OM kijkt naar snellere aanpak van foute hostingbedrijven
Het Openbaar Ministerie gaat kijken of hostingbedrijven die bewust activiteiten van cybercriminelen faciliteren sneller kunnen worden aangepakt. Dergelijke hosters, die door cybercriminelen worden gebruikt voor de verspreiding van malware, phishing en andere zaken en klachten hierover negeren, zijn ook in Nederland actief.
Een Europese verordening stelt dat bedrijven in principe niet verantwoordelijk kunnen worden gehouden voor de content die ze hosten. Het is daarbij ook moeilijk om aan te tonen dat hostingbedrijven opzettelijk cybercriminelen faciliteren, aldus officier van justitie Martijn Egberts tegenover de NOS. Het OM hoopt dat bonafide hostingbedrijven bij de aanpak van foute hostingbedrijven kunnen helpen.
Actiepunten
Eind vorig jaar kwamen justitie en de brancheorganisatie Stichting Digitale Infrastructuur Nederland (DINL) al met actiepunten om kinderporno sneller aan te pakken. Zo kreeg de gedragscode Notice en takedown van de sector een update. "Waar normaal gesproken meldingen eerst worden onderzocht, is nu afgesproken dat meldingen van het Meldpunt Kinderporno direct worden verwerkt en tot een takedown leiden", aldus DNIL.
Tevens ging het ministerie van Justitie zoeken naar handhavingsinstrumenten. Als duidelijk wordt dat bepaalde partijen zich niet houden aan de afspraken in de Notice en takedown, slecht of niet reageren op meldingen van het Meldpunt Kinderporno, of wanneer duidelijk is dat zij meewerken aan het faciliteren van zulke content, dan moet er ook een mogelijkheid zijn om dit stevig aan te pakken, liet DNIL eerder dit jaar weten.
En als bedrijven erop worden gewezen dat er rotzooi in hun netwerk staat en ze doen er niets aan, dan kunnen ze in het vizier van de opsporingsautoriteiten komen. "Ze zullen dus druk moeten uitoefenen op hun klanten om het eraf te halen", zegt directeur Michiel Steltman van DINL. "En als bedrijven erop worden gewezen dat er rotzooi in hun netwerk staat en ze doen er niets aan, dan kunnen ze in het vizier van de opsporingsautoriteiten komen."
Op deze manier moet het eenvoudiger voor het Openbaar Ministerie worden om aan te tonen dat foute hostingbedrijven meldingen negeren, terwijl die door andere bedrijven in de branche wel worden opgepakt. "Dan hopen wij makkelijker te kunnen bewijzen dat jij met opzet de andere kant op kijkt en zo criminelen faciliteert", zegt Egberts.
De officier van justitie maakt de vergelijking met witwassen. "Het is in Nederland niet strafbaar om rond te lopen met 100.000 euro op zak, maar het is wel een indicatie dat je je bezighoudt met criminaliteit. Een hostingbedrijf heeft nu nog de vrijheid om nergens op te letten, maar het kan ook een indicatie worden dat het zich richt op een publiek dat zich bezighoudt met strafbare feiten."
Zwarte lijst
Vorig jaar kondigden overheid en bedrijfsleven nog aan dat er werd gekeken naar het opstellen van een zwarte lijst van foute hostingbedrijven. Tijdens een bijeenkomst van verschillende partijen werd afgesproken om een gezamenlijk actieprogramma op te zetten voor een "Kindveilig Internet". Eén van de maatregelen die werd genoemd was het benoemen van 'bad hosters' en belonen van goede hosters. "Zo wordt onderzocht of onder het mom van 'name and shame them' mogelijk is om te komen tot een zwarte lijst van de zogeheten 'bad hosters' die proberen te verdienen aan illegale content op internet zoals kinderporno", aldus het ministerie van Justitie en Veiligheid destijds.
Zo knaagt het OM aan die onafhankelijkheid van hostingbedrijven. Net als met het al ingevoerde uploadfilteren, trouwens.
``Zo kreeg de gedragscode Notice en takedown van de sector een update. "Waar normaal gesproken meldingen eerst worden onderzocht, is nu afgesproken dat meldingen van het Meldpunt Kinderporno direct worden verwerkt en tot een takedown leiden", aldus DNIL.''
Oh, dus je hoeft alleen maar "kinderporno" te roepen en weg is je concurrent. Dat het dan eindeloos later pas uiteindelijk wel weer rechtgezet wordt betekent nog steeds reputatie- en andere schade. Dat het DNIL zich hiertoe leent is nog tot daar aan toe, maar dat het OM het voorstaat, ze zouden beter moeten weten. Alweer, stukje OM zoekt bewust de grenzen van de wet op.
``De officier van justitie maakt de vergelijking met witwassen.''
Wat mij betreft is dat ook al veel te ver doorgeschoten. Banken zijn bijkans een dependance van de politie geworden, handelen meer in hun belang dan in het belang van de klant ondertussen.
Op zich dus niet raar dat als je op het ene gebied doorschieten en dat wordt de nieuwe normaal, dat dan andere gebieden zullen volgen. En dat is precies wat we hier nu zien gebeuren.
Deze branche heeft dus helemaal niets geleerd van de ellende die de banken zich op de hals (en de hals van hun klanten) gehaald hebben. En het OM ziet dat als succes en stoomt lekker door.
Ook opmerkelijk: De Amerikanen waren voortrekkers met "follow the money" en al die anti-witwasongein. Ze hebben ook de terminologie gedefinieerd, van "good guys" vs. "bad guys". Die zie je hier vrij direct terug, waarbij de hostingbranche zelfs zichzelf(!) even opdeelt in goed en kwaad.
Zou het niet beter zijn dat er een moderne variant op komt? Notice, Veilig wegstellen van een backup met alle log-gegevens, en dan zo snel mogelijk Takedownen?
Enkel wegpoetsen is toch ook een vorm van liever wegpoetsen en net doen of het niet gebeurd is, dan daadwerkelijk daders willen pakken? Ik zou echt liever een dwingend bericht krijgen van een OvJ dat ik een volledige backup moet veiligstellen en ter beschikking moet houden, dan dat ik "effe wat weg moet halen" omdat er een meldpunt wat gemeld heeft...
Met enkel poetsen en deleten los je de misdaad niet op. Dan hosten ze gewoon in toedeledokiestan en gaan de foute feestjes vrolijk door.
Dus nee, niet alles wat je doet onder het mom van "kinderporno aanpakken" is altijd goed. Net als dat niet alles wat je doet onder het mom van "terrorisme aanpakken" altijd goed is. En zo zijn er nog wel meer verschikkelijke dingen waar je toch niet alle middelen heiligt.
Ja natuurlijk draait het in het criminele circuit (ook) om geld, net als dat het in de bovengrondse economie dat doet. En ga je ze in de wielen rijden dan zullen ze dat proberen te voorkomen. Maar dat is helemaal het punt niet dat er gemaakt wordt.
Het punt is dat in de drang om (vermeende) criminelen in de financieele wielen te rijden, er nogal wat maatregelen getroffen zijn die legitieme gebruikers ook, soms zelfs nog harder raken. En die hebben niets misdaan. Het ging om de trend dat politietaken steeds verder naar elders worden geduwd. Eerst de banken, nu de hosters. Wie is de volgende?
Dit is een redelijk diep probleem: Hoezo is het de taak van de winkeleigenaar, of zelfs de cassiere, om ook nog een politiepet op te zetten? En daar geef jij helemaal geen antwoord op.
Dit is zeker pertinent, want politie+justitie waren oorspronkelijk strikt gebonden aan allerlei regeltjes, dat je in beroep kon gaan enzo. Dat is bij banken en hosters die politietaken uit gaan voeren helemaal niet gezegd. En dat kost je dus als (onbedoeld gepakte onschuldige) klant een goed stuk rechtspositie.
Maargoed, eerst zeg je "niet direct" en vervolgens zeg je met veel woorden "ja toch wel".
"Due diligence" is toevallig ook de term die banken gebruiken om hun klanten de deur te wijzen wegens bonte koe met vlekje eraan.
Laat maar zien hoe dan. Ik denk nog steeds dat je "freedom is slavery" aan het roepen bent, maar mischien dat je met een beter argument me wel weet te overtuigen.
Vrijheid is niet gratis en voor niets, je zult er wat voor moeten opofferen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
SOC Lead
Directie Informatievoorziening & Inkoop
Als SOC Lead ben jij verantwoordelijk voor het aansturen van de dagelijkse operatie binnen het SOC. Je stuurt medewerkers functioneel aan en rapporteert aan de manager. Daarnaast ben je ook betrokken bij SOC-werkzaamheden, zoals het detecteren en afhandelen van security incidenten. Je verzamelt dreigingsinformatie, richt detectie-regels in, en zorgt ervoor dat aanvallers vroegtijdig worden geïdentificeerd.
Senior Security Specialist
Directie Informatievoorziening & Inkoop
Als senior security specialist ben je verantwoordelijk voor het detecteren en af-handelen van (mogelijke) security incidenten. Je vergaart dreigingsinformatie en richt de-tectieregels in op basis van risico's, zodat aanvallers in een vroeg stadium geïden-tificeerd kunnen worden. Deze risico's haal je actief op bij systeemeigenaren. Wanneer een dreiging wordt gedetecteerd, zorg jij ervoor dat de juiste acties worden uitgezet en voorzie jij alle stakeholders van handelings-perspectief.
Cybersecurity Trainer / Full Stack Developer
bij Certified Secure
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.