Het kan snel gaan in de loopbaan van een cybercrimineel. Het ene moment ben je in volledige anonimiteit aan het phishen en scammen, het volgende moment zit je in de handboeien en zie je dat agenten jouw devices in beslag nemen.
Het moment van de inval in de woning van een verdachte, in politiejargon ook wel de ‘klapdag’ genoemd, is het resultaat van zorgvuldig plannen door de betrokken rechercheurs. En dan nog is het spannend, want wat gaat de huiszoeking opleveren? Hoe krijgen ze het bewijsmateriaal uit de devices en zorgen ze ervoor dat de zaak uiteindelijk rond komt?
Op zoek naar aanwijzingen
Barend, hoofdinspecteur bij de politie en lid van het Team Digitale Opsporing van de politie-eenheid Amsterdam geeft een inkijkje in het vóór, tijdens én na van de ‘klapdag’. De tijdens de inval in beslag genomen devices bevatten vaak gigabytes aan bewijsmateriaal, zoals beelden, teksten en contactenlijsten. Er is gespecialiseerde tooling nodig om daar gerichter in te kunnen zoeken. Met uiteenlopende specialisten, waaronder data-analisten, voert de politie het onderzoek uit. “Dat gaat veel verder dan alleen maar grasduinen door enen en nullen”, aldus Barend. "Er komt altijd een tactische component bij kijken. We moeten bijvoorbeeld bewijzen dat iemand daadwerkelijk achter zijn computer heeft gezeten.”
Aanwijzingen die leiden naar de dader kunnen uit verschillende bronnen komen. Zo noemt Barend het Landelijk Meldpunt Internetoplichting. “Bij meer dan drie meldingen die richting een bepaalde verdachte wijzen, kan het LMIO een dossier opmaken dat naar de politie-eenheid wordt gestuurd van de regio waar de verdachte woonachtig is. In veel gevallen is het dossier kant-en-klaar en kan de verdachte worden aangehouden. Dergelijk werk lijkt eenvoudig, maar dat is schijn. Barend: “Dat criminelen vaak in teams actief zijn, maakt het werk een stuk complexer”. De politie investeert daarom ook in het voorkomen van dit soort misdrijven, door barrières op te werpen en cybercriminelen te frustreren. De politie werkt daarbij samen met diverse private partijen, zoals Marktplaats, banken en payment service providers waarmee (politie)informatie wordt gedeeld zodat zij sneller passende maatregelen kunnen nemen om verdere fraude te voorkomen.
Vacatures
Cybercrime specialist, Analist cybersecurity, Informatieanalist, Deliverymanager en Big Data specialist zijn vacatures die op dit moment open staan. Benieuwd naar deze vacatures? Bekijk ze dan hier!
De voorbereiding
Tijdens het onderzoek voorafgaand aan de klapdag staan de rechercheurs in nauw contact met de officier van justitie die de opdracht geeft. Afhankelijk van de zwaarte van de zaak weegt de politie het gewicht van de ingezette middelen. Een internettap bijvoorbeeld wordt alleen in specifieke gevallen toegepast. “Maar we kunnen ook een observatieteam inzetten, een gps-tracker of een wifi-scan. Allereerst is er een beeld van de verdachte nodig. Wanneer is hij of zij bijvoorbeeld thuis en is er sprake van één dader of van meerdere daders? En is deze persoon wel daadwerkelijk de dader? Het kan bijvoorbeeld ook gebeuren dat iemand de bezitter is van een zombie-pc die geïnfecteerd is met malware en deel uitmaakt van een botnetwerk.” Dit heeft allemaal gevolgen voor de klapdag en hoe deze georganiseerd wordt. “Als er meerdere daders zijn, willen we overal tegelijk naar binnen om zo veel mogelijk bewijs veilig stellen.”
Pas als er voldoende aanwijzingen zijn, geeft de officier van justitie toestemming voor de inval. “Voordat we naar binnen gaan, hebben we al heel veel zaken en scenario’s afgewogen. Hoe ziet het huis er van binnen uit? Welke ruimtes zijn er en waarvoor worden ze gebruikt? Wat is de omgeving? Dit laatste aspect is belangrijk omdat een verdachte er op het laatste moment voor kan kiezen om te vluchten of spullen uit het raam te gooien.” Eenmaal in het huis aangekomen en na het afvoeren van de verdachte begint het zoeken overigens ook nooit direct. Het is de taak van de rechter-commissaris, die soms al bij de inval zelf aanwezig is (“anders moeten we wachten”) om de huiszoeking te openen. Hij of zij ziet erop toe dat alles volgens de wet gebeurt, ook in het belang van de verdachte.
Verrassingen ter plaatse
Ondanks alle voorbereidingen stuiten de rechercheurs tijdens een zoeking regelmatig op verrassingen. “Soms tref je helemaal niks aan, behalve een open wifi-netwerk waarop de crimineel zijn zaken regelt. We hebben ook weleens meegemaakt dat we een utp-kabel vonden die afkomstig was van twee gebouwen verderop. Dan heb je wel het ip-adres, maar bij de naw-gegevens die daarbij horen is er niks te vinden. Dat zijn natuurlijk tegenvallers.” Het is ook weleens gebeurd dat iemand op afstand data op een mobiele telefoon wiste. “Daarvan leer je. Nu gaat mobiele apparatuur meteen in een zak van Faraday. Die maatregel houden we in stand: ook het onderzoek in het lab gebeurt in een kooi van Faraday.”
Laptops, desktops, mobiele telefoons: ze gaan linea recta naar het lab. Maar daar stopt het niet bij. “Iot-apparatuur kan ons ook veel vertellen. Bijvoorbeeld over wanneer iemand in een ruimte is geweest. Denk aan slimme koelkasten en thermostaten. De inschatting daarvan wordt al tijdens de zoeking gemaakt.” Een huiszoeking levert soms een indrukwekkende verzameling in beslag genomen apparatuur op. Barend kan zich voorstellen dat dit niet leuk is voor de verdachte. “Maar we gaan pas echt naar binnen als we een sterk vermoeden hebben. En bij geen of te weinig bewijs kan de officier van justitie bepalen dat bijvoorbeeld een laptop eerder terug moet naar de verdachte, al hebben we dat nog nooit meegemaakt. Wel gebeurde het een keer dat een afstudeerscriptie van een kind van een verdachte op een laptop stond. Die laptop bleef in het lab, maar het bestand hebben we netjes opgestuurd.”
''Dat criminelen vaak in teams actief zijn, maakt het werk een stuk complexer.''
De klok gaat lopen
Na de klapdag gaat de klok in principe lopen. “We hebben drie dagen om onderzoek te doen en aanwijzingen te vinden op basis waarvan de rechter-commissaris de hechtenis van de verdachte kan verlengen.” Barend merkt erbij op dat dit niet altijd afhangt van deze drie dagen, omdat de benodigde aanwijzingen vaak al in het vooronderzoek zijn gevonden. In beslag genomen devices worden in principe niet aangezet. “De harde schijf gaat eruit en daarvan maken we een iso. Bitje voor bitje kopiëren we het bewijsmateriaal. Dat doen we ook bij smartphones en embedded geheugenchips. Die laatste moeten we soms helemaal los solderen om de data veilig te stellen. Je komt soms nieuwe gegevens tegen op apparaten en die moet je eruit krijgen.” Specialisten geven in dit werk vaak de doorslag. “We hebben experts voor netwerkservers, dataspecialisten en deskundigen voor automotive-systemen.”
Het Eureka-moment, daar is het altijd om te doen. “Je moet zien te vinden wat je wil bewijzen. Je moet je voorstellen: wekenlang zijn we in voorbereiding en ook na de klapdag zijn we druk bezig, om alle strafbare feiten te achterhalen en te linken. Soms zijn devices nauwelijks te openen en zijn je collega’s dagenlang aan het solderen. Of proberen ze om een cryptocontainer te openen. Als dat lukt, komt er gebak langs op kantoor. Dat zijn altijd mooie momenten.” Het onderzoek is afgerond op het moment dat de politie het dossier overdraagt aan de rechter. “Meestal hoor je dan later nog eens wat de strafmaat is geweest. Zeker in wat zwaardere zaken vind ik dat wel prettig: het is mooi om een schakel te zijn in een organisatie die het verschil maakt.”
Benieuwd geworden naar werken bij de politie? Lees meer over hoe jij als IT-professional kunt bijdragen aan een veiliger Nederland op it.kombijdepolitie.nl.
Dit artikel is geen redactioneel artikel, maar een advertorial. Mocht je ideeën met ons willen delen over deze vorm van adverteren, dan horen wij dat graag. Hierover kun je met ons in gesprek via [Discussie] Reclame algemeen, daar zullen collega's aanwezig zijn om jouw vragen en/of opmerkingen te bespreken/beantwoorden.