ECLI:NL:PHR:2023:53

PROCUREUR-GENERAAL BIJ DE HOGE RAAD DER NEDERLANDEN Nummer 21/01581 Zitting 17 januari 2023 CONCLUSIE E.J. Hofstee In de zaak [verdachte] , geboren te [geboorteplaats] op [geboortedatum] 1970, hierna: de verdachte I. Inleiding Het gerechtshof Den Haag heeft de verdachte bij arrest van 30 maart 2021 wegens 1. “medeplegen van het een gewoonte maken van witwassen” en 2. “deelneming aan een organisatie die tot oogmerk heeft het plegen van misdrijven van welke organisatie hij leider was”, veroordeeld tot een gevangenisstraf voor de duur van negentien maanden, met aftrek van het voorarrest. Daarnaast heeft het hof de teruggave aan de verdachte gelast van een aantal inbeslaggenomen voorwerpen. Voorts heeft het hof de onderscheiden vorderingen tot schadevergoeding van de benadeelde partijen Coöperatieve Rabobank U.A. (hierna: Rabobank) en ING Bank Nederland NV (hierna: ING) gedeeltelijk toegewezen tot een bedrag van € 134.626,42 respectievelijk € 100.491,94, en bepaald dat de verdachte met de mededaders hoofdelijk voor deze bedragen aansprakelijk is.

Er bestaat samenhang met de zaken 21/01540, 21/01580, 21/01600, 21/01639 en 21/01500. Ook in die zaken zal ik vandaag concluderen.

Namens de verdachte hebben C.W. Noorduyn en N.J.B. Vegelien, beiden advocaat te 's‑Gravenhage, drie middelen van cassatie voorgesteld.

Namens de Rabobank heeft Th.O.M. Dieben een verweerschrift ingediend. Een verweerschrift namens de ING Bank is ingediend door A.L. Vogel.

Achtergrond en samenvatting van de zaak volgens de vaststellingen van het hof 5. De zaak speelt zich af tegen de achtergrond van in 2012 en 2013 verspreide malware (kwaadaardige software zoals virussen, ‘wormen’, ‘Trojaanse paarden’, keyloggers, spyware en adware). Het infecteren van de computers gebeurde door spamruns – rondes waarin grote hoeveelheden spam-berichten werden verstuurd. De malware die hier centraal staat wordt TorRAT genoemd en werd ingezet om frauduleuze overboekingen te bewerkstelligen bij de Rabobank en de ING Bank en om zodoende met behulp van een valse sleutel geldbedragen die voor anderen bestemd waren te ontvreemden. Er werden grote aantallen spammails verzonden over bijvoorbeeld aanmaningen of voorstellen voor een betalingsregeling. Die mails bevatten ogenschijnlijk een link naar een openstaande factuur of een ander bestand.

In werkelijkheid betrof het een programma dat de malware installeerde op de computer van ieder die op de linkt klikte. De malware werd aangestuurd door een Command and Controlserver (C&C-server). Dit is een centrale computer die deel uitmaakt van een botnet – een netwerk van met malware geïnfecteerde geautomatiseerde werken – en die dat botnet kan aansturen. Als op een met de malware besmette computer werd gebruikgemaakt van internetbankieren, konden het bankrekeningnummer, de naam van de begunstigde en de omschrijving van de betaling worden aangepast zonder dat dit (direct) zichtbaar was voor de gebruiker van die computer. Op die manier konden betalingen door de TorRAT-malware worden gewijzigd en omgeleid naar de bankrekeningen van ‘money mules’.

Deze geldezels zijn personen die hun bankrekening beschikbaar stellen voor het doorsluizen van geld. De geldbedragen werden vervolgens zo snel mogelijk aan het zicht van de banken en politie en justitie onttrokken, al dan niet met tussenkomst van een (tweede lijn) moneymule naar wie het geld werd doorgeboekt, door contante geldopnames of door overboekingen naar bankrekeningen die (indirect) door de verdachte of door zijn medeverdachten werden gebruikt en de daarop volgende (gedeeltelijke) omzetting in bitcoins.

II. Tenlastelegging, bewezenverklaring en bewijsvoering 6. Aan de verdachte is tenlastegelegd dat: “1. hij, op een of meer tijdstippen in of omstreeks de periode van 4 mei 2012 tot en met 21 oktober 2013, te Utrecht en/of Amsterdam en/of Haarlem en/of Maastricht en/of Emmen en/of Zwolle en/of Roden en/of Alkmaar en/of Woubrugge, althans in Nederland en/of in Groot-Brittannië, tezamen en in vereniging met een ander of anderen, althans alleen, van het plegen van witwassen een gewoonte heeft gemaakt, door van (een) voorwerp(en), te weten (een) geldbedrag(en) (ongeveer 279.873,67 zegge tweehonderd negenenzeventig duizend en achthonderd drieënzeventig komma zevenzestig euro) en/of een of meer Bitcoins, althans digitale 'wallets' inhoudende de digitale 'currency' bitcoins, de werkelijke aard, de herkomst, de vindplaats, de vervreemding en/of de verplaatsing te verbergen en/of te verhullen, althans door te verbergen en/of te verhullen wie de rechthebbende op een voorwerp, te weten voornoemde (een) geldbedrag(en) en/of Bitcoins, althans digitale 'wallets' inhoudende de digitale 'currency' bitcoins zijn/waren en/of door te verbergen en/of te verhullen wie voornoemde voorwerp(en) voorhanden had, immers, heeft/hebben verdachte en/of zijn mededader(s) (voornoemd(e) geldbedrag(en) verkregen door

Waar de gedragingen, zoals genoemd achter de gedachtestreepjes 3 tot en met 6, derhalve relevant zijn voor bewezenverklaring van het tenlastegelegde witwassen, geldt dat niet voor de gedragingen achter de gedachtestreepjes 1 en 2. Ook als die gedragingen niet bewezen mochten kunnen worden, laat dat onverlet dat witwassen zou kunnen worden bewezen, op grond van de gedragingen, zoals genoemd achter de gedachtestreepjes 3 tot en met 6.

Omgekeerd geldt dat eventuele bewezenverklaring van de gedragingen, zoals genoemd achter de gedachtestreepjes 1 en 2, weliswaar een context kan betekenen voor betrokkenheid bij enig specifiek ander strafbaar feit maar kan dat niet leiden tot bewezenverklaring van enig ander strafbaar feit dan het tenlastegelegde (gewoonte-)witwassen. Mocht dat wel de bedoeling zijn geweest, had de tenlastelegging mede op dat andere strafbare feit of die andere strafbare feiten toegesneden moeten zijn. Dat is niet gebeurd. Een zoekslag in de jurisprudentie in relatie tot gedragingen, zoals genoemd achter de gedachtestreepjes 1 en 2, leert dat dergelijke gedragingen meer dan eens als afzonderlijke strafbare feiten in de tenlastelegging zijn opgenomen. Het achterwege blijven daarvan in de onderhavige tenlastelegging versterkt de indruk dat het beperken van de tenlastelegging tot (gewoonte-)witwassen op een bewuste keuze berust.

3Het causale verband […] De verdediging heeft betoogd dat de causaliteit zich niet laat vaststellen. De verdediging heeft in dit verband gesteld dat ten aanzien van de door de banken in dan wel bij de aangiftes genoemde transacties aannemelijk moet zijn dat deze transacties met een redelijke mate van waarschijnlijkheid door TorRAT zijn veroorzaakt (scenario 1) en de kans dat deze door andere malware zijn veroorzaakt zo klein is, dat daaraan als hoogst onwaarschijnlijk kan worden voorbijgegaan (scenario 2). Meer in het bijzonder is aangevoerd dat uit de aangiften en rapportages van Fox-IT niet blijkt hoe deze causaliteit is vastgesteld en dat ook uit de getuigenverhoren niet duidelijk is geworden wie de bijlagen bij de aangiften heeft opgesteld en op welke wijze dat is gebeurd. Verder is er in dit verband op gewezen dat getuige/deskundige Sandee tegenover de rechter-commissaris heeft aangegeven wat er nodig is om de causaliteit vast te stellen en dat het overzicht van de officier van justitie daaraan niet voldoet. Meer in het algemeen is betoogd dat uit het dossier blijkt dat er in de pleegperiode verschillende virussen actief waren die gericht waren op banken en dat onvoldoende duidelijk is hoe de banken de in de aangiften genoemde bedragen aan TorRAT hebben toegeschreven.

Het hof ziet geen grond om de door de verdediging bepleite maatstaf te hanteren. Nu sprake is van een alternatieve causaliteit, gaat het erom dat per transactie wordt beoordeeld of de vaststelling dat een transactie is beïnvloed (zoals hierna zal blijken ging het om legitieme transacties die door de malware werden aangepast, waar hierna in verband met transacties de term 'veroorzaakt' wordt gebruikt is dat bedoeld in de betekenis dat het gaat om transacties die door TorRAT zijn aangepast) door TorRAT, kan worden gedaan binnen een aanvaardbare zekerheidsmarge. Nu sprake is van een veelheid aan transacties met wisselende eigenschappen kan niet in algemene termen worden aangegeven welke factoren daarvoor bepalend zijn. Daarom zal per (cluster van) transactie(s) worden aangeven welke feiten en omstandigheden hebben geleid tot de vaststelling of deze wel of niet aan TorRAT kunnen worden toegeschreven.

Omschrijving werking TorRAT Inleiding Uitgangspunt van deze zaak zijn de aangiftes van de banken (ING en Rabobank). Bij en in' die aangiftes wordt een grote hoeveelheid transacties genoemd die volgens die aangiftes zouden zijn veroorzaakt door TorRAT.

De toerekeningsvraag Ter toetsing ligt thans derhalve de vraag voor of de betalingen die in en bij de aangiften worden genoemd als zijnde veroorzaakt door TorRAT (hierna: 'de transacties'), inderdaad door TorRAT zijn veroorzaakt of door een andere malware (verder aan te duiden als: de toerekeningsvraag). De verdediging voert terecht aan dat niet duidelijk is geworden aan de hand van welke criteria de transacties door de aangevers als zodanig zijn aangemerkt.

Dit betekent dat niet reeds op basis van die aangiften aangenomen kan worden dat het inderdaad gaat om transacties die zijn veroorzaakt door TorRAT. Het hof heeft in dit verband opdracht gegeven tot het uitbrengen van een rapport door ir. R. Schramp, als onderzoeker verbonden aan het Nederlands Forensisch Instituut (hierna: de deskundige). Daarnaast heeft de deskundige ter terechtzitting een verklaring afgelegd. De deskundige heeft opdracht gekregen om nader onderzoek te verrichten dat betrekking diende te hebben op “de relatie in termen, van waarschijnlijkheid en causaliteit tussen de door Fox-IT in de betreffende relevante periode gesignaleerde zogenaamde TorRAT-software (voor zover daarvan configuratiedocumenten zijn gemaakt) en eventuele andere in dezelfde periode actieve banking malware enerzijds, en frauduleuze overboekingen vanaf bepaalde in het dossier voorkomende ING- en Rabobank-bankrekeningen anderzijds". Daartoe heeft de deskundige de concrete vraag voorgelegd gekregen om dit onderzoek te verrichten ten aanzien van een twintigtal specifieke transacties. In zijn rapport zet de deskundige onder meer de werking van met name de configuratiebestanden die door TorRAT werden gebruikt uiteen en geeft hij op grond van een Bayesiaanse analyse voor alle aan hem voorgelegde transacties een waarschijnlijkheidsoordeel met betrekking tot de twee hiervoor genoemde scenario's.

Het hof zal bij de beantwoording van de toerekeningsvraag weliswaar gebruik maken van een aantal bevindingen van de deskundige, maar zal - zoals reeds hiervoor tot uitdrukking gebracht - specifiek aangeven welke transacties, op welke gronden aan TorRAT kunnen worden toegeschreven. […] Eenvoudig weergegeven bestond TorRAT uit twee elementen, de software zelf en configuratiebestanden. Voor de toerekeningsvraag zijn deze laatste in het bijzonder van belang. Na installatie van de software op een computer als gevolg van het klikken op een link in een spammail zocht de aldus geïnfecteerde computer contact met een C&C-server. Uniek aan TorRAT was dat deze C&C-server zich veelal bevond in een Tor-netwerk (ook bekend, als het Darkweb of Darknet). De C&C-server voorzag TorRAT regelmatig van nieuwe configuratiebestanden. De exacte functie en werking daarvan zal hierna worden uiteengezet. […] Andere dadergroep?

Door de verdediging is betoogd dat er zich in het dossier aanwijzingen bevinden dat een andere dadergroep achter TorRAT de transacties kan hebben verricht. Daartoe is erop gewezen dat een anoniem gebleven persoon delen van TorMailboxen aan de politie heeft overhandigd, en dat dat - zo begrijpt het hof de vrij speculatief geformuleerde stellingname van de verdediging op dit punt - duidt op iemand die nauw bij TorRAT betrokken was en er belang bij had om de verdachte en zijn medeverdachten voor TorRAT te laten opdraaien. Het gesuggereerde scenario dat een andere dadergroep dan de groep van de verdachte en zijn medeverdachten met toepassing van TorRAT de transactie heeft beïnvloed, vergt het doen van de nodige aannames.

TorRAT voor anderen beschikbaar?

In de eerste plaats moet worden aangenomen dat (de broncode van) TorRAT voor die andere dadergroep beschikbaar was. Aanwijzingen hiervoor ontbreken. De verdediging heeft betoogd dat een andere banking malware, bekend als ZeuS of Zeus (hierna: 'ZeuS'); op nagenoeg dezelfde wijze als TorRAT opereerde. Voor die aanname kan echter geen steun aan de deskundige worden ontleend. Deze heeft ter zitting verklaard dat ZeuS op conceptueel niveau op dezelfde wijze werkt als TorRAT, in die zin dat zowel TorRAT als ZeuS zich nestelen in de webbrowser en documenten die van de bank ontvangen worden, herkennen en 'on the fly' aanpassen. Deze methode staat ook wel bekend als 'man-in-the-browser, en was in de tenlastegelegde periode niet uniek. De deskundige heeft in zijn rapport (blz. 5) gesteld dat het voor bijvoorbeeld de malwarefamilie ZeuS gebruikelijk was dat meerdere dadergroepen dezelfde malware gebruikten, omdat van ZeuS de broncode in mei 2011 gelekt werd. Vanaf dat moment kon iedereen met voldoende technische kennis een ZeuS-malwarecampagne starten.

In het Fox-IT rapport wordt (op blz. 7) geconstateerd: "het ging bij deze aanval (het hof begrijpt: de aanval door TorRAT) om een eigengemaakte Java exploit en ook op dat moment een onbekende variant van malware. Fox-IT heeft de onbekende malware als referentie naam TorRat gegeven." De situatie die zich voordeed was derhalve niet - zoals bij ZeuS wel voorkwam - dat een bekende malware-variant door een nieuwe dadergroep werd hergebruikt, maar dat een unieke malware-variant werd geïntroduceerd. Voor de stelling dat daarbij op dat moment twee verschillende en in beginsel concurrerende dadergroepen betrokken waren, bestaan niet alleen geen aanwijzingen, maar deze is in zijn algemeenheid ook niet aannemelijk. In dat verband is het volgende van belang.

In alle versies van TorRAT werden als C&C-server twee onion-URL's gebruikt, doorgaans als primaire C&C-servers en enige tijd als secundaire C&C-servers. Deze onion-URL' s waren in alle bekende versies van de TorRAT-bot-files identiek, namelijk http:// [URL 1] .onion en http:// [URL 2] .onion. De deskundige heeft hierover in zijn rapport opgemerkt dat om met een malwarecampagne geld te kunnen verdienen de persoon die een dergelijke campagne start een C&C-server moet beheren om de geldstromen te richten op zijn eigen gewin en niet op het gewin van anderen. Daarom is het delen van een C&C-server heel ongebruikelijk, aldus de deskundige (blz. 6 rapport).

Ter toelichting hierop merkt het hof het volgende op. De feitelijke werking van TorRAT was volledig afhankelijk van de inhoud van configuratiebestanden die vanaf de C&C-server naar de met TorRAT geïnfecteerde computers werden verzonden (uit de verklaring van de deskundige en het Fox-IT rapport blijkt immers dat het verspreiden van configuraties naar de met TorRAT geïnfecteerde computers plaatsvond door het versturen van 'het commando vdc' (download config) door de C&C-server, waarna de geïnfecteerde computers de configuratiebestanden downloadden.) Het initiatief voor het vernieuwen van de configuratiebestanden, en daarmee de verantwoordelijkheid voor de inhoud daarvan en dus ook voor de werking van TorRAT, lag bij de (beheerder van) de C&C-server, zo bevestigt de deskundige (blz. 5 rapport). In dat verband is ook van belang dat de deskundige in zijn verklaring ter zitting heeft uiteengezet dat de beheerder van een C&C-server in het algemeen niet wil dat een ander deze overneemt en dat het daarom voor de hand ligt dat deze door middel van een wachtwoord wordt afgeschermd tegen het gebruik door onbevoegden.

De URL’s […] De eerste vijf door de deskundige aangetroffen URL's worden door het hof op grond van het voorgaande aangemerkt als proxy-servers via welke TorRAT communiceerde met de C&C-servers met een .onion-URL als adres. Derhalve kan in het aantreffen van deze URL's en meer in het bijzonder in het actief zijn van de C&C-servers, geen aanwijzing worden gevonden voor het actief zijn van meerdere dadergroepen via TorRAT.

Met betrekking tot de drie laatste URL's, eindigend op ct3.php, kan echter niet worden vastgesteld dat het om proxy-servers ging. Uit het Fox-IT rapport (m.n. paragraaf 3.4) blijkt dat op een zeker moment sprake was van actieve C&C-servers buiten het Tor-netwerk. Voor het eerst werd dit gezien op 31 oktober 2012, en vervolgens ook op 5, 7 en 29 november 2012. Dit komt overeen met de data die uit het logboek van de deskundige naar voren komen met betrekking tot de door hem waargenomen URL's, te weten 12 en 29 november 2012. Het is op grond hiervan aannemelijk dat vanaf 31 oktober 2012 of kort daarvoor TorRAT ook aangestuurd kon worden door C&C-servers die zich niet in een Tor-netwerk bevonden. Of die C&C-servers ook daadwerkelijk daarvoor zijn gebruikt, blijkt overigens niet uit het dossier. De vraag is of deze constatering een ondersteuning vormt voor het scenario dat een andere dadergroep achter TorRAT de transacties kan hebben verricht.

Het hof meent dat dat niet het geval is. Hiervoor is immers al uiteengezet dat een C&C-server een centrale en beslissende rol speelt in de werking van het geheel, van door specifieke malware geïnfecteerde computers, ook wel aangeduid als een botnet. Tot 31 oktober 2012 was sprake van een botnet dat werd aangestuurd door een C&C-server die bereikbaar was via de meergenoemde .onion-URL’s. In het onderzochte door de verdediging opgeworpen scenario zouden de nadien waargenomen niet-onion-URL's hebben gediend voor het door een andere groep dan de verdachte en zijn medeverdachten toegang verkrijgen tot een C&C-server waarmee datzelfde botnet aangestuurd zou kunnen worden. Gezien de verklaring van de deskundige over het afschermen van een C&C-server door middel van een wachtwoord, is het niet aannemelijk dat derden onbevoegdelijk het TorRAT-botnet hebben overgenomen. Dit zou ongetwijfeld zijn opgemerkt door de 'rechtmatige' beheerder van dat botnet; er zouden dan immers door de C&C-server 'onbekende' configuratiebestanden moeten zijn verstuurd naar de geïnfecteerde computers, die transacties zodanig zouden moeten hebben beïnvloed dat deze naar niet tot de oorspronkelijke organisatie achter TorRAT behorende moneymules zouden hebben geleid. Het dossier biedt daarvoor geen enkele aanwijzing, en evenmin voor een variant op dit scenario, namelijk dat derden met medeweten en instemming van de verdachte en zijn medeverdachten van TorRAT gebruik zijn gaan maken.

Moneymules op één moment actief voor niet meer dan één malware-toepassing Van belang voor de toerekeningsvraag is de vaststelling door het hof dat een moneymule, in een periode waarin naar een op zijn of haar naam staande bankrekening geld werd overgemaakt als gevolg van het door TorRAT manipuleren van transacties, niet in diezelfde periode tevens op dezelfde bankrekening geld kreeg overgemaakt door toedoen van enige andere banking-malware. Niet alleen bevat het dossier daarvoor geen enkele aanwijzing, het zou ook een aanzienlijke kans op problemen met het gescheiden houden van de verschillende geldstromen met zich brengen. Daar komt bij dat er geen goede redenen voor het creëren van dergelijke problemen lijken te zijn. Zoals hierna nog zal blijken, waren moneymules in het algemeen slechts gedurende een periode van een paar dagen actief voor de verdachte en zijn medeverdachten. Zou een moneymule ook voor een andere organisatie actief willen zijn, dan bestond daarvoor derhalve voldoende gelegenheid zonder het omschreven probleem te doen ontstaan. Ten aanzien van moneymuies die hun betaalpas afgaven teneinde de verdachte en zijn medeverdachten in staat te stellen de door TorRAT-transacties op hun bankrekening terecht gekomen gelden direct op te nemen is een dergelijk 'dienen van twee heren'-scenario fysiek onmogelijk.

Bewijswaarde van kenmerken configuratiebestanden De deskundige heeft hierover in zijn rapport het volgende vastgesteld (paragraaf 5.3.3). Er moet een onderscheid worden gemaakt tussen de woorden en structuren van de transactiebeschrijvingen (de 'vrije tekst' die bij een overboeking kan worden vermeld door degene die de overboeking verricht) en de rekeningnummers. Beide elementen van een transactie werden door TorRAT gemanipuleerd. Daarbij vormen de rekeningnummers en de bijbehorende naam van de rekeninghouder (de moneymule) de kern, het aanpassen daarvan bewerkstelligde dat een betaling niet naar de beoogde begunstigde ging maar naar een voor de verdachte werkende persoon. Tegelijkertijd werd de als transactiebeschrijving ingevoerde tekst vervangen door een volledig door TorRAT gegenereerde tekst.

De deskundige heeft daarom overwogen dat de bewijswaarde van een overeenkomst in het rekeningnummer van de begunstigde (de moneymule) hoger is dan de bewijswaarde van de transactiebeschrijving omdat een rekeningnummer geen vrij te kiezen veld is, maar een identificerend element van de transactie en deze overeenkomst daardoor niet op toeval kan berusten. In beginsel zou dit leiden tot een bewijswaarde ten opzichte van een willekeurige transactie tussen twee andere Nederlandse bankrekeningen in de categorie 'zeer veel waarschijnlijker'. Omdat het niet uitgesloten is dat een moneymule ook betalingen ontvangt die niet door TorRAT zijn gemanipuleerd, heeft de deskundige de bewijswaarde ingeschat op 'veel waarschijnlijker'.

Hij heeft er, ook in zijn verklaring ter zitting, wel op gewezen dat factoren als de afwezigheid van een sociale relatie tussen de betalende partij en de moneymule en overeenkomsten met verschillende andere transacties naar hetzelfde rekeningnummer tot een hogere bewijswaarde zouden kunnen leiden. In het onderstaande overzicht zal het hof ook hieraan aandacht besteden.

Welke moneymules worden in beschouwing genomen?

Gezien de hiervoor beschreven werking van TorRAT neemt het hof als uitgangspunt dat overboekingen naar moneymules waarvan de gegevens blijken uit een configuratiebestand dat op instructie van de C&C-server is gedownload op een met TorRAT geïnfecteerde computer, door TorRAT zijn veroorzaakt, tenzij daarvoor sterke aanwijzingen van het tegendeel voorhanden zijn, op de dag waarop het betreffende configuratiebestahd voor het eerst is aangetroffen en enkele dagen daarna. Hoeveel dagen na het eerste aantreffen van een specifiek configuratiebestand transacties nog aan TorRAT kunnen worden toegeschreven verschilt per geval en zal per geval worden aangegeven.

In paragraaf 3.7 van het rapport van Fox-IT wordt een overzicht gegeven, van deze configuratiebestanden en de daarin genoemde bankrekeningen/begunstigden. De juistheid van dat overzicht staat als zodanig niet ter discussie en het hof heeft ook geen enkele reden om daaraan te twijfelen.

Daarnaast blijkt uit het dossier dat er moneymules zijn waarvan de gegevens niet uit bekend geworden configuratiebestanden naar voren komen, maar die wel op grond van hun eigen verklaring of ander bewijs met TorRAT in verband kunnen worden gebracht. Hierna zal steeds per moneymule worden aangegeven op welke grond het hof van oordeel is dat hij/zij gedurende een zekere periode geld op zijn/haar rekening bij geschreven hebben gekregen door toedoen van TorRAT.

Omschrijving van werking generatoren Uit het dossier blijkt ten aanzien van zes configuratiebestanden niet alleen wie daarin als moneymule is gedefinieerd, maar ook exact op welke wijze deze configuratiebestanden transactiebeschrijvingen genereerden. Weliswaar heeft de deskundige verklaard dat de bewijswaarde van transactiebeschrijvingen geringer is dan die van rekeningnummers, maar dat moet naar het oordeel van het hof worden gezien tegen de achtergrond dat aan de deskundige slechts een beperkte selectie van het totaal aantal voorhanden transacties is voorgelegd. In het navolgende zal een veel vollediger beeld van de respectieve transacties kunnen worden geschetst, waardoor de mogelijkheid om transactiebeschrijvingen met TorRAT in verband te brengen, groter is. Relevant daarbij is de volgende passage uit de verklaring van de deskundige ter zitting: "(...) ik wil er wel op wijzen dat er in de rapportage voor gekozen is om voorbeelden van beschrijvingen toe te voegen waardoor eigenlijk de beoordeling van de vraag of een transactie legitiem is of niet, dóór iedereen te doen is. U zou zelf een oordeel kunnen vormen door vast te stellen welke beschrijving TorRAT genereert en dan een willekeurige transactie pakken en kijken of die beschrijving wel of niet past. Voor een dergelijke beoordeling heeft U mij niet nodig."

Om inzichtelijk te maken hoe beoordeeld kan worden of een transactiebeschrijving verband houdt met TorRAT, is het nodig om met betrekking tot de genoemde zes bekende configuratiebestanden te omschrijven welke transactiebeschrijvingen deze konden genereren. De onderdelen van de configuratiebestanden die daarvoor verantwoordelijk waren, worden verder kortweg aangeduid als 'generatoren'. De generatoren zijn, zoals geldt voor de configuratiebestanden als geheel, geprogrammeerd in de computertaal Javascript. De navolgende interpretatie daarvan is in overeenstemming met hetgeen daarover door de deskundige in zijn rapport en ter zitting.is toegelicht. Blijkens hetgeen de deskundige daarover in zijn rapport en ter zitting heeft opgemerkt is de werking van de generatoren zoals hieronder uiteengezet. […] 4Witwassen Uit de bijlagen bij de aangiften van de banken, verklaringen van diverse moneymules en het politieonderzoek (BM 32) blijkt dat geldbedragen die succesvol werden overgeboekt naar de bankrekeningen van moneymules veelal contant werden gemaakt door middel van betalingen of werden omgezet in bitcoins, al dan niet nadat zij eerst waren doorgeboekt naar bankrekeningen van. tweedelijns moneymules. De opgenomen, doorbetaalde en/of in bitcoins omgezette bedragen zijn op deze wijze witgewassen.

Aan de hand van het dossier en het onderzoek ter terechtzitting stelt het hof de volgende feiten en omstandigheden vast.

Inherent aan de hiervoor beschreven vorm van computercriminaliteit, ook wel (niet geheel adequaat) aangeduid als 'phishing', is het bestaan van een daarop gerichte organisatie. Malware is ontwikkeld, servers zijn gehackt om met behulp van spamruns de malware te verspreiden, servercapaciteit is verkregen voor het hosten van één of meer C&C-servers en moneymules zijn bewerkt om de beschikking te krijgen over bankrekeningen en toebehoren om gelden op te laten storten en vervolgens eventueel contant te kunnen opnemen. Deze handelwijze vergt een planmatige aanpak, taakverdeling, samenwerking en zorgvuldige afstemming tussen de daarbij betrokken personen. Zo moesten de gegevens van de moneymules worden verwerkt in de configuratiebestanden voordat geld overgemaakt kon worden en moest geregeld worden dat geld zo kort mogelijk na overboeking werd opgenomen of overgemaakt naar weer een andere bankrekening. Uit het dossier blijkt dat de personen die de diverse hiervoor beschreven taken vervulden in frequent en nauw contact met elkaar hebben gestaan. Dit heeft plaatsgevonden gedurende geruime tijd en er kan dus zonder meer gesproken worden van een duurzaam en gestructureerd samenwerkingsverband. Derhalve komt het hof tot het oordeel dat sprake is geweest van een criminele organisatie.

Het bestaan van die organisatie blijkt ook uit de TorMails tussen [alias 1] , [alias 2] , [alias 3] , [alias 4] , [alias 5] , [alias 6] en [alias 7] (zie § B van bijlage I bij dit arrest), waarbij het hof ervan uitgaat dat dit bijnamen zijn, bedoeld om de werkelijke identiteit van de betrokkenen te verhullen. Enkele voorbeelden ter illustratie: in die TorMails worden bankgegevens van moneymules en gegevens van betrokken bedrijven gedeeld en een spamrun aangekondigd, een financiële afrekening gemaakt uit een 'gezamenlijke pot', aanwijzingen gegeven om laptops en telefoons weg te gooien vanwege een lopend onderzoek, wordt overlegd over afspraken bij de Kamer van Koophandel en er zijn diverse dwarsverbanden tussen het adres [e-mailadres 1] en het beheer van de TorRAT malware.

Het hof is van oordeel dat er voldoende bewijs is dat achter de bijnamen [alias 2] , [alias 3] , [alias 4] , [alias 5] , [alias 6] en [alias 1] de medeverdachten [medeverdachte 1] , [medeverdachte 2] , [medeverdachte 3] , [medeverdachte 4] , [medeverdachte 5] en de verdachte schuilgaan en dat zij lid van de criminele organisatie (feit 2) en medepleger van het witwassen (feit 1) zijn.

Ter toelichting hierop wordt het volgende overwogen.

De verdachte [verdachte] ( [alias 1] ) De verdachte is [alias 1] . Dat kan als volgt worden vastgesteld: a.) In TorMail #034 (BM 53) schrijft [alias 2] aan [alias 4] dat [alias 1] het telefoonnummer [telefoonnummer 1] gebruikt. De historische gegevens van dat telefoonnummer zijn vergeleken met het telefoonnummer dat op naam staat van de verdachte, te weten [telefoonnummer 2] . Daaruit blijkt dat de beide telefoonnummers zich op meerdere tijdstippen rond dezelfde locatie bevonden. Ook is gebleken dat er geen momenten zijn aan te wijzen waarop de mastgegevens zo ver uit elkaar liggen dat het niet mogelijk is dat deze nummers zich in dezelfde omgeving bevonden (BM 105).

Door de verdediging van verschillende (mede-)verdachten is in eerste aanleg aangevoerd dat uitgesloten is dat de verdachte tijdens zijn detentie toegang had tot de chat, dus dat hij niet degene kan zijn die op de chat gezien is. Het hof wijst erop dat uit TorMail #092 (BM 81) blijkt dat chatgesprekken tussen [alias 1] c.s. niet soepel liepen en dat het voorkwam dat men elkaar wel (virtueel) zag, maar dat er niet werd gereageerd en dat de techniek niet goed functioneerde.

De hier besproken omstandigheden moeten niet alleen in onderlinge samenhang worden gezien, maar ook in de context dat bij de verdachte diverse voorwerpen zijn gevonden die onmiskenbaar zijn gerelateerd aan de TorRAT fraude (de SD-kaart in zijn huis. (BM 124 e.v.) en de dongels (BM 123) en meerdere telefoons (BM 113 en 114) in zijn auto). Verder wordt gewezen op de verklaringen van de moneymule [betrokkene 3] die de verdachte aanwijst als degene voor wie hij een bankrekening opende (BM 146). De betrokkenheid van de verdachte bij TorRAT blijkt dus ook (en in ruime mate) uit andere hoofde.

De verdediging heeft aangevoerd dat geen zekerheid kan worden verkregen over het gebruik van de SD-kaart in de laptop van de verdachte, terwijl uit onderzoek blijkt dat er een sterke contra-indicatie hiervoor bestaat, omdat het mogelijk is dat bepaalde gegevens 'gespoofd' zijn. Daarbij is onder meer verwezen naar de beantwoording door de politie van vragen van de kant van de verdediging in het proces-verbaal d.d. 28 oktober 2014 met nummer 26122498Z-2.357 (BM O).

De uit het onderzoek blijkende aanwijzingen voor het gebruik van de SD-kaart zijn:

Voorts heeft de verdediging erop gewezen dat alle bevindingen omtrent deze aanwijzingen zijn gebaseerd op gegevens aanwezig in de unallocated space van de SD-kaart, waardoor deze gegevens voor de verdachte niet toegankelijk waren en evenmin is vast te stellen of de gegevens afkomstig zijn uit een eerder wel toegankelijk bestand en tot welk moment dat bestand dan toegankelijk zou zijn geweest.

Met betrekking tot deze laatste stelling overweegt het hof dat blijkens het dossier vaststaat (BM O) dat de gegevens waarop de hiervoor onder 1 t/m 3 genoemde aanwijzingen gebaseerd zijn, zich op het moment van het onderzoek inderdaad in de unallocated space (verder te noemen: unallocated clusters) van de SD-kaart bevonden. Anders dan de verdediging meent, is echter niet relevant of, en zo ja wanneer, deze gegevens voor de verdachte toegankelijk waren. Het staat immers vast dat deze gegevens zijn gegenereerd door een Internet Relay Chat-applicatie (op zondag 11 augustus, welke combinatie van dag en datum zich in 2013 voordeed) respectievelijk VMWare Workstation (op 22 augustus 2013) en zijn opgeslagen in allocated clusters, voordat die clusters het karakter 'unallocated' kregen door een bepaalde verwijderingsopdracht. Dat deze gegevens daardoor mogelijk lastig of niet langer benaderbaar waren voor de verdachte doet er niet aan af dat deze op genoemde data wel ten gevolge van het gebruik van bepaalde software zijn gegenereerd. De vraag ligt thans derhalve voor of deze gegevens zijn gegenereerd door het gebruik van die software op de laptop van de verdachte.

Ad 1) De verdediging heeft gesteld, dat het processortype van de laptop waarmee de SD-kaart verbonden is geweest, in laptops van vrijwel ieder groot merk gebruikt is en dat deze bevinding daarom weinig tot geen identificerende waarde heeft. Het hof overweegt dat het enkele feit dat het betreffende processortype door diverse laptopproducenten is gebruikt, niets zegt over de verhouding van de frequentie waarmee dit processortype in computers voorkomt ten opzichte van andere processortypen, en dus evenmin over de kans om deze processor aan te treffen in een willekeurige computer. Nu echter dergelijke informatie in het dossier ontbreekt, is de bewijswaarde van deze bevinding dermate gering dat het hof deze niet in de beoordeling zal betrekken.

Ad 2) De verdediging heeft aangevoerd dat uit onderzoek van de SD-kaart weliswaar blijkt dat op een computer waarmee de SD-kaart verbonden is geweest bepaalde USB-apparaten actief waren, maar dat het mogelijk is dat de identificerende waarden gespoofd zijn, waarmee wordt bedoeld dat iemand het erop heeft laten lijken dat andere hardware was aangesloten dan daadwerkelijk het geval was. Hoewel het blijkens het dossier technisch mogelijk is om dergelijke gegevens in de door de verdediging bedoelde zin te wijzigen, is dat onvoldoende om de betreffende bevindingen buiten beschouwing te laten. In lijn met het arrest van dit hof van 19 december 2018 (ECLI:NL:GHDHA:2018:3528) overweegt het hof dat het voor een bewezenverklaring niet is vereist dat is aangetoond dat kan worden uitgesloten dat de betreffende gegevens omtrent de USB-apparaten zijn gespoofd.

De enkele stelling dat het technisch mogelijk is dat de betreffende gegevens gespoofd zijn, is onvoldoende voor de conclusie dat min of meer aannemelijk is geworden dat in het onderhavige geval daadwerkelijk van spoofing sprake is geweest. In het bijzonder wist het hof erop dat degene die verantwoordelijk zou zijn geweest voor dit spoofen, de beschikking moet hebben gehad over gedetailleerde informatie met betrekking tot de laptop van verdachte, zoals merk- en typeaanduidingen van de betreffende daarin aanwezige of daarop aangesloten apparaten, alsmede de Vendor ID'-s en Product ID's van die apparaten, en deze vervolgens moet hebben verwerkt in logregels van het VMware Workstation op de SD-kaart die bij verdachte is aangetroffen.

Dat dit alles zodanig ongemerkt zou hebben plaatsgevonden dat de verdachte zijn betreffende stelling niet in enige mate kan onderbouwen, is niet aannemelijk.

Ad 3) De verdediging heeft erop gewezen dat geen zekerheid is te krijgen over het overeenkomen van de onder meer in een chatgesprek weergeven datum en tijd met de werkelijke tijd, zulks in relatie tot de in het betreffende gesprek genoemde verjaardagsdatum. Gesteld noch gebleken is echter dat daadwerkelijk sprake was van een afwijking tussen de systeemtijd op de betreffende laptop en de daadwerkelijke tijd. Uitgangspunt is dat een laptop met een Windows-besturingssysteem zoals in casu aan de orde, in beginsel - onder meer door regelmatige synchronisatie van de systeemklok met de werkelijke tijd - een systeemtijd hanteert die overeenkomt met de werkelijke tijd. Alleen de gebruiker kan dit (laten) wijzigen. De verdachte heeft niet verklaard dat deze synchronisatie op zijn laptop was uitgeschakeld of dat de systeemtijd op andere wijze was gemanipuleerd. De stelling van de verdediging doet derhalve niet af aan de waarde van de geconstateerde overeenkomst tussen de in de chat genoemde verjaardagsdatum en die van de verdachte.

Concluderend komt het hof tot het oordeel dat het, gezien de gegevens die op de SD-kaart worden vermeld over de verjaardagsdatum van de gebruiker, overeenkomend met de verjaardagsdatum van de verdachte, en de specifieke USB-configuratie van de laptop waarin deze is gebruikt, overeenkomend met die van een laptop in gebruik bij de verdachte, alsmede de data waarop deze gegevens zijn gegenereerd, aannemelijk is dat deze SD-kaart in gebruik is geweest bij de verdachte. De daarop voorkomende gegevens kunnen derhalve voor het bewijs worden gebruikt.

Met betrekking tot de telefoon (in de pleitnotities van de raadsvrouw gelinkt aan beslagcode Zu 11 EO 1.004 waarmee het hof begrijpt te worden bedoeld beslagcode ZU111.01.004) heeft de verdediging aangevoerd dat deze niet aan verdachte toebehoorde of bij hem in gebruik was. Ter onderbouwing van deze stelling heeft de verdediging gesteld dat deze telefoon bij de arrestatie uit de auto zou zijn gevallen en door een agent in de zak van verdachte zou zijn gestopt, nadat hij was geboeid. Verdachte zou toen hebben gezegd: "Wat doe je? Dit is niet mijn telefoon". Deze onderbouwing van het verweer vindt echter geen steun in het dossier.

Dat de verdachte niet alleen lid van de criminele organisatie was, maar ook een leidinggevende rol had, blijkt uit de TorMails. Daarnaast zijn bij de verdachte dongels aangetroffen die gebruikt zijn om in te loggen op de internetbankier omgevingen van moneymules.

Ten aanzien van het witwassen wordt nog het volgende overwogen. Dat geen concrete betrokkenheid van de verdachte bij alle opnamen, doorboekingen of moneymules kan worden aangetoond, doet er niet aan af dat hij ook daarvoor als medepleger kan worden aangemerkt. Zoals hiervoor al is aangegeven, bestond er een nauwe organisatorische verwevenheid tussen de verschillende aspecten van de organisatie. Dit maakte het mogelijk om deze fraude succesvol te plegen en uiteindelijk over de gestolen gelden te kunnen beschikken door middel van witwassen. De verdachte was als geen ander daarvan op de hoogte en hij heeft daaraan een actieve, sturende bijdrage geleverd. […] 6Deelonderzoek Rotterdam […] 7Slotopmerkingen over het bewijs van de feiten 1 en 2 Mede naar aanleiding van het requisitoir en gevoerde verweren wordt nog het volgende overwogen.

Medeplegen van feit 1 Het hof stelt voorop dat voor medeplegen volgens vaste rechtspraak vereist is dat er sprake is van een voldoende nauwe en bewuste samenwerking met een ander of anderen, waarbij het accent ligt op de samenwerking en minder op de vraag wie welke feitelijke handelingen heeft verricht. Wel moet de eigen bijdrage van een verdachte van voldoende gewicht zijn. Voor de verdachte en de medeverdachten [medeverdachte 1] , [medeverdachte 2] , [medeverdachte 3] , [medeverdachte 4] en [medeverdachte 5] bestaat die samenwerking daaruit dat zij ieder taken hebben verricht waardoor de TorRAT fraude mogelijk werd. Enerzijds was de techniek nodig, anderzijds was het de beschikbaarheid van voldoende en tijdig inzetbare moneymules die het mogelijk maakte om gelden daadwerkelijk te ontvreemden: eerst door de moneymules op te nemen in de configuratiebestanden en vervolgens als betalingsadres voor het ontvreemde geld.

Het witwassen is in deze zaak vervolgens een onlosmakelijk onderdeel van de fraude; immers, als het geld te lang bij de moneymules staat, dan kunnen de banken transacties blokkeren en gelden terughalen, zoals in deze zaak veelvuldig is gebeurd. De beschreven samenwerking moet naar zijn aard nauw geweest zijn. Anders dan bepleit, is het hof van oordeel dat het niet zo is dat per transactie gekeken moet worden naar de (bewijsbare) bijdrage van ieder der verdachten. Voor ieder van deze verdachten geldt dat zij een rol van voldoende gewicht hebben gespeeld binnen de TorRAT-fraude en dat rechtvaardigt strafrechtelijke verantwoordelijkheid voor het geheel.”

Onderzoek e-mail communicatie Uit e-mail communicatie tussen het e-mailadres [e-mailadres 2] @tormail.org en het e-mailadres [e-mailadres 3] @tormail.org op zaterdag 18 november 2012 blijkt dat de persoon die gebruik maakt van het pseudoniem [alias 4] twee rekeningnummers verstrekt aan een persoon die gebruikt maakt van het pseudoniem [alias 1] . Uit de communicatie kan worden opgemaakt dat deze rekeningnummers van [betrokkene 6] zijn.

De rekeningnummers genoemd in de e-mailcommunicatie zijn: Frieslandbank rekeningnummer [rekeningnummer 1] en ING Bank rekeningnummer [rekeningnummer 2] . Bij een van deze rekeningnummers worden tevens logingegevens doorgegeven. [...] De persoon die gebruik maakt van het pseudoniem [alias 4] geeft in de e-mailcommunicatie aan van plan te zijn om op een later tijdstip de rekening te 'checken'. [....] Onderzoek ING Bank log gegevens Onderzoek aan de door de ING Bank aangeleverde gegevens wijst uit dat er op 18 november 2012 om 21:31:56 is ingelogd in de internetbankierenomgeving van [betrokkene 6] . Dit inloggen is gebeurd vanaf IP-adres [IP-adres] . [...] 40. Een ander geschrift, te weten een e-mailbericht, p. 8424, voor zover inhoudende:

Mailbox: [e-mailadres 3] Bestandsnaam: 21 Mailnummer: #002 Drafts (2 van 3) Datum: Wed, 21 Nov 2012 01:15:46 +0100 Van: [alias 1] < [e-mailadres 3] @tormail.org>.

Aan: [alias 3] < [e-mailadres 4] @tormail.org> CC: [e-mailadres 5] < [e-mailadres 5] @tormail.org> Onderwerp: net jongens gezien ik heb even een paar dingetjes. omtrent je brief van de bank. je zult aantoonbaar moeten maken dat de persoon uit de brief jouw het geld verschuldigd is. dus leenovereenkomst gedateerd in de guldentijd, waarbij je recentelijk hebt afgesproken dat hij jouw een deel betaald 50 en jij met dat geld een investering doet waar je al geld in hebt zitten. waarmee hij direct van zijn lening af is. daarnaast de verdeling: de 1e lijn doorboeken heeft 10% (5000) dit zijn dus kosten die van het opgehaalde afgehaald worden net zoals jouw brandstof eraf gehaald wordt. ophalen heb jij aangegeven 20% waarbij je meer verdient dan wij zelf. en dan zouden wij uit ons deel nog jouw maatje in nl moeten betalen. dit vindt ik voor deze verdeling akkoord maar opvolgende moeten voor 15% dan heeft iedereen ongeveer gelijke opbrengsten en is het eerlijk verdeelt. ik zit dan nog aan deze kant met 3k kosten die nog niet verrekend zijn waarvan 500 euro op jouw conto komt 42. Een ander geschrift, te weten een e-mailbericht, p. 8426, voor zover inhoudende:

Mailbox: [e-mailadres 3] Bestandsnaam: 83 Mailnummer: #004 INBOX (1 van 7) Datum: Wed, 28 Nov 2012 20:10:18 +0100 Van: [alias 4] < [e-mailadres 2] @tormail.org>.

Aan: [alias 1] < [e-mailadres 3] @tormail.org> Onderwerp:

Yoo, Hierbij de rabopas, hij kan cahen maar denk dat beter is om door te boeken. Heb geen idee wat je bij de rabo halen kunt maar is waarschijnlijk niet veel, paar k, schat ik in.

Naam [betrokkene 7] Reknr [rekeningnummer 3] pasnr [001] pin [002] groetjes [alias 4] 44. Een ander geschrift, te weten een e-mailbericht, p. 8428, voor zover inhoudende:

Mailbox: [e-mailadres 3] Bestandsnaam: 85 Mailnummer: #006 INBOX (3 van 7) Datum: Mon, 03 Dec 2012 12:59:05 +0100 Van: [alias 3] < [e-mailadres 4] @tormail.org>.

Aan: [alias 1] < [e-mailadres 3] @tormail.org> Onderwerp: [betrokkene 8] oranje… prive [003] kun je die checken?

Kan voor fase 1 en 2 [betrokkene 8] groen: prive activeercode [004] pin [005] voor rek…. [rekeningnummer 4] Voor fase 1 en 2 Beide moeten tegelijk open…. zelfde patient 45. Een ander geschrift, te weten een e-mailbericht, p. 8430, voor zover inhoudende:

Mailbox: [e-mailadres 3] Bestandsnaam: 87 Mailnummer: #008 INBOX (5 van 7) Datum: Tue, 04 Dec 2012 14:36:36 +0100 Van: [alias 3] < [e-mailadres 4] @tormail.org>.

Aan: [alias 3] < [e-mailadres 4] @tormail.org> Onderwerp: kaartgegevens Hierbij gegevens van 4 kaarten:

Mailbox: [e-mailadres 3] Bestandsnaam: 84 Mailnummer: #012 Sent (2 van 8) Datum: Fri, 23 Nov 2012 07:40:54 +0100 Van: [alias 1] < [e-mailadres 3] @tormail.org>.

Aan: [e-mailadres 3] @tormail.org> Onderwerp:

Bijlage bij mail #012: 3.txt [007] € 0,00 [betrokkene 5] 50. Een ander geschrift, te weten een e-mailbericht, p. 8436, voor zover inhoudende:

Mailbox: [e-mailadres 3] Bestandsnaam: 85 Mailnummer: #013 Sent (3 van 8) Datum: Fri, 23 Nov 2012 17:44:14 +0100 Van: [alias 1] < [e-mailadres 3] @tormail.org>.

Aan: [e-mailadres 5] <[e-mailadres 5]@tormail.org> CC: [alias 4] < [e-mailadres 2] @tormail.org>, [alias 3] < [e-mailadres 4] @tormail.org>, [alias 2] <[e-mailadres 6]@tormail.org> Onderwerp: status wat is de status van die 30k bij jouw?

Mailbox: [e-mailadres 3] Bestandsnaam: 87 Mailnummer: #015 Sent (5 van 8) Datum: Mon, 03 Dec 2012 23:39:35 +0100 Van: [alias 1] < [e-mailadres 3] @tormail.org>.

Aan: [alias 3] < [e-mailadres 4] @tormail.org> CC: [alias 4] < [e-mailadres 2] @tormail.org>, [alias 2] <[e-mailadres 6]@tormail.org> Onderwerp: Re: VERREKENEN Op 12/3/2012 PM, [alias 3] schreef:

FINANCIELE SITUATIE PER OMMEGAANDE [alias 2] [alias 4] 2500 [alias 2] [alias 2] [alias 4] 1900 [alias 3] [alias 2] [alias 4] ------- [alias 3] (INTERN ICM AUTO) [alias 2] [alias 4] 1775 GROEP IT TOTAAL: 6175 X 5 = 30.875 VERREKENEN KOSTEN [alias 1] : 6.000 VERREKENEN -/- [alias 2] KOSTEN [alias 3] : 2.400 KOSTEN [alias 1] / [alias 2] : 1.100 TOTAAL: 9.400 VERREKENEN -/- [alias 2] TOTAAL: 11.300 Dit zijn de bedragen die nog uit de gezamelijke pot gehaald moeten worden…… 121. Het proces-verbaal van beschrijving ibn Rotterdam met nummer 30285096, p. 10552 e.v. (inclusief bijlage tot en met p. 10561), voor zover inhoudende als bevindingen van de verbalisant [verbalisant]:

In beslag genomen voorwerp Een van de in Rotterdam in beslag genomen voorwerpen betreft een notitieblok A4 formaat kaftkleur blauw-wit met opschrift "Office Essentials" met ibn nummer XSVV66.01.001.002.002. Dit notitieblok werd aangetroffen in de donkerbruine lederen schrijfmap XSVV66.01.001.002, welke werd aangetroffen in de groen-zwarte rugtas XSVV66.01.001.

Op de 4e bladzijde staat het volgende geschreven:

Op de 5e bladzijde staat het volgende geschreven:

Tegoed [alias 1] / [alias 2] 590,- (betaald uit voorlaatst) 440,- 550 schijf opbrengst deel [alias 1] 110,- telefoons [alias 2] /IT.

40,- sim moeten nog verdelen Tegoed [alias 1] 600,- [...] e.d.

600,- Tegoed [alias 2] 1150,- 1120,- uitgave [...] Opmerking hof:

In de geprinte versie van dit arrest is niet goed leesbaar of het gaat om het tegoed ' [alias 1] / [alias 2] ' of ' [alias 3] / [alias 2] ' . Bij digitaal inzoomen is duidelijk te lezen dat het gaat om het tegoed ' [alias 1] / [alias 2] '.”

Het eerste middel en de bespreking daarvan Het middel 11. Het eerste middel klaagt allereerst dat (i) de bewijsconstructie van het onder 1 bewezenverklaarde medeplegen van gewoontewitwassen en (ii) de overwegingen van het hof onder het hoofd “2. Het juridisch kader” in relatie tot de nadere bewijsoverweging aangaande het witwassen innerlijk tegenstrijdig zijn. Voorts bevat het middel de klacht dat het onder feit 1 bewezenverklaarde niet uit de gebezigde bewijsmiddelen kan worden afgeleid.

Het verweer van de verdediging 13. Uit het proces-verbaal van de terechtzittingen in hoger beroep van 8, 10, 12 en 19 februari 2021 volgt dat de raadsvrouwen van de verdachte op de terechtzitting van 19 februari 2021 het woord hebben gevoerd overeenkomstig de pleitnota die aan het hof is overgelegd en aan dit proces-verbaal is gehecht. De pleitnota houdt onder meer het volgende in (hier met weglating van de voetnoten): “WITWASSEN (FEIT 1) Geen bewijs voor medeplegen 63. Toen ik dit dossier in een late fase onder ogen kreeg, trof mij de opmerkelijke wijze van tenlasteleggen van het eerste feit. Daarin is immers niet de beweerdelijke bankfraude of malwarefraude zelf tenlastegelegd, maar (enkel) het verhullen van de herkomst van de gelden, afkomstig van deze fraude, in de vorm van het medeplegen van gewoontewitwassen.

Bewijsconstructie innerlijk tegenstrijdig 65. Cliënt is door de Rechtbank - onder feit 1 - veroordeeld ter zake van gewoontewitwassen. Door de Rechtbank is bewezenverklaard dat: [AG: deze bewezenverklaring laat ik met het oog op de omvang van deze conclusie hier weg.] 66. In art. 420 bis Sr zijn in lid 1 sub a en b verschillende gedragingen strafbaar gesteld, waarvan alhier de gedraging vervat in lid 1 sub a is tenlastegelegd en bewezenverklaard. Centraal bij dit feit staat aldus het verhullen van de werkelijke aard, de herkomst en/of de verplaatsing van het voorwerp, in dit geval van ongedefinieerde geldbedragen. Cliënt en zijn medeverdachten worden aldus verweten geldbedragen, waarvan zij wisten dat deze van misdrijf afkomstig waren te hebben verhuld. Het tenlastegelegde werkwoord, of de verweten gedraging, bij deze delictsomschrijving betreft aldus het verhullen.

Om misverstanden te voorkomen: de rechtbank ziet de overboeking van de rekening van een slachtoffer naar de money mule als diefstal en nog niet als witwassen . Het is de daarop volgende versluiering van de criminele herkomst door contant maken of omzetting in bitcoins die de rechtbank als witwassen aanmerkt." [arcering CWN] 71. Deze overweging - die wat de verdediging betreft overigens rechtens juist is en waarin het eerder gesignaleerde onderscheid dus wel wordt gemaakt - verhoudt zich evenwel niet met alle zes bewezenverklaarde gedragingen, waarin het verhullen nader wordt gespecificeerd. De eerste twee bewezenverklaarde gedragingen, te weten het versturen van de spamruns en het verkrijgen van de mogelijkheid om het betalingsverkeer te manipuleren in die zin dat de gelden niet naar de beoogde begunstigden, maar naar de 1e lijn money mules worden overgeboekt, hebben te gelden als verfeitelijkingen van het achterliggende misdrijf (brondelict), door de Rechtbank betiteld als diefstal, en zijn nadrukkelijk niet te kwalificeren als verhullende handelingen in de zin van witwassen.

Geen bewijs medeplegen verhullen herkomst en verplaatsing 73. Belangrijker is echter dat de vier gedragingen die overblijven (of eigenlijk drie omdat de laatste gedraging enkel ziet op het deelonderzoek Rotterdam en daarmee op zichzelf staat) en de daadwerkelijke invulling van het bestanddeel verhullen van de opbrengsten van de beweerdelijk gepleegde misdrijven behelzen, de kern van het tenlastegelegde en bewezenverklaarde feit vormen. Het zijn aldus deze gedragingen, het daadwerkelijk verhullen van de beweerdelijk criminele opbrengst, waarvan wettig en overtuigend moet worden bewezen dat cliënt deze heeft medegepleegd. En dat, leden van het Hof, volgt niet uit vonnis van de Rechtbank en kan evenmin uit het dossier blijken.

Het witwassen is in deze zaak vervolgens een onlosmakelijk onderdeel van de fraude; immers, als het geld te lang bij de money mules staat, dan kunnen de banken transacties blokkeren en gelden terughalen, zoals in deze zaak veelvuldig is gebeurd. Die samenwerking moet naar zijn aard nauw geweest zijn. Anders dan de verdediging van bijvoorbeeld [medeverdachte 3] heeft bepleit, is de rechtbank van oordeel dat het niet zo is dat per transactie gekeken moet worden naar de (bewijsbare) bijdrage van ieder der verdachten. Voor ieder van deze verdachten geldt dat zij een rol van voldoende gewicht hebben gespeeld binnen de TorRAT fraude en dat rechtvaardigt strafrechtelijke verantwoordelijkheid voor het geheel."

Het juridisch kader 14. De relevante bepalingen luiden als volgt:

Art. 47 eerste lid, onder 1°, Sr: “1. Als daders van een strafbaar feit worden gestraft:

1° zij die het feit plegen, doen plegen of medeplegen;”

Art. 420bis Sr: “1. Als schuldig aan witwassen wordt gestraft met gevangenisstraf van ten hoogste vier jaren of geldboete van de vijfde categorie: a. hij die van een voorwerp de werkelijke aard, de herkomst, de vindplaats, de vervreemding of de verplaatsing verbergt of verhult, dan wel verbergt of verhult wie de rechthebbende op een voorwerp is of het voorhanden heeft, terwijl hij weet dat het voorwerp – onmiddellijk of middellijk – afkomstig is uit enig misdrijf; b. hij die een voorwerp verwerft, voorhanden heeft, overdraagt of omzet of van een voorwerp gebruik maakt, terwijl hij weet dat het voorwerp – onmiddellijk of middellijk – afkomstig is uit enig misdrijf.

Art. 420ter Sr: “Hij die van het plegen van witwassen een gewoonte maakt, wordt gestraft met gevangenisstraf van ten hoogste zes jaren of geldboete van de vijfde categorie.”

In zijn overzichtsarrest inzake witwassen van 13 december 2016, ECLI:NL:HR:2016:2842, NJ 2017/2018, m.nt. Mevis heeft de Hoge Raad met betrekking tot art. 420bis, eerste lid aanhef en onder b, Sr en art. 420quater, eerste lid aanhef en onder b, Sr eerdere rechtspraak aangehaald waarin hij heeft overwogen dat een gedraging niet als (schuld)witwassen kan worden gekwalificeerd indien vaststaat dat het enkele verwerven of voorhanden hebben door de verdachte van een voorwerp dat onmiddellijk afkomstig is uit een door hemzelf begaan misdrijf niet kan hebben bijgedragen aan het verbergen of verhullen van de criminele herkomst van dat voorwerp. Een veroordeling ter zake van deze specifieke witwasvarianten komt ‘pas’ in beeld indien de betrokkene tevens handelingen heeft verricht die daadwerkelijk zijn gericht op het verhullen of verbergen van de herkomst van het voorwerp.De rechtspraak van de Hoge Raad met betrekking tot de nadere motiveringseisen van het oordeel dat sprake is van witwassen in het geval de verdachte een uit enig door hemzelf begaan misdrijf afkomstig voorwerp heeft verworven of voorhanden heeft gehad, heeft echter geen betrekking op het bewezenverklaarde verbergen en verhullen als bedoeld in art. 420bis, eerste lid aanhef en onder a, Sr.

De tenlastelegging, voor zover door het hof bewezenverklaard, is in de zaak van de verdachte cumulatief/alternatief toegesneden op zowel onderdeel a, als op onderdeel b van art. 420bis Sr (in verbinding met art. 420ter Sr).

De Hoge Raad gaat er vanuit dat de bijdrage van de medepleger in de regel wordt geleverd tijdens het begaan van het strafbare feit in de vorm van een gezamenlijke uitvoering van het feit, maar hij benadrukt dat de bijdrage ook kan zijn geleverd in de vorm van verscheidene gedragingen voor en/of tijdens en/of na het strafbare feit en dat niet is uitgesloten dat de bijdrage in hoofdzaak vóór het strafbare feit is geleverd. Wel zal in dergelijke, in zekere zin afwijkende of bijzondere, situaties in de bewijsvoering aandacht dienen te worden besteed aan de vraag of wel zo bewust en nauw is samengewerkt bij het strafbare feit dat van medeplegen kan worden gesproken, in het bijzonder dat en waarom de bijdrage van de verdachte van voldoende gewicht is geweest.

Verder kan van belang zijn in hoeverre de concrete omstandigheden van het geval door de rechter kunnen worden vastgesteld. In de bewezenverklaring naar aanleiding van een op medeplegen toegespitste tenlastelegging hoeft niet te worden vermeld of en, zo ja, welke feitelijke handelingen de verdachte zelf dan wel zijn mededader of mededaders hebben verricht. Bovendien, zo voeg ik er aan toe, strekt in geval van medeplegen ieders (strafrechtelijke) verantwoordelijkheid verder dan alleen de eigen taak en vervulde rol.

Zijn daarover vaste afspraken gemaakt, dan impliceert dit dat de taak- en rolverdeling door een ieder is aanvaard, en dat brengt (als gezegd) mee dat een ieders (strafrechtelijke) verantwoordelijkheid verder gaat dan wat hij of zij zelf doet. Het gaat in geval van medeplegen immers niet alleen om het verrichten van de eigen taak en het vervullen van de eigen rol, maar vooral om het gezamenlijk tot uitvoering brengen van een verder reikend plan door met de eigen bijdrage die van een ander of van anderen te (onder)steunen. Als het samenwerkingsopzet van de betrokkenen is gericht op het gaan plegen van gewoontewitwassen via een vorm van computercriminaliteit, zoals in de onderhavige zaak, dan zal, lijkt mij, door de sterke verwevenheid al snel kunnen worden aangenomen dat het samenwerkingsopzet – het opzet op samendoen, kortom de bewuste samenwerking – gericht is op zowel het gronddelict (ik noem het hier voor het gemak de diefstal van het geld en het daaraan voorafgaand frauduleus handelen) als op het witwassen en dat de betrokkenen met een dergelijk samenwerkingsopzet aldus al op datzelfde moment het oog hebben op het plegen van beide feiten.

Het komt mij voor dat in zo een geval de verwezenlijking van het witwassen in een groter geheel, of zo men wil in een wat bredere context, moet worden bezien. Dat grotere geheel of die bredere context bestaat uit twee nauw met elkaar samenhangende fasen, te weten: fase 1, dat wil hier zeggen het frauduleus ontvreemden van geldbedragen door middel van TorRAT malware en het manipuleren van het betalingsverkeer (de computercriminaliteit, of, zoals het hof het grondmisdrijf in de onderhavige zaak heeft gekwalificeerd: de diefstal met valse sleutel); en fase 2, die de daadwerkelijke witwashandeling(en) bestrijkt. In geval van een computerfraude als de onderhavige kan fase 1 vloeiend overlopen in fase 2 of tegen fase 2 aanschuiven, waarbij de digitale snelheid van interbancaire overschrijvingen en de snelheid van de daaropvolgende handelingen stuwende krachten zijn.

Bespreking van het eerste middel 22. Het hof heeft in het bestreden arrest onder het hoofd “2. Het juridisch kader” uiteengezet hoe de tenlastelegging en de bewezenverklaring geïnterpreteerd moeten worden. Daarin heeft het hof overwogen dat niet alle in de tenlastelegging genoemde gedragingen (ingeleid met een gedachtestreepje) als uitwerking kunnen worden gezien van het verbergen en/of verhullen van het zicht op de herkomst of verplaatsing van het geld. De gedragingen genoemd achter de eerste twee gedachtestreepjes van de tenlastelegging, hebben volgens het hof primair “betrekking op de fase die is voorafgegaan aan de witwasgedragingen en concretiseren de wijze waarop de verdachte en zijn medeverdachten het geldbedrag en/of bitcoins tot hun beschikking hebben gekregen, te weten het via spamruns infecteren van computers met TorRAT-malware waardoor het online betalingsverkeer tussen banken en klanten werd gemanipuleerd zodanig dat gelden werden overgemaakt naar andere bankrekeningen dan waartoe door de klant opdracht was gegeven.” Voorts heeft het hof in een voetnoot bij het hoofd “4. Witwassen” zijn oordeel ten aanzien van de opbouw van de tenlastelegging geëxpliciteerd door op te merken dat de overboeking van de bankrekening van een slachtoffer naar de moneymule wordt gezien als diefstal en nog niet als witwassen, en dat het de daarop volgende versluiering van de criminele herkomst door contant maken of omzetting in bitcoins is die het hof als witwassen aanmerkt.

Uiteraard levert dat (dus) nog geen witwassen op. Dát is wat het hof tot uitdrukking heeft gebracht in de voormelde overwegingen. Anders gezegd: het hof heeft daarmee inzicht willen geven in de wijze waarop de tenlastelegging is vormgegeven en heeft er daarbij terecht op gewezen (i) dat het in de tenlastelegging genoemde en nader aangeduide grondmisdrijf juridisch losstaat van het witwassen en (ii) dat een aantal in de tenlastelegging omschreven gedragingen vooral relevant lijken in het kader van een bewezenverklaring van het gronddelict maar, nu dat gronddelict niet afzonderlijk is tenlastegelegd, niet op zichzelf tot een bewezenverklaring van dat gronddelict kunnen leiden. Het hof heeft ook die gedragingen bewezenverklaard – en gezien de daarvoor gebezigde bewijsmiddelen kunnen bewezenverklaren – en gekoppeld aan het (gewoonte)witwassen door te overwegen dat het witwassen een onlosmakelijk onderdeel is van de fraude.

Al in de manier waarop het grondmisdrijf is begaan en tot stand gekomen, en de geldezels zijn geronseld en geactiveerd, volgt dat het samenwerkingsopzet van de verdachte en de medeverdachten van stonde af aan erop gericht was de ontvreemde geldbedragen wit te wassen. De transactieomschrijvingen waren fictief, de geldezels dienden als ‘mistgordijn’ om de geldbedragen zo snel mogelijk aan het zicht van de banken, de rekeninghouders en de beoogde ontvangers, alsook van politie en justitie, te onttrekken en alles werd in het werk gezet om te voorkomen dat geldtransacties tijdig werden geblokkeerd. Daarvoor was, aldus verwoordt het hof treffend, een naar zijn aard nauwe samenwerking en zorgvuldige afstemming tussen de verdachte en de medeverdachten vereist, evenals een planmatige aanpak door hen.

De bijnamen waaronder de verdachte en de medeverdachten hun criminele activiteiten hebben uitgevoerd, bedoeld om hun werkelijke identiteit te verhullen, wijst daar ook op. Voorts heeft het hof aan de hand van het dossier en, zo blijkt uit de vervolgoverwegingen, het bewijsmateriaal vastgesteld dat de personen die deze taken vervulden in frequent en nauw contact met elkaar hebben gestaan. De samenwerking bestond, aldus overweegt het hof op grond van de bewijsmiddelen, daaruit dat zij ieder taken hebben verricht waardoor de TorRAT fraude mogelijk werd. Daarvóór had het hof er al op gewezen dat er een nauwe organisatorische verwevenheid tussen de verschillende aspecten van de organisatie bestond, dat dit het mogelijk maakte om deze fraude succesvol te plegen en uiteindelijk over de gestolen gelden te kunnen beschikken door middel van witwassen en dat de verdachte als geen ander daarvan op de hoogte was en daaraan “een actieve, sturende bijdrage [heeft] geleverd.”

Het tweede middel en de bespreking daarvan Het middel 28. Het tweede middel komt met een rechtsklacht en motiveringsklachten op tegen het oordeel van het hof over het causale verband tussen de TorRAT en de banktransacties.

Het verweer van de verdediging 30. Overeenkomstig de hierboven aangehaalde pleitnota is, voor zover hier van belang, het volgende verweer ter terechtzitting van het hof gevoerd (hier met weglating van de voetnoten): “Ontbreken causaal verband 4. Het ontbreken van causaal verband tussen enerzijds de TorRAT-malware en anderzijds de banktransacties die in de aangiften van ING en Rabobank worden genoemd, is een verweer dat in eerste aanleg een belangrijke rol heeft gespeeld. En zelfs daarvoor, in de onderzoeksfase, is het al veelvuldig aan bod gekomen. Dat is niet voor niets, nu cliënt van feit 1 - gewoontewitwassen - vrijgesproken dient te worden wanneer de transacties niet met voldoende zekerheid aan de TorRAT-malware gelinkt kunnen worden. Het verhullen van de herkomst van door middel van TorRAT verkregen gelden kan dan immers niet bewezen worden.

Ervan uitgaande dat de niet-onion-URL's die in de malware zijn gevonden inderdaad dienden als C&C-servers, evenals de aangetroffen Tor-onion-URL's, dan is sprake van tenminste twee verschillende groepen C&C-servers. Dit is een beeld dat waarschijnlijker is in het scenario dat meerdere dadergroepen schuil gingen achter TorRAT. Het zou daarentegen juist atypisch zijn voor het scenario waarin slechts één dadergroep de TorRAT-malware opereerde, getuige de bovenstaande beschouwing van Schramp.

Conclusie ten aanzien van de causaliteit 50. Voor de vraag of iemand in het strafrecht voor een bepaald gevolg verantwoordelijk kan worden gehouden, wordt sinds de jaren 70 van de vorige eeuw aansluiting gezocht bij de leer van de redelijke toerekening. Deze houdt - kortgezegd - in dat het gevolg voor rekening van de verdachte komt wanneer dit in redelijkheid aan hem of haar kan worden toegerekend.

Bespreking van het tweede middel 31. De door de verdediging aangehaalde maatstaf is afkomstig uit het arrest van de Hoge Raad in de Groninger hiv-zaak van 27 maart 2012, ECLI:NL:HR:2012:BT6362, NJ 2012/301, m.nt. Keijzer. Daarin overweegt de Hoge Raad onder meer het volgende: “2.3. Vooropgesteld moet worden dat de beantwoording van de vraag of causaal verband bestaat tussen de door de verdachte verrichte gedragingen - te weten het inspuiten/injecteren van hiv-besmet bloed - en de besmetting van de aangevers, dient te geschieden aan de hand van de maatstaf of die besmetting redelijkerwijs als gevolg van het inspuiten/injecteren van bloed aan de verdachte kan worden toegerekend.

2.4.1.

Doorgaans is bij de beantwoording van de vraag of in strafrechtelijke zin causaal verband bestaat niet aan twijfel onderhevig dat in de keten van gebeurtenissen de gedraging van de verdachte een noodzakelijke factor is geweest voor het ingetreden gevolg - en staat dat gevolg dus in condicio sine qua non-verband tot de gedraging, welk verband in beginsel als ondergrens van het causaal verband fungeert -, maar gaat het daarbij vooral erom of het ingetreden gevolg redelijkerwijs aan (de gedraging van) de verdachte kan worden toegerekend.

2.4.2.

In meer uitzonderlijke gevallen kan niet zonder meer worden vastgesteld dat een gedraging van de verdachte in de keten van gebeurtenissen een noodzakelijke factor is geweest voor het ingetreden gevolg. De onderhavige zaak is zo'n uitzonderlijk geval omdat niet kan worden uitgesloten dat het intreden van het gevolg (de besmetting van de aangevers met hiv), onafhankelijk van de gedragingen van de verdachte, alleen door gedragingen van derden is veroorzaakt.

2.4.3.

Een dergelijke onzekerheid behoeft niet per se te leiden tot het oordeel dat het gevolg reeds daarom niet meer redelijkerwijs aan (een gedraging van) de verdachte kan worden toegerekend. In eerdere rechtspraak is onder meer beslist dat in dit verband van belang kan zijn in hoeverre de verdachte met zijn gedragingen de kans op het intreden van het gevolg heeft verhoogd (vgl. HR 30 september 2003, LJN AF9666, NJ 2005/69), dat enerzijds bepaald meer moet worden vastgesteld dan dat niet kan worden uitgesloten dat het gevolg door de gedraging is veroorzaakt (vgl. HR 3 juni 2008, LJN BC6907, NJ 2008/343), maar dat anderzijds aan het aannemen van het causaal verband niet in de weg behoeft te staan een hoogst onwaarschijnlijke mogelijkheid dat een andere omstandigheid die geen verband houdt met de gedraging van de verdachte tot het gevolg heeft geleid (vgl. HR 13 juni 2006, LJN AV8535, NJ 2007/48) of dat niet geheel kan worden uitgesloten dat latere handelingen van derden mede hebben geleid tot het gevolg (vgl. HR 28 november 2006, LJN AZ0247, NJ 2007/49).

2.4.4.

Het bovenstaande komt erop neer dat in gevallen als de onderhavige voor het redelijkerwijs toerekenen van het gevolg aan (een gedraging van) de verdachte ten minste is vereist dat wordt vastgesteld dat dit gedrag een onmisbare schakel kan hebben gevormd in de gebeurtenissen die tot het gevolg hebben geleid, alsmede dat ook aannemelijk is dat het gevolg met een aanzienlijke mate van waarschijnlijkheid door de gedraging van de verdachte is veroorzaakt. Of en wanneer sprake is van een dergelijke aanzienlijke mate van waarschijnlijkheid, zal afhangen van de concrete omstandigheden van het geval. Bij de beoordeling daarvan kan als hulpmiddel dienen of in de gegeven omstandigheden de gedraging van de verdachte naar haar aard geschikt is om dat gevolg teweeg te brengen en bovendien naar ervaringsregels van dien aard is dat zij het vermoeden wettigt dat deze heeft geleid tot het intreden van het gevolg (vgl. HR 20 september 2005, LJN AT8303, NJ 2006/86, rov. 3.5). Daarbij kan ook worden betrokken in hoeverre aannemelijk is geworden dat ten verwere gestelde andere, niet aan de gedraging van de verdachte gerelateerde oorzaken hoogstwaarschijnlijk niet tot dat gevolg hebben geleid.”

Uit de overweging in 2.4.4 van dat arrest volgt dat in een geval als in de Groninger hiv-zaak voor het redelijkerwijs toerekenen van het gevolg aan (een gedraging van) de verdachte ten minste wordt vastgesteld dat het gedrag een onmisbare schakel kan hebben gevormd in de gebeurtenissen die tot het gevolg hebben geleid. Daarnaast moet aannemelijk zijn dat het gevolg met een aanzienlijke mate van waarschijnlijkheid door de gedraging van de verdachte is veroorzaakt, hetgeen zal afhangen van de concrete omstandigheden van het geval. De feitenrechter kan – en is daartoe dus niet verplicht – daarbij betrekken in hoeverre aannemelijk is dat door de verdediging gestelde oorzaken hoogst waarschijnlijk niet tot dat gevolg hebben geleid.

Het hof heeft dit verweer overtuigend verworpen, en onder meer geconstateerd dat – anders dan bij ZeuS – met TorRAT een unieke malware-variant werd geïntroduceerd en dat de C&C-server met TorRAT in verband kan worden gebracht terwijl het heel ongebruikelijk is een dergelijke server te delen als met dat handelen (vuig) geldelijk gewin wordt beoogd. Ook de door de verdediging gestelde mogelijkheid dat derden onbevoegdelijk het TorRAT-botnet hebben overgenomen is door het hof niet onbegrijpelijk en gemotiveerd weerlegd op de grond dat dit “ongetwijfeld zou zijn opgemerkt door de 'rechtmatige' beheerder van dat botnet omdat er dan door de C&C-server 'onbekende' configuratiebestanden moeten zijn verstuurd naar de geïnfecteerde computers, die transacties zodanig zouden moeten hebben beïnvloed dat deze naar niet tot de oorspronkelijke organisatie achter TorRAT behorende moneymules zouden hebben geleid”.

Het derde middel en de bespreking daarvan Het middel 37. Het derde middel, gelezen in samenhang met de toelichting daarop, richt zich – mede gelet op het in hoger beroep gevoerde verweer – tegen de beslissing van het hof tot toewijzing van de vorderingen van de benadeelde partijen. In het bijzonder wordt geklaagd over ’s hofs oordeel dat de benadeelde partijen rechtstreekse schade hebben geleden en zijn oordeel dat de schade het gevolg is van het (gewoonte)witwassen en niet van “de onderliggende fraude of diefstal (het brondelict)”.

Het arrest 38. Het bestreden arrest houdt ten aanzien van de vorderingen van de benadeelde partijen het volgende in: “Vordering tot schadevergoeding Rabobank In het onderhavige strafproces heeft Rabobank zich als benadeelde partij gevoegd en een vordering ingediend tot vergoeding van geleden materiële schade als gevolg van het aan de verdachte onder 1 te n laste gelegde, tot een bedrag van € 166.227,25, vermeerderd met de wettelijke rente. De bank stelt schade te hebben geleden wegens het vergoeden van de als gevolg van bancaire malware ontstane schades aan zijn benadeelde rekeninghouders.

In eerste aanleg is de benadeelde partij niet-ontvankelijk verklaard in de vordering.

De benadeelde partij heeft zich in hoger beroep opnieuw gesteld voor het bedrag van € 166.227,25. In hoger beroep is de vordering derhalve aan de orde tot het bedrag van € 166.227,25.

De advocaat-generaal heeft geconcludeerd tot hoofdelijke toewijzing van de vordering, vermeerderd met de wettelijke rente en met oplegging van de schadevergoedingsmaatregel.