Verkenning Cybercrime in Nederland 2009

Transcriptie

1 Verkenning Cybercrime in Nederland 2009 E.R. Leukfeldt M.M.L. Domenie W.Ph. Stol September 2009

2 Verkenning Cybercrime in Nederland 2009 NHL Hogeschool, Lectoraat Cybersafety Open Universiteit, Politiestudies CyREN Cybersafety Research and Education Network (

3 Voorwoord Criminaliteitsbestrijding vereist kennis over aard en omvang van de criminaliteit. Dat geldt ook voor de bestrijding van cybercrime. Bij herhaling wordt echter geconstateerd, ook door politie en justitie zelf, dat politie en justitie de ontwikkelingen op dat vlak maar moeizaam kunnen bijbenen. Er is sprake van een (aanzienlijk) kennistekort. De Dienst Nationale Recherche (DNR) van het Korps Landelijke Politiediensten (KLPD) nam daarom het initiatief tot dit onderzoek. Deze Verkenning Cybercrime in Nederland 2009 (VCN2009) moet bijdragen aan het kennisniveau van politie en justitie. Het onderzoek biedt nieuwe inzichten. Nog niet eerder werden op grote schaal politiedossiers inzake cybercrime geanalyseerd. Maar met dit onderzoek is het laatste woord niet gezegd, het onderzoek is verkennend van aard en gaat over vijf verschillende cybercrimes. Er zal meer onderzoek nodig zijn om zicht te krijgen op de omvang van de verschillende cybercrimes (slachtofferenquêtes met name) en om de ins en outs van de verschillende cybercrimes beter te doorgronden (verdiepende studies). Een onderzoek als dit kan alleen tot stand komen dankzij de medewerking van velen. Om te beginnen bedanken we de medewerkers van het korps Friesland voor de gastvrijheid en medewerking tijdens het onderzoek. In het bijzonder denken we hierbij aan Roel Bijlsma (Groepschef Team Informatie), Faranak Afshari Naderi en Willem Kemper, beiden werkzaam bij de infodesk in Friesland. Daarnaast bedanken we Leen Prins en Richard Beijersbergen van Henegouwen, beiden werkzaam als adviseur expertise bij de Dienst Internationale Politie Informatie (IPOL) van het KLPD en bedanken we de medewerkers van DNR van het KLPD, in het bijzonder Sander Huisman. Zij voorzagen onze teksten steeds van waardevol commentaar. Verder noemen we Jelmer de Jong, Dennis Lubbers, Klaas van der Pol, Pamela Rengers en Sander Veenstra die als student-assistenten hebben meegewerkt aan de analyse van de dossiers. Zonder hun inzet hadden we dit onderzoek niet kunnen voltooien. Ten slotte bedanken we Marika Toutenhoofd-Visser, onderzoeker aan het lectoraat Cybersafety van de NHL, voor haar bijdrage tijdens de opzet en start van dit onderzoek. We zijn hen allen dan ook zeer erkentelijk voor hun inzet. Leeswijzer Hoofdstuk één bevat de methodologische verantwoording. Tevens presenteren we op deze plaats de definitie van cybercrime die we in dit onderzoek hanteren. In hoofdstuk twee tot en met zes gaan we achtereenvolgens dieper in op de cybercrimes hacken, e- fraude, cyberafpersen, kinderporno en haatzaaien. De hoofdstukken zijn zo opgebouwd dat ze afzonderlijk van elkaar te lezen zijn. Wie bijvoorbeeld alleen iets wil lezen over e-fraude hoeft niet eerst het hoofdstuk over hacken te lezen. Hierdoor is het echter onoverkomelijk dat er dubbelingen in de hoofdstukken zitten. Zo behandelen we bijvoorbeeld in ieder hoofdstuk de selectieprocedure van de betreffende dossiers. In hoofdstuk zeven voegen we de uitkomsten uit de dossierstudie van de verschillende cybercrimes samen en schetsen we de verschillen, overeenkomsten en verbanden. Daarmee beantwoorden we de in het eerste hoofdstuk gestelde onderzoeksvragen. Hoofdstuk acht bevat de conclusies en aanbevelingen. Wie alleen van de strekking van het onderzoek op de hoogte wil raken, kan de samenvatting lezen. Wie (daarna) snel kennis wil nemen van de belangrijkste conclusies en aanbevelingen, raden we aan hoofdstuk zeven en acht als samenvatting te gebruiken. Voor wie zich juist verder in de materie wil verdiepen verwijzen we naar de bijlagen na het laatste hoofdstuk, waarin verschillende criminele technieken staan uitgewerkt. Rutger Leukfeldt Miranda Domenie Wouter Stol i

4 Inhoud Voorwoord...i Samenvatting...1 Summary Inleiding en verantwoording Aanleiding tot dit onderzoek Onderwerp en doel van onderzoek Onderzoeksvragen Methodologische verantwoording Hacken Inleiding Strafbaarstelling Verschijningsvormen: soorten hackers Verbanden van hacken met andere crimes Daderkenmerken uit de literatuur Verdachtenkenmerken uit de dossierstudie Slachtoffers van hacken Omvang Trends Resumé E-fraude Inleiding Strafbaarstelling Verschijningsvormen: soorten e-fraude Verbanden van e-fraude met andere crimes Daderkenmerken uit de literatuur Verdachtenkenmerken uit de dossierstudie Slachtoffers van e-fraude Omvang Trends Resumé Cyberafpersen Inleiding Strafbaarstelling Verschijningsvormen cyberafpersen Verbanden van cyberafpersen met andere crimes Verdachtenkenmerken uit de dossierstudie Slachtoffers van cyberafpersen Omvang Trends Resumé Kinderporno Inleiding Strafbaarstelling Verspreidingsvormen Verbanden van kinderporno met andere crimes ii

5 5.5 Daderkenmerken uit de literatuur Verdachtenkenmerken uit de dossierstudie Slachtoffers van kinderporno Omvang Trends Resumé Haatzaaien Inleiding Strafbaarstelling Verspreidingsvormen Verbanden Daderkenmerken uit de literatuur Verdachtenkenmerken uit de dossierstudie Slachtoffers van haatzaaien Omvang Trends Resumé Cybercrime in Nederland: overeenkomsten en verschillen Inleiding De aard van cybercrime in Nederland (verbanden met andere delicten) Verdachtenkenmerken uit de dossierstudie Omvang Conclusies en aanbevelingen Conclusies Aanbevelingen Literatuur Afkortingen Bijlage 1: Social engineering Bijlage 2: Spoofing Bijlage 3: Botnet Bijlage 4: Distributed Denial of Service attacks Bijlage 5: Defacing Bijlage 6: IFrame injectie Bijlage 7: Cross site scripting Bijlage 8: Spyware Bijlage 9: Phishing Bijlage 10: Analysekader dossierstudie Bijlage 11: Slachtofferenquête onder internettende Friezen iii

6 Samenvatting Inleiding Dit onderzoek gaat over cybercrime. De Nederlandse overheid geeft aan de opsporing en bestrijding van cybercrime prioriteit en neemt verschillende juridische en organisatorische maatregelen. Het nemen van maatregelen vereist kennis over aard en omvang van de criminaliteit. Bij herhaling wordt echter geconstateerd, ook door politie en justitie zelf, dat politie en justitie de ontwikkelingen aangaande cybercrime maar moeizaam kunnen bijbenen. Er is sprake van een (aanzienlijk) kennistekort. De Dienst Nationale Recherche (DNR) van het Korps Landelijke Politiediensten (KLPD) nam daarom het initiatief tot dit onderzoek. Deze Verkenning Cybercrime in Nederland 2009 moet bijdragen aan het kennisniveau van politie en justitie. In dit onderzoek hanteren wij cybercrime als overkoepelend begrip voor alle vormen van criminaliteit waarbij ICT een wezenlijke rol speelt in de realisatie van het delict. Niet iedere vorm van cybercrime kan in dit onderzoek worden opgenomen, daarvoor is de lijst met cybercrimes te lang. De volgende vormen van cybercrime komen aan bod: hacken, e-fraude, cyberafpersen, kinderpornografie en haatzaaien. We selecteerden deze vijf omdat ze van alle cybercrimes de ernstigste maatschappelijke problemen zijn en (dus) de meeste aandacht krijgen van politie en justitie. Het onderzoek moet uiteindelijk bijdragen aan de bestrijding van cybercrime. Het dichterbij gelegen doel is het bieden van inzicht in de ernst van de voor de politie meest relevante verschijningsvormen van cybercrime. Om de ernst van een cybercrime te bepalen stelden we vier hoofdvragen op. (1) Wat is de aard van de cybercrimes? (2) Wat is er bekend over de daders? (3) Wat is de omvang van de cybercrimes? (4) Wat is de maatschappelijke impact van de cybercrimes? Methoden van onderzoek Om deze onderzoeksvragen te beantwoorden voerden we allereerst een internationale literatuurstudie uit, alsook een media-analyse, een webresearch en een documentenanalyse. Voor de literatuurstudie raadpleegden we mediatheken en zochten we naar boeken, artikelen, rapporten en andere relevante publicaties. De media-analyse omvatte een analyse van berichten over cybercrime in landelijke dagbladen uit Nederland in 2006 en Dit leverde niet alleen informatie over cybercrimes op, maar ook over bijvoorbeeld onderzoeksrapporten, politieacties en sleutelpersonen. De webresearch omvatte een zoektocht op internet naar informatie over cybercrime, onderzoeksrapporten en sleutelpersonen. De documentenanalyse hield in dat we beleids- en visiedocumenten omtrent de bestrijding van cybercrime doornamen. Het hoofddeel van het onderzoek bestond uit een analyse van politiedossiers. In totaal analyseerden we 665 dossiers, waaronder 139 hackendossiers, 314 e-fraudedossiers, 13 cyberafpersingdossiers, 159 kinderpornodossiers en 40 haatzaaidossiers. Hacken Hacken is het opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk en is strafbaar gesteld in artikel 138a lid 1 van het Wetboek van Strafrecht (computervredebreuk). Aan hacken gerelateerde artikelen zijn het na het binnendringen overnemen, aftappen of opnemen van gegevens (art. 138a lid 2 Sr), het opzettelijk of door schuld veroorzaken van een stoornis in een systeem (resp. art. 161sexies Sr en 161 septies Sr), het opzettelijk of door schuld vernielen van gegevens (resp. art. 350a Sr en 350b Sr), het aftappen en/of opnemen van gegevens (art. 139c Sr) en het plaatsen van opname-, aftap- c.q. afluisterapparatuur (art. 139d Sr). In de literatuur worden hackers op verschillende manieren onderscheiden, onder meer op basis van verschillende primaire motivaties zoals verwerven van kennis, persoonlijke uit- 1

7 daging, macht en financieel gewin. Er is echter geen empirische onderbouwing voor de gehanteerde categorieën. Uit onze dossierstudie komt niet het beeld met allerlei verschillende categorieën hackers naar voren. Eerder dan duidelijke categorieën zien we een bont geze l- schap, hoewel wel een paar hoofdlijnen zijn te noemen. Uit de politiedossiers blijkt dat hacken vooral een zaak is van in Nederland geboren mannen onder de 45 jaar. Zelden plegen zij hun delict in georganiseerd verband, in de overgrote meerderheid van de zaken is er niet meer dan één verdachte. Vaak ligt het hacken in de relationele sfeer; verdachte en slachtoffer zijn bijvoorbeeld ex-geliefden, jaloerse echtgenoten of schoolvrienden, maar het kan ook gaan om (gewezen) zakelijke relaties. De primaire motivatie van de verdachte is dan ook vaak wraak, maar ook zagen we andere drijfveren zoals nieuwsgierigheid en financieel gewin. De meeste verdachten uit de hackendossiers hebben geen antecedenten, hoewel ze wel significant meer antecedenten hebben dan de gemiddelde Nederlander. Verdachten maken gebruik van verschillende criminele technieken. Alhoewel het in de meeste dossiers onduidelijk blijft welke technieken er precies gebruikt worden, houden ve r- dachten in hackzaken zich in ieder geval bezig met het defacen van websites, het installeren van keyloggers, het maken van phishing websites en social engineering. Botnets, DDoSaanvallen, sniffing en spoofing komt zelden voor in de politiedossiers. Voor de opsporing wellicht de belangrijkste bevinding is dat in eenvijfde tot een kwart van de politiedossiers de hack gepleegd wordt vanuit het buitenland, zowel binnen als buiten Europa. Hacken is niet vaak een op zichzelf staand delict. Alles bijeen genomen toont hacken een verband met (1) cybercrime in enge zin (het kopiëren of vernielen van gegevens of het vernielen of verstoren van een computersysteem); (2) vermogenscriminaliteit (oplichting, fraude, diefstal, afpersing, verduistering); (3) interpersoonlijke conflicten (smaad, bedreiging, belediging, stalking, aanranding). Hacken is primair gericht op persoonlijke belangen (financieel voordeel of het beslechten van een conflict) en niet op maatschappelijke ontwrichting of algemene gevaarzetting. Het gaat veelal om redelijk alledaagse zaken, waarbij schijnbaar alledaagse mensen elkaar dwars zitten. Hacken is tot op zekere hoogte gedemocratiseerd: hacken is geen exclusief domein meer van wizzkids maar wordt ook bedreven door mensen die niet zo technisch zijn onderlegd. Over de absolute omvang van hacken valt niet veel met zekerheid te zeggen. Het maakt maar een zeer klein deel uit van de bij de politie geregistreerde criminaliteit. De resultaten uit een slachtofferonderzoek in Friesland, wijzen op een substantieel dark number. Uit de (internationale) literatuur over cybercrime en informatiebeveiliging blijkt dat vooral bedrijven geregeld slachtoffer zijn van (pogingen tot) binnendringen in computersystemen. Over slachtofferschap onder burgers is minder bekend. E-fraude Fraude staat niet onder die noemer in het Wetboek van Strafrecht; meestal is sprake van oplichting (art. 326 Sr) en/of valsheid in geschriftgeschrift (art. 225 Sr). E-fraude is bedrog met als oogmerk het behalen van financieel gewin waarbij ICT essentieel is voor de uitvoering. Verschijningsvormen van e-fraude die we in de literatuur tegenkwamen zijn: handel in valse goederen, valse financiële transacties, waaronder veilingfraude en voorschotfraude, en marktmanipulatie. E-fraude kan gepleegd worden met of zonder identiteitsmisbruik. Identiteitsmisbruik is het aannemen van een andere dan de eigen digitale identiteit, met het oogmerk daarmee oneigenlijk financieel voordeel te behalen. Aan identiteitsmisbruik gaat weer vooraf het maken van de valse identiteit. Dat kan door identiteitsdiefstal (het stelen van een identiteit van een bestaand persoon), identiteitscreatie (het creëren van een fictieve identiteit) en identiteitsdelegatie (het overnemen van een identiteit van een bestaand persoon met diens toestemming). In de literatuur is de verwachting dat e-fraude met identiteitsmisbruik de komende ja- 2

8 ren grote aantallen slachtoffers zal maken en forse financiële schade zal aanrichten. Daarnaast wordt voorschotfraude als een concrete dreiging gezien. Uit de analyse van politiedossiers volgt op diverse onderdelen een ander beeld dan uit de literatuur. De meeste dossiers uit de dossierstudie gaan niet over voorschotfraude en ident i- teitsdiefstal maar over oplichtingen via verkoopsites. E- fraude heeft in de regel geen verbanden met andere (cyber)crimes. Voor zover dat wel het geval is, zijn er verbanden met diefstal van identiteitsgegevens (vooral digitaal maar ook niet-digitaal) en soms ook met hacken. Deze delicten zijn dan een middel om te komen tot de e-fraude. E-fraudeurs werken in de meeste gevallen alleen en er is, op een enkel dossier na, geen sprake van georganiseerde criminaliteit. Financieel gewin is blijkens de dossiers het centrale motief. Het gaat bij e-fraude over het geheel genomen om vrij eenvoudige zaken: de dader plaatst een advertentie, maakt een website of verstrekt anderszins informatie die het slachtoffer moet verleiden tot het betalen voor bepaalde goederen of diensten die vervolgens niet worden geleverd. Kortom, de meeste e-fraudes zijn geen technische hoogstandjes. Daders van e-fraude putten uit een vrij beperkt repertoire aan technieken. In bijna alle gevallen is sprake van social engineering. Enkele keren was sprake van phishing. Geregeld gaat het in de dossiers om e-fraude met identiteitsmisbruik. Hoewel in de literatuur nogal eens aandacht wordt gevraagd voor samenwerkende fraudebendes (Nigerian scam, skimming) is het gros van de fraudes die we in onze dossiers tegenkwamen het werk van vrij eenvoudig opererende oplichters. Dat e-fraudeurs zouden beschikken over bovengemiddelde technische inzichten en vaardigheden, zoals in de literatuur wordt beweerd, is ook niet bepaald iets wat uit ons onderzoek naar voren komt. Over de verdachten weten we dat zij meestal in Nederland zijn geboren, dat zij meestal opereren vanuit Nederland, dat het meestal gaat om mannen en dat de nadruk ligt op de leeftijdsgroep van jaar. E-fraude is niet iets voor de leeftijdsgroep van jaar en ook niet zozeer voor personen ouder dan 35. Kennelijk zijn personen in de leeftijd van jaar optimaal uitgerust voor e-fraude: ze zijn oud genoeg om voldoende sociaal vaardig te zijn voor social engineering en jong genoeg om zich handig te kunnen bewegen in cyberspace. Verdachten zijn veel vaker dan gemiddeld werkloos, ze wonen daarentegen minder vaak dan gemiddeld in een eenpersoonshuishouden. Ze bevinden zich dus niet in een maatschappelijk isolement wat betreft hun woonsituatie, maar wel wat betreft hun arbeidspositie. Het ontbreken van een inkomen uit arbeid zou een (gedeeltelijke) verklaring kunnen zijn voor financieel gewin als hoofdmotief. Een analyse over justitiële antecedenten wijst er op dat verdachten van e-fraude ook andere delicten plegen en dus een breder crimineel repertoire hebben dan alleen fraude. Dat kan wellicht worden verklaard uit de bevinding dat de meeste verdachten man zijn en relatief jong en dus behoren tot de groep van personen die relatief vaak delicten plegen. Fraude komt zo n tien maal vaker voor in de politiedossiers dan hacken. We weten uit eigen onderzoek dat 2,2 procent van ondervraagde Friezen slachtoffer was van e-fraude in de afgelopen twee jaar. Slechts één van de slachtoffers deed aangifte (3,6%). Dat wijst op een hoog dark number. Cyberafpersen Afpersen is het verkrijgen van wederrechtelijk voordeel door dreiging of geweld. We spreken van cyberafpersing indien ICT essentieel is voor de uitvoering van het delict. In de literatuur worden verschillende verschijningsvormen genoemd. (1) Dreiging: het dreigen met het pla t- leggen van websites of netwerken. (2) Beschadiging en verstoring: het beschadigen van essentiële gegevens en het verstoren van industriële productiesystemen (3) Shaming: het publiekelijk maken van gevoelige informatie. (4) Protectie: het aanbieden van bescherming tegen bijvoorbeeld DDoS-aanvallen. Deze vier kunnen in combinatie voorkomen. 3

9 In het Wetboek van Strafrecht is afpersing strafbaar gesteld in artikel 317 Sr (afpersing). Ook artikelen 318 Sr (afdreiging) en 285 Sr (bedreiging) kunnen van toepassing zijn. Er zal voor het uitvoeren van de criminele technieken veelal moeten worden ingebroken in computersystemen, strafbaar gesteld in artikel 138a Sr. Indien er opzettelijk dan wel door schuld een geautomatiseerd werk wordt vernield, zijn de artikelen 161sexies en 161septies Sr van toepassing. De artikelen 350a en 350b Sr zijn van toepassing indien er gegevens worden ve r- nield. We vonden over de periode slechts 13 dossiers over cyberafpersen. Voor zover we een verband met andere criminaliteit vonden, is cyberafpersing een vervolg op eerdere bedreigingen. Verdachten persen slachtoffers af door te dreigen met het openbaar maken van gevoelige informatie over het slachtoffer. De gevoelige informatie heeft vaak te maken met kinderpornografie. Slachtoffers hebben kinderporno op hun computer en worden daarmee afgeperst, of verdachten zetten minderjarige slachtoffers onder druk om naaktfoto s van zichzelf op te sturen (en gebruiken die weer om het slachtoffer af te persen). Op verschillende momenten in de analyse zagen we een verband tussen cyberafpersen en delicten die verband houden met relaties en/of seksualiteit. Behalve de reeds genoemde kinderporno passeerden ook de revu: relatieproblemen, stalking en aanranding. Een en ander wekt de suggestie dat cyberafpersen verband houdt met zedendelinquentie dan wel zedendelinquenten. Het geringe aantal dossiers laat geen stellige conclusies toe, maar deze aanwijzing in de richting van een verband tussen jeugd, zedendelinquentie en afpersing, is een aandachtspunt voor nader onderzoek. In de literatuur vinden we weinig over daderkenmerken van cyberafpersers. Volgens het KLPD is er sprake van een samenwerking tussen computercriminelen uit West-Europese landen en georganiseerde groepen criminelen uit Rusland en Oost-Europa. Hackers worden op internet geworven op grond van hun deskundigheid en ingehuurd. Het KLPD heeft dan het afpersen van bedrijven voor ogen. Dit zien we niet terug in de dossierstudie. De verdachten opereren alleen en er is geen sprake van criminele samenwerkingsverbanden. De verdachten zijn opvallend vaak jong (onder de 21). Ze maken geen gebruik van criminele technieken. Een voorbereidingshandeling is het verzamelen van gevoelige informatie over het slachtoffer. Dat is steeds een individu, geen bedrijf. We hebben te weinig informatie om nadere uitspraken over slachtoffers te doen. Slachtofferonderzoek onder bedrijven in Amerika en Australië wijst er op dat een substantieel percentage van bedrijven (16-33%) slachtoffer was van cyberafpersen. Over slachtofferschap onder burgers vonden we in de literatuur geen informatie. De 13 cyberafpersendossiers die we vonden in de periode , hebben allemaal betrekking op individuele slachtoffers, niet op bedrijven. Dat cyberafpersen onder bedrijven toch niet onbekend is in Nederland weten we ook, want in de hackendossiers vonden we één zo n zaak. In dat geval werd een DDoS-aanval ingezet om een bedrijf af te persen. In een onderzoek naar het werkaanbod inzake cybercrime in twee korpsen, vonden we over 2007 geen aangiften van cyberafpersing. De conclusie over de omvang van cyberafpersen moet zijn dat het zeer weinig voorkomt of dat de aangiftebereidheid uiterst laag is, of beide. Door het geringe aantal aangiften wordt cyberafpersing, specifiek afpersing met behulp van een DDoS-aanval, in het Nationale Dreigingsbeeld niet als concrete dreiging gezien. Volgens andere bronnen zal het aantal cyberafpersingen in de toekomst toenemen omdat steeds meer bedrijven afhankelijk zijn van internet en de voor een afpersing benodigde technieken eenvoudig beschikbaar zijn. Een empirische onderbouwing bij deze verwachting is echter niet aanwezig. 4

10 Kinderporno Kinderpornografie is in Nederland strafbaar gesteld in artikel 240b van het Wetboek van Strafrecht, dat kinderporno definieert als een afbeelding van een seksuele gedraging, waarbij iemand die kennelijk de leeftijd van achttien jaar nog niet heeft bereikt, is betrokken of schijnbaar betrokken. De ratio van artikel 240b Sr is dat jongeren beschermd moeten worden tegen gedragingen en uitingen die hen kunnen aanmoedigen of verleiden om deel te nemen aan seksueel verkeer, en tegen gedragingen en uitingen die bijdragen aan een subcultuur die seksueel misbruik van kinderen bevordert. Uit de cijfers van het Meldpunt Kinderporno, gecombineerd met eerder onderzoek naar kinderpornografie op internet kunnen we afleiden dat kinderporno op internet op ve r- schillende manieren wordt verspreid: via spam, websites, peer-to-peer netwerken, virtuele harde schijven, nieuwsgroepen en chat. De wijze van verspreiding is aan verandering onderhevig; deels omdat er voortdurend nieuwe technische mogelijkheden ontstaan en deels omdat de aanbieders van kinderporno reageren op repressieve maatregelen. In de literatuur zijn onder de volwassen daders twee duidelijke groepen te ondersche i- den die zich bezig houden met de verspreiding van kinderpornografisch materiaal: de commerciële groep met als oogmerk financieel gewin en de liefhebbers met als primaire motivatie het verkrijgen van meer kinderpornografisch materiaal. De handel en productie in kinderporno is volgens enkele bronnen in toenemende mate een bezigheid van georganiseerde groepen geworden. Kinderporno is een lucratieve business waarmee veel geld te verdienen is. In de literatuur zien we vijf categorieën daders: vervaardigers en handelaren, verzamelaars, reizigers, groomers/chatters en minderjarige daders. Uit onze dossierstudie blijkt dat de Nederlandse verdachten geen onderdeel uitmaken van professionele criminele samenwerkingsverbanden. In de dossiers is een aantal keer terug te zien dat er grootschalige internationale onderzoeken zijn naar websites die professioneel gerund worden. De Nederlandse verdachten zijn afnemers (downloaders) van deze websites. Van de vijf categorieën uit de literatuur zien we in de dossiers in ieder geval de categorie verzamelaars en groomers/chatters terug. We zien in de dossiers ook dat er handelaren actief zijn, die waren echter geen onderwerp van onderzoek van de Nederlandse politie. De cybercrime kinderporno kent weinig verbanden met andere (cyber)crimes. Als er al een verband is, dan is dat met een ander delict in de zedensfeer, met name met het in bezit hebben van kinderporno anders dan op ICT en soms met het vervaardigen van kinderporno. Ook proberen verdachten bijvoorbeeld minderjarigen te groomen, of slachtoffers aan te randen door te dreigen met het publiekelijk maken van gevoelige informatie (bijvoorbeeld naaktfoto s). In de meeste dossiers is sprake van één verdachte. Dat zijn dan meestal in Nederland geboren mannen, overwegend uit de leeftijdsgroep jaar. De meest genoemde primaire motivatie om het delict te plegen is nieuwsgierigheid. De verdachten die nieuwsgierigheid aangaven als motivatie zoeken, naar eigen zeggen, niet uit een gevestigde pedofiele voorkeur maar vertonen grensverkennend gedrag. Nader onderzoek naar achtergronden, omstandigheden en drijfveren zou gericht moeten zijn op de vraag of de misdrijven van deze groep nieuwsgierigen wellicht te voorkomen zijn met normbevestigende of gelegenheidsbeperkende maatregelen. De verdachten in de kinderpornodossiers wonen niet vaker dan gemiddeld in een eenpersoonshuishouden, wel zijn ze vaker dan gemiddeld werkloos. De meeste verdachten hebben een MBO- of HBO-opleidingsniveau. Daarmee wijken ze niet af van de gemiddelde Nederlander. Er is ook een groep jonge verdachten die van (andere) minderjarigen kinderpornografische opnamen maken en verspreiden. Iets meer dan de helft van de verdachten heeft een of meer antecedenten. Dat is significant meer dan de gemiddelde Nederlander. Nader onderzoek zal moeten aantonen in hoeve r- re dit verschil wordt veroorzaakt doordat kinderpornoverdachten bijna allemaal man zijn en 5

11 jonger dan de gemiddelde Nederlander en dus behoren tot de groep personen (jonge mannen) die bovengemiddeld veel delicten plegen. Relatief veel verdachten hebben een verme l- ding in de hoofdgroepen gewelddadig seksueel en overig seksueel (resp. 2,4 en 8,3%). Personen die verdacht worden van het in bezit hebben en/of verspreiden van kinderpornografische afbeeldingen, maken zich kennelijk vaker dan gemiddeld ook schuldig aan andere zedendelicten. Nader onderzoek zal moeten uitwijzen hoe overtreding van artikel 240b Sr precies samenhangt met het al dan niet plegen van andere delicten uit de zedelijkheidswetgeving. Ons onderzoek wijst op het bestaan van in elk geval twee te onderscheiden groepen verdachten: een grote groep personen (53,4%) die zonder dat zij een gevestigde pedofiele voorkeur (zeggen te) hebben kinderporno downloaden (grensverkennend gedrag, nieuwsgierigheid) en een verhoudingsgewijs kleine groep van personen die niet alleen kinderpornografische afbeeldingen in bezit heeft, maar die ook andere zedendelicten pleegt. Naar beide groepen zou nader onderzoek moeten worden gedaan om beter zicht te krijgen op kenmerken van deze personen en op mogelijke maatregelen. Er is een nieuwe groep kinderpornoverspreiders: de minderjarigen. Bijna een kwart van de verdachten in de kinderpornodossiers is jonger dan 24 jaar (en van die groep is 35% jonger dan 18 jaar). Dit is te verklaren doordat minderjarige jongeren, al dan niet vrijwillig, seksueel getinte foto s en video s van zichzelf en/of elkaar maken. Indien dergelijke content verspreid wordt via internet (door de verdachte zelf, of door een klasgenoot of kennis) is er sprake van de verspreiding van kinderpornografie in de zin van artikel 240b Sr. Een trend is dat kinderporno verdwijnt naar minder opzichtige delen van internet, waar de informatie moeilijker is te observeren en waar het dus ook moeilijker is om bewijsmateriaal te verzamelen. Verder valt te verwachten dat door nieuwe technologische ontwikkelingen (zoals in animatietools, versleuteltechnieken en betaalsystemen) de productie en verspreiding van kinderpornografie zullen blijven veranderen. Haatzaaien Haatzaaien staat niet als zodanig in het Wetboek van Strafrecht, ook anderszins is er in Nederland geen algemeen geaccepteerde definitie. In dit onderzoek verstaan we onder de cybercrime haatzaaien het (aanzetten tot) opzettelijk beledigen of discrimineren van bepaalde groeperingen, zonder een bijdrage te leveren aan het publieke debat, waarbij ICT essentieel is voor de uitvoering. Haatzaaien staat dan wel niet als zodanig in het Wetboek van Strafrecht, er kan wel een aantal artikelen worden onderscheiden dat van toepassing is, zoals artikel 147 en 147a Sr (godslastering) en de discriminatieartikelen (art. 137c, d, e, f en g Sr). Volgens de Hoge Raad vervalt de strafbaarheid bij discriminatoire uitlatingen indien deze bijdragen aan het maatschappelijke debat. Ook kan artikel 131 Sr (opruiing) van toepassing zijn. Uit de cijfers van het Meldpunt Discriminatie Internet (MDI) kunnen we afleiden dat haatzaaiende content in ieder geval wordt verspreid middels spam (e- mail), websites, peer-2- peer netwerken, nieuwsgroepen en chat. We weten niet precies welk aandeel van de haatzaaiende content op internet wordt verspreid via welke route, we weten wel dat de wijze waarop de verspreiding loopt aan verandering onderhevig is. Zo zijn er tegenwoordig bijna geen me l- dingen meer over nieuwsgroepen maar wel over weblogs, websites en webfora. Volgens de literatuur gaat het merendeel van de meldingen over haatzaaiende of discriminerende uitingen over Nederlandse sites. Daders van haatzaaien opereren in groepen, die middels websites en chatkanalen discrimineren en oproepen tot geweld, en in informele ne t- werken op internet. Ze doen hun haatuitingen op discussiefora en weblogs. Er worden vier motieven onderscheiden; voor de lol (verveling, spanning en opwinding), als waarschuwingssignaal (verdachten voelen zich bedreigd door nieuwkomers en willen hun territorium verdedigen), als vergeldingsactie (veelal in de context van maatschappelijke spanningen) en als missie (door extremisten die overtuigd zijn van hun gelijk). 6

12 Het merendeel van de haatzaaidossiers toont geen verband met andere vormen van (cyber)criminaliteit. Soms is er een verband met hacken of smaad, maar over het geheel genomen geldt dat verdachten van haatzaaien geen criminele generalisten zijn. De dossierstudie bevestigt dat het merendeel van de delicten vanuit Nederland gepleegd wordt. Uit de dossiers volgt ook dat geen sprake is van georganiseerde criminaliteit. Verdachten opereren veelal alleen. In een aantal dossiers hebben verdachten berichten gepost op een extremistische website, maar pleegden zij het delict als individu. De meeste verdachten zijn man, jong en geboren in Nederland. Qua leeftijd ligt de nadruk op de groep jaar. In het geval van de minderjarige verdachten zien we dat het vaak gaat om een impulsieve reactie in de vorm van een haatzaaiende post op een website. De primaire motivatie is meestal wraak, verwerven van status of zichzelf bewijzen. Ook zagen we ideologische en nationalistische motieven. Verdachten van haatzaaien hebben vaker antecedenten dan de gemiddelde Nederlander. Dat wordt ve r- moedelijk veroorzaakt doordat het overwegend gaat om jonge mannen en die plegen nu eenmaal relatief veel delicten. Nader onderzoek zou daarover meer zekerheid kunnen bieden. De politieregistratiesystemen bevatten weinig dossiers inzake de cybercrime haatzaaien. In vonden we er 40. In een onderzoek naar cybercrime in de dossiers van twee korpsen werd geen enkel dossier haatzaaien aangetroffen. Van Stokkom e.a. (2007) concluderen dat de meeste strafbare uitingen op internet ongemoeid worden gelaten en dat politiestatistieken weinig bruikbaar zijn doordat er geen goede landelijke dataverzameling en opsporing van haatzaaiende uitingen en incidenten is. Het MDI ontving in meldingen, maar de meeste daarvan kwamen niet voor de rechter. Ondanks het lage aantal aangiften spreken Van Stokkom e.a. (2007:16) van een haatepidemie op internet. Radicalisme lokt volgens deze auteurs contraradicalisme uit; moslims en niet-moslims kunnen hierdoor in een zichzelf versterkende spiraal van wederzijds wantrouwen en vijandigheid terechtkomen, aldus deze auteurs. Op basis van de dossierstudie kunnen we dit echter niet onderbouwen. Er worden simpelweg te weinig aangiften van haatzaaien gedaan. Bij haatzaaien is maatschappelijk relevant om te weten uit welke hoek de wind waait. We hebben niet systematisch bijgehouden op welk deel van de bevolking de verdachten het voorzien hadden (dus of verdachten bijvoorbeeld met name rechts-extremisten zijn of juist fundamentalistische moslims). Wel maakten we van elk dossier een korte samenvatting. Uit deze samenvattingen blijkt dat het in de meeste dossiers gaat over verdachten met rechtsextremistische ideeën en het met name voorzien hebben op de buitenlanders en de allochtonen. Verder doen verdachten in een aantal dossiers antisemitische uitspraken en in enkele dossiers werden homoseksuelen gediscrimineerd. Cybercrime in Nederland: overeenkomsten en verschillen 1 Alles bijeen genomen is te zien dat e-fraude, kinderporno en haatzaaien criminaliteitsvormen zijn die weinig verbanden hebben met andere vormen van criminaliteit. Alleen hacken heeft duidelijke verbanden met andere criminaliteitsvormen. Hacken kan dan ook gezien worden als een middel om andere criminaliteit te plegen. De analyses wijzen er op dat we niet alleen te maken hebben met verschillende cybercrimes met relatief weinig dwarsverbanden maar ook met verschillende dadergroepen die elkaar wellicht maar weinig overlappen. Over de verdachten zien we op hoofdlijnen namelijk het volgende: Een verdachte van cybercrime is waarschijnlijk van het mannelijke geslacht en moet vermoedelijk worden gezocht in de leeftijdsgroepen tussen 12 en 45 jaar. Kinderporno is een uitzondering: een verdachte daarvan is bijna zeker van het mannelijke geslacht, maar over de leeftijd valt juist minder met zekerheid te zeggen. 1 Van cyberafpersen vonden we te weinig dossiers om een vergelijking met de andere cybercrimes uit deze studie te kunnen maken, die laten dan ook verder buiten beschouwing. 7

13 Daders van cybercrime plegen hun delict zelden in georganiseerd verband. Toch komt georganiseerde cybercrime wel voor bij e-fraude en kinderporno. Verdachte en slachtoffer in hackendossiers zijn vaak bekenden van elkaar; bij e-fraude en kinderporno is dat doorgaans juist niet het geval. De motivatie van hacken-verdachten ligt geregeld in de relationele sfeer. De primaire motivatie van e-fraudeurs is in de regel financieel gewin, verdachten in de kinderpornodossiers hebben vaker nieuwsgierigheid en verslaving/seksuele behoefte als motivatie. Verdachten in haatzaaidossiers hebben uiteenlopende motieven, meestal is het wraak of gaat het om ideologische/nationalistische motieven. Op het totaal aan cybercrimes in de politiedossiers speelt georganiseerde criminaliteit hoegenaamd geen rol. Maar dat is bij offline criminaliteit ook het geval: verreweg de meeste delicten maken geen onderdeel uit van georganiseerde criminaliteit. Omdat georganiseerde criminaliteit maatschappelijke structuren kan aantasten (denk aan vermenging tussen boven- en onderwereld, witwassen, bezit van onroerend goed, corruptie) verdient het, net als in onderzoek naar offline criminaliteit, aparte aandacht. Er is dan ook nader onderzoek vereist naar georganiseerde cybercriminaliteit. Over de absolute omvang van cybercrime in Nederland valt niet veel met zekerheid te zeggen. Het maakt maar een zeer klein deel uit van de bij de politie geregistreerde criminaliteit. De resultaten uit een slachtofferonderzoek in Friesland, wijzen op een substantieel dark number. Om deze kennisleemte op te vullen is een landelijk slachtofferonderzoek nodig. Diezelfde kennisleemte zorgt ervoor dat over de maatschappelijke impact op basis van politiedossiers niet eenvoudig iets stelligs is te zeggen. Het belangrijkste gemis is dat de dossiers weinig zeggen over de mate waarin de verschillende delicten voorkomen. Dat cybercrimes de persoonlijke levenssfeer kunnen aantasten en dat mensen na een e-fraude niet altijd even veel vertrouwen meer hebben in e-commerce was te verwachten. Dat dergelijke effecten zich voordoen zagen we wel terug in de dossiers maar in welke mate dat het geval is, kunnen we daaruit niet afleiden. Daarvoor zijn politiedossiers niet geschikt. Conclusies De belangrijkste conclusie uit dit onderzoek is dat cybercrime van het volk is. Bij aanvang van dit onderzoek zagen we op basis van literatuur, de media en beleidsdocumenten een beeld van high-tech cybercriminelen die vanuit het buitenland opereren in georganiseerde groepen en op grote schaal slachtoffers maken. Dit beeld verdient te worden genuanceerd. Uit onze dossiers blijkt juist dat er veel kleine delicten gepleegd worden door min of meer alledaagse verdachten die individueel opereren. Op basis van de dossierstudie lijkt het plausibel om te veronderstellen dat cybercrime dezelfde structuur heeft als klassieke (offline) criminaliteit. Ook bij de klassieke criminaliteit is er immers sprake van een grote groep daders die relatief kleine delicten (zoals diefstallen en inbraken) plegen op min of meer individuele basis en is er sprake van een aantal groeperingen dat zich bezig houdt met georganiseerde criminaliteit. Georganiseerde groepen hebben dus niet het monopolie op cybercrime. Cybercrime is van iedereen. Dat cybercrime van het volk is, heeft implicaties voor politiebeleid en leidt tot de conclusie dat kennis en kunde op het gebied van cybercrime korpsbreed aanwezig moet zijn: iedere agent moet beschikken over enige basiskennis inzake cybercrime. Er is immers een groeiende kans dat agenten in klassieke zaken te maken krijgen met een cybercrime-aspect, denk bijvoorbeeld aan iemand die gestalkt wordt en van wie het account wordt gekraakt. Daarnaast blijkt dat cybercrime niet alleen gepleegd wordt door georganiseerde groeperingen uit het buitenland. De bestrijding van cybercrime moet dan ook niet alleen het domein zijn van specialistische teams (zoals nu overwegend het geval is). 8

14 Een andere conclusie die implicaties heeft voor politiebeleid is dat bijna een kwart van de hacken-verdachten en bijna vijftien procent van de e-fraude verdachten opereert vanuit het buitenland. Dat is niet verrassend, ook in de literatuur wordt cybercrime als een mondiaal probleem gezien. Cybercrime is dus een probleem dat lang niet altijd bij de landsgrenzen ophoudt. Het werkaanbod van de politie internationaliseert daardoor. Van oudsher waren internationaal opererende daders in de regel onderdeel van een georganiseerde dadergroep (denk bijvoorbeeld aan drugs- en mensensmokkel). Internationaal opererende daders kwamen bij de politie dan terecht bij specialistische teams. Bij cybercrime zijn het nu ook kleinere criminelen die internationaal opereren. Ook niet-specialistische teams in alle politieregio s krijgen nu dus te maken met internationaal opererende daders. De cybercrimes e-fraude, kinderporno en haatzaaien staan op zichzelf en hebben weinig verbanden met andere vormen van criminaliteit. Verdachten van deze cybercrimes zijn geen criminele generalisten maar beperken zich tot hun type cybercrime, zij het dat zij daarbij soms aanpalende delicten plegen (bijvoorbeeld de bezitter van digitale kinderporno die ook kinderporno vervaardigt). In tegenstelling tot de andere cybercrimes uit onze studie staat hacken juist niet op zichzelf. Hacken heeft verbanden met een groot aantal andere vormen van criminaliteit en is veelal een middel om andere delicten te plegen. Uit de dossierstudie blijkt dat de hackenzaken een combinatie zijn van cybercrime in enge zin (waarbij computers of computergegevens het doelwit zijn), vermogenscriminaliteit en intermenselijke conflicten. In de literatuur wordt vaak geclaimd dat motieven van hackers verschoven zijn van hacking for fame naar hacking for fortune. Cybercriminelen zouden steeds meer geïnteresseerd raken in financieel gewin. Een empirische onderbouwing bij deze uitspraken hebben we echter niet kunnen vinden. De motieven van hackers in onze dossiers variëren juist, van bijvoorbeeld wraak, nieuwsgierigheid en financieel gewin. Er is dus wel een groep hackers die delicten pleegt voor het geld, maar een andere ontwikkeling lijkt dominanter: de democratisering van hacken (hacken is niet langer voorbehouden aan vergevorderde computeraars) en de daarbij horende motieven die in de relationele sfeer liggen (we zien dan ex-geliefden of jongeren die elkaar dwars zitten door gevoelige informatie openbaar te maken of elkaar zwart te maken). Er is, kortom, blijkens onze dossierstudie geen sprake van een eendimensionale ve r- schuiving van hacking for fame naar hacking for fortune, de verschuiving is meerzijdig, vooral omdat hacken steeds meer van het volk is geworden. Opmerkelijk daarbij is de opkomst van hacking for revenge. Cybercrimeverdachten zijn in de regel in Nederland geboren mannen onder de vijfenveertig jaar. De verdeling tussen mannen en vrouwen in de cybercrime dossiers wijkt significant af van de verdeling van de Nederlandse bevolking. Dit geldt in het bijzonder voor kinderporno, dat is een echt mannendelict. Bij twee typen cybercrime wijkt het percentage mannelijke verdachten significant af van de gemiddelde verdachte in HKS. Bij kinderporno is het percentage mannen groter. Bij e-fraude is het percentage mannen juist kleiner (p<0,01). Het plegen van bedrog via advertenties op online veilingsites is een delict waaraan relatief veel vrouwen zich schuldig maken: ruim een kwart van de e-fraude-verdachten is vrouw. Het is onbekend hoeveel burgers en bedrijven er in Nederland slachtoffer zijn van cybercrime. Slachtofferonderzoek ontbreekt. Uit onze dossierstudie blijkt dat met name individuen aangifte van cybercrime doen. Zowel mannen als vrouwen uit alle leeftijdsklassen wo r- den slachtoffer (waarbij vermeld moet worden dat mannen in de regel vaker slachtoffer zijn en dat de leeftijdscategorie 55+ ondervertegenwoordigd is). We vonden slechts een paar bedrijven die slachtoffer zijn geworden en aangifte deden. Van alle door de politie in Hollands-Midden en Zuid-Holland-Zuid geregistreerde meldingen en aangiften in 2007 betreft minder dan 1 procent cybercrime. Cijfers over politieregistraties zeggen echter niet veel over het daadwerkelijke aantal slachtoffers. Slechts een deel van alle delicten wordt aangegeven of gemeld. De aangiftebereidheid ligt bij cybercrime 9

15 lager dan bij klassieke criminaliteitsvormen. Om iets te kunnen zeggen over het dark number voerden we een onderzoek uit onder internettende Friezen. We zagen een aangiftebereidheid van 3,6 procent, gerekend over 56 slachtoffers van verschillende soorten cybercrime. Dat is significant lager dan het gemiddelde van 36 procent in 2008 voor alle delicten in de Integrale Veiligheidsmonitor (IVM) (Voorheen de Veiligheidsmonitor Rijk) (p<0,01). De aangiftebereidheid bij slachtoffers van cybercrime is dus laag, het dark number hoog. Hoe groot de aangiftebereidheid bij bedrijven is weten we niet. Aanbevelingen Er is erg weinig bekend over de omvang van cybercrime. Het geregistreerde aantal aangiften en meldingen lijkt erg laag. Met name bedrijven doen geen aangifte. We weten echter hoegenaamd niets over de aangiftebereidheid en het daadwerkelijke slachtofferschap. Slachtoffe r- enquêtes zijn nodig om beter inzicht te krijgen in de aard, omvang en aangiftebereidheid van cybercrime. Uit de politiedossiers is weinig af te leiden over daders, terwijl kennis over daders belangrijke aanwijzingen kan geven in de opsporing (daderprofilering), inzicht kan geven in preventiemogelijkheden en zicht kan bieden op mogelijkheden tot vroegsignalering. Meer kennis over daders vergt daderonderzoek. Indien de politie wil werken aan daderprofilering voor cybercrimes, dient zij ook informatie over aangehouden verdachten (beter) te registreren. Uit de dossierstudie komt een beeld naar voren dat cybercriminaliteit meestal gepleegd wordt door verdachten die relatief zelfstandig werken en geen verbanden hebben met georganiseerde misdaad. Dat wil niet zeggen dat georganiseerde criminele groeperingen zich niet bezighouden met cybercrime; net zoals in de offline wereld worden de meeste (kleine) delicten gepleegd door een grote groep verdachten en een klein deel van de criminaliteit wordt (systematisch) gepleegd door georganiseerde groeperingen. In de politiedossiers staat over georganiseerde cybercrime hoegenaamd geen informatie. Om daarover meer te weten te komen is speciaal daarop gericht onderzoek nodig. We analyseerden 665 politiedossiers. We weten echter niet welke zaken zijn doorgestuurd naar het OM en of uiteindelijk verdachten veroordeeld zijn. Vervolgonderzoek is nodig om zicht te krijgen op dat proces in de strafrechtketen en op knelpunten die zich in dat proces voordoen. We concludeerden dat politie in de volle breedte van de organisatie vaker te maken zal krijgen met cybercrime. Zij moet zich dus de kennis eigen maken om daarmee adequaat om te gaan. 10

16 Summary Introduction This study concerns cybercrime. The Dutch government gives priority to tracking and fighting cybercrime, and takes several legal and organisational measures. Taking measures requires knowledge concerning the nature and scope of this crime. However, it has been repeatedly established, also by the police and the judiciary themselves, that it is difficult for the police and the judiciary to keep up with the developments. There is a (substantial) lack of knowledge. The Dienst Nationale Recherche (DNR, Dutch criminal investigation department) of the Korps Landelijke Politiediensten (KLPD, Dutch national police services) therefore took the initiative for this research. This Study Cybercrime in The Netherlands 2009 should contribute to the knowledge level of the police and judiciary. In this study, we use the term cybercrime as the umbrella concept for all forms of crime in which ICT plays an essential role in the realisation of the offence. Not every form of cybercrime can be included in the study, the list of cybercrimes is simply too long. The following cybercrimes are addressed: hacking, e-fraud, cyber extortion, child pornography and hate sowing. These five were selected because of all cybercrimes, they constitute the most serious social problems, and (so) they receive the most attention from police and judiciary. Eventually, the study should contribute to the combat of cybercrime. A closer objective is to offer insight in the severity of the manifestations of cybercrime that are most relevant to the police. In order to determine the severity of cybercrime, we have composed four research questions. (1) What is the nature of the cybercrimes? (2) What do we know about the offenders? (3) What is the scope of the cybercrimes? (4) What is the social impact of the cybercrimes? Research Methods In order to answer these research questions, we first performed an international literature study, a media analysis, as well as a web research and document analysis. For the international literature study, we consulted multimedia centres, and looked for books, articles, reports and other relevant publications. The media analysis consisted of an analysis of reports about cybercrime in daily newspapers from The Netherlands in 2006 and This yielded information, not only about cybercrimes, but also for example about research reports, police actions and key persons. The web research consisted of an internet search for information about cybercrime, research reports and key persons. The document analysis meant that we studied policy and visionary documents concerning the combat of cybercrime. The main part of the study consisted of an analysis of police files. In total, we analyzed 665 files, among which 139 hacking files, 314 e-fraud files, 13 cyber extortion files, 159 child pornography files and 40 hate sowing files. Hacking Hacking is the deliberate and illegal entering into a computerized work, which was penalized in article 138a section 1 of the Dutch Criminal Code (electronic break-in). Hacking-related articles are copying, tapping or recording of data after entering (article 138a section 2 Sr), the deliberate or by fault causing of a disturbance in the system (articles 161 under paragraph six Sr and 161 under paragraph seven Sr, respectively), the deliberate of by fault destroying of data (article 350a Sr and 350b Sr, respectively), tapping and/or recording of data (article 139c Sr) and placing of recording, tapping and/or monitoring equipment (article 139d Sr). In literature, hackers are distinguished in various ways, among others on the basis of various primary motivations, such as acquiring knowledge, personal challenge, power and fi- 11

17 nancial profit. However, there does not seem to be any empirical foundation for the categories used. The image of various different categories of hackers does not emerge from our file study. Rather than clear-cut categories, the picture of a varied group of people emerges, although a few main characteristics can be denominated. The police files show that hacking seems to be primarily something for men under the age 45 who were born in The Netherlands. They seldomly commit their crimes in an organised setting, in the majority of the cases there is no more than one suspect. Hacking is often done in connection with relationships; suspect and victim are for instance ex-lovers, jealous husbands or school friends, but (former) business associates can also be involved. The primary motivation of the suspect is often revenge, but we have also seen other motivations, such as curiosity and financial profit. Most suspects from the hacking files do not have any antecedents, although they do have significantly more antecedents than the average Dutchman or woman. Suspects use various criminal techniques. Although most files are unclear about the precise techniques used, suspects in hacking-cases definitely use defacing web sites, installing keyloggers, making phishing web sites and social engineering. Botnets, DDoS-attacks, sniffing and spoofing seldomly occur in police files. The fact that in one-fifth to one quarter of the police files the hack is performed from abroad, within as well as outside Europe, seems to be the most important finding with regard to police investigation. Hacking is usually not an isolated offence. All in all, hacking is found to be connected with (1) cybercrime in the narrow sense (copying or destroying data or destroying or disturbing a comp uter system); (2) crimes against property (swindling, fraud, theft, extortion, embezzlement); (3) inter-personal conflicts (slander, threat, insult, stalking, assault). Hacking is primarily aimed at personal interests (financial profit, settling a conflict) and not at social disruption or general menacing. The issues are mainly rather ordinary, in which apparently ordinary people frustrate each other. Up to a point, hacking is democratized: it is no longer the exclusive domain of whizzkids, but it is also committed by people who are less well-versed in the technique. It is impossible to be precise about the exact scope of hacking. It is only a very small part of the crime registered by the police. The results from a victim study in Friesland, a Dutch county, show a substantial dark number. From (international) literature about cybercrime and information security we know that especially companies seem to be a frequent victim of (attempted) entrance in computer systems. Victims among individuals are less known. E-fraud Fraud is not listed as such in the Dutch Criminal Code; usually swindling (art. 326 Sr) and/or forgery are concerned (art. 225 Sr). E-fraud is fraud aimed at financial profit and for the execution of which ICT is essential. The manifestations of e-fraud we encountered in literature are: trade in false goods, false financial transactions, among which auction fraud and deposit fraud, and market manipulation. E-fraud can be committed with or without identity abuse. Identity abuse is assuming an other identity than the own digital identity, with the objective to obtain improper financial profit. The making of the false identity precedes the identity abuse. This can be done by identity theft (stealing the identity of an existing person), identity creation (creating a fictive identity) and identity delegation (assuming the identity of an existing person with his/her permission). In literature, the expectation is expressed that in the coming years e-fraud with identity abuse will make many victims and do much financial harm. In addition, deposit fraud is also seen as a concrete threat. In various parts, a different picture emerges from the analysis of the police files than from literature. Most files from the file study do not deal with Nigerian Scams (419-fraud) and identity theft, but with swindle through sales sites. E-fraud generally does not have any 12

18 connections with other (cyber) crimes. And where it does, there are connections with the theft of identity data (especially digital, but also non-digital) and sometimes also with hacking. These offences are then a means to commit the e-fraud. E-fraudsters usually work alone, and there is no organised crime involved, with the exception of a few files. According to the files, financial profit is the central motive. In general, e-fraud concerns fairly simple cases: the perpetrator places an advert or makes a website or gives information in an other way to seduce the victim to pay for certain goods or services which are subsequently never delivered. In short, most e-fraud cases are no technical fireworks. Perpetrators of e-fraud draw from a limited stock of techniques. There is social engineering in nearly every case. A few times phishing was used. The files with e-fraud frequently involve identity abuse. Although in literature attention is drawn quite often to cooperating fraud gangs (Nigerian scam, skimming), the major part of the frauds we found in our files was the work of swindlers that operate fairly simply. The image that e-frauds have above-average technical insights and skills, as literature claims, is not at all substantiated by our study. Of the suspects we know that they are usually born in The Netherlands, that they usually operate from The Netherlands, and that they are usually men, and from the age-group of years. E-fraud is not something for the age group of years, nor for persons older than 35. Apparently, persons between 18 and 34 years old have the optimal e-fraud equipment: they are old enough to have sufficient social skills for social engineering and young enough to be able to nimbly move about in cyberspace. Suspects are more often than average unemployed, but they live less often than average in a single household. So, with regard to their living arrangements they are not socially isolated, but they are with regard to their employment position. The lack of income from labour could be a (partial) explanation for the main motivation of financial profit. An analysis of legal antecedents shows that the e-fraud suspects also commit other offences, and so that they have a more extensive criminal repertoire than just fraud. This can also be explained from the fact most suspects are male and relatively young - and so they belong to the group of persons that commit offences relatively often. E-fraud features ten times more frequently in police files than hacking. From our own research we know that 2.2 per cent of 1,246 interviewed inhabitants of Friesland have been the victim of e- fraud in the past two years. Only one victim pressed cha rges (3,6%). This ind i- cates a high dark number. Cyber extortion With extortion is meant obtaining unlawful advantage due to threat or violence. We use the term cyber extortion when ICT is essential for the execution of the crime. Various manifestations are mentioned in literature: (1) Threat: threatening to paralyse websites or networks. (2) Damage and disruption: damaging essential data and disturbance of industrial production systems. (3) Shaming: publicising sensitive information (4) Protection: offering protection from for instance DDoS-attacks. These four manifestations may occur in any combination. The Dutch Criminal Code penalizes extortion in article 317 Sr (extortion). Also, articles 318 Sr (threatening) and 285 Sr (menacing) may apply. For the execution of these criminal techniques breaking into computer systems will usually be required, which is penalized in article 138a Sr. In case a computerized work is deliberately or by fault destroyed, the articles 161 under paragraph six en 161 under paragraph seven Sr apply. Articles 350a and 350b Sr apply in case of destruction of data. We only found 13 files about cyber extortion over the period Insofar as a connection with other crimes could be established, cyber extortion seems to be a continuation of earlier threats. Suspects extort victims by threatening to publicize sensitive information about the victim. The sensitive information is usually related to child pornography. Victims 13

19 have child pornography on their computers and are blackmailed because of that, or suspects put pressure on minor victims to send nude photos of themselves (and these are then used to blackmail the victim). At various moments during the analysis we assessed a connection between cyber extortion and offences related to relationships and/or sexuality. Apart from the above-mentioned child pornography, the following issues were found: relational problems, stalking and assault. One thing with the other implies that cyber extortion is related to sex crimes and/or sex offenders. The limited number of files does not allow for any bold conclusions, but this indication of a connection between youth, sex crimes and extortion is an area for further investigation. Literature does not give us much information about the offender characteristics of cyber extortioners. According to the KLPD there seems to be a cooperation between computer criminals from Western European countries, and organised groups of criminals from Russia and Eastern Europe. Hackers are recruited and engaged via the internet on the basis of their skills. The KLPD refers to the extortion of companies. This cannot be found in the file study. The suspects operate alone, and there are no criminal cooperations. Remarkably often the suspects are young (under 21 years). They do not use any criminal techniques. Collecting sens i- tive information about the victim is a preparatory act. The victim is always an individual, not a company. We do not have sufficient information to be able to pronounce upon the victims. Victim research among companies in the United States and Australia indicates that a substantial percentage of the companies (16-33%) has been the victim of cyber extortion. We have not found any information in literature about victims among civilians. The 13 cyber extortion files we found concerning the period all relate to individual victims, not companies. The fact that cyber extortion is no unfamiliar issue in The Netherlands we also know, because we have found one such case among the hacking files. In that case a DDoSattack was deployed to blackmail a company. A study into the caseload of cybercrimes in two police forces, did not yield any report of cyber extortion in A conclusion with regard to the scope of cyber extortion should therefore be that it is not very common or that the readiness to report it is very low, or both. Due to the limited number of reports, cyber extortion, specifically in combination with a DDoS attack, is not viewed as a concrete threat in the Dutch National Threat Assessment. According to other sources, the number of cyber extortions will increase in the future, because more and more companies are dependent on the internet, and the techniques required for extortion are easily available. Any empirical foundation for this claim is however not present. Child pornography Child pornography is penalized in The Netherlands in article 240bof the Criminal Code, which defines child pornography as the depiction of a sexual act, in which someone who apparently has not yet reached the age of eighteen years, is involved or seemingly involved. The ratio of article 240b Sr is that young people should be protected against actions and expressions that may encourage or seduce them to participate in sexual intercourse, and against actions and expressions that contribute to a sub-culture that promotes the sexual abuse of children. From figures of the Meldpunt Kinderporno (complaints centre child pornography), combined with earlier research into child pornography on the internet, we can deduce that child pornography on the internet is distributed in different ways: through spam, websites, peer-to-peer networks, virtual hard disks, news groups and chat. The method of distribution is subject to change; partly because new techniques are created continually, and partly because the suppliers of child pornography react to repressive measures. In literature two clear groups can be discerned among the adults who participate in the distribution of child pornographic material: the commercial group who aims at financial profit 14

20 and the enthusiasts whose primary motivation is to obtain more child pornographic material. The trade and production of child pornography increasingly seems to have become a business of organised groups, according to some sources. Child pornography is a lucrative business in which much money can be made. In literature we see five categories of offenders: makers and dealers, collectors, travellers, groomers/chatters and minor perpetrators (as sex offender). Our file study shows that Dutch suspects are not part of a professional criminal cooperation. Large-scale international researches into websites that are managed professionally occur a few times in the files. The Dutch suspects are customers (downloaders) of these websites. Of the five categories that appeared in literature, in the files we found at least the categories collectors and groomers/chatters. We also see in the files that dealers are active, but they are not a subject of research by the Dutch police. The cybercrime child pornography has little connections with other (cyber) crimes. If any, another sex offence, especially the possession of child pornography other than by ICT and sometimes the manufacture of child pornography, seem to be the only ones. Suspects also try to groom minors, for instance, or to assault victims by threatening to publicize sensitive information (e.g. nude photos). In most files there is only one suspect. These are mostly indigene men, mainly from the age group years. The most-mentioned primary motivation to commit the offence is curiosity. Suspects who mentioned curiosity as motivation, say they are not searching because of an established paedophile inclination, but they want to explore their boundaries. Further research into backgrounds, circumstances and motivations should be aimed at the question whether the offences of this group of sightseers could be prevented with measures that confirm the norm or restrict opportunities. Child pornography suspects do not live in one-person households more often than average, but they are unemployed more often than average. Most suspects either have MBO (intermediate vocational education) or HBO (higher vocational education). So far, they do not differ from the average Dutchman. There is also a group of young suspects who make child pornographic pictures of (other) minors, and distribute them. Just over half of the suspects has one or more antecedents. This is significantly more than the average Dutchman has. Further research will have to show the extent to which this difference is caused by the fact that child pornography suspects are nearly all men, and that they are younger than the average Dutchman and so belong to the group of persons (young men) that commit more crimes than average. Relatively many suspects have a record in the main categories violent sexual and other sexual (respectively 2,4 and 8,3%). Individuals suspected of possessing and/or distributing child pornographic pictures, apparently also commit other sex offences more often than average. Further research will have to show whether and how offences against article 240b Sr exactly connects to committing other sex-related crimes, if any. Our research indicates the existence of at least two discernable groups of suspects: a large group of individuals (53,4%) who download child pornography without having (they claim) an established paedophile inclination (exploratory behaviour, curiosity), and a relatively small group of individuals who do not only possess child pornography but also commit other sex offences. Both groups should be investigated further, in order to obtain a clearer insight in the characteristics of these persons and possible measures. There is a new group of child pornography distributors: the minors. Almost a quarter of the suspects in child pornography files is younger than 24 years (and of that group 35% is younger than 18 years). This can be explained by the fact that minor youngsters, whether voluntarily or not, make sexual photos and videos of themselves and/or each other. When this content is distributed via the internet (by the suspect him/herself, a classmate or acquaintance) it is a matter of distribution of child pornography according to article 240b Sr. 15