Oeps, 4 miljard is enorm veel geld. Brian Krebs was even vergeten hoe belangrijk hij is op het internet en wat voor invloed hij kan hebben op mensen.

Ja, ik volg hem ook.

Ik kwam deze link naar de aanklacht tegen, dat leest wat prettiger dan screenshots in tweets:
https://storage.courtlistener.com/recap/gov.uscourts.vaed.521759/gov.uscourts.vaed.521759.1.0.pdf

Ik denk het niet. Als ik de betreffende blogpost, en het vervolg erop, lees, dan vind ik het eruit zien dat hij alle zorgvuldigheid die bij journalistiek verwacht mag worden heeft toegepast. Hij geeft telkens opnieuw heel duidelijk weer dat hij weergeeft wat de klokkenluider beweert, ik zie hem nergens zelf stellen dat het werkelijk zo is, alleen dat dat is wat hem verteld is. Ook schrijft hij dat hij Ubiquity om commentaar heeft gevraagd en dat ze niet hebben gereageerd. Hij heeft ze dus de gelegenheid tot wederhoor gegeven.

In de aanklacht staat dat Krebs zelf Ubiquity van van alles beschuldigt, verwijzend naar die twee blogposts, maar dat zie ik dus niet in die blogposts zelf terug. Ook stelt Ubiquity dat voor Krebs duidelijk was dat degene die werd aangeklaagd zelf de klokkenluider was. De gearresteerde ex-medewerker is daarvoor aangeklaagd, maar voor zover ik heb gezien is het nog nergens bewezen verklaard. Krebs wist in ieder geval dat de beschuldiging er was. We weten niet of Krebs zelf de identiteit van de klokkenluider kende (dat hoeft niet per se) en dus ook niet of hij zelf zeker kan weten of de gearresteerde ex-medewerker wel of niet de klokkenluider is. Het lijkt heel waarschijnlijk te zijn dat het inderdaad een en dezelfde persoon is, maar strikt genomen kan je niet uitsluiten dat een andere Ubiquity-werknemer die bij het onderzoek betrokken was naar Krebs is gestapt.

Hoe dan ook, een journalist doet aan bronbescherming. Zelfs als Krebs inderdaad weet dat hij zelf is misbruikt in een afpersingszaak dan nog heeft hij de informatie gekregen op voorwaarde van anonimiteit en zou hij zijn eigen journalistieke integriteit aantasten door die anonimiteit te doorbreken. Dat raakt niet alleen aan deze zaak: als hij nu die anonimiteit doorbreekt weten toekomstige klokkenluiders, ook legitieme klokkenluiders, meteen dat ze in ieder geval maar beter met een grote boog om Brian Krebs heen kunnen lopen, want die is dan niet te vertrouwen. Ik snap dus waarom Krebs zich er niet over uitlaat, en vind dat ook de juiste reactie voor een journalist.

Ubiquity beschuldigt Krebs ervan dat hij, toen de ex-medewerker gearresteerd was (en waar hij in de tweede blogpost over berichtte) zijn beschuldigingen bleef volhouden. Los van dat Krebs zorgvuldig weergaf dat de klokkenluider degene is die de beschuldigingen deed, meldde Krebs op Twitter (de aanklacht tegen Krebs refereert eraan):
https://twitter.com/briankrebs/status/1466556868466143232

Kloppen de feiten inderdaad? Waar Ubiquity over valt is dat het beveiligingslek "catastrofaal erger" is genoemd dan Ubiquity naar buiten had gebracht, omdat de aanvaller volledige toegang tot databases had die bij AWS waren ondergebracht. De aanklacht tegen de ex-medewerker zelf bevat deze zin:
https://www.justice.gov/usao-sdny/press-release/file/1452706/download, punt 13 op pagina 6.

De ex-werknemer kon dus nogal brede zoekacties uitvoeren én hij had toegang tot een account waarmee hij toegang tot andere accounts kon verkrijgen. Verder meldt de aanklacht dat hij de bewaartermijn voor verschillende logbestanden op 1 dag had gezet, 2 dagen voordat ontdekt werd dat er iets gaande was (punten 20 en 21 van de aanklacht, pagina's 8 en 9). Oeps. Dat is catastrofaal veel erger dan wat Ubiquity naar buiten had gebracht.

De indruk die ik er al met al van krijg is dat Ubiquity via die aanklacht op de ex-werknemer bevestigt dat Krebs' blog de situatie waarschijnlijk goed weergaf, in plaats van dat ze aantonen dat het een misleidend verhaal was. De misleidende formuleringen die ik tegenkom zijn niet door Krebs gedaan maar staan in de aanklacht van Ubiuity tegen Krebs, ze doen namelijk consequent alsof Krebs op eigen titel beschuldigingen uitte terwijl Krebs juist zeer zorgvuldig weergaf dat het uitspraken van de klokkenluider waren. Ik denk daarom dat Krebs behoorlijk sterk staat, en ben benieuwd hoe ver deze aanklacht komt.

Ik vraag me af of bronbescherming telt voor mensen die opzettelijk journalisten misleiden. En daarmee zichzelf ook onderdeel van het verhaal maken.

Een typische SLAPP.

https://en.wikipedia.org/wiki/SLAPP

Ubiquiti heeft slechte juristen ingehuurd. In de discovery kan heel veel op straat komen te liggen wat ze daar niet willen hebben.

Het is een recht dat journalisten hebben, niet een recht van de bron. Het recht op bronbescherming van journalisten is niet absoluut, en een rechter kan besluiten dat het doorbroken mag worden. Als het goed is is de drempel daarvoor erg hoog, en ik heb de indruk dat Krebs zorgvuldig genoeg is geweest om aan de veilige kant ervan te zitten.

Als Krebs inderdaad misleid is dan is de dader ook de dader van die misleiding, en is Krebs net zo goed een slachtoffer als Ubiquity dat is. Ubiquity zou in mijn ogen de dader dan ook daarvoor moeten aanklagen, maar men valt Krebs aan alsof hij zelf van alles over Ubiquity heeft verkondigd. Hij gaf juist heel zorgvuldig aan dat dit de informatie was die hij van een klokkenluider kreeg.

En het is nog maar de vraag of de dader Krebs misleid heeft over de ernst van de situatie bij Ubiquity. Als hij met volkomen foute motieven daar een juiste weergave van heeft gegeven dan had een ander dan de dader met zuivere motieven uit de boot kunnen klappen met precies dezelfde informatie en precies hetzelfde resultaat. Als dat inderdaad zo is is er in mijn ogen niets mis met wat Krebs heeft geschreven. Daarnaast staat voor zover ik overzie nog helemaal niet met zekerheid vast dat de dader ook de klokkenluider is. Hij is ervan beschuldigd, maar we weten nog niet zeker of het ook echt dezelfde persoon is.

Dit lijkt me puur merkstrategie voor iedereen die een belang heeft in Ubiquiti. Of ze nu winnen of verliezen. Men wil in een later stadium vooral niet te verwijten zijn dat men er niet alles aan heeft gedaan het straatje schoon te vegen.