarin een bepaalde rolverdeling bestond, kan naar het oordeel van de rechtbank worden aangemerkt als een criminele organisatie zoals bedoeld in artikel 140 van het Wetboek van Strafrecht. Uit de tapgesprekken en de grote hoeveelheid aangetroffen phishinglinks bij alle verdachten blijkt dat de criminele organisatie als gezamenlijk doel het plegen van phishing had. De vele bij meerdere verdachten aangetroffen en uitgewisselde binlists zijn gebruikt bij accountfraude van onder andere Bol.com. Dat leidt de rechtbank tot de conclusie dat ook het plegen van pakketfraude een doel van het samenwerkingsverband was.
De rol van verdachte
De rechtbank concludeert op grond van de tapgesprekken dat verdachte onderdeel uitmaakte van de organisatie. De rechtbank leidt uit de onderlinge verhoudingen en de handelingen die verdachte heeft verricht in relatie tot phishing af dat verdachte binnen de organisatie voornamelijk uitvoerder was. Daarmee staat vast dat verdachte heeft bijgedragen aan het verwezenlijken van het gezamenlijke doel van de organisatie om phishing te plegen. Ook leverde verdachte een bijdrage aan de pakketfraude. Dat blijkt uit een tapgesprek waarin hij een medeverdachte aanstuurt om een door hem besteld pakket uit een brievenbus te halen.
Voor de bewezenverklaarde periode geldt hetzelfde als hiervoor bij feit 1 is overwogen. De rechtbank stelt vast dat verdachte zich vanaf 28 november 2019 tot en met 3 mei 2020 heeft bezig gehouden met het verwerven en voorhanden hebben van phishinglinks en binlists en daarmee ook heeft deelgenomen aan de organisatie. De organisatie heeft in ieder geval in die periode ook gefunctioneerd en had dan ook een duurzaam karakter.