OM: 3,6 miljoen versleutelde berichten van criminelen gekraakt

De Nederlandse politie en het Openbaar Ministerie zeggen toegang te hebben gekregen tot 3,6 miljoen versleutelde berichten van criminelen. Volgens het OM zijn de berichten goed voor bewijsmateriaal in tientallen strafrechtelijke onderzoeken.

Het gaat om onderzoeken naar liquidaties, gewapende overvallen, drugshandel, witwaspraktijken, pogingen tot moord en andere vormen van georganiseerde misdaad. De berichten kunnen leiden tot grote en beslissende doorbraken in strafzaken, zegt het OM.

Ennetcom

De berichten stonden op servers in Canada en waren van het Nederlandse bedrijf Ennetcom. In september vorig jaar kreeg het Openbaar Ministerie van een rechter in Toronto toestemming om een kopie van de servers naar Nederland te halen. Het gaat in totaal om 7 terabyte aan data. De berichten zijn naar eigen zeggen gekraakt met digitale sleutels die de opsporingsdiensten eerder in het onderzoek in handen hadden kregen.

Ennetcom wordt door het OM gezien als de grootste aanbieder van versleutelde communicatie aan criminelen in Nederland en is ook werkzaam in andere delen van West-Europa en Zuid-Amerika.

PGP

Ennetcom garandeerde zijn klanten anonimiteit, waardoor het bedrijf grote populariteit genoot. Hiervoor werd gebruikgemaakt van geprepareerde BlackBerry-telefoons met speciale software die voor 1500 euro per stuk werden verkocht. Daarnaast waren de microfoon en camera vaak uit het toestel verwijderd.

De telefoons waren uitgerust met PGP, wat staat voor Pretty Good Privacy. Deze technologie versleutelt berichten. Het gebruik hiervan is niet illegaal.

Het netwerk bestond uit ongeveer 40.000 geregistreerde telefoons die met elkaar communiceerden en is vorig jaar april offline gehaald. De eigenaren kregen toen van de politie hierover een bericht op hun toestel. Het is niet duidelijk of al deze telefoons werden gebruikt door criminelen, het OM vermoedt van wel omdat voor zover bekend niemand zich heeft gemeld die vertrouwelijke informatie wil beschermen, zoals bijvoorbeeld artsen of advocaten.

Maar volgens de advocaat van het bedrijf, Inez Weski, waren ook overheidsinstellingen en bedrijven klant. "Dit is alsof de KPN of welk telecombedrijf dan ook zomaar wordt binnengevallen om te kijken wie een fout bericht verstuurt." Weski vindt dat Nederland niet zomaar in alle berichten mag graven en alleen naar bewijs mag zoeken in een viertal lopende onderzoeken.

Goudmijn

Volgens haar wekt het Openbaar Ministerie ten onrechte de indruk over een goudmijn te beschikken en gaat het om relatief weinig berichten per persoon. Weski stelt ook dat de servers iedere 48 uur gewist werden.

Maar het OM zegt te beschikken over berichten uit de periode 2011-2016. Met een speciale zoekmachine, Hansken, worden de berichten doorzocht. Het is niet zo dat de politie bijvoorbeeld op het woordje 'moord' in alle berichten mag zoeken naar nieuwe verdachten. Wel mag de communicatie van betrokkenen in lopende onderzoeken worden bekeken, wat ook weer tot nieuwe verdachten kan leiden.

Vrij

De eigenaar van Ennetcom, die een tijdje heeft vastgezeten, is weer vrij in afwachting van het vervolg van de zaak. Volgens het OM is het aannemelijk dat hij wist dat deze telefoons aan criminelen werden verkocht. Dat betekent, redeneert het Openbaar Ministerie, dat hij daarmee crimineel geld ontving, waardoor hij wordt verdacht van witwaspraktijken.

Bij berichten die via Ennetcom werden gestuurd, hoefde het OM niet eens de hand te leggen op de fysieke apparaten. Om de berichten te kunnen ontsleutelen, zijn de encryptiesleutels nodig. Hoewel het OM niet aangeeft hoe het aan die sleutels komt, lijkt het er op dat die encryptiesleutels op de Canadese servers van Ennetcom stonden.

De Canadese justitie stelde namelijk in een eerdere uitspraak over de kwestie dat de encryptiesleutels, volgens het Nederlandse OM, door de Canadese servers van Ennetcom werden gegenereerd. Dat is ongebruikelijk, en gaat tegen adviezen van beveiligingsexperts in.

"Voor die methode is wat te zeggen, omdat het een stuk gebruikersvriendelijker is dan dat mensen zelf in de weer moeten met encryptiesleutels", zegt techredacteur Joost Schellevis. "Maar als je je profileert als bedrijf dat absolute veiligheid biedt, is het toch een beetje alsof je je sleutel in een laatje naast de kluis bewaart."