Rb. Rotterdam, 20-07-2016, nr. 1096016713

Inleiding

Centraal in deze zaak staat een malware die in 2012 en 2013 door middel van spamruns en het internet werd verspreid en die TorRAT wordt genoemd. Deze malware had tot doel om fraude te plegen bij (rekeninghouders van) ING en de Rabobank. Kort gezegd komt het er op neer dat grote aantallen spammails met veelal aanmaningen of voorstellen voor een betalingsregeling werden verzonden. In die mails zat ogenschijnlijk een link naar een openstaande factuur of ander (pdf)bestand, maar in werkelijkheid betrof het een programma dat de malware op de computer van de gebruiker installeerde. De malware werd door een Command and Control server op het internet aangestuurd. Bij het gebruik van internetbankieren op een besmette computer kon zo het rekeningnummer, de naam van de begunstigde en de omschrijving van de betaling worden aangepast, zonder dat dit voor de gebruiker van die computer (direct) zichtbaar was. Op deze wijze konden betalingen door de TorRAT malware worden gewijzigd en omgeleid naar de rekeningen van zogeheten money mules. Het voorgaande blijkt uit de aangiften van ING (bm 1 e.v.)1.en de Rabobank (bm 3 e.v.) en uit onderzoek van Fox-IT (bm 23 e.v.), de politie (bm 25 e.v. en 33) en Trendmicro (bm 30) en staat op zich ook niet ter discussie.2.

Relatie tussen TorRAT en de door de banken genoemde overboekingen

Wat wel in geschil is, is of de overboekingen genoemd in (de bijlagen bij) de aangiften van ING en de Rabobank het gevolg zijn van de TorRAT malware. De officier van justitie stelt dat dit het geval is. Zij heeft ter onderbouwing daarvan bij requisitoir een overzicht overgelegd met diverse dwarsverbanden van verschillende onderzoeksbevindingen. De verdediging heeft betoogd dat de causaliteit zich niet laat vaststellen. Hiertoe is onder meer aangevoerd dat uit de aangiften en rapportages van Fox-IT niet blijkt hoe deze causaliteit is vastgesteld en dat ook uit de getuigenverhoren niet duidelijk is geworden wie de bijlagen bij de aangiften heeft opgesteld en op welke wijze dat is gebeurd. Verder is er in dit verband op gewezen dat getuige/deskundige Sandee heeft aangegeven wat er nodig is om de causaliteit vast te stellen en dat het overzicht van de officier van justitie daaraan niet voldoet. Meer in het algemeen is betoogd dat uit het dossier blijkt dat er in de pleegperiode verschillende virussen waren die gericht waren op banken en dat onvoldoende duidelijk is hoe de banken de in de aangiften genoemde bedragen aan TorRAT hebben toegeschreven.

De rechtbank overweegt hierover het volgende.

De verdediging voert terecht aan dat niet duidelijk is geworden wie de bijlagen bij de aangiften van de banken heeft opgesteld en aan de hand van welke criteria dat is gebeurd. Dit betekent dat niet reeds op basis van die aangiften aangenomen kan worden dat het inderdaad gaat om transacties die zijn veroorzaakt door de TorRAT malware. Daarvoor is aanvullend bewijs nodig. Bij de beoordeling daarvan kiest de rechtbank voor de hierna volgende aanpak.

1. Welke overboekingen zijn relevant voor de bewijsbeoordeling?

In de aangiften van de banken wordt een groot aantal overboekingen naar een substantieel aantal begunstigden genoemd. Niet al die overboekingen en begunstigden zijn relevant voor de vraag of de feiten bewezen kunnen worden. Zo gaat het bij feit 1 alleen om gelden die witgewassen zijn. Dat gebeurde, zoals hierna zal blijken, doordat geld van de rekeningen van money mules – al dan niet na verdere doorboekingen – werd opgenomen in contanten of werd gebruikt om bitcoins te kopen. Overboekingen die de banken hebben tegengehouden of veiliggesteld voordat de bedragen zijn opgenomen of doorgeboekt, zijn op zichzelf dus niet relevant voor de beoordeling of feit 1 bewezen kan worden. Voor feit 2 (criminele organisatie) geldt dit zelfs in sterkere mate. Voor dit feit is op zich niet vereist dat concrete overboekingen worden vastgesteld als gevolg van TorRAT. Feit 2 betreft immers het lidmaatschap van een criminele organisatie met bepaalde oogmerken, en niet individuele fraudegevallen.

Gelet op het voorgaande zal de rechtbank eerst ingaan op de begunstigden zoals die blijken uit de configuratiebestanden en daarna op diverse andere begunstigden waarvan de rechtbank van oordeel is dat die van belang zijn voor de vraag of feit 1 en/of feit 2 ten aanzien van een of meerdere verdachten bewezen kunnen worden. Overboekingen waarvan de officier van justitie bij requisitoir3.heeft erkend dat deze niet zijn witgewassen en/of waarvan uit de aangiften van de Rabobank blijkt dat deze de bedragen heeft kunnen veiligstellen4., blijven buiten beschouwing, tenzij deze relevant zijn om bepaalde dwarsverbanden aan te tonen.

2. De rekeninghouders uit de configuratiebestanden

Uit het onderzoek van Fox-IT blijkt dat de TorRAT malware werd aangestuurd door middel van configuratiebestanden. Die bestanden bevatten onder meer de bankrekeningnummers met namen van rekeninghouders waarnaar de malware geld moest overmaken. In § 3.7 van het rapport d.d. 22 maart 2013 van Fox-IT (bm 23) wordt een overzicht gegeven van die rekeningen/begunstigden. De juistheid van dat overzicht staat als zodanig niet ter discussie5.en de rechtbank heeft ook geen enkele reden om daaraan te twijfelen. Gelet op wat bekend is over de werking van de malware is wettig en overtuigend bewezen dat de in de aangiften genoemde betalingen naar deze bankrekeningen in ieder geval het gevolg zijn van de TorRAT malware. Gelet op de grote schaal waarop overboekingen zijn gedaan naar uitgerekend money mules genoemd in de configuratiebestanden, kan een andere oorzaak van die overboekingen uitgesloten worden.

3. Overige relevante begunstigden

De rechtbank stelt ten aanzien van de navolgende begunstigden het volgende vast.

[begunstigde 1] , SOL, [begunstigde 2] en [begunstigde 3]

Over deze vier begunstigden wordt het volgende vastgesteld:

- Op de rekeningen van deze vier begunstigden is (onder meer) ingelogd door middel van de IP adressen 95.211.10.3 en/of 95.211.13.35 in de maanden augustus en september 2012. Vanaf die IP adressen is ook ingelogd op de rekeningen van Stichting Aandelenbeheer MBN en [begunstigde 4] (bm 38), twee van de begunstigden genoemd in de configuratiebestanden (bm 23).6.

- Op de rekeningen van [begunstigde 1] , [begunstigde 3] en [begunstigde 2] is tevens ingelogd vanaf het IP adres 95.211.92.234 (bm 38), welk IP adres ook is gebruikt in samenhang met de TorRAT spamrun via aangever 9yards (zie hierover de aangifte van 9yards (bm 9), de aanvullende verklaring van deze aangever met daarin voornoemd IP adres (bm 10) en het overzicht van de spamruns (bm 33)).

- Uit de aangifte van VOF Romijnders (bm 17) blijkt dat van de rekening van deze aangever zowel gelden frauduleus zijn overgeboekt naar S.O.L. B.V. als naar A.R. [begunstigde 5] (een van de begunstigden uit de configuratiebestanden, zie bm 23).

[begunstigde 6] en [begunstigde 7]

Het hiervoor al genoemde IP adres 95.211.10.3 is ook gebruikt om in te loggen op de rekening van [begunstigde 6] en [begunstigde 7] (bm 39). Op de rekening van [begunstigde 6] is tevens ingelogd vanaf het eveneens hiervoor genoemde IP adres 95.211.13.35 (bm 39).

Wiro Bouw en Ceco Handelsonderneming (eenmanszaken van W. [begunstigde 8]7.).

Blijkens de aangifte van de Rabobank is een deel van het op rekening van Wiro Bouw gestorte geld doorgeboekt voor bitcoins, door middel van het hiervoor al genoemde IP adres 95.211.13.35 (zie p. 330 van het dossier). Verder is op de rekening van [begunstigde 8] ingelogd vanaf de hiervoor al genoemde IP adressen 95.211.10.3, 95.211.13.35 en 95.211.92.234 (bm 39).

[begunstigde 9]

heeft verklaard dat hij en M. [begunstigde 10] (een van de money mules uit de configuratiebestanden, zie bm 23), door dezelfde persoon zijn benaderd (bm 149). Verder blijkt uit de aangifte van Woonland B.V. (bm 22) dat van de rekening van Woonland B.V. zowel gelden frauduleus zijn overgeboekt naar [begunstigde 9] als naar A.R. [begunstigde 5] (een van de begunstigden uit de configuratiebestanden, zie bm 23).

[begunstigde 11]

Blijkens de aangifte van Boerkamp Auto-elektriciteit (bm 18) zijn er niet alleen bedragen frauduleus overgeboekt naar deze rekeninghouder, maar ook naar A.R. [begunstigde 5] (een van de begunstigden genoemd in de configuratiebestanden, bm 23).

Mohican C.V.

Blijkens de aangiften van de Rabobank is er een groot aantal overboekingen gedaan naar drie rekeningen op naam van Mohican (C.V.), waaronder diverse overboekingen van bankrekeningen van de bedrijven Omition, Minirity Events en Unity Evert Crew (zie Annex 4). Blijkens de aangifte van de eigenaar van deze bedrijven (bm 19) had deze een spammail ontvangen van rechtspraak.nl (spamrun 11 uit het onderzoek, bm 33).

[begunstigde 16] (later genaamd [begunstigde 17] )

Over deze begunstigde wordt het volgende vastgesteld:

- Gelden die frauduleus zijn overgeboekt naar de rekening van [begunstigde 16] zijn doorgeboekt naar de rekening van M. [begunstigde 12] (bm 32), een begunstigde uit de configuratiebestanden (bm 23);

- Vanaf diverse IP-adressen wordt zowel ingelogd op de rekening van [begunstigde 13] (een begunstigde genoemd in de configuratiebestanden) als op de rekening van [begunstigde 16] . (bm 38).

V.G. [begunstigde 14] en [begunstigde 15]

Zowel [begunstigde 14] als [begunstigde 15] zijn geronseld door medeverdachte [verdachte 7] om frauduleus verkregen gelden op te nemen (bm 154, 2 en 143). Er zijn een aantal dwarsverbanden tussen deze begunstigden en TorRAT te leggen. Allereerst ronselde [verdachte 7] ook [naam 15] , één van de begunstigden genoemd in de configuratiebestanden (bm 143 en 23).8.De gegevens van [begunstigde 14] en [begunstigde 15] worden bovendien doorgegeven in Tormails (#055 respectievelijk #012). Nu de Tormails evident betrekking hebben op de TorRAT fraude, blijkt ook daaruit dat zij als money mules voor TorRAT zijn gebruikt. Voor [begunstigde 15] geldt verder dat op haar rekening geld is bijgeschreven vanaf de rekening van Autobedrijf Alewijn Ott B.V. Blijkens de aangifte van dit bedrijf hadden zij een spammail op naam van Embuste advocaten ontvangen (bm 21) en die spammail is te linken aan TorRAT (bm 33).

4. Slotsom ten aanzien van de causaliteit

De rechtbank is van oordeel dat voor de overboekingen naar de begunstigden uit de configuratiebestanden en de overige hiervoor genoemde begunstigden wettig en overtuigend bewezen kan worden dat deze het gevolg zijn van de TorRAT malware. Anders dan de verdediging is de rechtbank van oordeel dat niet per individuele transactie aan de hand van de sessiegegevens van de banken beoordeeld hoeft te worden dat het gaat om een overboeking als gevolg van deze malware. De combinatie van de aangiften en de hiervoor genoemde dwarsverbanden zijn naar het oordeel van de rechtbank toereikend bewijs van de causaliteit tussen de malware en een groot aantal overboekingen en er zijn geen of onvoldoende concrete feiten en omstandigheden aannemelijk geworden die daaraan afdoen (in de zin van de Meer en Vaart-jurisprudentie). Het is niet aannemelijk geworden dat een andere (banking) malware, of een andere dadergroep dan de daders achter TorRAT, (een deel van) deze overboekingen heeft veroorzaakt. De stelling dat dit mogelijk is gebeurd, gaat er zonder adequate onderbouwing aan voorbij dat er op grote schaal betalingen zijn gedaan aan de personen die worden genoemd in de configuratiebestanden en aan andere personen die door middel van diverse dwarsverbanden aan deze malware kunnen worden gelinkt. De suggestie dat de hier bedoelde money mules mogelijk niet alleen voor TorRAT maar ook voor andere gevallen van cyberfraude zijn geronseld, is speculatief, niet onderbouwd en wordt reeds daarom verworpen. Nader onderzoek door een deskundige, zoals door de verdediging van sommige verdachten – naar de rechtbank begrijpt: meer subsidiair en dus voorwaardelijk – is verzocht naar de wijze waarop Fox-IT / de banken zijn gekomen tot de vaststelling van de lijsten bij de aangiften, acht de rechtbank in het licht van het voorgaande niet noodzakelijk.

Witwassen

Uit de bijlagen bij de aangiften van de banken, verklaringen van diverse money mules en het politieonderzoek (bm 32) blijkt dat bedragen die succesvol werden overgeboekt naar de rekeningen van money mules, voor zover niet door de banken in beslag genomen, veelal contant werden gemaakt door middel van betalingen of werden omgezet in bitcoins, al dan niet nadat zij eerst waren doorgeboekt naar rekeningen van 2de lijns money mules. De opgenomen, doorbetaalde en/of in bitcoins omgezette bedragen zijn op deze wijze witgewassen.9.

Uit de repliek van de officier van justitie maakt de rechtbank op dat de verdachten niet wordt verweten dat er bitcoins zijn witgewassen, maar dat er geld is witgewassen door dit om te zetten naar bitcoins. De verdachten zullen vrijgesproken worden van het deel van de tenlastelegging waar hen wordt verweten dat zij bitcoins hebben witgewassen.

Het bestaan van een criminele organisatie, de leden daarvan (feit 2) en het medeplegen van het witwassen (feit 1)

Inleiding

Inherent aan de hiervoor beschreven cyberfraude is het bestaan van een daarop gerichte organisatie. Malware is ontwikkeld, servers zijn gehackt om met behulp van spamruns de malware te verspreiden en money mules zijn geregeld om de beschikking te krijgen over rekeningen om gelden op te laten storten. Deze handelwijze vergt een planmatige aanpak, samenwerking en duidelijke afstemming tussen de daarbij betrokken personen. Zo moesten de gegevens van de money mules worden verwerkt in de configuratiebestanden voordat geld overgemaakt kon worden en moest geregeld worden dat geld zo kort mogelijk na uitbetaling werd opgenomen of overgemaakt. De ‘technische kant’ en de ‘money mule-zijde’ moeten dan ook in frequent en nauw verband met elkaar hebben gestaan. Dit heeft plaatsgevonden gedurende geruime tijd en er kan dus zonder meer gesproken worden van een duurzaam en gestructureerd samenwerkingsverband. Kortom, er is sprake van een criminele organisatie.

Die organisatie blijkt ook uit de Tormails tussen Cheng, Chong, Chang, Ching, Jantje, Xel en Eng (zie § B van bijlage II bij dit vonnis). Enkele voorbeelden ter illustratie: in die Tormails worden bankgegevens van money mules en gegevens van betrokken bedrijven gedeeld en een spamrun aangekondigd, een financiele afrekening gemaakt, aanwijzingen gegeven om laptops en telefoons weg te gooien vanwege een lopend onderzoek, wordt overlegd over afspraken bij de kamer van koophandel en er zijn diverse dwarsverbanden tussen het adres [mailadres 4]10.[mailadres 4] en het beheer van de TorRAT malware.

De rechtbank is van oordeel dat er voldoende bewijs is dat achter de bijnamen Cheng, Chong, Chang, Ching, Jantje en Xel de verdachten [verdachte 1] , [verdachte 5] , [verdachte 4] , [verdachte 3] , [verdachte 2] en [verdachte 6] schuilgaan en dat zij lid van de criminele organisatie (feit 2) en medepleger van het witwassen (feit 1) zijn.11.12.Ter toelichting hierop wordt het volgende overwogen.

Verdachte [verdachte 1] (Cheng)

[verdachte 1] is Cheng. Dat kan als volgt worden vastgesteld:13.

a. In Tormail #034 schrijft Chong aan Ching dat Cheng het nummer [telefoonnummer 1] gebruikt. De historische gegevens van dat nummer zijn vergeleken met het nummer dat op naam staat van [verdachte 1] , [telefoonnummer 2] . Daaruit blijkt dat de beide telefoonnummers zich op meerdere tijdstippen rond dezelfde locatie bevonden. Ook is gebleken dat er geen momenten zijn aan te wijzen waarop de mastgegevens zo ver uit elkaar liggen dat het niet mogelijk is dat deze nummers zich in dezelfde omgeving bevonden (bm 105).

b. In Tormail #038 d.d. 14 november 2012 om 09.32 uur schrijft Cheng aan Ching, Chang en Chong dat hij net de trein heeft gereserveerd; vertrek dinsdag 1150 uit Calais terug 1550 lokale tijd. Uit Tormails #041, #047 en #050 blijkt dat het gaat om een bezoek in Engeland van Ching, Cheng, Chang en Chong bij ‘Eng’ ( [naam 18] ). Onder [verdachte 1] is een telefoon in beslag genomen (bm 115) en uit de telefonische contacten van die telefoon blijkt dat met die telefoon op 14 november 2012 is gebeld met het nummer 09005040540, het reserveringsnummer van de Eurotunnel (bm 116). Op 15 november 2012 heeft Eurotunnel een reservering bevestigd aan ‘de heer P. [verdachte 1] ’ (bm 117). Zingstra heeft bevestigd dat hij in Engeland is opgezocht door een delegatie en verklaart dat [verdachte 1] daar deel van uitmaakte (bm 142).

c. [verdachte 1] en [verdachte 5] zijn op 7 december 2012 aangehouden in het onderzoek Rotterdam / Dash (bm 155). Op zaterdag 8 december 2012 verstuurde Chang Tormail #062 aan Ching waarbij hij aangaf dat Chong en Cheng afgelopen vrijdag samen met lid Assen naar een project zijn gegaan; nadien is er niets meer van hen vernomen en zijn zij niet bereikbaar. Op 9 december 2012 reageert Ching daarop met Tormail #085 dat hij (Ching) wil weten wat er aan de hand is, want hij heeft Cheng al een aantal keren op de chat gehad, maar hij reageert nergens op. In de fouillering van de verdachte [verdachte 1] is een telefoon aangetroffen. Daarop is het volgende ontvangen sms-bericht aangetroffen: ‘What is happening? Ik zie je op chat en krijg geen reactie? laat me ff wat weten. Gr.” (bm 155). Dit bericht is afkomstig van het Thaise nummer van verdachte [verdachte 3] (bm 155 jo 107). Op 10 december 2012 zijn de verdachten [verdachte 1] en [verdachte 5] heengezonden (bm 155) en op 13 december 2012 verstuurde Cheng Tormail #018 aan Ching en Chang, waarbij Cheng aangaf dat alle laptops en telefoons z.s.m. weggegooid moesten worden, omdat er een onderzoek liep.

Door de verdediging van verschillende verdachten is aangevoerd dat uitgesloten is dat [verdachte 1] tijdens zijn detentie toegang had tot de chat, dus dat hij niet degene kan zijn die op de chat gezien is. De rechtbank wijst erop dat uit Tormail #092 blijkt dat chatgesprekken tussen Cheng c.s. niet soepel liepen en dat het voorkwam dat men elkaar wel zag, maar dat er niet werd gereageerd en dat de techniek niet goed functioneerde.

De hier besproken omstandigheden moeten niet alleen in onderlinge samenhang worden gezien, maar ook in de context dat bij [verdachte 1] diverse voorwerpen zijn gevonden die onmiskenbaar zijn gerelateerd aan de TorRAT fraude (de SD-kaart in zijn huis (bm 124 e.v.) en de dongels (bm 123) en meerdere telefoons (bm 113 en 114) in zijn auto). Verder wordt gewezen op de verklaringen van de money mule [begunstigde 8] die [verdachte 1] aanwijst als degene voor wie hij een rekening opende (bm 146). De betrokkenheid van [verdachte 1] bij TorRAT blijkt dus ook (en in ruime mate) uit andere hoofde.

Over de SD-kaart heeft de verdediging van [verdachte 1] aangevoerd dat het gaat om gegevens die op unallocated clusters staat en dat er geen zekerheid is dat het gaat om verwijderde bestanden, wanneer een eventuele verwijdering zou zijn gebeurd en of die SD-kaart is gebruikt op de computer van [verdachte 1] . Geen van deze (en overige) aangevoerde argumenten doen er echter aan af dat op die SD-kaart bijzonder veel relevante TorRAT informatie stond.

Dat [verdachte 1] niet alleen lid van de criminele organisatie was, maar ook een leidinggevende rol had, blijkt uit de Tormails. Die leidinggevende rol wordt nog eens bevestigd, zij het in een iets andere context, door de verklaring van [verdachte 8] dat [verdachte 1] bij het witwassen in het deelonderzoek Rotterdam / Dash de leiding had (bm 147 e.v.).

Ten aanzien van het witwassen wordt nog het volgende overwogen. Dat geen concrete betrokkenheid bij alle opnamen, doorboekingen of money mules kan worden aangetoond, doet er niet aan af dat [verdachte 1] ook daarvoor als medepleger kan worden aangemerkt. Zoals hiervoor al is aangegeven, bestond er een nauw organisatorische verwevenheid tussen de technische kant van de fraude en de money mule zijde. Over en weer maakten deze twee zijden het mogelijk om deze fraude succesvol te plegen en over de gestolen gelden uiteindelijk te kunnen beschikken door middel van witwassen. [verdachte 1] was als geen ander daarvan op de hoogte en hij heeft daaraan een actieve, sturende bijdrage geleverd.

Verdachte [verdachte 5]

is Chong. Dat kan als volgt worden vastgesteld:

a. In Tormail #034 d.d. 7 november 2012 schrijft Chong aan Ching dat Chong het nummer [telefoonnummer 3] gebruikt. [verdachte 5] heeft bij de politie het nummer [telefoonnummer 4] als zijn nummer opgegeven (bm 108). De historische gegevens van deze telefoonnummers zijn vergeleken. Daaruit blijkt dat de beide telefoonnummers veelvuldig masten in de omgeving van de [adres 2] te Haarlem (nabij de woning van de verdachte) aanstralen. Bovendien hebben de beide nummers op 1 november 2012 op vrijwel gelijke tijden ‘welkom in het buitenland’ sms-berichten ontvangen (bm 109). Verder blijkt uit onderzoek dat deze twee nummers regelmatig in elkaars nabijheid zijn (bm 110).

b. Bij de aanhouding op 7 december 2012 is een rugzak van [verdachte 5] in beslag genomen (bm 118). Daarin zat een map met de bankpas van [verdachte 5] (bm 122) en diverse papieren, waaronder een overzicht van tegoeden van Cheng (rechtbank: [verdachte 1] ) en Chong (bm 121).

c. In Tormail #061 d.d. 6 december 2012 schrijft Chang aan Ching dat Chong 3600 prive heeft gepind. Blijkens de bankafschriften van de rekening van [verdachte 5] heeft hij een bedrag van € 3.600,00 gepind op 28 juni 2012 (bm 164).

De hier besproken omstandigheden moeten niet alleen in onderlinge samenhang worden gezien, maar ook in de context dat bij [verdachte 5] diverse andere voorwerpen zijn gevonden die onmiskenbaar met de TorRAT fraude samenhangen. Zo is in de hiervoor al genoemde rugzak van [verdachte 5] ook een doorboekformulier aangetroffen met de namen en rekeningnummers van Frank [naam 7] en [naam 3] (bm 119) en een adressenlijst, met daarop onder meer de namen C.J. [naam 5] , D.K. [naam 4] en [naam 6] (bm 120). Al deze namen komen terug in het financiële / technische onderzoek: [naam 7] en [naam 3] worden genoemd in de configuratiebestanden met de bankrekeningnummers die ook op het doorboekformulier staan (bm 23), de gegevens van [naam 4] zijn gebruikt bij de registratie van de domeinnaam [mailadres 1] die is gebruikt bij een spamrun (bm 167), de gegevens van [naam 5] zijn gebruikt voor het emailadres [mailadres 2] (bm 167) en de naam [naam 6] sluit aan bij de naam van de afzender ( [naam 8] ) van een emailbericht waarin een TorRAT virus wordt gezonden van het adres [mailadres 3] naar het adres [mailadres 2] (bm 29 en 28). Verder is in de woning van [verdachte 5] een laptop gevonden met daarop een chatgesprek uit februari 2013 dat aansluit bij het witwassen van gestolen geld naar bitcoins (bm 129). Money mule [begunstigde 8] wijst bovendien [verdachte 5] aan als een van degenen aan wie hij het geld dat op zijn bankrekening werd bijgeschreven, afdroeg (bm 146).

De betrokkenheid van [verdachte 5] bij TorRAT blijkt dus niet alleen uit de Tormails maar ook (en in ruime mate) uit andere hoofde.

Door de verdediging van [verdachte 5] is aangevoerd dat niet vaststaat dat de papieren in de rugzak van hem zijn. Dit verweer slaagt niet. Niet alleen zaten deze papieren in de rugzak van [verdachte 5] , maar een deel van die papieren zat bovendien in een map waarin ook zijn eigen bankpas zat (bm 122).

Geconcludeerd wordt dat [verdachte 5] lid is van de criminele organisatie achter TorRAT. Tevens is hij medepleger van het witwassen. Ook voor hem geldt dat de diefstal van het geld enerzijds en het witwassen daarvan anderzijds zo nauw met elkaar verbonden zijn, dat het medeplegen van die diefstal ook medeplegen van het witwassen met zich brengt.

Anders dan de officier van justitie acht de rechtbank niet bewezen dat [verdachte 5] leiding gaf aan de criminele organisatie.

Verdachte [verdachte 4]

is Chang. Dat kan als volgt worden vastgesteld:

a. Uit de verklaring van [verdachte 6] blijkt dat [verdachte 6] door [verdachte 4] is bezocht na de aanhouding van [verdachte 1] en [verdachte 5] op 7 december 2012 in het deelonderzoek Rotterdam / Dash en met de politie concludeert Soholiait dat [verdachte 4] dus Chang is (die in Tormail #062 zegt bij lid Assen ( [verdachte 6] ) langs te zullen gaan) (bm 139 en 141).

b. In Tormail #034 schrijft Chong aan Ching dat Chang het nummer [telefoonnummer 5] gebruikt. R.S. [naam 9] heeft verklaard dat [verdachte 4] de telefoonnummers [telefoonnummer 6] en [telefoonnummer 7] gebruikt. De historische gegevens van deze telefoons zijn vergeleken en daar blijkt uit dat het nummer van Chang en de nummers van [verdachte 4] regelmatig in elkaars nabijheid zijn (bm 111 en 112).

c. Uit de hiervoor bij [verdachte 1] al besproken Tormails blijkt dat ook Chang op 20 november 2012 meeging met het bezoek naar Engeland. Zingstra heeft [verdachte 4] herkend als een van de leden van de delegatie (bm 142).

Ook voor [verdachte 4] geldt dat deze omstandigheden niet alleen in onderlinge samenhang moeten worden gezien, maar ook in de context met de overige bewijsmiddelen. Zo is bij een huiszoeking bij [verdachte 4] een dongel aangetroffen waarmee is ingelogd op bankrekeningen van money mules (bm 130). Ook is een simkaarthouder gevonden van een sim-kaart waarmee is ingelogd op de rekening van E. [naam 10] (een van de begunstigden genoemd in de configuratiebestanden (bm 131, 132 en 23). Verder staan op een telefoon die onder [verdachte 1] in beslag is genomen sms-berichten met de namen en gegevens van [verdachte 7] en [begunstigde 14] , twee van de money-mules (bm 114). Die sms-berichten zijn uitgewisseld met het nummer [telefoonnummer 8] waarvan aannemelijk is dat deze door [verdachte 4] werd gebruikt (bm 112). R. [naam 9] verklaart dat [verdachte 4] en [verdachte 3] haar hadden gevraagd of zij de bedrijven ZZITC en MNB (twee money mules uit de configuratiebestanden, 23) op haar naam wilde zetten. Zij verklaart dat [verdachte 4] en [verdachte 3] wisten dat ‘ik in de shit zat en daarom vroegen ze mij’ (bm 145). Ook [verdachte 6] verklaart dat hij pasjes aan [verdachte 4] afgaf (bm 139). Ook voor [verdachte 4] geldt dus dat zijn betrokkenheid bij TorRAT niet alleen uit de Tormails blijkt, maar ook en in voldoende mate uit andere omstandigheden.

Het verweer dat de dongel en de simkaarthouder mogelijk door [verdachte 3] in de woning van [verdachte 4] zijn achtergelaten en dat [verdachte 3] mogelijk het nummer gebruikte dat aan Chang wordt toegeschreven, slaagt niet, gelet op het geheel van de overige hiervoor bedoelde omstandigheden.

Ook voor [verdachte 4] wordt dus wettig en overtuigend bewezen geacht dat hij lid was van de criminele organisatie achter TorRAT en medepleger van het witwassen. Niet bewezen is het tenlastegelegde leidinggeven aan die criminele organisatie.

Verdachte [verdachte 3] (Ching)

[verdachte 3] is Ching. Dat kan als volgt worden vastgesteld:

a. Ook voor de identificatie van Ching zijn de Torberichten in de dagen na 7 december 2012, de aanhouding van [verdachte 1] en [verdachte 5] , van belang. Op 9 december 2012 schreef Ching in Tormail #085 dat hij (Ching) wil weten wat er aan de hand is, want hij heeft Cheng al een aantal keren op de chat gehad, maar hij reageert nergens op. In de fouillering van de verdachte [verdachte 1] is een telefoon aangetroffen. Daarop is het volgende ontvangen sms-bericht aangetroffen: ‘What is happening? Ik zie je op chat en krijg geen reactie? laat me ff wat weten. Gr.” (bm 155). Dit bericht is afkomstig van het Thaise nummer van verdachte [verdachte 3] (bm 155 jo 107). Naar aanleiding van de Torberichten in verband met de aanhouding van [verdachte 1] en [verdachte 5] op 7 december 2012 heeft [verdachte 6] de conclusie van de politie bevestigd dat [verdachte 3] Ching is (bm 139 en 141).

b. Uit de hiervoor bij [verdachte 1] al besproken Tormails blijkt dat ook Ching op 20 november 2012 meeging met het bezoek naar Engeland. Zingstra heeft [verdachte 3] herkend als een van de leden van de delegatie (bm 142).

c. In Tormail #034 geeft Chong aan Ching de telefoonnummers van Cheng, Chong en Chang door. Blijkens het politieonderzoek hebben deze drie telefoonnummers één gemeenschappelijk contact, nummer [telefoonnummer 9] , en dat nummer heeft contact gehad met diverse familieleden van [verdachte 3] (bm 106).

Ook voor [verdachte 3] geldt dat deze omstandigheden niet alleen in onderlinge samenhang moeten worden gezien, maar ook in de context met de overige bewijsmiddelen. Zo is [verdachte 3] (naast [verdachte 4] ) aangewezen door R. [naam 9] . Zij verklaarde dat [verdachte 4] en [verdachte 3] haar hadden gevraagd of zij de bedrijven ZZITC en MNB (twee money mules genoemd in de configuratiebestanden, bm 23) op haar naam wilde zetten (bm 145). Dit wordt bevestigd door [naam 11] , die wijst naar ‘Dennis met een Thaise vrouw’ als degene voor wie hij bedrijven heeft overgedragen aan [naam 9] (bm 150). Ook zegt [naam 11] Jeansshop aan Dennis te hebben overgedragen (bm 150).14.Verdachte [begunstigde 17] (ook wel aangeduid als [begunstigde 16] en een van de money mules) zegt dat hij zijn pasjes heeft afgegeven aan een man die in Thailand woonde, naar uit de verklaring van R. [naam 12] blijkt: [verdachte 3] (152 en 153). Verder zijn door getuige [naam 13] in zijn woning papieren gevonden die volgens de getuige door [verdachte 3] zijn achtergelaten, waaronder een brief van ING aan Mohican CV (een van de money mules) met inloggegevens voor internetbankieren (bm 133 e.v.). Kortom, gelet op het voorgaande, en gelet op de Tormails, is de betrokkenheid van [verdachte 3] bij TorRAT bewezen.

Ook voor [verdachte 3] is het lidmaatschap van de criminele organisatie achter TorRAT en het medeplegen van het witwassen wettig en overtuigend bewezen. Over het witwassen wordt nog overwogen dat – naast de verklaringen van verschillende money mules – ook uit de Tormails blijkt dat [verdachte 3] hierbij betrokken was. Verwezen wordt naar Tormail #004 – waarin Ching aan Cheng de gegevens door geeft van money mule [naam 17] .15.

Er is onvoldoende wettig en overtuigend bewijs dat [verdachte 3] leiding heeft gegeven aan de criminele organisatie.

Verdachte [verdachte 2] (Jantje)

[verdachte 2] is Jantje. Dat blijkt reeds uit het feit dat in Tormail #202 door Jantje wordt geschreven dat hij 11 bitcoins heeft betaald op een bepaald bitcoin adres en dat uit onderzoek van de politie blijkt dat deze betaling is gedaan vanaf een op naam van [verdachte 2] staande account bij Mount Gox in Japan (bm 165 en 166). Daarnaast gebruikt [verdachte 2] het wachtwoord qwertyqwerty12 (bm 138), welk wachtwoord redelijk zeldzaam is (bm 163) en is gebruikt in verband met het beheer van TorRAT (bm 162).16.

Het adres ‘ [mailadres 4] ’ komt in het technisch onderzoek naar de TorRAT malware veelvuldig voor. Zo fungeerde dit emailadres als testadres voor meerdere TorRAT spamruns (bm 33 e.v.) en is het gebruikt bij de registratie van de in een TorRAT spamrun gebruikte domeinnaam [mailadres 1] (Tormail 113 en bm 167). Verder is het emailadres gebruikt om te controleren of TorRAT door antivirussoftware wordt herkend (bm 30) en is [mailadres 4] te linken aan de Mullvad gebruiker die blijkens het politieonderzoek de command and control server heeft beheerd (bm 160 e.v.).

Door de verdediging van [verdachte 2] is het verweer gevoerd dat van de spamrun van 6 en 7 november 2012 niet is vastgesteld dat het gaat om een TorRAT spamrun. Dit verweer slaagt niet. Het ‘jantje’ emailadres is in ieder geval gebruikt voor twee spamruns, die van 6 en 7 februari 2013 en die van 6 en 7 november 2012. Van de spamrun van 6 en 7 februari 2013 wordt ook door de verdediging niet betwist dat dit TorRAT gerelateerd is. Nu bij beide spamruns hetzelfde emailadres wordt gebruikt, gaat de rechtbank bij gebreke van een inhoudelijke uitleg er van uit dat beide spamruns TorRAT betroffen.

Ook voor [verdachte 2] geldt daarom dat hij lid van de criminele organisatie achter TorRAT was. Meer specifiek was zijn rol die van beheerder van de TorRAT malware. Het verweer van de verdediging van [verdachte 2] dat niet uit te sluiten valt dat [mailadres 4] door meerdere gebruikers werd gedeeld en dat ‘Jantje’/ [verdachte 2] mogelijk niet op exclusieve basis de beheer over TorRAT voerde, slaagt niet. Het had op de weg van de verdachte gelegen om, als hij slechts één van de gebruikers was geweest, daarover tekst en uitleg te geven, terwijl bovendien ook een gedeeld beheer van TorRAT per definitie leidt tot de conclusie dat van medeplegen sprake is.

De rechtbank is van oordeel dat er geen sprake is van feitelijk leidinggeven. Dat [verdachte 2] een belangrijke intellectuele bijdrage leverde, betekent – zoals zijn advocaat terecht aanvoert – niet dat hij ook de lakens uitdeelde. Wel moet hij worden gezien als een van de oprichters van de criminele organisatie. Het is immers niet denkbaar dat de organisatie is opgezet zonder zijn actieve betrokkenheid. De malware vormt immers een cruciaal onderdeel in de fraude.

[verdachte 2] is voorts medepleger van feit 1, het witwassen. Ook voor hem geldt dat de diefstal van het geld enerzijds en het witwassen daarvan anderzijds zo nauw met elkaar verbonden zijn, dat het medeplegen van die diefstal ook medeplegen van het witwassen met zich brengt.

Verdachte [verdachte 6]

Verdachte [verdachte 6] heeft bekend dat hij de gebruiker van het [mailadres 5] adres is en dat hij vennootschappen heeft opgericht c.q. overgedragen, onder meer voor F. [naam 14] (ISF Group, een van de begunstigden genoemd in de configuratiebestanden, bm 23). Hij heeft verder erkend – zoals ook [naam 14] verklaart (bm 144) – dat hij de pasjes van de formele bestuurders innam en afgaf aan [verdachte 4] en [naam 11] (bm 139 e.v.). [naam 9] bevestigt dat [verdachte 6] meeging naar de kamer van koophandel toen zij de bedrijven ZZICT en Stichting Aandelenbeheer MBN Constructie – twee van de money mules uit de configuratiebestanden, bm 23) – van haar naam wilde hebben (bm 145).

[verdachte 6] heeft verklaard dat hij handelde voor een groep investeerders en dat hij geen kwaad zag in zijn werkzaamheden. De rechtbank gaat aan dit verweer voorbij. [verdachte 6] schakelde kwetsbare personen17.in als bestuurder of vertegenwoordiger van bedrijven, er liepen hoge bedragen via die bedrijven en zijn communicatie met [verdachte 4] liep via Tormails waarbij als extra veiligheidsmaatregel werd gewerkt met bijnamen. [verdachte 6] geeft geen logische verklaring voor de verschillende vennootschappen en de mensen er achter en evenmin waarom de pasjes en bankgegevens van de formele bestuurders aan [verdachte 4] en [naam 11] afgegeven werden en voor het geheimzinnige gedoe. Uit de politieverhoren blijkt bovendien dat [verdachte 6] geen verstand heeft van het besturen van vennootschappen, zoals hij ook heeft toegegeven op de zitting. Al met al kan het kan niet anders dan dat [verdachte 6] geweten heeft dat er sprake was van fraude en dat hij daaraan actief heeft meegewerkt.

Wettig en overtuigend is bewezen dat [verdachte 6] als lid ‘Xel’ deel heeft genomen aan de TorRAT criminele organisatie (feit 2) en medepleger is van het witwassen (feit 1). Weliswaar heeft hij een kleinere rol dan die van [verdachte 1] , [verdachte 4] , [verdachte 3] , [verdachte 5] en [verdachte 2] – zoals zijn raadsvrouw terecht aanvoert is [verdachte 6] een loopjongen voor de andere verdachten – maar zijn rol is nog steeds voldoende substantieel. Hij maakte het immers mogelijk om feitelijk over (een deel van) de gestolen gelden te beschikken.

Deelonderzoek Rotterdam

Afzonderlijke aandacht verdient het deelonderzoek Rotterdam. Het is niet in geschil dat het daar niet gaat om een TorRAT transactie, maar om een andere wijze van fraude met internetbankieren. Er is op frauduleuze wijze geld overgeboekt van de rekening van Katholieke Belangenvereniging Ooij naar Pharming Supplies CV en met een deel van dat geld zijn gouden munten gekocht bij TAV Hazel. Aldus is een deel van het gestolen geld witgewassen (bm 156 e.v.).

De rechtbank is van oordeel dat [verdachte 1] en [verdachte 5] als medepleger van het witwassen van dit geldbedrag kunnen worden gezien. [verdachte 1] en [verdachte 5] zijn aangehouden op 7 december 2012 toen zij in een auto zaten met [verdachte 8] en Enait, nadat [verdachte 8] en [verdachte 5] de munten bij de juwelier hadden opgehaald (bm 158 e.v). Uit de verklaring van [verdachte 8] blijkt dat [verdachte 1] hierbij de leiding had, terwijl [verdachte 5] bovendien een opmerking had gemaakt over de aanwezigheid van de politie (bm 147).

[verdachte 6] , [verdachte 2] , [verdachte 4] en [verdachte 3] dienen van dit deel van de tenlastelegging te worden vrijgesproken. Voor [verdachte 6] geldt dat er wel aanwijzingen zijn dat hij hierbij betrokken was, maar hij ontkent dit en ook [verdachte 8] verklaart dat [verdachte 6] niet wist dat er munten gekocht gingen worden. Voor [verdachte 2] , [verdachte 4] en [verdachte 3] is geen feitelijke of intellectuele bijdrage vast te stellen aan dit witwassen en er zijn concrete aanwijzingen dat deze fraude los staat van de fraude zoals de criminele organisatie die pleegde (verwezen wordt naar Tormail #035).

Slotopmerkingen over het bewijs van de feiten 1 en 2

Mede naar aanleiding van het requisitoir en gevoerde verweren wordt nog het volgende overwogen.

1. Medeplegen van feit 1

Voor medeplegen is volgens vaste rechtspraak vereist dat er sprake is van een voldoende nauwe en bewuste samenwerking met een ander of anderen, waarbij het accent ligt op de samenwerking en minder op de vraag wie welke feitelijke handelingen heeft verricht. Wel moet de eigen bijdrage van een verdachte van voldoende gewicht zijn. Voor de verdachten [verdachte 1] , [verdachte 5] , [verdachte 4] , [verdachte 3] , [verdachte 2] en [verdachte 6] bestaat die samenwerking daaruit dat zij ieder taken verrichten waardoor de TorRAT fraude mogelijk werd. Enerzijds is de techniek nodig. Anderzijds is het de beschikbaarheid van voldoende en tijdig inzetbare money mules die het mogelijk maakt om gelden daadwerkelijk te ontvreemden: eerst door het op te nemen in de configuratiebestanden en vervolgens als betalingsadres voor het ontvreemde geld. Het witwassen is in deze zaak vervolgens een onlosmakelijk onderdeel van de fraude; immers, als het geld te lang bij de money mules staat, dan kunnen de banken transacties blokkeren en gelden terughalen, zoals in deze zaak veelvuldig is gebeurd. Die samenwerking moet naar zijn aard nauw geweest zijn. Anders dan de verdediging van bijvoorbeeld [verdachte 3] heeft bepleit, is de rechtbank van oordeel dat het niet zo is dat per transactie gekeken moet worden naar de (bewijsbare) bijdrage van ieder der verdachten. Voor ieder van deze verdachten geldt dat zij een rol van voldoende gewicht hebben gespeeld binnen de TorRAT fraude en dat rechtvaardigt strafrechtelijke verantwoordelijkheid voor het geheel.

2. Pleegperiode

Door de verdediging van verschillende verdachten is aangevoerd dat zij in ieder geval na december 2012 geen betrokkenheid meer hadden met TorRAT. Aan de verdediging van die verdachten kan worden toegegeven dat uit de bewijsmiddelen blijkt dat de TorRAT fraude met name plaatvond in de tweede helft van 2012. In 2013 is enige tijd rust geweest, met name tussen februari en juni 2013. Daarna zijn er weer TorRAT fraudes of pogingen daartoe geweest in de periode tot oktober 2013. Voor zover door de verdediging is aangevoerd dat er geen betrokkenheid meer was in 2013, had het op hun weg gelegen om dat nader te onderbouwen. Hetzelfde geldt voor het verweer van diverse verdachten dat zij voor bepaalde data (in ieder geval) geen betrokkenheid bij TorRAT hadden. Als pleegperiode houdt de rechtbank daarom aan de periode van 4 mei 2012 (de datum van de oudste Tormail) tot en met 21 oktober 2013. Laatstgenoemde datum is de dag van aanhouding van [verdachte 1] , [verdachte 5] , [verdachte 4] en [verdachte 2] , zie p. 8 van het Armor relaasproces-verbaal. Na die datum zijn geen nieuwe TorRAT gevallen gebleken (bm 8 en 24).

3. Pleegplaats

Door de verdediging van [verdachte 3] is aangevoerd dat een bedrag van € 7.013,68 is witgewassen via Jeanesshop in Belgie en er op gewezen dat Belgie niet als pleegplaats op de telastelegging staat. Dit verweer slaagt en in zoverre vindt in de zaken van alle verdachten een partiele vrijspraak terzake van het witwassen plaats (voornoemd bedrag is onderdeel van het totaalbedrag genoemd in feit 1).

4. Bewezen verklaarde bedrag (feit 1)

Gelet op hetgeen hiervoor is overwogen over de verschillende overboekingen en begunstigden en nu enkele money mules niet nader zijn besproken in dit vonnis, zal de rechtbank in de bewezenverklaring volstaan met het bewezen verklaren van het witwassen van geldbedragen en niet van een concreet bedrag.

5. Getuigenverklaringen

De verdediging van een aantal verdachten heeft aangevoerd dat de verklaringen van diverse money mules, van [verdachte 6] en van [naam 11] onvoldoende betrouwbaar zijn en/of dat het ondervragingsrecht ten aanzien van deze getuigen niet naar behoren kon worden gerealiseerd, bijvoorbeeld doordat zij zich op een verschoningsrecht beriepen of bijzonder emotioneel werden. Dit verweer slaagt niet. De voor het bewijs gebruikte getuigenverklaringen vinden voldoende steun in andere bewijsmiddelen en de hierna volgende veroordeling berust niet in doorslaggevende mate op deze verklaringen.

De verdediging van [verdachte 3] heeft bij gelegenheid van het pleidooi een voorwaardelijk verzoek gedaan tot het horen van [begunstigde 10] als getuige. Aan de beoordeling van dit verzoek wordt niet toegekomen nu niet is voldaan aan de voorwaarde waaronder dit verzoek is gedaan (zie p. 10 bovenaan van de pleitnota).

6. Oogmerk organisatie

De verdediging van een aantal verdachten heeft terecht aangevoerd dat het oogmerk van de criminele organisatie in feit 2 van de tenlastelegging te ruim is omschreven. Voor die delen van het tenlastegelegde oogmerk waar geen bewijs voor is, vindt een partiele vrijspraak plaats.

Bewezenverklaring

In bijlage II heeft de rechtbank de inhoud van wettige bewijsmiddelen opgenomen, houdende voor de bewezenverklaring redengevende feiten en omstandigheden. Op grond daarvan, en op grond van de redengevende inhoud van het voorgaande, is wettig en overtuigend bewezen dat de verdachte het onder 1 en 2 ten laste gelegde heeft begaan op die wijze dat:

1.

hij, in de periode van 4 mei 2012 tot en met 21 oktober 2013

in Nederland en/in Groot-Brittannië,

tezamen en in vereniging met anderen

van het plegen van witwassen een gewoonte heeft gemaakt, door van voorwerpen, te weten geldbedragen de herkomst en de verplaatsing te verhullen,

immers hebben verdachte en zijn mededaders voornoemde geldbedragen verkregen door

- het (laten) versturen van grote hoeveelheden e-mailberichten (zogenaamde 'spamruns') waardoor computers van derden zijn geïnfecteerd met Torrat malware en vervolgens

- de mogelijkheid verkregen het online betalingsverkeer tussen de klant en de bank te manipuleren en vervolgens die gelden onder valse omschrijvingen naar andere bankrekeningen overgeschreven en/of laten overschrijven dan waartoe opdracht was gegeven en vervolgens

- die geldbedragen (meermalen) doorgeboekt naar (buitenlandse en/of zakelijke) bankrekeningen die (indirect) door hem en/of zijn mededaders werden beheerd en/of gecontroleerd en/of gebruikt en/of (vervolgens)

- die geldbedragen van die bankrekeningen opgenomen in contanten (ter doorbreking van de papertrail) en/of- de digitale banktegoeden en/of contante bedragen omgezet naar 'bitcoins',en/of-een door middel van oplichting/phishing van Katholieke Belangenvereniging voor Ouderen (KBO) te Ooij verkregen geldbedrag (ongeveer 8.155,00 zegge acht duizend en honderd en vijfenvijftig euro) doorgeboekt/overgeboekt naar (een) bankrekening(en) die (indirect) door hem en/of zijn mededaders werd(en) beheerd en/of gecontroleerd en/of gebruikt en/of (vervolgens) met dat geldbedrag gouden munten gekocht en/of beheerd

welke geldbedragen- middellijk of onmiddellijk - van misdrijf afkomstig zijn,

terwijl hij en zijn mededaders wisten dat/die voorwerpen- onmiddellijk of middellijk -afkomstig waren uit enig misdrijf;

2.

hij in de periode van 4 mei 2012 tot en met 21 oktober 2013,

in Nederland en/in Groot-Brittannië,

heeft deelgenomen aan een organisatie, welke organisatie tot oogmerk had het plegen van misdrijven, namelijk het

- opzettelijk en wederrechtelijk toegang verschaffen tot een geautomatiseerd werk (strafbaar gesteld in artikel 138ab Wetboek van Strafrecht);

- opzettelijk en wederrechtelijk toegang belemmeren tot een geautomatiseerd werk of daaraan gegevens aan te bieden of toe te zenden (strafbaar gesteld in artikel 138b Wetboek van Strafrecht)

-diefstal door twee of meer verenigde personen en door middel van een valse sleutel (strafbaar gesteld in 311 lid 1 onder 4 en 5 Wetboek van Strafrecht)

-witwassen als bedoeld in artikel 420ter Wetboek van Strafrecht,

van welke organisatie verdachte mede- oprichter en- leider was.

Hetgeen meer of anders is ten laste gelegd is niet bewezen. De verdachte moet daarvan worden vrijgesproken.

Algemene overweging

De straf die aan de verdachte wordt opgelegd, is gegrond op de ernst van de feiten, de omstandigheden waaronder de feiten zijn begaan en de persoon en de persoonlijke omstandigheden van de verdachte. Daarbij wordt in het bijzonder het volgende in aanmerking genomen.

Feiten waarop de straf is gebaseerd

De verdachte heeft zich samen met anderen schuldig gemaakt aan grootschalige en langdurige criminele activiteiten, die opvallen door professionaliteit, geraffineerdheid en het intensieve samenwerkingsverband.

Voornoemde criminele activiteiten bestonden hieruit dat de verdachte samen met zijn mededaders rekeninghouders van Rabobank en ING-bank (ING) heeft benadeeld.

Via zogenaamde “spamruns” werden duizenden mails verstuurd naar met name midden- en kleinbedrijven in de zakelijke sector. Deze mails betroffen veelal aanmaningen of voorstellen voor een betalingsregeling. In de mails zat een link naar, ogenschijnlijk, een openstaande factuur of ander (pdf)bestand, maar in werkelijkheid betrof het een programma dat ongemerkt kwaadaardige software, in casu zogenaamde “TorRAT malware”, op de computer van de gebruikers achterliet waardoor het internetbankieren op afstand door een Command en Control server kon worden gemanipuleerd. Bij het gebruik van internetbankieren op een besmette computer kon zo het rekeningnummer, de naam van de begunstigde en de omschrijving van de betaling worden aangepast, zonder dat dit voor de gebruiker van die computer (direct) zichtbaar was. Op deze wijze konden betalingen door de TorRAT malware worden gewijzigd en omgeleid naar de rekeningen van zogeheten money mules, zijnde personen die hun rekening, bankpas en pincode, al dan niet bewust en al dan niet vrijwillig, ter beschikking hadden gesteld. De geldbedragen werden vervolgens zo snel mogelijk aan het zicht van de banken en politie en justitie onttrokken door deze – al dan niet met tussenkomst van een tweedelijns-money mule waar het geld naar werd doorgeboekt – zo snel mogelijk contant te maken middels een contante geldopname of werden omgezet in bitcoins. De opgenomen, doorbetaalde en/of in bitcoins omgezette bedragen werden op deze wijze witgewassen.

De verdachte was één van de oprichters van en had een leidinggevende rol binnen voornoemd samenwerkingsverband, dat door de duurzaamheid en gestructureerde vorm daarvan als criminele organisatie wordt gekwalificeerd. Hij onderhield als enige contact met de TorRAT malware-beheerder zijnde medeverdachte [verdachte 2] en hij gaf opdrachten aan- en werd terug gerapporteerd door de andere medeverdachten.

Persoonlijke omstandigheden van de verdachte

Strafblad

De rechtbank heeft acht geslagen op een uittreksel uit de justitiële documentatie van

6 juni 2016, waaruit blijkt dat de verdachte eerder is veroordeeld, zij het al geruime tijd geleden.

Conclusies van de rechtbank

Gelet op hetgeen de rechtbank hierboven heeft overwogen, komt zij tot de volgende conclusies.

De verdachte en zijn medeverdachten hebben het systeem van internetbankieren op grove wijze aangevallen en het vertrouwen dat een ieder moet kunnen hebben in de integriteit van het elektronische betalingsverkeer geschaad.

Niet alleen een groot aantal rekeninghouders, maar ook de bankinstellingen zijn door het handelen van de verdachte en zijn medeverdachten gedupeerd geraakt.

Daarnaast wordt door het witwassen van “crimineel verkregen geld” het plegen van criminele activiteiten in stand gehouden en indirect ook bevorderd, want zonder personen als de verdachte die criminele gelden een (schijnbaar) legale herkomst verschaffen, is het genereren van illegale winsten een stuk minder lucratief. Witwassen vormt tevens een ernstige bedreiging van de legale economie en tast de integriteit van het financiële en economische verkeer aan.

De verdachte heeft zich bij zijn handelen enkel laten leiden door financieel gewin en heeft daarbij tevens misbruik gemaakt van personen die door financiële en/of andersoortige problemen als kwetsbaar zijn aan te merken.

Voor feiten als de onderhavige kan, gezien de ernst, de duur en het grote aantal gedupeerden, niet met een andersoortige straf dan een gevangenisstraf worden volstaan.

Bij de bepaling van de duur daarvan is gelet op straffen die in andere, min of meer vergelijkbare zaken, zijn opgelegd en de leidinggevende rol van de verdachte. Anders dan door de verdediging is bepleit, is geen aansluiting gezocht bij de LOVS orientatiepunten voor oplichting. Die orientatiepunten zijn in dit geval niet passend gelet op de grootschalige wijze van fraude en het grote aantal slachtoffers.

Op grond van het vorenstaande acht de rechtbank, alles afwegende, een onvoorwaardelijke gevangenisstraf van na te noemen duur passend en geboden.