Uitspraken

Aanleiding van het onderzoek

Aangifte Rabobank I

Op 4 oktober 2013 werd namens de Rabobank te Utrecht aangifte gedaan van het plegen van (mogelijk meerdere) strafbare feiten door middel van het gebruik van banking malware.1 Een bijlage met daarin de mogelijk frauduleuze overboekingen is door de Rabobank meegeleverd.2 Op basis van deze bijlage werden uiteindelijk 28 aangiftes verkregen3, waaronder de aangifte van [benadeelde 1] . In deze laatste aangifte verklaart [aangever namens benadeelde 1] dat zij op 30 oktober 2013 door de Rabobank werd benaderd met de vraag of zij een gesplitste betaling had gedaan. Aangeefster verklaarde dat niet te hebben gedaan, en kon op haar pc ook niet zien dat dat zo was. Op haar pc was slechts te zien dat zij een bedrag van
€ 9.985,- naar de Belastingdienst had overgemaakt. Nadat zij op een tweede pc was ingelogd en had gekeken naar deze betaling, bleek dat de betaling was gesplitst en dat er een bedrag van € 1.498,- naar de Belastingdienst was gegaan, en € 8.487,- naar [medeverdachte 5] . Deze persoon kende zij niet en zij had ook geen opdracht gegeven voor een dergelijke transactie.4 De pc van aangeefster is door de politie onderzocht.5

Aangifte ING bank

Op 16 januari 2014 werd door de ING bank Nederland aangifte gedaan van gelijksoortige feiten als bij de Rabobank.6 Een bijlage met daarin de mogelijk frauduleuze overboekingen werd door de ING bank meegeleverd.7 Op basis van deze bijlage werden uiteindelijk 12 aangiftes verkregen, waaronder die van aangeefster [benadeelde 2] .8 Aangeefster [benadeelde 2] verklaarde dat zij omstreeks 5 december 2013 een overboeking wilde doen middels internetbankieren. Zij wilde een bedrag van € 1.257,- overboeken, maar dit lukte haar niet. Na contact met de ING bleek dat er een virus op haar pc zat en dat voorkomen was dat dit bedrag naar een vreemd rekeningnummer gestuurd werd.9 De ING meldt zelf in haar aangifte nog dat het in dit geval ging om een poging tot overboeking naar [medeverdachte 3] .10 De ING bank heeft op 20 december 2013 een kopie van een vermoedelijk malware bestand, genaamd “ [malwarebestand 1] ”, aan de politie gezonden, welk bestand door de politie is onderzocht.11

Aangifte SNS bank

Op 27, 27 en 31 maart 2014 werd door de SNS bank aangifte gedaan van een drietal gelijksoortige feiten.12 Een van de benadeelden betrof [benadeelde 3] , van wie € 3.440,- werd overgemaakt naar [medeverdachte 6] zonder dat hiervoor toestemming was gegeven.13 De pc van [benadeelde 3] is door de politie in beslag genomen en onderzocht.14

Aangifte Rabobank II

Op 31 juli 2014 werd namens de Rabobank te Utrecht aangifte gedaan van het plegen van (mogelijk meerdere) strafbare feiten door middel van het gebruik van banking malware.15 Een bijlage met daarin de mogelijk frauduleuze overboekingen is door de Rabobank meegeleverd.16 Op basis van deze bijlage werden een zestal aangiftes verkregen17, waaronder de aangifte van [benadeelde 4] te Helden. De penningmeester van deze stichting merkte op dat er een bedrag in opdracht stond dat hij er zelf niet in had gezet, te weten een overboeking van € 4.253 naar [medeverdachte 7] .18 De pc van de stichting is in beslag genomen en een image van de harde schijf is onderzocht door de politie.19

In het kader van de leesbaarheid is een bijlage bij dit vonnis opgesteld, waarin een (chronologisch) overzicht is opgenomen met de vindplaats van de aangiftes, de benadeelde, de pleegplaats, pleegdatum, begunstigde te kwader trouw en het bedrag. Daarbij is ook opgenomen of het geld daadwerkelijk is overgeboekt naar de begunstigde te kwader trouw, uit welk bewijsmiddel dit blijkt, en welk bedrag er, volgens de officier van justitie zou zijn witgewassen.

Onderzoek in beslag genomen computers

De digitale recherche heeft naar aanleiding van onderzoek aan de inbeslaggenomen computers het volgende vastgesteld.

Rabobank I

In de pc van [benadeelde 1] werd een bestand genaamd [malwarebestand 2] gevonden, wat automatisch werd opgestart bij het opstarten van de pc. Ontdekt werd dat deze versie gebruik maakte van een Automatic Transfer System (ATS)-server op het domein [domeinnaam1] , geregistreerd op het emailadres [mailadres 1] ,20 en van een Command en Control (C&C) server op domeinnaam [domeinnaam 2] . De webinjectregel startte met [malware] , de taalinstelling was Russisch en AGM Telematics verleende een certificaat voor dit bestand. De HASH-waarde van het executable bestand is berekend en opgeslagen en de locatie in het register is in kaart gebracht.21

ING bank

De ING heeft het malwarebestand [malwarebestand 1] , los van de geïnfecteerde pc, aan de politie overgedragen voor onderzoek. Daardoor konden niet alle gegevens worden achterhaald. Wel kon de HASH-waarde van deze executable worden berekend, waarbij geconcludeerd werd dat deze gelijk was aan het eerder onderzochte [malwarebestand 2] . Het afgegeven certificaat was afkomstig van AGM Telematics, de taalinstelling was Russisch en na onderzoek bleek dat de malware probeerde contact te leggen met de C&C-server op domeinnaam [domeinnaam 2] . Ook is de locatie in het register in kaart gebracht.22

SNS bank

De backup van de pc van aangever [benadeelde 3] werd onderzocht op aanwezigheid van malware. In deze pc werd een bestand genaamd [malwarebestand 3] gevonden, wat automatisch werd opgestart bij het opstarten van de pc. Dit bestand probeerde contact te maken twee verschillende C&C servers, waarvan de domeinnamen geregistreerd waren op naam van [medeverdachte 8] , [mailadres 2] en later [mailadres 3] . De ATS-server werd geregistreerd op naam van [medeverdachte 9] op emailadres [mailadres 1] .23 De webinjectregel startte met [malware] .24 De HASH-waarde van het executable bestand is berekend en de locatie in het register is in kaart gebracht.25

Rabobank II

Bij de vierde aanval, zijnde de tweede aanval op de Rabobank, werd een harde schijf van een besmette pc veiliggesteld. Hierop werd een bestand genaamd [bestandsnaam] aangetroffen, wat automatisch werd opgestart bij het opstarten van de pc. Dit bestand probeerde contact te maken met een C&C-server, waarvan de domeinnaam geregistreerd was op naam van [medeverdachte 8] , [mailadres 2] en later [mailadres 3] .26 De taalinstelling stond op Russisch, de locatie in het register is in kaart gebracht en de webinjectcode begon met [malware] .2728

Overeenkomsten en tussenconclusie

De rechtbank stelt op basis van de hierboven genoemde informatie de volgende overeenkomsten vast.

De HASH-waarde van het executable bestand en de gebruikte C&C-server zijn identiek bij de aanvallen op Rabobank (I) en de ING bank.

Bij de aanval op Rabobank I en II, en de SNS bank was de locatie waar gegevens op de geïnfecteerde computer in het register werden opgeslagen hetzelfde. Ook begon de webinjectcode telkens met [malware] . Bij de aanval op ING is er geen pc of backup geleverd, waardoor dit niet kon worden onderzocht.

Bij de aanval op de Rabobank I en II en de ING bank was de taalinstelling telkens Russisch.

De bij aanval op Rabobank I en de SNS bank gebruikte ATS-servers stonden geregistreerd onder hetzelfde emailadres.

De bij aanval op SNS bank en Rabobank II gebruikte C&C-servers stonden geregistreerd onder dezelfde naam en hetzelfde emailadres.

De rechtbank concludeert, gelet op voornoemde overeenkomsten en hetgeen de digitale recherche hierover heeft geverbaliseerd, dat het in alle vier de aanvallen gaat om dezelfde malware, afkomstig van dezelfde groep van personen.

Werking malware en te gelde maken van de opbrengst

Onderzoek aan de malware heeft duidelijk gemaakt wat het doel is van de malware en hoe dit wordt bereikt. Een nietsvermoedend persoon bezoekt een (gehackte) website waarop malware geplaatst is, waarna zijn pc besmet raakt en zich hierop installeert. De malware maakt contact met een C&C server. Deze server geeft de computer opdracht om gegevens door te sturen, waaronder met welke bank deze persoon bankiert via internet. Wanneer de besmette computer gebruik maakt van internetbankieren, zorgt de malware er voor dat er een ATS server wordt benaderd. De ATS server krijgt alle gegevens die op de besmette pc worden getoond en ingevoerd en kan op deze wijze alle financiële gegevens inzien. Via deze ATS server kan er zelfstandig een overboeking worden ingepland, een bestaande overboeking worden gesplitst, of een bestaande overboeking worden omgezet naar een overboeking naar een ontvanger te kwader trouw. De malware verhult de wijziging, waardoor op de geïnfecteerde computer niet te zien is dat een wijziging is aangebracht.29 Voor het invoeren van een opdracht is een menselijke handeling noodzakelijk. Immers moet er een rekeningnummer en naam van een begunstigde te kwader trouw worden ingevoerd. Dit gaat middels een “webinjectcode”. Deze webinjectcode is voor iedere bank en iedere ontvanger te kwader trouw verschillend en dient dus telkens, per aanval, te worden aangepast. Dit blijkt onder andere uit het feit dat, in de gevallen dat de pc van de benadeelden onderzocht kon worden, de namen van [medeverdachte 5]30, [medeverdachte 6]31, en [medeverdachte 10]32 met bijbehorende rekeningnummers en de frauduleus overgeboekte bedragen zijn teruggevonden in fragmenten van de webinjectcode.

Om de frauduleuze overboeking uiteindelijk te kunnen incasseren, moet men de controle hebben over de rekeningen van deze begunstigden te kwader trouw.33

In dit dossier zijn een groot aantal begunstigden te kwader trouw in beeld gekomen. Een aantal van deze begunstigden zijn getraceerd en gehoord.

[medeverdachte 11] verklaart dat hij in december 2012 naar Nederland is gekomen voor werk. Op verzoek van ‘ [medeverdachte 27] ’ heeft hij bankrekeningen geopend. Hij verstond geen Nederlands of Engels, maar [medeverdachte 27] vertelde hem dat zij samen een rekening zouden openen voor een bedrijf, “ [bedrijf 1] ”. [medeverdachte 11] identificeerde zich bij de bank en tekende papieren wanneer [medeverdachte 27] dit hem vroeg. De bijbehorende pasjes en documenten werden aan [medeverdachte 27] meegegeven. In januari 2013 is hij naar Duitsland vertrokken.34

[medeverdachte 7] verklaart dat hij in november/december 2013 naar Nederland kwam. Hij had een advertentie gevonden waarin mensen werden gezocht. [medeverdachte 27] haalde hem in Berlijn op en ging met hem naar Nederland. Daar werd [medeverdachte 7] verzocht een bankrekening te openen. Volgens [medeverdachte 27] was het niet gelukt, en moest hij het bij andere banken nog eens proberen. De informatie met het adres en telefoonnummer kreeg hij van [medeverdachte 27] , dat had niets met [medeverdachte 7] te maken. De pasjes en documenten gaf hij aan [medeverdachte 27] , [medeverdachte 27] had deze nodig voor het werk. [medeverdachte 7] kreeg geen werk, waarop hij op 23 december 2013 naar huis terug is gevlogen.35

Verdachten [medeverdachte 12]36 en [medeverdachte 3]37 verklaren eveneens over het openen en ter beschikking stellen van bankrekeningen ten behoeve van anderen.

De rechtbank constateert dan ook dat de bankrekeningen, waarop de frauduleuze overboekingen werden overgemaakt, onder controle stonden van derden, dan wel een organisatie van derden. De rechtbank verwijst wat betreft het laatste tevens naar paragraaf 4.3.8, waar feit 4 wordt behandeld.

Poging tot diefstal, of voltooide diefstal?

Bij de aanvallen op de Rabobank, ING bank en SNS bank zijn, in totaal, vijftig frauduleuze overboekingen geconstateerd, waarbij de overboekingen naar een dertigtal verschillende begunstigden te kwader trouw zijn gedaan.

De rechtbank constateert vooraleerst dat de opsteller van de tenlastelegging, bij zowel feit 1 als bij feit 2, er voor heeft gekozen dezelfde rekeninghouders en banken als grondslag te nemen. Echter, het is slechts bij een aantal overboekingen daadwerkelijk zover gekomen dat een bedrag kon worden opgenomen of doorgestort door de begunstigde te kwader trouw. Dat betekent dat de rechtbank voor de vraag wordt gesteld in welke gevallen de overboekingen als pogingen tot diefstal, dan wel als een voltooide diefstal dienen te worden aangemerkt. Uit de algemene aangifte, maar ook uit de aangiftes afzonderlijk, blijkt dat de banken zich telkens tot het uiterste hebben ingespannen om, al dan niet samen met de rekeninghouders, de overboekingen tegen te houden, te pauzeren, of ongedaan te maken. De rechtbank is van oordeel dat, op het moment dat de bank, in samenwerking met de rekeninghouders, hierin is geslaagd, van een voltooide diefstal geen sprake kan zijn. Er kan, gelet op het gezamenlijke belang dat zowel rekeninghouder als bank hebben bij een juiste afwikkeling van het betalingsverkeer en de gezamenlijke bevoegdheid die bij bank en rekeninghouder bestaan met betrekking tot een rekening, niet gezegd worden dat zodra de rekeninghouder de hulp van de bank nodig heeft om een overboeking te voorkomen, er geen sprake meer is van een poging. Dat brengt met zich, dat alleen in de gevallen, in bijlage I bij dit vonnis aangemerkt met “Ja” onder de kolom “Overgeboekt”, naar het oordeel van de rechtbank kan worden gesproken van een voltooide diefstal, zoals ten laste gelegd onder feit 1. Ten aanzien van de vaststelling van de hoogte van het weggenomen bedrag is het, naar het oordeel van de rechtbank, niet relevant of het volledige overgeboekte bedrag ook daadwerkelijk is opgenomen, of overgeboekt naar een andere rekening. Dat maakt dat de rechtbank wettig en overtuigend bewezen acht dat er een bedrag ter hoogte van € 81.168,76 is weggenomen.

In de overige gevallen is het naar het oordeel van de rechtbank gebleven bij een poging tot diefstal, zoals ten laste gelegd onder feit 2. Dit betekent dat ook feit 2 wettig en overtuigend bewezen kan worden verklaard. De rechtbank merkt hierbij echter op dat de tenlastelegging

specifiek noemt als pleegdatum. Voor de tweede aangifte van de Rabobank is er gekozen voor een pleegperiode (van 18 juli 2014 tot en met 25 juli 2014). Dit betekent dat niet alle, zojuist als ‘overige gevallen’ bestempelde feiten bewezen kunnen worden verklaard.

Met inachtneming van de genoemde data in de tenlastelegging is de rechtbank gelet op vorenstaande van oordeel dat bewezen kunnen worden verklaard de aangiftes met nummer AG-14, AG-15, AG-17, AG-24, AG-25, AG-40, AG-41, AG-45, AG-47, AG-48, AG-49, AG-50 en AG-51.

4.3.5.1 Telefoontap en identificatie [verdachte]

Op 21 april 2014 werd er een winkeldiefstal gepleegd, waarbij de dader wist te ontkomen. Wel had de dader een schoudertas verloren, waarin onder andere een geboorteakte, paspoort en een aantal brieven zat. De persoon die op deze documenten stond, [medeverdacthe 13] , werd in haar woning, gelegen aan de [adres medeverdachte 13] te Den Haag, aangehouden. Voor het verlaten van de woning kreeg zij van een man een mobiele telefoon van het merk Nokia (Imei: [imeinummer] ) mee. Volgens zijn gedetineerdenpas betrof deze man [medeverdachte 3] , geboren op [geboortedag medeverdachte 3] 1984 te [geboorteplaats medeverdachte 3] ( [geboorteland medeverdachte 3] ).38 Nu er op een rekeningnummer op naam van [medeverdachte 3] , geboren op [geboortedag medeverdachte 3] 1984, wonende te [adres medeverdachte 13] te Den Haag een frauduleuze overboeking had plaatsgevonden39, werd besloten die Nokiatelefoon onder een telefoontap te plaatsen. Uit de gesprekken die [medeverdacthe 13] voert met dit imei-nummer komt naar voren dat zij samen woont met [pseudoniem medeverdachte 3]40; dat [pseudoniem medeverdachte 3] het nummer toeschrijft aan ‘zijn vrouw’41 en dat hij een SMS verstuurt waarin hij ondertekent met [medeverdachte 3]42. Verder wordt geconstateerd dat genoemd Imeinummer veelvuldig contact had met telefoonnummer [telefoonnummer medeverdachte 3] . In een van de gesprekken zegt [medeverdacthe 13] dat zij de gebruiker van dat nummer lief vindt, en hoort terug dat dat wederzijds is. Dit, in combinatie met de aangehaalde informatie en het feit dat [medeverdacthe 13] bij haar vrijlating [medeverdachte 3] als haar vriend benoemde, wordt het telefoonnummer [telefoonnummer medeverdachte 3] aan [medeverdachte 3] toegeschreven.43 Dit nummer is getapt, van waaruit er meerdere verdachten in beeld zijn gekomen, waaronder (de verder onbekend gebleven) [medeverdachte 27] , maar ook [medeverdachte 2] , [verdachte] en [medeverdachte 4] .

Zo heeft [medeverdachte 3] contact met een persoon die zich “ [medeverdachte 2] ” noemt op het telefoonnummer [telefoonnummer medeverdachte 2] .44 Dit telefoonnummer is van [medeverdachte 2] , zo geeft deze zelf aan in zijn verklaring.45 Ook dit nummer wordt getapt.

Op 15 juni 2014 belt [medeverdachte 27] met [medeverdachte 2] en zegt [medeverdachte 27] dat hij op het adres van [medeverdacthe 13] een groene of een rossige heeft geopend. [medeverdachte 2] weet dat niet meer, maar weet wel dat hij [medeverdacthe 13] en [medeverdachte 9] heeft geopend. [medeverdachte 27] vraagt of dat voor (een andere) [medeverdachte 2] was, maar dat weet [medeverdachte 2] niet meer. [medeverdachte 27] draagt [medeverdachte 2] op om naar (andere) [medeverdachte 2] te gaan, nadat hij iets bij [medeverdachte 7] heeft opgehaald.46

[medeverdachte 2] wordt de dag erna gebeld door telefoonnummer [telefoonnummer] , door een persoon die zichzelf eveneens [verdachte] noemt en in het proces-verbaal wordt aangeduid als [verdachte] . [verdachte] vraagt wat hij moet overhandigen. [medeverdachte 2] zegt de rossige van [medeverdachte 14] en [medeverdachte 10] .47 Op 18 juni 2014 spreken [medeverdachte 2] en [verdachte] af in het park48. Op 19 juni 2014 ontmoeten beide mannen elkaar weer, ditmaal bij het gemeentehuis. [medeverdachte 2] wordt door [verdachte] gevraagd te komen om ‘hem’ te ontmoeten.49 [medeverdachte 2] geeft om 12:03 aan dat hij er over 2 minuten zal zijn50, [verdachte] geeft aan voor de ingang te staan.51 Op camerabeelden van de gemeente Den Haag is te zien dat een man, die wordt herkend als [medeverdachte 2] , aan komt fietsen en twee personen de hand schudt.52 Op 26 juni 2014 spreken [medeverdachte 2] en [verdachte] opnieuw af, ditmaal in het park53. Van deze ontmoeting is een foto gemaakt, welke op 6 juli 2014 naar de Koninklijke Marechaussee is verzonden, daar er vermoedens waren dat [verdachte] op die dag naar Minsk wilde vliegen. De wachtmeester van de Marechaussee herkende een man in de rij bij de balie van Belavia als de man op de foto, waarna zijn gegevens zijn genoteerd. Het betrof [verdachte] .54

4.3.5.2 Betrokkenheid [verdachte]

Verdachte [medeverdachte 4] heeft in haar verklaring aangegeven dat haar voormalige vriend, [medeverdachte 1] , lid was van een of andere organisatie.55 [medeverdachte 1] vroeg [medeverdachte 4] om mensen te helpen om sofinummers en bankrekeningnummers aan te vragen. [medeverdachte 1] verzamelde die bankpasjes. [medeverdachte 4] had op internet gelezen dat hij fraude dingetjes deed in Engeland en dacht dat hij in Nederland hetzelfde deed.56 Met hetzelfde bedoelde zij dat er geld werd overgeboekt en opgenomen. In Engeland gebeurde dat met een virus.57

Een van de vrienden van [medeverdachte 1] was [pseudoniem 1 verdachte] .58 Dit is volgens haar eigenlijk [verdachte] .59 [medeverdachte 4] herkent [verdachte] op een getoonde foto60 en geeft aan dit een kennis van [medeverdachte 1] is.61 Zij regelde wat bankzaken voor hem, omdat hij geen eigen bankrekening had. Zij vond dit vreemd, omdat [verdachte] en [medeverdachte 1] dit ook met hun pasjes hadden kunnen regelen. In oktober 2014 is [verdachte] nog bij [medeverdachte 4] in huis geweest om spullen te halen of weg te zetten.62 [verdachte] ging ook wel eens met personen naar de bank om rekeningen te openen63, verzamelde inloggegevens64, moest alles regelen, was vaker hier geweest dan [medeverdachte 1] en was daarom met meer bezig.65 De bankpassen en pincodes gingen naar [medeverdachte 1] of [verdachte]66 en er werd een sporttas van [medeverdachte 1] en [verdachte] in haar huis bewaard met daarin bankpassen67.

In de hierna weergegeven bewijsmiddelen komt naar voren dat [verdachte] op vele momenten in de periode van juni 2014 tot en met oktober 2014 contact heeft met anderen over bankrekeningen en -passen, overschrijvingen, geld en werk. In die contacten wordt onder meer gesproken over groene, rossige en gekleurde kaarten. Dit betreffen bankpassen van respectievelijk de ABN AMRO-bank, de ING-bank en de SNS-bank.

Op 16 juni 2014 heeft [verdachte] contact met [medeverdachte 2] over het overdragen van ‘de rossige’ van [medeverdachte 14] en [medeverdachte 10] .68 Uit de verklaring van [medeverdachte 2] blijkt dat een “rossige” een rekening van de ING betrof, een “groene” een rekening van de ABN, en een “gekleurde” een rekening van de SNS. 69Op 22 juli 2014 worden er een viertal bedragen overgeschreven op een bankrekeningnummer van de ING op naam van [medeverdachte 10] .70

Op 22 juni 2014 heeft [verdachte] een gesprek met [medeverdachte 2] , waarin er wordt gesproken over een persoon die naar Letland is vertrokken. Deze persoon is met het coderen bezig.71

Op 30 juni 2014 belt [verdachte] met [medeverdachte 2] , waarbij [verdachte] boos is op [medeverdachte 2] , omdat hij twee groene kaarten op negatief zou hebben gezet. De historie van de kaarten van [medeverdachte 15] en [medeverdachte 16] zou zo beschadigd kunnen worden.72

Op 28 juli 2014 geeft [verdachte] aan [medeverdachte 2] aan dat zijn mensen voorlopig niet komen, dat er gewacht wordt, en dat hij er rekening mee zal houden dat [medeverdachte 2] nieuwe mensen en bedrijven heeft. [medeverdachte 2] zegt dat de rossige van [medeverdachte 9] in rook is opgegaan, maar dat hij nog een groene en gekleurde heeft. [verdachte] geeft aan dat de gekleurde geen nut heeft, de groene kan [medeverdachte 2] bewaren. Hij zal [medeverdachte 2] bellen als er iets is.73

Op 3 augustus 2014 vraagt [medeverdachte 2] of er werk is, maar [verdachte] zegt van niet. [medeverdachte 2] wil dat weten, nu er een aantal personen hun kaartjes terug willen omdat zij willen gaan werken. [medeverdachte 2] zal laten weten wie dat precies zijn. Hij heeft ook nog een ander persoon die het werk wil doen, die een rossige en groene heeft.74

Op 4 augustus 2014 belt [medeverdachte 2] met de mededeling dat [medeverdachte 17] wil vertrekken. [verdachte] kan zich niet herinneren dat hij zijn kaart heeft, maar dacht dat [medeverdachte 17] was volgestort. [medeverdachte 2] zegt dat het om zijn groene gaat. [verdachte] zal het nakijken.75

Op 5 augustus 2014 belt [verdachte] naar de ABN AMRO. Hij wil zijn nieuwe betaalpas activeren. Als naam geeft hij op [pseudoniem 2 verdachte] , geboren [geboortedag pseudoniem 2 verdachte] 198676, [adres pseudoniem 2 verdachte] . De pas wordt geactiveerd.77 Daarna belt hij de ABN AMRO, waarbij hij zich uitgeeft voor [pseudoniem 3 verdachte] , [geboortedag pseudoniem 3 verdachte] -198678. De pas is geblokkeerd. Advies wordt gegeven om met ID naar een kantoor te komen.79

Op 6-augustus 2014 belt [verdachte] met de ABN AMRO. Hij geeft zich uit voor [pseudoniem 1 verdachte] en wil een bankpas activeren. Dat lukt.80

Op 7 augustus 2014 belt [verdachte] met de ING, vanwege een geblokkeerde zakelijke rekening op naam van [pseudoniem 4 verdachte] , geboren op [geboortedag pseudoniem 5 verdachte] -1974. Het gaat om [bedrijf 2] , gevestigd [adres bedrijf 2] . Er was door het fraudemanagement van de ING een overschrijving gesignaleerd van

€ 4440,- aan [bedrijf 3] , waardoor de rekening werd geblokkeerd. De rekening wordt gedeblokkeerd na controle van de geboortedatum en het adres, opgegeven door [verdachte] .81

Op 7 augustus 2014 belt [verdachte] met [medeverdachte 2] dat er die week geen werk is. Er werd al wel wat gemaakt, maar slechts voor één van hen. [medeverdachte 2] vraagt of [medeverdachte 17] eerst geplaatst kan worden als er werk is. [verdachte] geeft aan dat zij dat zullen doen.

Op 16 september 2014 belt [verdachte] met [medeverdachte 1] , waarbij [medeverdachte 1] [verdachte] vertelt een bus ticket te kopen voor de Euroline voor ‘ [medeverdachte 18] ’82, op naam van [pseudoniem 2 verdachte] , van Koszalin naar Rotterdam.83

Op 18 september 2014 belt [verdachte] met [medeverdachte 1] , waarbij gesproken wordt over het activeren van [pseudoniem 1 verdachte] . De “Hongaar” zou beschadigd zijn, [pseudoniem 1 verdachte] is nog schoon.84

Later belt [medeverdachte 1] nog met [verdachte] , waarin hij hem vraagt wat hij in moet voeren. Er wordt besloten dat er 3500 wordt overgemaakt.85

Op 22 september 2014 zegt [verdachte] dat [medeverdachte 1] de groene van [medeverdachte 18] moet doen. [medeverdachte 1] zal het opnieuw inzetten en schrijven en de IBAN en BIC code doorsturen. [verdachte] zal nog een foto van [medeverdachte 18] doorsturen.86

Op 9 oktober 2014 belt [verdachte] met [medeverdachte 27] . [verdachte] klaagt over verkeerd gezette stempels, waardoor hij korter in Nederland kan blijven. Hij vraagt zich af of hij het risico kan nemen te vliegen.87

De rechtbank concludeert dat op grond van dit, bij lange na niet uitputtend, overzicht kan worden geoordeeld dat [verdachte] zich, gedurende de getapte periode, intensief bezig houdt met het regelen van namen en bankrekeningnummers. Hij beschikt over pasjes van derden, heeft het over overboekingen, doet zich voor als een ander richting banken en geeft aan anderen door wanneer er wel of geen werk is.

4.3.5.3 Rekeningen, te gelde maken van bedragen.

Op 2 december 2014 is, in de [adres 1] te Amsterdam, een sporttas in beslag genomen.88 [medeverdachte 4] geeft aan dat deze tas van [medeverdachte 1] en [verdachte] is.89 Op 27 november 2014 is er gebeld met [medeverdachte 4] door [medeverdachte 19] , waarbij [medeverdachte 19] aangaf dat de tas van [medeverdachte 2] naar [medeverdachte 4] terug moest. [medeverdachte 4] vindt dat goed.90 In de tas worden een groot aantal bankpassen aangetroffen, waaronder 3 bankpassen die toebehoorden aan
[pseudoniem 1 verdachte] .91 Daarnaast werden er in deze tas, onder andere, bankpassen gevonden van de (hierboven al eerder genoemde) [pseudoniem 4 verdachte] , [medeverdachte 15] , [pseudoniem 3 verdachte] , [medeverdachte 10] , [medeverdachte 14] , [medeverdacthe 13] en [medeverdachte 16] , maar ook van [medeverdachte 20] , [medeverdachte 21] , [medeverdachte 22] en anderen.92

Wanneer de gegevens van de rekeningnummers, behorend bij de genoemde namen, onder elkaar worden gezet, wordt duidelijk dat er met enige regelmaat geld, afkomstig van contante stortingen, dan wel van een van de rekeningen van genoemde personen, naar rekeningnummers van verdachte [verdachte] worden gestort. Deze bedragen worden soms opnieuw contant opgenomen, dan wel doorgestort naar andere personen van wie verdachte een pinpas had, dan wel naar een Letse onderneming.

Ter illustratie volgen hieronder een aantal van de overschrijvingen waarop wordt gedoeld.

4.3.5.4 Ten laste gelegde periode

Verdachte heeft, in zijn eigen verklaring, aangegeven in de winter van 2013 naar Nederland te zijn gekomen. Ter zitting bevestigt hij dat dit zo is, en dat dit kan betekenen dat hij in december 2012 al in Nederland was.104 De telefoon van [verdachte] is onderzocht, waaruit is gebleken dat hij op 10 januari 2013 een Sms-bericht heeft ontvangen, waarin het adres ‘ [adres 4] staat.105 Dit adres wordt eveneens opgegeven door [medeverdachte 23] bij het openen van een rekening bij SNS bank.106 [medeverdachte 23] komt als geldezel naar voren tijdens de eerste aanval op de Rabobank.107

Daarnaast krijgt [verdachte] , vanaf december 2012 tot en met mei 2013, met grote regelmaat sms-berichten met daarin namen, geboortedata, adressen en geldbedragen.108

Onder deze berichten valt ook een Sms-bericht van 21 maart 2013, met daarin een TAN-code, ter goedkeuring van een overschrijving van een bedrag van € 5620,- naar bankrekening [rekeningnummer 2] .109 Dit blijkt om een overboeking te gaan afkomstig van de bankrekening van [medeverdachte 24] .110 [medeverdachte 24] is als geldezel betrokken geweest in de aanval op de ING-bank.111 Met het aantreffen van de pinpassen van [medeverdachte 10] en [medeverdachte 21] in de hierboven eerder genoemde sporttas en het tapgesprek waarin door [verdachte] en [medeverdachte 2] gesproken wordt over de pinpas van [medeverdachte 6]112, is er voor iedere aanval minimaal een link naar verdachte.

4.3.5.5 Conclusie ten aanzien van betrokkenheid van [verdachte]

De rechtbank komt op grond van de bovenstaande bewijsmiddelen tot het oordeel dat verdachte [verdachte] op de hoogte was van het feit dat er op rekeningen van derden geld gestort werd dat hen niet toebehoorde. [verdachte] onderhoudt regelmatig contact met [medeverdachte 1] , [medeverdachte 2] , [medeverdachte 27] en anderen en spreekt met hen vrijwel uitsluitend over banken, pinpassen, ‘doorstorten’, ‘volstorten’, en het werk wat al dan niet doorgaat. Duidelijk wordt dat er, voordat het werk kan beginnen, namen en rekeningnummers klaar moeten zijn om doorgegeven te worden. [verdachte] wist daarbij dat er gecodeerd moest worden voordat er geld kon worden doorgestort, en wist dat de doorgegeven namen van personen of bedrijven gebruikt werden om dat geld op te kunnen vangen. [verdachte] stuurt, gelet op de gevoerde gesprekken, anderen, waaronder [medeverdachte 2] , aan om nieuwe mensen te vinden die als geldezel kunnen dienen, en is verantwoordelijk voor het doorgeven van de namen van deze personen. [verdachte] beschikte, blijkens de tapgesprekken, over pinpassen van verschillende personen en bedrijven, maar ook over valse identiteiten. Dat verdachte voor deze personen naar de bank belde om hen te helpen hun bankzaken te regelen, acht de rechtbank onaannemelijk, nu de bijbehorende pinpassen, zowel de tijdelijke als de nieuwe, in een tas die (mede) aan verdachte kan worden toegeschreven, zijn aangetroffen.

De rechtbank is dan ook van oordeel dat vast is komen te staan dat verdachte op de hoogte was van het feit dat er, met behulp van banking malware, geld van derden afhandig werd gemaakt. Ook was het verdachte die, als gebruiker van de bankpassen dan wel als degene die behulpzaam was bij het gebruik van die passen –bijvoorbeeld door het geven van instructie ten aanzien van internetbankieren- beschikte over het geld wat op deze rekeningen binnen kwam.

Dit maakt dat de rechtbank van oordeel is dat wettig en overtuigend kan worden bewezen dat verdachte zich schuldig heeft gemaakt aan het medeplegen van diefstal door middel van gebruikmaking van een valse sleutel en poging tot diefstal door middel van gebruikmaking van een valse sleutel, zoals ten laste is gelegd onder feit 1 primair en feit 2 op de tenlastelegging.

Gewoontewitwassen

Artikel 420bis Sr bepaalt dat hij die de werkelijke aard, herkomst, vindplaats, vervreemding of verplaatsing van een voorwerp verbergt of verhult, of verbergt of verhult wie de rechthebbende daar op is, of het voorwerp voorhanden of overgedragen of omgezet heeft, terwijl hij weet dat het voorwerp, -onmiddellijk of middellijk- afkomstig is uit enig misdrijf, zich schuldig maakt aan witwassen. Het ten laste gelegde gewoontewitwassen betreft het meermalen plegen van dit delict in een bepaalde periode.

Nu de rechtbank tot een bewezenverklaring komt ten aanzien van feit 1 primair, en de betrokkenheid van verdachte bij deze diefstallen naar haar oordeel is komen vast te staan, volstaat de rechtbank hier met de vaststelling dat verdachte wist dat de geldbedragen van misdrijf afkomstig waren. Voordat kan worden vastgesteld dat verdachte zich schuldig heeft gemaakt aan (gewoonte)witwassen, dient te worden vastgesteld dat er sprake was van enige verhullingshandeling. De rechtbank constateert dat er ruimschoots wordt voldaan aan deze voorwaarde. Uit het (eerder beschreven) onderzoek van de politie naar de werking van de gebruikte malware, volgt dat deze malware er voor zorgde dat het, vanaf de geïnfecteerde computer, voor de benadeelde niet mogelijk was om de wijziging van zijn betalingsopdracht te constateren. Pas wanneer de benadeelde zijn betalingen zou controleren vanaf een niet geïnfecteerd apparaat, dan wel wanneer zijn bank onraad vermoedde, zou de overboeking worden geconstateerd. Daarmee is alleen de werking van de malware al van dien aard, dat gesproken kan worden van een verhullingshandeling als bedoeld in artikel 420bis Sr.

Daarnaast werden de overgeboekte gelden op rekeningen van zogenaamde geldezels (in het proces-verbaal van de politie aangeduid als money-mules) gestort, die het geld vervolgens contant (laten) opnemen of doorboeken naar andere rekening nummers. Zo werd er (onder andere):

De rechtbank stelt vast dat door deze handelswijze wordt gepoogd te verhullen waar de buitgemaakte gelden uiteindelijk terecht komen. Dit blijkt te meer uit het feit dat [medeverdachte 11] zelf heeft verklaard nooit de beschikking te hebben gehad over zijn bankpasjes en bovendien dat hij in januari 2013 Nederland al zou hebben verlaten. [medeverdachte 7] verklaart gelijkluidend, zij het dat hij in december 2013 Nederland zou hebben verlaten.

De rechtbank is dan ook van oordeel dat ook de wijze waarop met de buitgemaakte gelden wordt omgegaan, verhullingshandelingen als bedoeld in artikel 420bis Sr opleveren.

Binnen de ten laste gelegde periode is er, zover dit bekend is geworden, 18 maal op vergelijkbare wijze gehandeld, te weten in de gevallen waarin de rechtbank tot een bewezenverklaring komt ten aanzien van feit 1. Gelet op de duur van de periode waarin deze feiten zijn gepleegd en de frequentie waarmee zij zijn gepleegd, is de rechtbank van oordeel dat er kan worden gesproken van gewoontewitwassen. Daarbij weegt de rechtbank mee dat er slechts door oplettendheid van de overige potentiele benadeelden kon worden voorkomen dat er meer bedragen werden witgewassen.

Betrokkenheid [verdachte] feit 3, witwassen

Nu verdachte als medepleger van de diefstallen van de geldbedragen wordt aangemerkt, staat in ieder geval vast dat verdachte op de hoogte was van het feit dat de geldbedragen van diefstal door middel van gebruik van een valse sleutel afkomstig waren. Ook heeft de rechtbank reeds overwogen dat verdachte op de hoogte was van het feit dat de diefstallen gepleegd waren met behulp van malware en constateerde zij dat verdachte een actieve rol heeft gespeeld in het doorboeken van de gestolen gelden naar andere rekeningen, dan wel in het contant opnemen van gestorte bedragen. Gelet hetgeen is overwogen omtrent de verhullingshandelingen in 4.3.6 en het feit dat verdachte wist wat er gaande was, is de rechtbank van oordeel dat wettig en overtuigend kan worden bewezen dat verdachte zich schuldig heeft gemaakt aan gewoontewitwassen.

Feit 4, deelneming criminele organisatie

Voor het bestaan van een criminele organisatie in de zin van artikel 140 Sr blijken uit de geldende jurisprudentie de navolgende criteria.

Er moet sprake zijn van deelname aan een samenwerkingsverband van twee of meer personen met een zekere duurzaamheid en structuur en een bepaalde organisatiegraad, dat tot doel heeft het plegen van misdrijven. De eis dat zo’n organisatie gekenmerkt moet zijn door gemeenschappelijke regels en gemeenschappelijke doelstellingen waardoor een zekere druk op de individuele leden kan worden uitgeoefend, kan niet worden aangenomen.

De deelnemers aan zo’n organisatie dienen niet ieder voor zich, maar in het verband van deze organisatie te participeren en dus te behoren tot de organisatie, zonder dat vereist is dat zij met alle personen in de organisatie samenwerken. De deelnemers zullen in het kader van zo’n samenwerking niet slechts over en weer met elkaar te maken moeten hebben, maar zich primair tegenover die organisatie gebonden moeten achten.

Om iemand te kunnen aanmerken als deelnemer dient hij of zij tenminste een aandeel te hebben in dan wel ondersteuning te verlenen aan gedragingen die strekken tot of rechtstreeks verband houden met de verwezenlijking van het oogmerk van die organisatie. Naar het oordeel van de rechtbank kan daarbij niet elke bijdrage leiden tot het oordeel dat iemand deel uitmaakt van een criminele organisatie. De bijdrage dient een zekere duur en intensiteit te hebben. In dat verband is specifieke deelneming aan misdrijven waarop het oogmerk van de organisatie is gericht niet nodig, wel wetenschap van het plegen van misdrijven in zijn algemeenheid. Daarbij is voorwaardelijk opzet niet voldoende. Wetenschap van één of verscheidene concrete misdrijven is niet vereist. Evenmin enige vorm van opzet op de door de organisatie beoogde concrete misdrijven.

Op grond van hetgeen hiervoor bewezen is verklaard omtrent het gebruikt van malware die onder verschillende benamingen maar met een gelijke of nagenoeg gelijke structuur op computers werd geïnstalleerd van rekeninghouders bij banken en de wijze waarop van die malware gebruik werd gemaakt, staat naar het oordeel van de rechtbank vast dat met behulp van die malware overboekingen plaats vonden teneinde met behulp daarvan zich gelden toebehorende aan banken en/of hun rekeninghouders, toe te eigenen. De opeenvolgende handelingen die nodig zijn om de beschikking te krijgen over die gelden, beginnend met het vervaardigen van de malware en lopende via de verspreiding, de inwerkingstelling en de overboeking, naar de opname van de gelden, zijn zodanig met elkaar verweven; zij vereisen een zodanige afstemming van de door elk van de personen te verrichten handelingen en zijn elk als opeenvolgende stappen zodanig noodzakelijk, dat alleen een groep personen die, al dan niet in elkaar opvolgende lagen, die handelingen in samenspraak verricht en zo tot een complete uitvoering van de noodzakelijke handelingen komt, de bemachtiging van deze gelden kan realiseren. Daarmee is aan de hiervoor beschreven vereisten van een criminele organisatie voldaan.

Ten aanzien van de personen die bij deze organisatie betrokken zijn en hun rol in de organisatie, komt de rechtbank op grond van het dossier tot de volgende vaststelling.

Op grond van hetgeen hiervoor staat beschreven, staat naar het oordeel van de rechtbank vast dat de organisatie gebruik maakte van malware die door onbekend gebleven derden werd vervaardigd, vervolgens werd verspreid over computers van de in de tenlastelegging genoemde rekeninghouders en werd voorzien van de naam en nummer van een geldezel. Het aantal en de precieze gegevens van alle geldezels waarvan de organisatie gebruik maakte, is onbekend gebleven.

Laatstgenoemde personen werden, vaak in hun geboorteland, benaderd door een of meerdere personen, met wie afspraken werden gemaakt over het ter beschikking stellen van de gegevens en bescheiden van een op naam van die rekeninghouders te openen rekening, zoals omschreven in 4.3.6. Deze personen kunnen als ronselaars worden aangeduid. Welke personen precies als zodanig hebben gefunctioneerd, is niet volledig duidelijk geworden, maar op basis van de vele tapgesprekken, met name een aantal gesprekken die [medeverdachte 2] heeft gevoerd; zijn verklaringen en de verklaringen van [medeverdachte 4] , staat naar het oordeel van de rechtbank vast dat in ieder geval ene [medeverdachte 27] , [medeverdachte 1] en [verdachte] tot die personen behoorden.

Zo heeft [medeverdachte 27] op 9 juni 2014 contact met [medeverdachte 2] waarin hij aangeeft dat er mensen klaar staan, aan wie [medeverdachte 2] spullen af moet geven. [medeverdachte 2] krijgt instructies van [medeverdachte 27] over hoe te handelen.120 [medeverdachte 2] verklaart dat hij door [medeverdachte 27] wordt gebeld wanneer er mensen zijn aangekomen121. Gegevens met betrekking tot de rekeningen die hij met die mensen opende, gaf hij aan [medeverdachte 27] . [medeverdachte 27] vertelde wanneer er gewerkt werd, waarmee hij bedoelde dat er geld op die rekeningen werd gestort. Dat geld werd weggehaald met hulp van hackers.122 In het gesprek van 28 mei 2014 komt naar voren dat [medeverdachte 27] aan [medeverdachte 3] zegt dat de organisatie [medeverdachte 3] kan sponsoren.123

[medeverdachte 1] en [verdachte] bespreken in een gesprek op 18 september 2014, met elkaar over het openen, de inzet van [medeverdachte 4] ( [medeverdachte 4] ) en het openen van business op naam van [pseudoniem 1 verdachte] , een alias van [verdachte] .124 Uit een tapgesprek van diezelfde dag blijkt dat hij ook op de hoogte is van de datum wanneer er gestort gaat worden.125

[medeverdachte 2] verklaart ten aanzien van [medeverdachte 1] dat hij samenwerkte met [medeverdachte 27] .126

[medeverdachte 4] verklaart dat zij op verzoek van [medeverdachte 1] met mensen naar de Belastingdienst ging om sofinummers aan te vragen en naar banken om rekeningen te openen. Hij verzamelde bankpasjes, die hij bij haar thuis bewaarde.127 Zij verwijst [medeverdachte 2] naar [medeverdachte 1] op het moment dat hij wil weten hoe de zaken er voor staan.128

[verdachte] en [medeverdachte 27] bespreken met elkaar op 11 augustus 2014 dat [medeverdachte 4] naar Engeland zal vertrekken129. Op 9 oktober 2014 hebben zij overleg met elkaar over stempels die gezet moeten worden.130

Uit diverse tapgesprekken komt naar voren dat er sprake is van een hiërarchische verhouding tussen de personen betrokken bij de organisatie.

In voornoemde tapgesprekken van [medeverdachte 27] met [medeverdachte 2] en het gesprek van 3 juni 2014 geeft [medeverdachte 27] opdracht aan [medeverdachte 2] of instrueert hem om op een bepaalde wijze te handelen. [medeverdachte 1] zegt in een gesprek van 7 september 2014 met [medeverdachte 2] dat hij [medeverdachte 2] nodig heeft en bespreekt met hem wat [medeverdachte 2] moet doen131, terwijl hij in een gesprek van 11 september aan [medeverdachte 4] instructies geeft132.

Ook [verdachte] geeft instructies aan [medeverdachte 2] . Onder andere op 2 juni 2014 over het opsturen van geld133, op 20 juni over het afgeven van papieren134 en op 26 juni dat [medeverdachte 2] moet opnemen als [verdachte] belt135.

De rechtbank constateert dat er vanuit zowel [medeverdachte 27] , [medeverdachte 1] als [verdachte] opdrachten worden gegeven aan (onder andere) [medeverdachte 2] , [medeverdachte 3] en [medeverdachte 4] .

Daarbij is eveneens te zien dat [medeverdachte 4] boodschappen aanneemt en doorgeeft voor [medeverdachte 1] . [medeverdachte 2] heeft de beschikking over contacten met personen die als geldezel worden ingezet en zorgt voor aanvoer van meer geldezels.

Het aantal en de precieze gegevens van alle geldezels waarvan de organisatie gebruik maakte, is onbekend gebleven. Tot hen behoorde blijkens hetgeen de rechtbank hiervoor bewezen heeft verklaard, in ieder geval [medeverdachte 3] . Maar blijkens de bewezenverklaarde pogingen en voltooide overboeking ook een groot aantal andere personen. Wat [medeverdachte 3] betreft geldt dat hij weliswaar is vrij gesproken van de hem onder feit 1 ten laste gelegde diefstal door middel van gebruik van een valse sleutel, maar dat alleen omdat er sprake was van een poging. Zijn betrokkenheid blijkt uit het feit dat hij met regelmaat contact heeft met [medeverdachte 27] over het openen van een groene136, dat [medeverdachte 2] hem hieraan herinnerde137 en dat [medeverdachte 3] aangeeft dat hij geld nodig heeft en aan [medeverdachte 27] vraagt of de organisatie zal sponsoren138. Ook heeft hij contact met [medeverdachte 1] over het overdragen van een paspoort en bespreekt dat er met hem zal worden afgerekend.139 Met [verdachte] had hij afgesproken dat zijn adres gebruikt kon worden om post van derden op te ontvangen.140 Ook heeft hij op verzoek van [verdachte] een rekening geopend en zijn bankpas en pinpas aan hem gegeven.141

Gelet op het voorgaande acht de rechtbank dan ook wettig en overtuigend bewezen dat [verdachte] heeft deelgenomen aan gedragingen die rechtstreeks verband houden met de verwezenlijking van het oogmerk van de criminele organisatie als hierboven beschreven.