"Een ethisch hacker heeft mogelijkheden die wij niet hebben, omdat hij niet aan dezelfde regels gebonden is." Dat zegt Peter Peereboom, 'cybermagistraat' bij het parket Antwerpen, over het opmerkelijke initiatief van ethisch hacker Inti De Ceukelaire, die zelf achter een phishingbende aanging. "Als het wettelijk verlopen is, kunnen we daar niets op tegen hebben, maar het lijkt soms een druppel op een hete plaat."
Nadat Inti De Ceukelaire zelf achter phishingbende aanging: wat kan hij dat het parket niet kan?
Joris Truyts
Gepubliceerd:
Samenvatting:
Ethisch hacker Inti De Ceukelaire drong binnen in het digitale hoofdkwartier van een phishingbende die nep-mails stuurde namens Argenta, en speelde de verzamelde informatie door aan de politie.
Cybermagistraat Peter Peereboom van het Antwerpse parket reageert positief, maar nuanceert: "Als hij effectief phishingcampagnes heeft voorkomen, dan zijn er ook minder slachtoffers gevallen. Maar er zijn zoveel phishingbendes actief dat het soms maar een druppel op een hete plaat lijkt."
Het parket kampt met grote uitdagingen: oplichters opereren vaak vanuit het buitenland, gebruiken VPN-verbindingen om anoniem te blijven en maken steeds vaker gebruik van artificiële intelligentie om geloofwaardiger te lijken.
Inti De Ceukelaire ontmaskerde een viertal oplichters die met phishingmails, zogezegd verstuurd door Argenta, Belgische slachtoffers viseerden. De Ceukelaire wist binnen te dringen in het digitale hoofdkwartier van de bende en speelde alles wat hij vergaarde door aan de politie.
"Die informatie wordt nu geanalyseerd door de politie om te kijken of we daar verder iets mee kunnen doen", zegt Peter Peereboom van het Antwerpse . Als 'cybermagistraat' is hij de autoriteit als het gaat over phishingzaken.
Zolang alles wettelijk verlopen is, is het een mooi initiatief van Inti De Ceukelaire, zegt hij. "Als hij effectief phishingcampagnes heeft voorkomen, dan zijn er ook minder slachtoffers gevallen. En dit brengt de problematiek onder de aandacht. Maar er zijn zoveel phishingbendes actief dat deze actie, en de acties die wij ondernemen, soms maar een druppel op een hete plaat lijken."
Strikte regels
Doet het parket dergelijke hackings ook zelf? Dat gebeurt, zegt Peereboom. "Maar een ethisch hacker heeft mogelijkheden die parket en politie niet hebben. De wetgeving rond ethisch hacken, die sinds enkele jaren bestaat, geeft hen heel wat vrijheid."
"Wij kunnen niet zomaar in het wilde weg beginnen te hacken. Dat gaat niet. Daar zijn regels voor. Als daar niet aan voldaan is, kan het niet." Zo is onder meer nodig dat een eerst toestemming geeft.
"Die regels hebben als doel dat de burger bepaalde waarborgen heeft als hij onder een onderzoek zou vallen. Dat is de logica der dingen."
Ethische hackers inschakelen?
De politiediensten mogen en kunnen dus wel hacken, maar onder strikte voorwaarden. Mensen met de kennis van zaken zijn er effectief, "al zijn ze niet dik gezaaid".
Bovendien: het parket mag aan de slag gaan met info die een ethisch hacker doorspeelt, maar zelf geen opdrachten geven. "Want dan zouden ze aan dezelfde regels gebonden zijn."
Maar dan nog, het probleem zou niet opgelost zijn door een aantal ethische hackers in te schakelen bij het parket, zo luidt het. "Het is niet zo dat we dan het phishinglandschap grondig gaan verstoren. Zo werkt het jammer genoeg niet."
Meer samenwerking
"Wat we nu proberen te doen, is meer inzetten op samenwerking met banken, met providers en met het Centrum voor Cybersecurity Belgium. Wat Inti De Ceukelaire gisteren heeft gedaan, doet het centrum eigenlijk elke dag. Via de meldingen op Safeonweb (waar iedereen verdachte berichten kan melden) zorgen ze ervoor dat phishing-panels ontoegankelijk worden."
"Het is een moeilijke strijd", erkent Peereboom. "We strijden met zeer ongelijke wapens ten opzichte van de criminelen. Het internet biedt tal van mogelijkheden om je te verstoppen of de identiteit van iemand anders over te nemen. VPN-verbindingen bijvoorbeeld maken het in veel gevallen onmogelijk om na te gaan wie er achter de verbinding zit."
Komt daarbij: de oplichters opereren heel vaak vanuit het buitenland. Geld dat ze ontfutselen, wordt snel weggesluisd en is nog maar moeilijk terug te halen.
Beluister het gesprek met Peter Peereboom in De Wereld Vandaag
Dossiers samenbrengen
Al zijn er ook voorbeelden van bendes die opgerold worden en veroordelingen die uitgesproken worden. In Mechelen werden vorige maand 2 broers veroordeeld tot 10 jaar cel voor phishingfraude van 171.000 euro.
Wat heeft het parket nodig om de strijd op te voeren? Meer mensen en middelen, meer wettelijke mogelijkheden, maar vooral een betere beeldvorming, zegt de magistraat.
Wat we moeten doen is dossiers samenleggen en organisaties in beeld proberen te brengen
Cybermagistraat Peter Peereboom
"Wij vertrekken vanuit de aangifte van slachtoffers", zegt Peereboom. "Dat zijn er heel veel, vorig jaar 7.500 alleen voor de provincie Antwerpen. Die allemaal beginnen te rechercheren om daders te identificeren, is onbegonnen werk."
"Wat we eigenlijk moeten doen, is dossiers samenbrengen. Welke hangen samen? Welke kunnen we toewijzen aan dezelfde groep en hoe kunnen we daar gezamenlijk verder doorstoten naar de daders? Zo kun je de organisaties in beeld brengen. Maar dat gebeurt nog onvoldoende op dit moment."
De vooruitgang van artificiële intelligentie maakt het voor oplichters intussen nog eenvoudiger om campagnes op te zetten, die er ook steeds professioneler uitzien. "Als je dat samenlegt met de anonimiteit van het internet en de enorme winsten die te halen zijn. Ja, dan weet je dat dit alleen maar verder zal blijven stijgen."
