Een 21-jarige man uit Zandvoort is door de rechtbank van Amsterdam veroordeeld tot een gevangenisstraf van vier jaar, waarvan één jaar voorwaardelijk. Volgens de rechter heeft hij zich schuldig gemaakt aan onder meer computervredebreuk, afpersing, heling van niet-openbare gegevens en geld witwassen. Ook moet de verdachte een schadevergoeding van bijna drie ton betalen. Dat staat in het vonnis dat de rechtbank van Amsterdam vandaag heeft uitgesproken.
De zaak draait om Pepijn van der S. Sinds begin 2021 zou hij, samen met een aantal handlangers, verschillende Nederlandse bedrijven hebben gehackt en afgeperst, waaronder RDC en Ticketcounter. De verdachte stal persoonlijke en privacygevoelige gegevens van miljoenen Nederlanders en dreigde deze informatie via het dark web te verkopen aan de hoogste bieder. Om dat te voorkomen betaalde een van de slachtoffers bijna 750.000 euro.
De 21-jarige verdachte werkte overdag bij cybersecuritybedrijf Hadrian. Ook was hij actief als vrijwilliger bij het Dutch Institute for Vulnerability Disclosure (DIVD), een organisatie die het internet afstruint naar kwetsbaarheden en bedrijven hiervoor waarschuwt. In de avonduren maakte hij slachtoffers door in te breken, vertrouwelijke en privacygevoelige data te stelen en losgeld te eisen. “White hat by day, black hat by night”, zo omschreef de officier van justitie zijn werkwijze en gedrag tijdens de inhoudelijke behandeling.
Het Openbaar Ministerie noemde deze zaak ‘uniek op alle fronten’: niet eerder kwam een zaak waar de aard en omvang zo groot was voor de rechter. “Het vertrouwen in de e-mail, op internetbankieren of mensen die je opbellen vanuit een organisatie als de bank, is daardoor ernstig geschaad, terwijl we tegelijkertijd in deze gedigitaliseerde wereld juist afhankelijk zijn van deze middelen”, zo zei de officier van justitie. Vanwege de ernst van zijn daden en om andere hackers af te schrikken, vroeg het Openbaar Ministerie om een celstraf van zes jaar.
De rechtbank van Amsterdam vindt het wettig en overtuigend bewezen dat Pepijn van der S. zich schuldig heeft gemaakt aan computervredebreuk, afpersing, afdreiging, heling van niet-openbare gegevens, datadiefstal en gewoontewitwassen. Afdreiging is een vorm van afpersing waarbij de dader niet dreigt met geweld, maar een ander drukmiddel gebruikt (in dit geval privégegevens). Van gewoontewitwassen is sprake als iemand willens en wetens illegaal verkregen geld witwast en daar een gewoonte van maakt.
“Verdachte heeft door zijn handelen ervoor gezorgd dat meerdere bedrijven slachtoffer zijn geworden en zijn handelen heeft grote financiële schade voor deze bedrijven tot gevolg gehad. Bij de afdreigingen en afpersingen heeft verdachte gedreigd om vertrouwelijke informatie van deze bedrijven openbaar te maken waardoor zij -naast financiële schade- ook reputatieschade dreigden op te lopen”, zo schrijft de rechtbank in het vonnis.
De rechter neemt het de man uit Zandvoort kwalijk dat hij zijn kennis van de digitale wereld bijna drie jaar lang heeft ingezet om vertrouwelijke gegevens te stelen en bedrijven te chanteren.
Alles overwegende heeft de rechtbank van Amsterdam bepaald dat een gevangenisstraf van vier jaar, waarvan één jaar voorwaardelijk en een proeftijd van drie jaar, op zijn plaats is voor de verdachte. Bij de strafbepaling heeft de rechtbank rekening gehouden met de persoonlijke omstandigheden van de man, zijn jonge leeftijd, het feit dat de man actief heeft meegewerkt aan het onderzoek en grotendeels schuld heeft bekend.
De verdachte moet zich tijdens zijn proeftijd aan een aantal bijzondere voorwaarden houden. Zo moet hij zich melden bij Reclassering Nederland, moet hij zijn best doen om betaald werk te vinden en houden, en moet hij betalingsregelingen treffen om zijn schulden af te lossen.
Diverse bedrijven hebben een schadeclaim ingediend bij de rechtbank. De meeste claims zijn door de rechtbank ontvankelijk verklaard. Dat betekent dat de verdachte bijna drie ton aan schadevergoeding moet betalen aan de slachtoffers. De proceskosten komen nog boven op dat bedrag.
