Het gebeurt niet vaak, maar op 2 april van dit jaar werd een Nederlandse hacker door het Team High Tech Crime van de overheid gearresteerd. De man hackte diverse met wachtwoorden beschermde emailadressen en stal vertrouwelijke privé- en bedrijfsinformatie om verdere toegang tot het systeem van de Griekse gamesproducent Aventurine te krijgen. Daar downloadde de man een testversie van het spel Darkfall Online.

Het Openbaar Ministerie verdacht de man ook van het digitaal stelen van broncode bij het Amerikaanse bedrijf Zenimax en Nprotect. Security.NL sprak met de 22-jarige Peter de R., ook bekend onder het alias "DarkieDuck". Hacken was voor Peter tot een hobby uitgegroeid, waarbij Aventurine speciaal de aandacht kreeg omdat het bezig was met de ontwikkeling van Darkfall Online. Een online game met zeer hoog gespannen verwachtingen en waar al meer dan zes jaar aan gewerkt wordt.

De R. ging nauwkeurig bij zijn aanval te werk. Eerst bracht hij het hele netwerk in kaart, en ging toen opzoek naar oude en vergeten services. Zo kwam hij na enige tijd zoeken terecht op een oude website met admintools. Één van de tools had een zogenoemde Local File Inclusion (LFI) bug. Het was de hacker onbekend of deze kwetsbaarheid publiekelijk bekend was. Vervolgens maakte hij webrequests naar de server met daarin phpcode. Aangezien de opgevraagde URL niet bestond werd deze gelogd in de apache error_log. Dan gebruikte hij de LFI om de apache error_log te includen, en zo werd zijn phpcode uitgevoerd. Aangezien hij al vrij snel een tekstbestand met alle wachtwoorden vond, duurde het niet lang tot hij toegang tot de servers van de Griekse ontwikkelaar had.

Om te voorkomen dat hij gepakt werd had de R. maatregelen genomen. "Ja ik maakte wel gebruik van Proxy servers , maar naar verloop van tijd begon ik slordig te worden en dacht dat ik toch niet ontdekt zou worden dus “vergat” het gebruik van de Proxy weleens."

Arrestatieteam aan de deur
De hacker werd op maandag 2 april rond zes uur 's ochtends door een team van rechercheurs wakker gemaakt. In eerste instantie waren ze opzoek naar de broer van R. "Toen ik vroeg waar het omging werd er gezegd dat mijn broer verdacht werd van het hacken van Aventurine, toen heb ik mijn spullen maar gepakt en ben ook meegegaan naar het bureau. In burgerauto’s werden we afgevoerd naar het politiebureau in Zeist."

Politie ook slordig
De politie nam zijn computer in beslag, maar vergat alle CD/DVD’s mee te nemen, en ook twee harde schijven en twee USB-sticks werden over het hoofd gezien. Opmerkelijk genoeg namen ze wel de MP3-Speler van de R. mee, waar alleen muziek op stond. "Deze heb ik overigens ook niet meer terug gekregen van justitie." Volgens de hacker was het incident voor beiden een goed leermoment, "aangezien de politie niet veel ervaring met dit soort zaken." Ondanks het veelvuldig gebruik van PGP, was de R. vergeten de bestanden in kwestie te versleutelen. "Ook al had ik het gebruikt dan had ik de informatie om het te openen toch moeten afgeven aan justitie."

Straf was terecht
De R. geeft toe dat hij straf verdiende, maar vond het zelf allemaal aan de hoge kant. Het werd al vrij snel duidelijk dat hij geen slechte bedoelingen met de bemachtigde informatie/bestanden had. "Ik moest alleen lang in voorarrest blijven om dat het een internationale kwestie was en justitie nog informatie aan het verzamelen was. Daarbij had ik gewoon de pech dat het High Tech Crime team net weer was opgericht en ik hun eerste 'vangst' was."

Peter zou ook andere bedrijven hebben gehackt, die dan ook schadeclaims indienden. Inmiddels heeft hij met één van de bedrijven een schikking getroffen, van het andere bedrijf heeft hij niets meer gehoord.

Dat zijn zaak zo breed in de pers is uitgemeten begrijpt hij. Toch vindt de R. het jammer dat er ook aardig wat bij verzonnen wordt. Tegen de mensen die vinden dat hij zwaarder gestraft had moeten worden zegt hij "ga eens een weekendje naar Penitentiaire inrichting de Schie of Penitentiaire inrichting Noordsingel in Rotterdam."

Lesje geleerd
Of zijn straf nu licht of zwaar was, de R. heeft zijn lesje geleerd. "Ik kan met zekerheid zeggen dat ik met mijn illegale activiteiten klaar bent, mij zie je niet meer zonder toestemming op iemand zijn server." Hij besluit met een advies: "Als je zonodig toch wilt gaan 'hacken' zorg er dan voor dat je altijd Proxies gebruikt en blijft gebruiken, denk niet na zes maanden dat ze je niet meer kunnen vinden, want dat kan dus wel."