De politie is je beste IT'er?

De FBI verwijderde onlangs web shells bij slachtoffers van een recente Exchange-server zeroday en de Nederlandse politie heeft op 25 april Emotet van ruim een miljoen besmette pc’s verwijderd.

De Nederlandse politie heeft dit gedaan door een software update te versturen via twee van de hoofdservers van het Emotet-botnet. Dit was al in januari mogelijk, maar is pas eind april gedaan zodat getroffen organisaties tijd hadden om zelf in te grijpen.

Je zou dus kunnen stellen dat degenen bij wie de update is geplaatst, hun zaakjes niet op orde hadden en blij moeten zijn dat de politie doet wat hun eigen IT-afdeling heeft nagelaten.

Anderzijds is het de vraag of dit nu een taak is van de politie en welke bevoegdheden de politie/opsporingsdiensten daarbij hebben.

Voordeur openbreken

Een mogelijke grond is zaakwaarneming: de politie kan bijvoorbeeld een deur laten openbreken en van een nieuw slot laten voorzien om een lekkage te stoppen. In dit voorbeeld oordeelde de rechter dat het de taak van de politie is om dergelijke situaties (voortdurende lekkage) vanuit het maatschappelijk belang, en meer in het bijzonder in het belang van de eigenaar van het betreffende pand, tegen te gaan. Indien de politie de deur niet had opengebroken om te lekkage te stoppen had de onwenselijke situatie langer voortgeduurd, waarmee de kans op schade of gevaar zou toenemen.

Daar zie ik wel overeenkomsten met het opheffen van een malware-infectie om die onwenselijke situatie te stoppen en de kans op schade of gevaar te verminderen.

Maar bij de Wet computercriminaliteit II is artikel 125o Sv ingevoerd dat het mogelijk maakt om gegevens ontoegankelijk te maken voor zover dit noodzakelijk is ter beëindiging van het strafbare feit of ter voorkoming van nieuwe strafbare feiten en sinds de Wet Computercriminaliteit III (ook bekend als de hackwet) hebben justitie en politie er nog meer specifieke bevoegdheden bijgekregen, zo mogen zij onder bepaalde voorwaarden bijvoorbeeld binnendringen in computers en telefoons (“een geautomatiseerd werk dat bij de verdachte in gebruik is”) en kunnen ze gegevens ontoegankelijk laten maken.

Kortom: er zijn diverse mogelijkheden om in te grijpen als een onveilige situatie blijft voortbestaan en/of met behulp van bepaalde gegevens nieuwe strafbare feiten kunnen worden begaan.

Dreigingsinformatie delen

Het is te hopen dat demissionair minister Grapperhaus van Justitie en Veiligheid opschiet met zijn wetsvoorstel dat het mogelijk maakt dat het Nationaal Cyber Security Centrum (NCSC) dreigingsinformatie met niet-vitale bedrijven gaat delen. Zolang deze informatie alleen met de Rijksoverheid en vitale aanbieders gedeeld wordt is het voor het bedrijfsleven een kwestie van patchen en nathouden, desnoods met de hulp van de lange arm.