OM eist celstraffen voor stelen van ruim 100.000 euro aan cryptovaluta

Het Nederlandse Openbaar Ministerie heeft 2,5 jaar celstraf geëist tegen drie mannen die meer dan 100.000 euro aan cryptovaluta zouden hebben gestolen. Hiervoor gebruikten ze een andere verdachte die bij een telecomprovider werkte en simswaps mogelijk zou hebben gemaakt.

Een van de verdachten verkreeg via een 'crimineel cyberforum' een gestolen database van een cryptodienstverlener, schrijft het OM, van waaruit de drie hoofdverdachten Nederlandse slachtoffers met e-mailadressen en telefoonnummers selecteerden. Vervolgens benaderden ze een 'corrupte' medewerker van een telecombedrijf. 'Samen met anderen' kreeg de groep toegang tot het systeem van die provider, zodat de verdachten gestolen nummers van de database konden omzetten naar blanco simkaarten, ofwel simswaps.

Zodra de verdachten een telefoonnummer hadden overgenomen, konden ze wachtwoorden aanpassen en zo toegang krijgen tot e-mail- en cryptoaccounts, schrijft het OM. "Het geld op de cryptoaccounts werd daarna weggesluisd naar andere wallets en kwam uiteindelijk via een omweg in het bezit van de verdachten, waarmee de diefstal voltooid was."

Het OM zegt niet hoe lang de verdachten actief waren, maar schrijft wel over een 'opvallende' periode halverwege februari 2021. De drie hoofdverdachten verbleven toen in een vakantiepark en 'hadden nachten doorgehaald' om de vermeende diefstallen te plegen. "Een van de verdachten fungeerde bijvoorbeeld als de technische man en regelde de lijst met persoonsgegevens, terwijl een ander zich bezighield met het regelen van de blanco simkaarten", schrijft het OM. De derde verdachte zou daarbij de simkaarten daadwerkelijk swappen.

In totaal werd 38 keer aangifte gedaan, waarbij 8 zaken worden meegenomen door het OM. Hierbij gaat het om personen waarbij 'daadwerkelijk schade is geleden'. Het lijkt er dus op dat er bij die andere dertig niets is gestolen, maar dat er bijvoorbeeld alleen is ingebroken in accounts. Het OM zegt dat de acties de verdachten 112.000 euro opleverden.

Naast de financiële schade wijst de officier van justitie ook op andere gevolgen voor slachtoffers. Zo raakten ze toegang kwijt tot hun telefoonnummer en konden ze niet meer internetten, bellen of sms'en met hun simkaarten, 'met alle risico's van dien'. De verdachten zouden ook toegang hebben gehad tot de e-mailadressen van de slachtoffers, wat volgens de officier van justitie 'bij uitstek een enorme inbreuk op de privacy is'.

Het cybercrimeteam van de Limburgse politie kwam achter de zaak toen er in februari 2021 een melding binnenkwam dat er op systemen van een telecombedrijf software was geïnstalleerd om de computers op afstand te kunnen bedienen. Het OM noemt dit bedrijf niet. De officier van justitie eist 2,5 jaar celstraf tegen de drie vermeende uitvoerders van de diefstal. Tegen de twee andere verdachten werd respectievelijk een werkstraf van 180 uur en een gevangenisstraf van 3 maanden geëist. Het OM meldt niet hoe oud de verdachten zijn of waar ze vandaan komen. De rechtbank doet op 16 april uitspraak.

Reacties (32)

[jlap]

Ik lees hier niets over financiële boetes, het klinkt nu net alsof ze na hun straffen gewoon nog gebruik kunnen maken van dat bemachtigde geld.

Weet iemand hoe dat werkt of hoe dat er in de praktijk aan toe gaat?

Dank alvast voor de toelichting!

[About2Break]

in de praktijk heb je vaak een strafproces en wordt er na een veroordeling een ontnemingsprocedure opgestart waarmee het wederrechtelijk verkregen voordeel kan worden ontnomen. De reactie die spreekt over een kale kip en een schadevergoeding klopt niet. De ontneming is een maatregel en houdt geen rekening met het feit dat het geld mogelijk al is uitgegeven. Het CJIB kan tot in lengte der dagen blijven incasseren en beslag leggen. Bij absolute weigering kan het dwangmiddel gijzeling worden ingezet.

[Chromoris]

Gedeeltelijk correct.
Boetes zijn vanuit het strafproces en komen ten goede voor de staat.
Ontneming is een procedure die wordt opgestart nadat de verdachten zijn veroordeeld. Hierin ontneemt de staat dan de criminele winst die gemaakt is. En dit komt ook ten goede van de staat.
Daarnaast (wat waarschijnlijker is) kan er door de rechter een schadevergoedingsmaatregel worden opgelegd. Dat gebeurd wanneer slachtoffers zich voegen bij de strafzaak als benadeelde partij. De rechter kan dan bepalen dat de schade door de verdachte vergoed moet worden.
Ten slotte kan een slachtoffer ook nog achteraf via een civiele procedure de schade (het geld) terugvorderen.

Bij ontneming en een schadevergoedingsmaatregel worden de dingen over het algemeen door de staat afgehandeld. Als slachtoffers het geld na een bepaalde tijd niet hebben, dan wordt dat door het CJIB voorgeschoten. Daarna gaan die het op de verdachte verhalen (samen met het geld van de ontneming). En inderdaad, de vorderingen van het CJIB verlopen niet, je komt er niet vanaf door schuldsanering, etc. Je komt dus dat geld terug aan het betalen. Het CJIB is over het algemeen heel goed in geld verkrijgen, ook van een kale kip. Dat is over het algemeen geen leuk traject voor veroordeelden.

Als een slachtoffer het via een civiele procedure een rechtelijke uitspraak krijgt, dan kan hij dat geld ook gaan verhalen. Dat gaat wat minder makkelijk dan het CJIB, maar over het algemeen vergaat die vordering niet totdat hij is afgelost (zelfs met schuldsanering kom je niet af van zo'n vordering). Of dat de moeite aan het eind waard is, is maar net de vraag.

Gezien het hacken via een telefoonprovider verliep vraag ik me af of de schade niet op die telefoonprovider verhaald kan/is geworden (iets met zorgplicht vanuit de provider). Kans dat de telefoonprovider de schade vergoed heeft (ook om zo uit het nieuws te blijven wat zo te lezen gelukt is). Kan die dan later wel/niet de schade op de daders gaan verhalen.

[Die_ene_gast]

Als je ziet hoe makkelijk het is in dit land mensen op te lichten zonder problemen (kijk maar eens naar radar / kassa) en als je verhalen hoort van mensen die bestolen zijn, lijkt dat je hier spreekt van een theoretische oplossing die in de praktijk toch minder makkelijk gaat dan gedacht.

[d3burt]

Het probleem met oplichting is dat het slachtoffer zelf de betaling doet. Dat maakt dat het veel moeilijker is om een rechtzaak rond te krijgen.

[The Zep Man]

Ik lees hier niets over financiële boetes, het klinkt nu net alsof ze na hun straffen gewoon nog gebruik kunnen maken van dat bemachtigde geld.

Een boete is richting de overheid d.m.v. het strafrecht. Je zou eerder spreken over een schadevergoeding, waarbij een belangrijk aspect is dat je een kale kip niet kan plukken. De verdachten zijn kale kippen als niet aantoonbaar is dat ze (nog) daadwerkelijk dat geld bezitten en ze verder geen andere significante bezittingen hebben.

[Reactie gewijzigd door The Zep Man op 19 maart 2025 15:13]

[LOTG]

Normaal word er beslag gelegd op gestolen goederen of geld uit crimenele activiteiten.

[Jona2511]

De vraag is (ik heb er geen verstand van) raken de verdachten die wallets, of de inhoud, kwijt?

[separhim]

Op basis van wat ik lees lijkt het mij dat de verdachten de wachtwoorden van accounts van een crypto exchange veranderen met behulp van een medewerker van een telecom bedrijf. Dus de slachtoffers hadden geen eigen wallets maar accounts bij een exchange hadden en dat ze deze accounts, met bijbehorende cryptomunten, (tijdelijk) zijn kwijt geraakt, en dat dan het de munten zijn weggesluisd naar andere wallets.

[mphilipp]

Is het niet zo dat ze, doordat ze het telefoonnummer van het slachtoffer over hadden genomen, zelf gewoon het wachtwoord konden aanpassen met de app van de cryptobank? Ik kan mij voorstellen dat hun systeem denkt dat jij het zelf bent als je reageert op 2FA verzoeken vanaf 'je eigen' telefoon...

Vraag is of de echte eigenaar van het account geen mail/sms/2FA verzoeken kreeg op zijn telefoon op het moment dat die lui met zijn rekening bezig waren.

[separhim]

Ik had het wat onduidelijk verwoord, maar doordat ze nummer gingen simswappen konden ze de wachtwoorden van de accounts bij de exchange aanpassen ja. Het lijkt me dat het alleen werkte als je sms 2FA had, en er staat ook in het rapport van het OM dat "hebben nachten doorgehaald om te simswappen en de diefstallen te plegen" dus het lijkt me dat ze dit proberen te doen op momenten dat de meeste mensen slapen.

[NicoHF]

Daarom als het kan ook nooit je telefoonnummer of Email als 2FA instellen, bij geen een dienst.
Gebruik een alternatief zoals bv, een Authenticator app, FIDO2 een Yubikey.

[The Zep Man]

Waarom zou ik niet mijn selfhosted e-mail instellen als (backup) factor?

[Reactie gewijzigd door The Zep Man op 19 maart 2025 15:11]

[NicoHF]

Zelf zit ik niet heel erg in de techniek.
Maar van wat ik begrepen had is het veiliger om een offline 2FA te hebben.
Een Email zou bv onderschept kunnen worden of ze kunnen toegang verschaffen tot je emailaccount middels een hack.

Daarbij moet een 2FA ook echt een tweede identificatie zijn.
Als je hetzelfde emailadres insteld aan een account met een wachtwoord en daar de 2FA ook op instelt, staat alles gekoppeld aan dat email account.

[The Zep Man]

Maar van wat ik begrepen had is het veiliger om een offline 2FA te hebben.

Wat is het traject wanneer die "offline 2FA" factor verloren raakt?

Een Email zou bv onderschept kunnen worden of ze kunnen toegang verschaffen tot je emailaccount middels een hack.

Zo werkt e-mail tussen moderne servers niet. Noemenswaardige diensten gebruiken moderne mail bij één van de grote partijen.

[Reactie gewijzigd door The Zep Man op 19 maart 2025 18:33]

[Standeman]

Bij Tweakers krijg je een aantal recovery codes om een nieuwe offline 2fa in te stellen kan je die gebruiken. Ik heb die dus ook opgeslagen in mijn password manager waar ook mijn ww staat.

Bij T-Mobile moest ik langs de winkel om 2FA er af te halen. Dat vond ik wel fraude gevoelig omdat dit werd gedaan door een medewerker die bij mijn ID controleerde.

[Reactie gewijzigd door Standeman op 19 maart 2025 16:38]

[NicoHF]

Tot nu toe heb ik bij alle 2FA instellingen backup codes of een wachtwoord zin gekregen als extra backup.
Deze moet je goed bewaren op een plek waar je ten alle tijden bij kan, zodat je niet buitengesloten kan raken.

[The Zep Man]

En wanneer dat wegvalt? Bijvoorbeeld omdat een argeloze gebruiker hetzelfde verloren token gebruikt om zich toegang te verkrijgen tot een dienst en om toegang te krijgen tot diens wachtwoordbeheerder? Of omdat die überhaupt nooit die backup codes of wachtwoordzin had bewaard?

"Dan heb je geen toegang meer" -> klant gaat naar de concurrent die dit nooit zal zeggen, dus bedrijven zijn niet happig om dergelijk beleid te voeren.

[Reactie gewijzigd door The Zep Man op 19 maart 2025 18:32]

[iRobbery]

email kan moeilijk onderschept worden, smtp is veelal versleuteld onderweg. Maar je ubikey kan je afstaan (kwijtraken) na een klap in je nek?

[The Zep Man]

Vervolgens benaderden ze een 'corrupte' medewerker van een telecombedrijf.

Waarom kan via een enkele medewerker bij een telecombedrijf zoveel schade worden veroorzaakt? Dat lijkt mij een fraudegevoelige functie.

[NicoHF]

Ik vind het ook vreemd.
Vaak moet je eerst nog verifiëren dat je het echt bent middels diverse codes voordat je bv je Esim van de ene naar de andere telefoon kan laten overzetten of als je iets wilt veranderen aan je abonnement of contact opneemt enz enz.
Maar een telefoonnummer overzetten kan zonder enige verificatie??

[hawke84]

38 aangiften, 8 doorgegaan. 2.5 jaar geeist voor het breken van de wet met crypto-oplichting en ik lees niks over terugbetalingen (dat geld is ergens).

Voelt niet echt als gerechtigheid.

[Groningerkoek]

De gedupeerden kunnen met deze uitspraak nu een procedure starten voor schadevergoeding.

[MSalters]

Het is gangbaar dat de slachtoffers een schadevergoeding hebben ingediend in de strafzaak. Uit efficiency overwegingen kan een strafrechter dat meenemen, om een extra civiel proces te besparen.

[Groningerkoek]

Dat klopt, maar aangezien dat hier niet wordt benoemd blijven andere opties open. Misschien is het geld er niet meer en besluiten de slachtoffers de schade te verhalen op de provider (wat mij hier vrij kansrijk lijkt)

[Timmy52]

Dit lijkt mij een redelijke strafeis gezien de omvang van het gestolen geld. In het ergste geval hebben ze dan met drie personen 112.000 euro "verdiend" met 2,5 jaar in de cel zitten (als het OM geen toegang heeft weten te kregen tot hun wallet). Dat is gelukkig geen lonende criminaliteit Zijn de slachtoffers jammer genoeg nog niet mee geholpen natuurlijk.

[JJ Le Funk]

quote: "Het cybercrimeteam van de Limburgse politie [...]"

De case begon met een hack bij een telecom provider. En die case is toegewezen aan de Politie Limburg, dan vermoed ik de klantenservice Vodafone Maastricht. [/speculatie]

[amsterdamned]

Waarom is het mogelijk om het wachtwoord aan te passen van een crypto account als je beschikking hebt over het telefoonnummer? Dat lijkt mij een enorm beveiligingsrisico en ik zou dan ook iedereen afraden daar je crypto te plaatsen.

Een wachtwoord met 2fa vele malen veiliger. Heb je geen backup van 2fa gemaakt en raak je je telefoon kwijt? Jammer dan, niemand die er mee bij kan! Dat moet dan uiteraard wel goed gecommuniceerd worden bij het aanzetten van 2fa.

[CivLord]

Een corrupte medewerker van een telecombedrijf werkt hier aan mee en is bereid hiermee zijn baan en strafvervolging te riskeren. Wat kan hem over de streep gehaald hebben wanneer de totale buit van de drie hoofdverdachten 'slechts' € 112.000 was? Hij heeft zeker geen goede risico-afweging gemaakt.