Doen plegen van denial of service aanval?

[Arnoud Engelfriet]

Per 1 september wordt de nieuwe Wet Computercriminaliteit van kracht. Een van de nieuwe artikelen stelt de zogeheten denial-of-service aanval (verstikkingsaanval) strafbaar. Hierbij ontvangt het slachtoffer een (grote hoeveelheid) gegevens, waardoor de werking van diens computer of netwerk belemmerd wordt.

Nu zegt het nieuwe artikel 138b dat strafbaar is "hij die opzettelijk en wederrechtelijk de toegang tot of het gebruik van een geautomatiseerd werk belemmert door daaraan gegevens aan te bieden of toe te zenden."

Punt is dat de meeste van deze aanvallen niet door een enkele aanvaller verzorgd worden, maar door tientallen of honderden computers tegelijk. Meestal zijn deze 'gekaapt' door de dader, die van afstand alle computers de opdracht geeft het slachtoffer te bestoken met gegevens.

Bij de behandeling in de Tweede Kamer is voorgesteld om hieraan toe te voegen "dan wel gegevens aan te laten bieden of toe te laten zenden", maar dat is er dus niet doorgekomen.

Toch wordt in commentaren (zoals b.v. op eJure) zonder voorbehoud gemeld dat beide vormen nu strafbaar zijn met dit artikel. Maar hoe dan?

Is dit nu iets dat onder het "doen plegen" valt (art. 47 Sr)? De dader zet immers een ander (de eigenaar van de gekaapte computer) er toe aan om het slachtoffer te bestoken, en die ander kan dat niet weigeren. Dus daarmee is die eigenaar niet zelf aansprakelijk.

Of zit ik er nu helemaal naast? Ik krijg volgend jaar pas strafrecht...

Arnoud

[StevenK]

Ik betwijfel zelfs of je wel van 'doen plegen' kunt spreken bij een DDoS. Kenmerk is tenslotte dat de pc van de 'plegers' direct bestuurt wordt door de daadwerkelijke dader. Het is zeker niet zo dat de eigenaren / beheerders / gebruikers van die pc er op enig manier toe bewogen worden die aanval te plegen, het is de dader die zelf die pc's als instrument gebruikt.

Nu zou je nog kunnen argumenteren dat het 'doen plegen' gelegen is in het onder valse voorwendselen laten accepteren van de spyware waarmee de DDoS client op de pc's gezet wordt, maar in mijn beleving staat dat te ver af van de feitelijke DDoS. De legitieme verhuurder van een auto wordt tenslotte ook niet als feitelijk pleger van een ramkraak gezien.

[Nemine contradicente]

Interessante kwestie.
Mijn eerste ingeving zou zijn dat een parallel te trekken valt met onder bedreiging een strafbaar feit plegen.
En dit valt niet onder het doen plegen criterium.
_________________
Legere Iudicare Reparare

[StevenK]

[Arnoud Engelfriet]

Ok, kennelijk heb ik het 'doen plegen' niet helemaal goed begrepen. De feitelijke dader moet een persoon zijn en die moet zelf het feit plegen (daartoe bewogen door de principaal).

Dus het is hier eigenlijk veel simpeler: de hoofddader gebruikt voorwerpen die van een ander zijn, bestuurt die van op afstand en pleegt daarmee het misdrijf.

Zeg maar, hij stopt (ongemerkt) een bom in mijn tas, wacht tot ik het gebouw binnen ben en laat deze dan met de afstandsbediening ontploffen. Dan pleegt hij de aanslag. Ik ben verder niet strafrechtelijk aansprakelijk.

Zou ik het weten, en toch de bom mee naar binnen nemen, dan ben ik medepleger. En als hij me chanteert om het te doen, dan is het doen plegen?

Arnoud

[bona fides]

Ik sluit me bij StevenK aan. Technisch gezien is het altijd de computer die een pakketje stuurt, maar een computer is niet strafbaar voor zijn acties. Strafbepalingen beschrijven dus menselijke handelingen. De menselijke handeling bestaat er in dat de toegang tot een geautomatiseerd werk wordt belemmerd, door (vanzelfsprekend met behulp van een computer) gegevens aan te bieden of toe te zenden. In de bepaling valt geen beperking te lezen wat betreft de manier waarop die gegevens worden aangeboden: of je die zendende computer nu van afstand bedient, of er direct zelf achter zit, de handeling valt onder de strafbepaling. (Het "achter de computer zitten" is ook maar schijn, tenzij het een laptop is zit je achter een monitor en toetsenbord die via een "netwerk" (nl. kabels) met de computer zijn verbonden.) Ik denk daarom niet dat je via "doen plegen" hoeft te redeneren.

Ik geloof wel dat je het "doen plegen" criterium juist hebt begrepen (al moet ik daarvoor mijn splinternieuwe boek "Materieel strafrecht" raadplegen ). Het ziet op het gebruiken van een ander als instrument om een strafbaar feit te plegen. Die fysieke uitvoerder moet hierbij straffeloos zijn. Dus als iemand bij jou ongemerkt een bom in je tas stopt, ben jij de niet-strafbare fysieke dader, maar is die ander de strafbare dader via het "doen plegen" criterium. Als je het wel weet, maar zodanig bedreigd wordt dat dit een rechtvaardigingsgrond vormt om met die bom het gebouw in te lopen, is opnieuw sprake van "doen plegen". Het strafrecht maakt kennelijk een onderscheid tussen het gebruik van een voorwerp als instrument om een feit te plegen (bijv. pistool, computer), en het gebruik van een mens als instrument.

In het geval van een DDoS zie ik nog steeds geen "doen plegen", omdat de eigenaar van de gehackte computer de handeling niet zelf verricht. Hij geeft zijn computer niet (al dan niet onbewust) de opdracht om gegevens te verzenden.

(Het zou anders zijn als bijvoorbeeld iedere muisbeweging de gehackte computer een pakketje zou doen versturen... dan is de eigenaar van de computer de straffeloze fysieke dader, en is het brein achter de DDoS de doen pleger.)
_________________
Hanc marginis exiguitas non caperet.

[Arnoud Engelfriet]

En het resultaat is ondertussen te bewonderen op De Wet Computercriminaliteit: Denial of service

"Verstikkingsaanval", het blijft mooi gevonden.

Arnoud
[/url]

[bona fides]

Mooie tekst.

Onder "Hulpmiddelen" mist denk ik de opmerking dat het gaat om het maken/vervaardigen/etc van zo'n hulpmiddel met het oogmerk één van de eerder genoemde misdrijven te plegen. In de praktijk zal het m.i. lastig zijn dit te bewijzen.

Art 139 lid 2 sub a Sr verbiedt daarom nog niet het bezit van een ping-programma met flooding ("-f") optie.
_________________
Hanc marginis exiguitas non caperet.

[Arnoud Engelfriet]

[bona fides]

[Arnoud Engelfriet]

[Volento Deo]

[bona fides]

Maar hoe bewijs je dat dit het oogmerk is van de aanbieder? De aanbieder zelf ontkent het. Een nuttig gebruik in een privé-netwerk is ook goed denkbaar.

In De Hullu's Materieel Strafrecht lees ik dat het oogmerk-bestanddeel strikter is dan opzet. Zo is voorwaardelijke opzet niet voldoende. Ik zie niet in hoe je op basis van de website en wetenschap van de tool kunt hard maken dat de tool verspreid wordt met de opzet dat een misdrijf wordt gepleegd, laat staan met het oogmerk.

Wel voldoet deze tool, itt ping, aan "dat hoofdzakelijk geschikt gemaakt of ontworpen is tot het plegen van een zodanig misdrijf".
_________________
Hanc marginis exiguitas non caperet.

[lexine]

Het THC flooding tool is niet alleen nuttig, maar kan zelfs essentieel zijn bij het bepalen van de oorzaak van netwerkproblemen. Het tool is niet gemaakt met het oogmerk er een misdrijf mee te plegen, hoewel dat heel goed mogelijk is.

De disclaimer is er niet zomaar, het zal niet de eerst ekeer zijn dat de maker van een stuk gereedschap aansprakelijk wordt gesteld voor het gebruik ervan (BV Smith & Wesson).

Gelet op het gegeven dat het tool, weliswaar niet onmisbaar is, maar wel essentieel kan zijn, kan het bezit (of het aanwezig zijn van het tool in machine leesbare vorm op de computer), zeker niet als het bewust is geïnstalleerd, als de intentie tot een strafbaar feit worden gezien. Vergelijk bijvoorbeeld het vleesmes.