Cybercrime en witwassen

Cybercrime en witwassen 25
gesprek bewegen de criminelen die zich voordoen als bankmedewerkers hun
slachtoffers tot het noemen van hun pincode of zelfs het verrichten van de
(frauduleuze) betalingstransactie. 22 Deze modus operandi wordt social engineering
genoemd. ‘Spear-phishing’ is een variant op phishing waarbij een
gerichte aanval op een individu of bedrijf wordt uitgevoerd met behulp van
persoonlijke informatie die al bij de aanvallers bekend is (Bernaards,
Monsma & Zinn, 2012, p. 58-59). Aangezien hier meestal geen malware in het
spel is, wordt deze vorm van bankfraude verder niet specifiek onderzocht in
dit onderzoek, maar enkel als onderdeel van een ruimere modus operandi,
bijvoorbeeld in het geval dat eerst banking malware wordt geïnstalleerd en
vervolgens met behulp van social engineering bankgegevens worden ontfutseld
aan slachtoffers. 23 Het witwassen van digitaal of virtueel geld, waarbij het
geld wordt omgezet in andere digitale or virtuele valuta, kan ook worden
beschouwd als een tool cybercrime, omdat computers en internet in dat
geval het instrument vormen om het delict te plegen. Uit jurisprudentie blijkt
ook dat criminelen die door middel van malware frauduleuze overboekingen
maken, worden veroordeeld voor het traditionele delict diefstal. 24
2.2 Banking malware
Banking malware is kwaadaardige software die is gericht op het uitvoeren
van frauduleuze banktransacties via de computer van het slachtoffer. Door
middel van een korte analyse van de kenmerken van een van de populairste
soorten banking malware die in de afgelopen jaren in omloop was, genaamd
ZeuS, kan een algemeen beeld worden gegeven van de werking en functionaliteiten
van banking malware.
De ZeuS-malware werd in 2006 op webfora voor het eerst aangeboden door
een crimineel met de nickname ‘Slavik’. Sinds 2006 heeft de malware verschillende
evoluties doorgemaakt en zijn functionaliteiten toegevoegd (Sandee,
2015). ZeuS-malware is in het recente verleden bijzonder succesvol
geweest in het uitvoeren van frauduleuze transacties op online banking websites
(Falliere & Chien, 2009).
De kwaadaardige software was in het bijzonder zo succesvol door gebruikmaking
van de zogenoemde ‘webinject’-techniek. Met de webinject-techniek
22 Zie bijvoorbeeld: Rb. Den Haag, 15 juli 2016, ECLI:NL:RBDHA:2016:7981.
23 Respondenten geven aan dat steeds vaker het midden- en kleinbedrijf (mkb) slachtoffer wordt van spearphishing-aanvallen.
Daarbij is denkbaar dat bijvoorbeeld uit naam van een manager van een bedrijf een
phishing e-mail wordt gestuurd naar medewerkers van dat bedrijf met het verzoek een bijlage te openen of
een website te bezoeken. Vervolgens wordt de computer van een slachtoffer besmet met een zogenoemde
‘Remote Administration Tool’ (RAT). Een RAT is een kwaadaardige vorm van software waarbij de dader op
afstand de computerhandelingen van het slachtoffer kan volgen (zie ook Europol, 2015b, p. 21-25).
24 Zie ook Rb. Rotterdam, 2 oktober 2015, ECLI:NL:RBROT:2015:7041, Rb. Zeeland, 29 juni 2016,
ECLI:NL:RBZWB:2016:3877 en Rb. Rotterdam, 20 juli 2016, ECLI:NL:RBROT:2016:5814, Computerrecht
2016/175, m. nt. J.J. Oerlemans.