Grootschalige phishing: OM eist tot 2 jaar gevangenisstraf
Het Landelijk Parket van het Openbaar Ministerie (OM) heeft vandaag in de rechtbank Rotterdam gevangenisstraffen van 2 jaar geëist tegen twee verdachten en tegen één verdachte 18 maanden. Drie mannen van 26, 30 en 31 jaar oud afkomstig uit Amsterdam en Amstelveen staan, in high tech crime onderzoek 26Turtlecreek, terecht op verdenking van grootschalige fraude via vooral phishing.
In de zaak tegen de 26 jarige verdachte is de verdenking daarnaast het witwassen van een geldbedrag van ongeveer 48.000 euro en het verhullen van het hebben van een Volkswagen Golf aangeschaft met misdaadgeld.
Van 2014 tot 2019
Volgens het OM hebben de drie verdachten zich schuldig gemaakt aan het gebruik van technische hulpmiddelen (de inzet van malware en phishing sites), hacking (die fraude gegevens gebruiken en invullen in de computerbestanden van banken en bedrijven) en vervolgens gepleegde oplichtingen en diefstallen. Volgens het OM deden verdachten dit alles van 2014 tot 2019 en zowel los van elkaar als gezamenlijk.
Start onderzoek
Het Team High Tech Crime van de Landelijke Eenheid startte in januari 2018 een onderzoek, onder het gezag van Landelijk Parket. Aanleiding voor het onderzoek waren aangiftes van bankfraude via malware die door een bank (ING) werden gedaan.
Ook van andere banken, zoals de Rabobank, en telecomproviders (Vodafone en KPN/Telfort) volgden al gauw talrijke aangiften van oplichting en diefstal tegen verdachten. De aangiften waren veelal gebaseerd op meldingen van klanten die afwijkende inlogs zagen of verdachte overboekingen en geldopnames.
Fraude, oplichting en diefstal
In die gevallen bleek dat met de gegevens van klanten gepoogd was of gelukt was om fraude te plegen. Klanten werden op verschillende manieren benaderd via berichten die leken alsof ze van hun telecomprovider, bank of credit cardmaatschappij afkomstig waren. Die indruk werd versterkt doordat door verdachten de naam, het beeldmerk en de huisstijl van de instanties in de berichten waren verwerkt. De inhoud van de tekst was een voor de ontvangers alarmerend bericht. Daarmee werden zij bewogen om op een weblink te klikken en persoonlijke gegevens, zoals toegangscodes, te verstrekken. Wat de ontvanger niet wist, was dat door op de link te klikken, infectie met malware plaatsvond. Hierdoor konden de aanvallers inloggen op het account van de slachtoffers en overgaan tot diefstal.
Ook werden door verdachten frauduleuze SIM-wissels uitgevoerd. Daarbij werd het telefoonnummer van het slachtoffer overgezet op een SIM-kaart van de aanvallers. Zo konden frauduleuze transacties worden gevalideerd.
Volgens het OM hebben verdachten zich, naast phishing via e-mail, ook schuldig gemaakt aan zogenoemd ‘smishing’. Dat is phishing via SMS. Daarbij werden klanten van telecomproviders van wie het abonnement verlengbaar was, aangevallen. Ook klanten van banken werden benaderd. Via een valse SMS ‘namens ‘hun provider’, werden mensen geleid naar een phishing site waar zij hun gegevens achterlieten. Met de bemachtigde inloggegevens konden de fraudeurs de (adres)gegevens van de klant aanpassen en dure iPhones bestellen en afvangen op onder andere adressen van katvangers. Wat ook gebeurde is dat zij met de fraudegegevens geld overboekten naar bankrekeningen van eveneens katvangers.
Schade en leed
Het OM rekent het verdachten zeer aan dat zij bedrijven schade hebben toegebracht, het vertrouwen in het betalings- en internetverkeer hebben aangetast en klanten met bankaccounts of telefoniecontracten radeloos en berooid hebben achtergelaten. Vooral dit laatste, het leven van slachtoffers compleet op de kop zetten, rekende de officier hen aan. “Het ging om makkelijk geld maken vanachter een computer, zonder stil te staan bij het leed wat hierdoor is veroorzaakt.”
Bij doorzoekingen van hun woningen zijn bij de verdachten diverse devices en gegevensdragers in beslag genomen. Daarop zijn onder meer bestanden met duizenden e-mailadressen, persoonsgegevens en inlogbewijzen van bank- en telecomklanten aangetroffen, evenals methoden om bulk mail te versturen. Ook is er een veelheid aan communicatie (onder andere Whatsapp en Telegram) onderschept. Die berichten hebben politie en justitie een helder beeld verschaft van het handelen door verdachten.
De officier van justitie ter zitting: “Enkel door politieoptreden zijn zij met hun criminele handelen gestopt.” In het algemeen is voor dit soort feiten en de grote omvang van deze zaak een strafmaat passend van drie tot vier jaar gevangenisstraf.
De officier van justitie vorderde echter deze lagere straffen, omdat de drie verdachten drie jaar in toezicht van de reclassering hebben gelopen en hun leven inmiddels hebben gebeterd. Tevens is thans sprake van legaal werk. Daarnaast hebben de drie verdachten openheid gegeven over hun strafbaar handelen en spijt en schaamte uitgesproken.
Wel moeten de verdachten veroorzaakte schade vergoeden, aan Rabobank, ING Bank en Vodafone, tot een bedrag van ruim 430.000 euro. Daarmee raken ze eerder in beslag genomen geld, een auto en waardevolle goederen waaronder diverse rolexen kwijt.
Ook raken de verdachten 18 computers, telefoons, laptops, ipads en randapparatuur kwijt, waarmee de strafbare feiten werden gepleegd.
Uitspraak
Op 21 maart 2022 zal het onderzoek worden gesloten, waarna de rechtbank naar verwachting op 4 april uitspraak zal doen.