De officier van justitie heeft zich op het standpunt gesteld dat alle ten laste gelegde feiten wettig en overtuigend bewezen kunnen worden.

De raadsman heeft zich ten aanzien van de bewezenverklaring van alle ten laste gelegde feiten gerefereerd aan het oordeel van de rechtbank.

De rechtbank zal met een opgave van bewijsmiddelen, als genoemd in artikel 359, derde lid, van het Wetboek van Strafvordering volstaan. De verdachte heeft de bewezen te verklaren feiten namelijk bekend en daarna niet anders verklaard. Daarnaast heeft de raadsman geen vrijspraak bepleit.

Wanneer hierna wordt verwezen naar een proces-verbaal, wordt - tenzij anders vermeld - bedoeld een ambtsedig proces-verbaal, opgemaakt in de wettelijke vorm door (een) daartoe bevoegde opsporingsambtena(a)r(en). Wanneer hierna wordt verwezen naar dossierpagina’s, betreft dit de pagina’s van het proces-verbaal met het nummer PL1500-2022346632, van de politie eenheid Den Haag, Team Digitale Opsporing, met bijlagen (doorgenummerd pagina 1 t/m 1137).

De rechtbank gebruikt de volgende bewijsmiddelen:

Ten aanzien van feiten 1 tot en met 3

Ten aanzien van feit 4

Bij het onder 1 ten laste gelegde feit gaat de rechtbank als begindatum van de pleegperiode uit van 1 juli 2022, omdat uit de tabel op pagina 1009 van het dossier blijkt dat de verdachte op die datum voor het eerst wederrechtelijk heeft ingelogd op het DigiD-account van een ander. De einddatum is 13 november 2022, de dag waarop de gegevensdragers van de verdachte in beslag zijn genomen.

Bij het onder 2 ten laste gelegde feit gaat de rechtbank als begindatum van de pleegperiode uit van 17 oktober 2022. Uit de tabel op pagina 1009 van het dossier blijkt dat de verdachte op 17 oktober 2022 heeft ingelogd op het DigiD-account van [slachtoffer 1] , hij vervolgens onder andere de sms-controle heeft verwijderd en daarna heeft ingelogd op de accounts van [slachtoffer 1] bij diverse andere overheidsinstellingen en daar gegevens heeft gewijzigd. De einddatum is ook bij dit feit 13 november 2022.

Bij het onder 3 ten laste gelegde feit gaat de rechtbank als begindatum van de pleegperiode eveneens uit van 17 oktober 2022, gezien het voren overwogene. Als einddatum van dit feit gaat de rechtbank uit van 20 december 2022, omdat uit de aangifte van [slachtoffer 1] blijkt dat de laatste termijn huurtoeslag op die datum op zijn rekening is gestort. De verdachte heeft bekend dat hij deze huurtoeslag heeft aangevraagd. De rechtbank neemt in aanmerking dat met “enig nadeel” in de zin van artikel 231b van het Wetboek van Strafrecht niet alleen financieel nadeel wordt bedoeld. Het kan hier bijvoorbeeld ook gaan om reputatieschade of schade door vervuiling van (overheids)databases met valselijk aan een persoon gelinkte informatie (Kamerstukken II 2012/13, 33 352, nr. 7, p. 2). Door toedoen van de verdachte is op naam van [slachtoffer 1] huurtoeslag aangevraagd en bij wijze van voorschot op zijn rekening gestort, terwijl hij hier geen recht op had. [slachtoffer 1] heeft dit moeten corrigeren bij de Belastingdienst en het ontvangen bedrag moeten terugstorten. Hiermee is enig nadeel ontstaan.

De rechtbank verklaart ten laste van de verdachte bewezen dat:

1

hij in de periode van 1 juli 2022 tot en met 13 november 2022 te Heerjansdam, gemeente Zwijndrecht, opzettelijk en wederrechtelijk door tussenkomst van een openbaar telecommunicatienetwerk in een (gedeelte van) een geautomatiseerd werk, te weten servers en/of computers van DigiD en/of Logius, is binnengedrongen door het doorbreken van een beveiliging en met behulp van een valse sleutel, te weten inloggegevens van DigiD-accounts tot welk gebruik hij, verdachte, niet gerechtigd was en door het aannemen van een valse hoedanigheid, te weten die van rechtmatig gebruiker van de DigiD-accounts van anderen dan hij, verdachte, en hij door tussenkomst van het geautomatiseerde werk waarin hij was

binnengedrongen vervolgens de toegang heeft verworven tot het geautomatiseerde

werk van een derde, te weten servers en/of computers van SVB en ABP en MijnOverheid en

MijnUWV en Pensioenfondsmetaal en Techniek en de Belastingdienst en diverse andere webdiensten/webapplicaties van/gelieerd aan Nederlandse (semi)overheidsinstellingen;

2

hij in de periode van 17 oktober 2022 tot en met 13 november 2022 te Heerjansdam, gemeente Zwijndrecht, telkens opzettelijk en wederrechtelijk gegevens die door middel van een geautomatiseerd werk waren opgeslagen, werden verwerkt en/of werden overgedragen, te weten persoonsgegevens en (gebruikers)instellingen en beveiliggingsmaatregelen van meerdere, DigiD-accounts, heeft veranderd, gewist, onbruikbaar en ontoegankelijk heeft gemaakt, immers heeft hij, verdachte

3

hij in de periode van 17 oktober 2022 tot en met 20 december 2022 te Heerjansdam, gemeente Zwijndrecht telkens opzettelijk en wederrechtelijk identificerende persoonsgegevens, niet zijnde biometrische persoonsgegevens, van een ander, te weten het DigiD-account en het SVB-account en het mijnPGB-account van een of meer derden,

waaronder [slachtoffer 1] en [slachtoffer 2] , heeft gebruikt door hierop telkens

onbevoegd en/of zonder toestemming in te loggen en/of vervolgens wijzigingen

in/aan deze DigiD-accounts en het SVB-accounts en mijnPGB-accounts

aan te brengen, met het oogmerk om zijn identiteit te verhelen en de identiteit

van de ander te verhelen en te misbruiken, waardoor enig nadeel kon ontstaan;

4

hij op 5 december 2022 te Heerjansdam, gemeente Zwijndrecht, opzettelijk en

wederrechtelijk in een (gedeelte van) een geautomatiseerd werk, te weten een of meer servers en/of computers van Whatsapp, is binnengedrongen met behulp van een valse sleutel, te weten door het gebruik van een valselijk/oneigenlijk verkregen activatiecode.

Voor zover in de tenlastelegging type- en taalfouten voorkomen, zijn deze in de bewezenverklaring verbeterd en gecursiveerd weergegeven, zonder dat de verdachte daardoor in de verdediging is geschaad.

De officier van justitie heeft gevorderd dat de verdachte wordt veroordeeld tot een taakstraf voor de duur van 80 uur, subsidiair 40 dagen vervangende hechtenis, waarvan 40 uur subsidiair 20 dagen vervangende hechtenis voorwaardelijk, met een proeftijd van twee jaar en met als bijzondere voorwaarden een meldplicht bij de reclassering, een inspanningsverplichting tot het vinden en behouden van dagbesteding en een deelnameverplichting aan Hack_Right.

In aanvulling op zijn eis heeft de officier van justitie opgemerkt dat hij ervoor heeft gekozen om de verdachte te dagvaarden voor de meervoudige strafkamer en niet uit te nodigen voor een OM-hoorzitting, omdat de verdachte zijns inziens begeleiding vanuit de reclassering behoeft en dit niet met een OM-afdoening kan worden bewerkstelligd.

De verdediging heeft bepleit dat aan de verdachte met toepassing van het jeugdstrafrecht een deels voorwaardelijke taakstraf wordt opgelegd. Voorts heeft de verdediging verzocht om in het vonnis op te nemen dat deze veroordeling bij de aanvraag van een verklaring omtrent het gedrag geen consequenties zal hebben.

Na te melden straf is in overeenstemming met de ernst van de gepleegde feiten, de omstandigheden waaronder deze zijn begaan en gegrond op de persoon en de persoonlijke omstandigheden van de verdachte, zoals daarvan tijdens het onderzoek op de terechtzitting is gebleken. De rechtbank neemt hierbij in het bijzonder het volgende in aanmerking.

De verdachte heeft ingelogd op de DigiD-accounts van 17 willekeurige personen, wiens inloggegevens door derden waren buitgemaakt en waren geplaatst op zogeheten combolijsten die de verdachte had gedownload. Toen de verdachte eenmaal was ingelogd op deze DigiD-accounts, heeft hij bij meerdere accounts de sms-controle uitgeschakeld, wachtwoorden en e-mailadressen gewijzigd en tweefactor-autorisatie geactiveerd op een smartphone die bij hemzelf in gebruik was. Vervolgens heeft de verdachte vanuit deze DigiD-accounts ingelogd bij diverse (semi-)overheidsdiensten, zoals het UWV, de Belastingdienst en de SVB. Ook bij deze diensten heeft de verdachte vervolgens gegevens gewijzigd. In twee gevallen heeft dit geleid tot daadwerkelijk financieel nadeel voor de rechthebbenden van de accounts. Doordat de verdachte bankrekeningnummers had vervangen, is het pensioen van twee slachtoffers gestort op een bankrekening die de verdachte in gebruik had. De verdachte heeft bovendien op naam van een van deze slachtoffers huurtoeslag aangevraagd, die daadwerkelijk is uitgekeerd aan dit slachtoffer.

Verder heeft de verdachte het WhatsApp-account van een willekeurig slachtoffer overgenomen. Naar zeggen van de verdachte heeft hij dit gedaan door middel van door hemzelf met behulp van AI geschreven software die een kwetsbaarheid in de broncode van WhatsApp exploiteerde bij het genereren van een activatiecode. Toen de verdachte eenmaal toegang had tot het WhatsApp-account van het slachtoffer heeft hij – zich voordoend als dit slachtoffer – betaalverzoeken verstuurd aan diens contacten. Toen zij daar niet intrapten, heeft de verdachte hun racistische en pornografische berichten en afbeeldingen gestuurd.

Door het handelen van de verdachte zijn meerdere personen gedupeerd geraakt. Daarnaast heeft de verdachte het vertrouwen dat een ieder moet kunnen hebben in de integriteit van het digitale verkeer geschaad. DigiD is het digitale authenticatiemiddel dat burgers moeten gebruiken om overheidszaken te regelen. Het wegvallen van het vertrouwen in DigiD zou het maatschappelijk en economisch verkeer kunnen ontwrichten.

De verdachte heeft in zijn verhoor bij de politie aanvankelijk de feiten ontkend, maar later in datzelfde verhoor heeft hij de feiten bekend. Ter terechtzitting heeft hij zijn bekentenis herhaald. Naar zeggen van de verdachte handelde hij uit nieuwsgierigheid. Hij wilde kwetsbaarheden in systemen blootleggen. Toen hij door kreeg dat hij daadwerkelijk financiële schade had berokkend, is hij hiervan geschrokken en heeft hij geprobeerd dit ongedaan te maken. Hij ontkende de feiten aanvankelijk omdat hij zich schaamde voor wat hij had gedaan, aldus de verdachte.

De rechtbank heeft kennisgenomen van het strafblad van de verdachte van 26 februari 2024, waaruit blijkt dat hij niet eerder met justitie in aanraking is gekomen. Dit heeft geen significante invloed op de strafmaat.

De rechtbank heeft kennisgenomen van een reclasseringsadvies over de verdachte van 28 november 2023. Daaruit blijkt dat de verdachte is gediagnostiseerd met autisme, ADHD en een disharmonisch IQ-profiel. De verdachte kan onvoldoende een inschatting maken van oorzaak en gevolg, en lijkt niet te hebben overzien wat de gevolgen waren van zijn handelen. Inmiddels heeft hij op het gebied van de online leefwereld een beter idee van wat wel en niet normaal is. De reclassering schat het risico op recidive in als laag. De verdachte lijkt baat te hebben bij een structurele daginvulling en een normaal dag-nachtritme. De verdachte lijkt over veel digitale vaardigheden te beschikken die hij graag op een positieve manier verder zou willen ontwikkelen. De reclassering ziet dan ook indicaties om de verdachte deel te laten nemen aan Hack_Right, een interventie voor cyberdaders die gemotiveerd zijn om te werken aan meer ethisch verantwoord gedrag. De reclassering adviseert het volwassenenstrafrecht toe te passen. Op basis van pedagogische vaardigheden ziet de reclassering geen noodzaak voor het inzetten op hulpverlening in het jeugdstrafrecht. Geadviseerd wordt een (deels) voorwaardelijke straf met als bijzondere voorwaarden een meldplicht bij de reclassering, een inspanningsverplichting dagbesteding te vinden en te behouden en een deelnameverplichting aan Hack_Right.

De verdachte was meerderjarig ten tijde van het plegen van de feiten. Toepassing van het volwassenenstrafrecht is dan ook het uitgangspunt. Anders dan door de raadsman is bepleit, ziet de rechtbank onvoldoende reden om het jeugdstrafrecht toe te passen. In het jeugdstrafrecht staat pedagogische beïnvloeding voorop. Met de reclassering ziet de rechtbank in dit geval geen noodzaak om daarop in te zetten, nu de problematiek van de verdachte zijn oorsprong met name vindt in zijn psychische gesteldheid.

Bij het bepalen van de straf houdt de rechtbank ten gunste van de verdachte rekening met zijn persoonlijkheid, zoals hiervoor uiteengezet, die het voor hem lastiger maakt om de gevolgen van zijn handelen te overzien en zich in te leven in de slachtoffers. Ook houdt de rechtbank in voor de verdachte gunstige zin rekening met zijn jonge leeftijd, het feit dat hij de feiten heeft bekend en daarmee verantwoordelijkheid heeft genomen voor zijn daden, en de omstandigheid dat hij heeft geprobeerd het door hem berokkende financiële nadeel recht te zetten – zij het op onbeholpen wijze.

Alles afwegende acht de rechtbank de door de officier van justitie geëiste straf passend en geboden. Zij zal dus opleggen een taakstraf van 80 uren, subsidiair 40 dagen vervangende hechtenis, waarvan 40 uren subsidiair 20 dagen vervangende hechtenis voorwaardelijk, met een proeftijd van twee jaren en de door de reclassering geadviseerde bijzondere voorwaarden. Die voorwaarden strekken ertoe de verdachte te helpen dagbesteding te vinden en te behouden en hem te helpen zijn digitale talenten op een positieve manier in te zetten.

Anders dan door de raadsman is verzocht, zal de rechtbank zich niet uitlaten over de vraag of deze veroordeling van invloed moet zijn op de afgifte aan de verdachte van een verklaring omtrent het gedrag (vog). Dat staat immers niet ter beoordeling van de rechtbank, maar van de dienst Justis. Daarbij komt nog dat de vraag of al dan niet een vog wordt afgegeven mede afhankelijk is van de functie in verband waarmee die aanvraag wordt gedaan, zodat daarover ook om die reden op voorhand geen uitspraak kan worden gedaan.

De officier van justitie heeft gevorderd dat de in beslaggenomen Samsung GB920ABE (A.01.01.003), desktop computer (A.01.01.014), Samsung S7 Edge (A.01.01.002) en Samsung SM/901/B (A.01.01.004) zullen worden verbeurd verklaard.

Voorts heeft de officier van justitie gevorderd dat de gegevens van twee Google-accounts van de verdachte, te weten [e-mailadres 2] en [e-mailadres 1] , die gedurende het onderzoek op grond van artikel 125o Wetboek van Strafvordering (Sv) ontoegankelijk zijn gemaakt, op grond van artikel 354 Sv worden vernietigd.

Ten aanzien van de Samsung S7 Edge (A.01.01.002) en de Samsung SM/901/B (A.01.01.004) heeft de verdediging verzocht om teruggave aan de verdachte. Voor het overige heeft de verdediging zich aan het oordeel van de rechtbank gerefereerd.

In beslag genomen voorwerpen

De rechtbank zal de Samsung GB920ABE (A.01.01.003), de desktop computer (A.01.01.014) en de Samsung SM/901/B (A.01.01.004) verbeurd verklaren. Deze voorwerpen zijn voor verbeurdverklaring vatbaar, aangezien deze voorwerpen aan de verdachte toebehoren en met behulp van deze voorwerpen de onder 1 tot en met 4 bewezen verklaarde feiten zijn begaan of voorbereid. De rechtbank acht verbeurdverklaring ook passend. Aan de Samsung GB920ABE heeft de verdachte het WhatsApp-account van Van der Ven gekoppeld (feit 4). De desktop computer heeft de verdachte onder meer gebruikt om combolijsten te downloaden. De Samsung SM/901/B heeft de verdachte gebruikt om in te loggen op meerdere DigiD-accounts.

De Samsung S7 Edge (A.01.01.002) was defect en is niet door de politie uitgelezen. Dat daarmee “niet uitgesloten” is dat ook deze telefoon is gebruikt bij de bewezen verklaarde feiten, zoals de officier van justitie heeft betoogd, biedt onvoldoende grondslag voor verbeurdverklaring of onttrekking aan het verkeer van de telefoon. Nu het belang van de strafvordering zich daartegen niet verzet, zal de rechtbank de teruggave aan de verdachte gelasten van deze telefoon.

Ontoegankelijk gemaakte gegevens

Ingevolge artikel 354, tweede lid, Sv kan de rechtbank gelasten dat ontoegankelijk gemaakte gegevens worden vernietigd indien het gegevens betreft met betrekking tot welke of met behulp waarvan een strafbaar feit is begaan, voor zover de vernietiging noodzakelijk is ter voorkoming van nieuwe strafbare feiten. In alle andere gevallen gelast de rechtbank dat de ontoegankelijk gemaakte gegevens weer ter beschikking van de beheerder van het geautomatiseerd werk worden gesteld.

In deze zaak zijn twee Google-accounts van de verdachte, te weten [e-mailadres 2] en playbuttongrind@gmail.com, ontoegankelijk gemaakt doordat een politieambtenaar de wachtwoorden van die accounts heeft gewijzigd. Beide accounts heeft de verdachte gebruikt bij de onder 1 tot en met 3 bewezen verklaarde feiten.

In de mailbox behorende bij het account [e-mailadres 2] zijn berichten met kopieën van identiteitsbewijzen van slachtoffers aangetroffen en ook gebruikersnamen en wachtwoorden. Vernietiging van het account is daarmee noodzakelijk ter voorkoming van nieuwe strafbare feiten.

In het account playbuttongrind@gmail.com zijn dergelijke gegevens van slachtoffers niet aangetroffen. Wel is het bij dit account behorende e-mailadres gekoppeld geweest aan enkele accounts van slachtoffers, maar aangenomen kan worden dat die koppeling inmiddels ongedaan is gemaakt. Daarmee kan niet worden gezegd dat vernietiging noodzakelijk is ter voorkoming van nieuwe strafbare feiten. De rechtbank zal gelasten dat dit account weer ter beschikking van de verdachte wordt gesteld.