2 De tenlastelegging
De verdenking komt er, kort en zakelijk weergegeven, op neer dat verdachte:
feit 1: opzettelijk en wederrechtelijk is binnengedrongen in het EVI systeem, draaiende op een server van [bedrijf 1] , waarbij hij zich de toegang heeft verworven door het doorbreken van een beveiliging dan wel door een technische ingreep dan wel met behulp van valse signalen of een valse sleutel dan wel door het aannemen van een valse hoedanigheid.
feit 2: voor zichzelf gegevens die zijn opgeslagen, verwerkt of overgedragen door de server van [bedrijf 1] , door middel van een door verdachte zelf geïnstalleerde Adminer tool, heeft overgenomen, afgetapt of opgenomen.
Voluit luidt de tenlastelegging aan verdachte, dat:
1
hij op een of meer tijdstippen in of omstreeks de periode van 26 juli 2022 tot en met
29 juli 2022 te Enschede en/of Amsterdam, althans in Nederland, (meermalen)
opzettelijk en wederrechtelijk (telkens) in (een gedeelte van) een geautomatiseerd werk, te weten één of meer servers dan wel inrichting(en) die bestemd zijn om langs elektronische weg gegevens op te slaan, te verwerken en/of over te dragen,
toebehorend aan een ander of anderen dan verdachte, is binnengedrongen, waarbij hij zich de toegang tot dat/die geautomatiseerd(e) werk(en) heeft verworven
- door het doorbreken van een beveiliging, en/of
- door een technische ingreep, en/of
- met behulp van valse signalen of een valse sleutel, en/of
- door het aannemen van een valse hoedanigheid;
en/of vervolgens gegevens die waren opgeslagen, worden verwerkt of overdragen door dat/die geautomatiseerde werk(en) waarin hij zich wederrechtelijk bevond, voor zichzelf of een ander heeft overgenomen,
immers heeft hij, verdachte
op of rond 26 juli 2022 te Enschede en/of Amsterdam, althans in Nederland
door het doorbreken van een beveiliging en/of
door het aannemen van een valse hoedanigheid en/of
met behulp van valse signalen of een valse sleutel
wederrechtelijk binnengedrongen in het EVI systeem, draaiende op een server van [bedrijf 1] via het account van [naam 1] voorzien van [gebruikersnaam] , zijnde een gebruiker van het EVI systeem met de meeste (admin)rechten, met geraden/gegokte/ berekende inloggegevens, en/of
op of rond 28 en/of 29 juli 2022 te Enschede en/of Amsterdam, althans in
Nederland
door het doorbreken van een beveiliging en/of
door het aannemen van een valse hoedanigheid,
wederrechtelijk binnendrongen in het EVI systeem, draaiende op een server van
[bedrijf 1] met de inloggegevens van [naam 1] en/of
aan het EVI systeem kwaadaardige/malafide software, zijnde een webshell
(genaamd [bestandsnaam 2] ) toegevoegd/geüpload
waardoor verdachte commando’s/ opdrachten kon (laten) uitvoeren, waaronder
het uploaden/toevoegen van extra bestanden, het aanpassen van bestanden en/of
het verplaatsen van bestanden en/of
verdachte de broncode van het EVI systeem, bestaande uit een of meer
(archief)bestanden, althans één of meer bestanden naar zijn, verdachtes, eigen
geautomatiseerde werk heeft gekopieerd/ verzonden middels een ZIP bestand en/of
aldus deze gegevens die waren opgeslagen op de server van [bedrijf 1] voor zichzelf
of een ander heeft overgenomen, en/of
aan het EVI systeem het programma Adminer (genaamd [bestandsnaam 1] ) toegevoegd/
geïnstalleerd/ geüpload, waarmee de inhoud van de databases kan worden
geraadpleegd/gewijzigd;
2
hij op een of meer tijdstippen in of omstreeks de periode van 28 juli 2022 tot en met
8 augustus 2022 te Enschede en/of Amsterdam, althans in Nederland, (meermalen)
opzettelijk en wederrechtelijk (telkens) in (een gedeelte van) een geautomatiseerd werk, te weten één of meer servers dan wel inrichting(en) die bestemd zijn om langs elektronische weg gegevens op te slaan, te verwerken en/of over te dragen, toebehorend aan een ander of anderen dan verdachte, is binnengedrongen, waarbij hij zich de toegang tot dat/die geautomatiseerd(e) werk(en) heeft verworven
- door het doorbreken van een beveiliging, en/of
- door een technische ingreep, en/of
- met behulp van valse signalen of een valse sleutel, en/of
- door het aannemen van een valse hoedanigheid;
en/of vervolgens gegevens die waren opgeslagen, worden verwerkt of overdragen door dat/die geautomatiseerde werk(en) waarin hij zich wederrechtelijk bevond, voor zichzelf of een ander heeft overgenomen, immers heeft hij, verdachte
wederrechtelijk binnengedrongen in het EVI systeem, draaiende op een server van [bedrijf 1] door gebruik te maken van het door hem wederrechtelijk verkregen qibis-account (welke door verdachte in het EVI systeem werd aangetroffen, na zich wederrechtelijk toegang te hebben verschaft), waarna verdachte middels het door verdachte zelf geïnstalleerde Adminer tool, zich toegang verschafte tot de database van [bedrijf 1] in het EVI systeem, en/of gegevens zijnde crowdregistratiegegevens voor backstage toegang en/of parkeerkaartinformatie uit de database van het EVI systeem van [bedrijf 1] voor zichzelf of een ander heeft overgenomen.
3 De bewijsmotivering
3.2
Het standpunt van de officier van justitie
De officier van justitie heeft gerekwireerd tot bewezenverklaring van beide ten laste gelegde feiten.
3.3
Het standpunt van de verdediging
Ten aanzien van feit 1 is geen verweer gevoerd. Verdachte bekent dit feit te hebben gepleegd.
Ten aanzien van feit 2 is aangevoerd dat dit als een afzonderlijk feit is ten laste gelegd, terwijl het een voortzetting is van feit 1 en daarmee onlosmakelijk is verbonden. De raadsman heeft zich verder op het standpunt gesteld dat kan worden bewezen dat verdachte crowdregistratiegegevens en parkeerkaartinformatie heeft opgevraagd en ingezien op de server, maar dat uit het dossier niet blijkt dat verdachte deze gegevens ook heeft overgenomen. Verdachte moet dus van die strafverzwarende omstandigheid worden vrijgesproken.
3.4
Het oordeel van de rechtbank
De rechtbank is van oordeel dat wettig en overtuigend bewezen is dat verdachte het onder 1 tenlastegelegde feit heeft begaan.
De rechtbank komt tot een bewezenverklaring van het onder 1 ten laste gelegde feit op grond van de volgende bewijsmiddelen, waarbij de rechtbank - nu verdachte dit feit heeft bekend en nadien door of namens hem geen vrijspraak is bepleit - conform artikel 359, derde lid, laatste volzin van het Wetboek van Strafvordering (Sv), zal volstaan met een opgave
van de bewijsmiddelen.1
1. het proces-verbaal van de terechtzitting van 23 april 2024, voor zover inhoudende de bekennende verklaring van de verdachte als bedoeld in art. 359, derde lid, laatste volzin, Sv;
2. het proces-verbaal van aangifte van [aangever] , pagina’s 10 tot en met 23;
3. het proces-verbaal van verhoor aangever [aangever] , pagina’s 24 tot en met 35;
4. het proces-verbaal van bevindingen, pagina 55 en 58.
Verdachte heeft bekend dat hij zich schuldig heeft gemaakt aan computervredebreuk en aan het overnemen van gegevens. Daarover bestaat geen discussie. Voor zover wordt betwist dat verdachte crowdregistratiegegevens en/of parkeerkaartinformatie zou hebben overgenomen staat dit haaks op zijn bekennende verklaring en op de inhoud van het dossier.
Nadat verdachte de Adminer tool had geüpload op de server van [bedrijf 1] , kreeg hij toegang tot de database van het EVI systeem. Op meerdere tijdstippen in de periode van 31 juli 2022 tot en met 8 augustus 2022 zijn er vanaf het IP-adres van verdachte database-bevragingen gedaan. Er werd vanaf het IP-adres van verdachte onder meer gezocht op parkeerkaartinformatie van de crowdregistratie van verdachte en van de crowdregistratie van [naam 2] . Verdachte heeft een kopie gemaakt van de gehele database en deze database, waarvan de crowdregistratiegegevens en parkeerkaartinformatie deel uitmaakten, gedownload naar zijn computer.2
De rechtbank is van oordeel dat feit 2 geen voorgezette handeling is van feit 1. Hoewel de twee feiten nauw met elkaar verbonden zijn, ligt aan elk van beide feiten een apart wilsbesluit ten grondslag.
3.5
De bewezenverklaring
De rechtbank acht op grond van de opgegeven bewijsmiddelen waarin zijn vervat de redengevende feiten en omstandigheden waarop de bewezenverklaring steunt wettig en overtuigend bewezen dat verdachte de ten laste gelegde feiten heeft begaan, met dien verstande dat:
1
hij op een of meer tijdstippen in of omstreeks de periode van 26 juli 2022 tot en met
29 juli 2022 te Enschede en/of Amsterdam, althans in Nederland, (meermalen)
opzettelijk en wederrechtelijk (telkens) in (een gedeelte van) een geautomatiseerd werk, te weten eenéén of meer servers dan wel inrichting(en) die bestemd zijn is om langs elektronische weg gegevens op te slaan, te verwerken en/of over te dragen,
toebehorend aan een ander of anderen dan verdachte, is binnengedrongen, waarbij hij zich de toegang tot dat/die geautomatiseerd(e) werk(en) heeft verworven
- door het doorbreken van een beveiliging, en/of
- door een technische ingreep, en/of
- met behulp van valse signalen of een valse sleutel, en/of
- door het aannemen van een valse hoedanigheid;
en/of vervolgens gegevens die waren opgeslagen, worden verwerkt of overdragen door dat/die geautomatiseerde werk(en) waarin hij zich wederrechtelijk bevond, voor zichzelf of een ander heeft overgenomen,
immers heeft hij, verdachte
op of rond 26 juli 2022 te Enschede en/of Amsterdam, althans in Nederland
door het doorbreken van een beveiliging en/of
door het aannemen van een valse hoedanigheid en/of
met behulp van valse signalen of een valse sleutel
wederrechtelijk binnengedrongen in het EVI systeem, draaiende op een server van [bedrijf 1] via het account van [naam 1] voorzien van [gebruikersnaam] , zijnde een gebruiker van het EVI systeem met de meeste (admin)rechten, met geraden/gegokte/ berekende inloggegevens, en/of
op of rond 28 en/of 29 juli 2022 te Enschede en/of Amsterdam, althans in
Nederland
door het doorbreken van een beveiliging en/of
door het aannemen van een valse hoedanigheid,
wederrechtelijk binnendrongen in het EVI systeem, draaiende op een server van
[bedrijf 1] met de inloggegevens van [naam 1] en/of
aan het EVI systeem kwaadaardige/malafide software, zijnde een webshell
(genaamd [bestandsnaam 2] ) toegevoegd/geüpload
waardoor verdachte commando’s/ opdrachten kon (laten) uitvoeren, waaronder
het uploaden/toevoegen van extra bestanden, het aanpassen van bestanden en/of
het verplaatsen van bestanden en/of
verdachte de broncode van het EVI systeem, bestaande uit een of meer
(archief)bestanden, althans één of meer bestanden naar zijn, verdachtes, eigen
geautomatiseerde werk heeft gekopieerd/ verzonden middels een ZIP bestand en/of
aldus deze gegevens die waren opgeslagen op de server van [bedrijf 1] voor zichzelf
of een ander heeft overgenomen, en/of
aan het EVI systeem het programma Adminer (genaamd [bestandsnaam 1] ) toegevoegd/
geïnstalleerd/ geüpload, waarmee de inhoud van de databases kan worden
geraadpleegd/gewijzigd;
2
hij op een of meer tijdstippen in of omstreeks de periode van 28 juli 2022 tot en met
8 augustus 2022 te Enschede en/of Amsterdam, althans in Nederland, (meermalen)
opzettelijk en wederrechtelijk (telkens) in (een gedeelte van) een geautomatiseerd werk, te weten eenéén of meer servers dan wel inrichting(en) die bestemd zijn is om langs elektronische weg gegevens op te slaan, te verwerken en/of over te dragen, toebehorend aan een ander of anderen dan verdachte, is binnengedrongen, waarbij hij zich de toegang tot dat/die geautomatiseerd(e) werk(en) heeft verworven
- door het doorbreken van een beveiliging, en/of
- door een technische ingreep, en/of
- met behulp van valse signalen of een valse sleutel, en/of
- door het aannemen van een valse hoedanigheid;
en/of vervolgens gegevens die waren opgeslagen, worden verwerkt of overdragen door dat/die geautomatiseerde werk(en) waarin hij zich wederrechtelijk bevond, voor zichzelf of een ander heeft overgenomen, immers heeft hij, verdachte
wederrechtelijk binnengedrongen in het EVI systeem, draaiende op een server van [bedrijf 1] door gebruik te maken van het door hem wederrechtelijk verkregen qibis-account (welke door verdachte in het EVI systeem werd aangetroffen, na zich wederrechtelijk toegang te hebben verschaft),
waarna verdachte middels de door verdachte zelf geïnstalleerde Adminer tool, zich toegang verschafte tot de database van [bedrijf 1] in het EVI systeem, en/of
gegevens zijnde crowdregistratiegegevens voor backstage toegang en/of
parkeerkaartinformatie uit de database van het EVI systeem van [bedrijf 1] voor zichzelf of een ander heeft overgenomen.
De rechtbank acht niet bewezen wat aan verdachte meer of anders is ten laste gelegd, zodat zij hem daarvan zal vrijspreken.
De in de tenlastelegging voorkomende taal- en/of schrijffouten zijn verbeterd in de bewezenverklaring. De verdachte is daardoor niet geschaad in de verdediging.
9 De beslissing
- verklaart bewezen dat verdachte het onder 1 en 2 ten laste gelegde heeft begaan, zoals hierboven omschreven;
- verklaart niet bewezen wat aan verdachte meer of anders is ten laste gelegd en spreekt hem daarvan vrij;
- verklaart het bewezen verklaarde strafbaar;
- verklaart dat het bewezen verklaarde de volgende strafbare feiten oplevert:
feit 1, het misdrijf: computervredebreuk, meermalen gepleegd;
feit 2, het misdrijf: computervredebreuk, terwijl hij gegevens die zijn opgeslagen, worden verwerkt of overgedragen door middel van het geautomatiseerd werk waarin hij zich wederrechtelijk bevindt, voor zichzelf overneemt;
- verklaart verdachte strafbaar voor het bewezen verklaarde;
- veroordeelt verdachte tot een gevangenisstraf voor de duur van 12 (twaalf) maanden;
- bepaalt dat deze gevangenisstraf in zijn geheel niet ten uitvoer zal worden gelegd, tenzij de rechter later anders mocht gelasten. De rechter kan de tenuitvoerlegging gelasten indien de verdachte voor het einde van de proeftijd van 3 (drie) jaren de navolgende algemene voorwaarde niet is nagekomen:
- stelt als algemene voorwaarde dat de verdachte zich voor het einde van de proeftijd niet schuldig maakt aan een strafbaar feit;
- veroordeelt de verdachte tot een taakstraf, bestaande uit het verrichten van onbetaalde arbeid voor de duur van 240 (tweehonderdveertig) uren;
- beveelt, voor het geval dat de verdachte de taakstraf niet naar behoren verricht, dat vervangende hechtenis zal worden toegepast voor de duur van 120 (honderdtwintig) dagen;
- beveelt dat de tijd die de verdachte vóór de tenuitvoerlegging van deze uitspraak in verzekering heeft doorgebracht, bij de uitvoering van de taakstraf in mindering wordt gebracht, waarbij als maatstaf geldt dat voor de eerste zestig dagen doorgebracht in verzekering of voorlopige hechtenis, twee uren en voor de resterende dagen één uur per dag aftrek plaatsvindt;
- bepaalt dat de benadeelde partij [bedrijf 2] (feit 1 en feit 2) in het geheel niet-ontvankelijk is in de vordering, en dat de benadeelde partij de vordering slechts bij de burgerlijke rechter kan aanbrengen;
- bepaalt dat de benadeelde partij en de verdachte ieder de eigen kosten dragen;
schadevergoeding
- wijst de vordering van de benadeelde partij [bedrijf 1] (feit 1 en feit 2) toe tot een bedrag van € 37.297,00 (bestaande uit materiële schade);
- veroordeelt de verdachte tot betaling aan de benadeelde partij [bedrijf 1] (feit 1 en feit 2) van een bedrag van € 37.297,00 (te vermeerderen met de wettelijke rente vanaf 26 juli 2022);
- veroordeelt de verdachte daarnaast in de kosten van het geding door de benadeelde partij gemaakt, tot op heden begroot op nihil, alsook in de kosten van betekening van dit vonnis, de in verband met de tenuitvoerlegging van dit vonnis nog te maken kosten en de kosten vallende op de invordering;
- legt de maatregel op dat de verdachte verplicht is ter zake van het bewezen verklaarde feit tot betaling aan de Staat der Nederlanden van een bedrag van € 37.297,00, (zegge: zevenendertigduizend tweehonderdzevenennegentig euro), te vermeerderen met de wettelijke rente vanaf 26 juli 2022 ten behoeve van de benadeelde [bedrijf 1] , en bepaalt, voor het geval volledig verhaal van het verschuldigde bedrag niet mogelijk blijkt, dat gijzeling voor de duur van 221 dagen kan worden toegepast. Tenuitvoerlegging van de gijzeling laat de betalingsverplichting onverlet;
- bepaalt dat als de verdachte heeft voldaan aan zijn verplichting tot betaling aan de Staat der Nederlanden van bedoeld bedrag daarmee de verplichting van de verdachte om aan de benadeelde partij het bedrag te betalen, komt te vervallen, en andersom, als de verdachte aan de benadeelde partij het verschuldigde bedrag heeft betaald, dat daarmee de verplichting tot betaling aan de Staat der Nederlanden van dat bedrag komt te vervallen;
- bepaalt dat de benadeelde partij [bedrijf 1] , voor het meer of anders gevorderde niet-ontvankelijk is in de vordering, en dat de benadeelde partij de vordering voor dat deel slechts bij de burgerlijke rechter kan aanbrengen;
de in beslag genomen voorwerpen
- verklaart onttrokken aan het verkeer de in beslag genomen voorwerpen, te weten:
- iPhone;
- Apple MacBook.
Dit vonnis is gewezen door mr. B.T.C. Jordaans, voorzitter, mr. L.J.C. Hangx en
mr. N.P. Heisterkamp, rechters, in tegenwoordigheid van S. Wongsokerto, griffier, en is in het openbaar uitgesproken op 7 mei 2024.