De misdaadcijfers rond traditionele criminaliteit dalen, maar het aantal gevallen van cybercrime en digitale misdrijfvarianten neemt toe. De politie wil niet langer dweilen met de kraan open en bedenkt in samenwerking met publieke en private partners interventies om het plegen van cybercriminaliteit moeilijker te maken. Een voorbeeld van deze interventies is het project No More Leaks, waarmee de politie de vlucht naar voren neemt. Door deze publiek-private samenwerking moet de schade als gevolg van misbruik van gelekte of gehackte inloggegevens worden beperkt.
Als een consument inlogt bij zijn favoriete webwinkel kan het gebeuren dat er een pop-up verschijnt. Niet met de laatste aanbieding, maar met een verzoek om het wachtwoord te wijzigen omdat de inloggegevens voorkomen in een gestolen of gehackte database. De kans is groot dat deze actie van de webwinkel voortkomt uit het werk van No More Leaks. Dit project van de politie is sinds afgelopen zomer actief en bewijst nu al z’n waarde.
Laura Pavias is juridisch adviseur digitale opsporing en lid van de landelijke juridische vakgroep digitale opsporing. Ze is betrokken bij de juridische inrichting van het project. Frederiek Burlage is accountmanager Publiek Private Samenwerking bij het Cybercrimeteam in Amsterdam en richt zich op de samenwerking met marktpartijen in No More Leaks. Wat behelst het project precies? Laura: “Met No More Leaks wil de politie misbruik van gestolen en uitgelekte inloggegevens tegengaan, door deze
inloggegevens ‘gehasht’ te verstrekken aan partijen met veel online accounthouders. Met hashen wordt bedoeld dat data met behulp van een wiskundige berekening wordt ‘versleuteld’. Deelnemende partijen kunnen de lijst met hashes van de politie gebruiken als extra beveiligingsmaatregel in hun inlogproces. Als een hash overeenkomt met inloggegevens, krijgt de betreffende klant vanuit het bedrijf het verzoek zijn of haar wachtwoord te wijzigen, om zo mogelijke schade te voorkomen en het account weer veilig te maken.”
Misdaad wordt steeds digitaler
Criminaliteit digitaliseert. Het aantal gevallen van traditionele criminaliteit daalt, terwijl er steeds meer online misdrijven worden gepleegd. Cybercrime is echt iets anders dan gedigitaliseerde criminaliteit, benadrukt Laura. “Bij cybercrime moet je denken aan hacken, ddos-aanvallen en ransomware. Dat is
allemaal zeer IT-gericht. Gedigitaliseerde criminaliteit is traditioneel, maar werkt via het internet. Het gaat daarbij om de ouderwetse babbeltruc die verschuift naar vriend-in-nood-mailtjes of helpdeskfraude. Het zijn allemaal manieren om geld af te troggelen.”
Jongeren zijn de afgelopen jaren steeds vaker bij cybercrime betrokken. Vorig jaar was bij 47 procent van de gevallen iemand van 21 jaar of jonger betrokken, waar dat in 2018 nog bij 33 procent van de cybercrime-zaken het geval was. Dat blijkt uit cijfers van het Openbaar Ministerie. “Vroeger ging het om kauwgomballen jatten in de winkel, nu proberen kwaadwillenden bijvoorbeeld om accounts te misbruiken om gratis films te kunnen kijken. De misdaad verschuift en wij moeten daarin mee veranderen.”
:strip_exif()/i/2005519940.jpeg?f=imagenormal)
Criminelen werken dus steeds vaker online om misdrijven te plegen. Frederiek: “Online bedrijven met veel accounthouders - bijvoorbeeld webshops, internetproviders en online deelplatforms - ervaren veel last van misbruik van gelekte inloggegevens en de daaruit volgende vormen van criminaliteit. In opsporingsonderzoeken komen dergelijke lijsten met gestolen of uitgelekte inloggegevens naar voren, bijvoorbeeld op computers van verdachten van cybercrime. We halen ze ook van het internet. Op het darkweb vindt een bloeiende handel in dergelijke bestanden plaats, maar lijsten kunnen ook gewoon open en bloot op het web staan.”
Gericht op preventie en verstoring
513 miljoen. Dat is het duizelingwekkende getal dat het aantal gelekte inloggegevens in de database weergeeft. Hoe is het project ontstaan? Frederiek: “Het cybercrimeteam van de politie kwam talloze gestolen en gehackte lijsten tegen en stelde zich de volgende vragen: wat kunnen we hiertegen doen en op welke manier kunnen we de burger beschermen en bedrijven weerbaarder maken? ”De politie was ook al in gesprek met webshops die heel veel last hebben van credential stuffing en account takeovers. Daarbij gebruikt een cybercrimineel een set inloggegevens en probeert die geautomatiseerd uit bij een webwinkel, om zo toegang te krijgen tot zoveel mogelijk verschillende accounts. Als hiermee raak wordt geschoten, kan hij of zij producten en diensten bestellen op andermans naam.” Credential stuffing werkt heel effectief omdat bijna twee derde van de internetgebruikers wachtwoorden hergebruikt. “Webshops doen niet iedere keer aangifte, dat is te omslachtig voor ze. Met dit project hebben we vanuit de politie een antwoord op deze vorm van cybercrime, gericht op preventie en de verstoring van het werk van criminelen.”
Het idee voor No More Leaks ontstond al in juni 2020. Laura: “Het duurde lang voordat de juridische kant was geregeld. We moesten alles toetsen aan de Wet politiegegevens (Wpg) en de Algemene Verordening Gegevensbescherming (AVG). Het gaat om heel veel data en de politie was niet gewend om data te delen. Van oudsher richt de politie zich alleen op het binnenhalen van informatie, en nu is er een proactieve rol voor de politie die we juridisch moesten onderbouwen. Het convenant daarvoor is afgelopen juni getekend.”
Er moest veel onderzoek worden gedaan naar de wet- en regelgeving op het gebied van het verwerken van persoonsgegevens. Gebruikersnamen en wachtwoorden zijn immers makkelijk te herleiden tot een persoon, en een overheidsorganisatie mag persoonsgegevens niet zomaar delen. Daar moet een wettelijke grondslag voor zijn.
Laura: “We hebben een extra privacywaarborg ingebouwd door de gegevens te hashen.“We hebben een extra privacy-waarborg ingebouwd door de gegevens te hashen."
We delen dus niet direct de gegevens, maar een versleuteling ervan. Bedrijven kunnen die gehashte gegevens integreren in hun systeem. Dankzij de versleuteling kunnen bedrijven niet zien welke inloggegevens wij delen. Logt iemand in met gestolen of gelekte inloggegevens die voorkomen in de database, dan krijgt het bedrijf een hit op basis van de overeenkomst met de hash en volgt automatisch een notificatie: pas op, je gegevens komen voor op een lijst met gehackte gegevens, dus pas je wachtwoord aan. Op die manier maken we geen inbreuk op de privacy. De gegevens zijn voor een webwinkel pas te herleiden op het moment dat iemand zelf de gegevens invoert en het bedrijf die gegevens zelf ook in zijn bestanden heeft staan.” De bedrijven leveren voor No More Leaks slechts één statistiek terug aan de politie, namelijk het aantal hits. Bedrijven
delen geen inhoudelijke informatie over de hits; klanten hoeven daarom niet bang te zijn dat de politie beschikking krijgt over gevoelige informatie.
Verder komen door wederkerigheid
No More Leaks is een publiek-private samenwerking. Wat betekent dat in de praktijk? Frederiek: “De politie is geen cybersecurity- of consultancybedrijf. We werken natuurlijk wel maatschappelijk verantwoord, dus we staan absoluut open voor bedrijven die samen met ons cybercrime willen bestrijden. Daarmee leren we van elkaar; in het bedrijfsleven werken natuurlijk veel IT’ers. Samen doen we bijvoorbeeld hackathons waarin we echte politievraagstukken voorleggen. Criminaliteit wordt steeds ingewikkelder, de ontwikkelingen gaan snel. Daardoor lonen dergelijke samenwerkingen, want twee weten meer dan één. Door de krachten te bundelen, zijn we effectiever in onze aanpak.”
Dit helpt dus de ontwikkeling van de politie. Het commentaar op de politie is nog weleens dat er goede ideeën leven die door de waan van de dag niet verder worden ontwikkeld. Frederiek: “We hopen in deze publiek-private samenwerkingen verder te komen, op basis van wederkerigheid.” De politieteams zijn divers opgebouwd en bestaan voor de helft uit tactische politiemensen. De andere helft wordt gevormd door experts op het gebied van financiën en IT, en een medewerker publiek-private samenwerkingen. “Juist die vervlechting is goed en leuk”, zegt Frederiek. “Tactische collega’s leren zo veel over digitaal denken en werken, en andersom leren de digitale medewerkers veel over het politiewerk van de tactische collega’s. Er is een goede olievlekwerking, ook in de samenwerking met partners.”
Kat-en-muisspel
Het mantra van de politie luidt ‘voorkomen, verstoren en opsporen’. De teams doen veel aan bekendheid, bijvoorbeeld met het Hackshield-programma om de jeugd online weerbaarder te maken en ze te laten leren over de digitale wereld. Ook daarin werkt de politie graag samen met private partijen. “Successen boeken we ook met verstoring, zoals bij de ransomware Deadbolt, die data versleutelt en vervolgens
betalingen in bitcoin eist. “Successen boeken we ook met
Het cybercrimeteam van Oost-Brabant heeft samen met het cybersecuritybedrijf responders.nu descriptiesleutels aan slachtoffers kunnen geven. Zo konden ze weer bij hun gegijzelde data”, vertelt Frederiek.
verstoring, zoals bij de ransomware Deadbolt, die data versleutelt en vervolgens
betalingen in bitcoins eist."
De politie werkt met landelijke en regionale teams, maar kan nog meer handen
gebruiken. Laura: “De cybercrimineel heeft een toolbox vol instrumenten, en daar moeten we tegenop kunnen. Het is altijd een kat-en-muisspel en soms lijkt het op dweilen met de kraan open. We doen wat we kunnen, en kijken naar alle mogelijkheden. Ons motto is: laten we dweilen terwijl we de kraan proberen dicht te draaien.”
De samenwerking met publieke partners blijkt succesvol. Daarom zoekt de politie meer
partners. Ook wil de politie graag haar eigen teams uitbreiden en daarvoor zoekt ze
nieuwe medewerkers. Ben je benieuwd wat je kunt doen? Kijk dan hier.
Interesse om deel te nemen aan No More Leaks? Mail dan naar nomoreleaks@politie.nl.
Dit artikel is geen redactioneel artikel, maar gesponsord en tot stand gekomen dankzij de politie en Tweakers Partners. Dit is de afdeling binnen Tweakers die verantwoordelijk is voor commerciële samenwerkingen, winacties en Tweakers events zoals meet-ups, Developers Summit, Testfest en meer. Kijk hier voor een overzicht van alle acties en events. Mocht je ideeën met ons willen delen over deze vorm van adverteren, dan horen wij dat graag. Hierover kun je met ons in gesprek via [Discussie] Reclame algemeen].
/u/1834044/crop633aebbf02e93_cropped.png?f=community){kind=small}
/u/466919/Tweakers_p9_v2.png?f=community){kind=small}
:strip_exif()/u/382442/crop5bb654253fa3d_cropped.gif?f=community){kind=small}
:strip_icc():strip_exif()/u/26315/bleh.jpg?f=community){kind=small}
/u/1830/acm.png?f=community){kind=small}