Krol krijgt boete wegens computervredebreuk
De 62-jarige Henk Krol is door de rechtbank Oost-Brabant tot een geldboete van 750 euro veroordeeld wegens het meerdere malen plegen van computervredebreuk. Krol wist toegang te krijgen tot cyberlab.diagnostiekvooru.nl door middel van inloggegevens die hij van een patiënt van het centrum had gekregen. Die had die gegevens afgeluisterd van een psychiater die in het centrum werkt.
Krol bekeek en printte vervolgens diverse medische dossiers. Volgens hem was dit gerechtvaardigd omdat hij als journalist en Statenlid wilde aantonen dat deze gevoelige informatie over individuele patiënten door onbevoegden gemakkelijk is te raadplegen. Hij gaf aan dat het beschermen van de (gegevens van) patiënten zijn enige doel was.
De rechtbank stelt voorop dat elke inbreuk op een geautomatiseerd werk zonder toestemming van de rechthebbende strafbaar is. Alleen onder zeer bijzondere omstandigheden kunnen er hogere belangen zijn die zo’n inbreuk kunnen rechtvaardigen.
Het aantonen van gebreken bij de bescherming van de vertrouwelijke medische gegevens zou volgens de rechtbank een wezenlijk maatschappelijk belang kunnen dienen.
Wederrechtelijk
De rechtbank acht het dan ook gerechtvaardigd dat de man, voordat hij verdere stappen ondernam, eerst zelf vaststelde of de bevindingen van zijn ‘tipgever’ juist waren. Het inloggen op de website en het vervolgens raadplegen van enkele dossiers acht de rechtbank in dit geval dan ook niet wederrechtelijk.
Ook vindt de rechtbank het verdedigbaar dat er in deze situatie prints zijn gemaakt om de omvang van de tekortkoming en het gevaar daarvan te kunnen aantonen. Krol handelde daarbij zorgvuldig door de prints te anonimiseren. Hij ging echter te ver door nog meer gegevens van anderen te raadplegen en printen.
"Hij had immers met de al verzamelde gegevens zijn punt kunnen maken", aldus de rechtbank. Ook had Krol Diagnostiek voor U ruimer de kans moeten geven om te reageren en het niet bij één poging moeten laten.
Gebrek
Volgens de rechtbank is er in dit geval ook geen sprake van een technisch gebrek aan het computersysteem van Diagnostiek voor U. "Eén gebruiker was onzorgvuldig met zijn inloggegevens en wachtwoord omgegaan. De verdachte had dan ook geen concrete aanwijzingen dat andere personen over deze inloggegevens beschikten", aldus de rechtbank.
Die stelt dat probleem dan ook geen onmiddellijke inschakeling van de media rechtvaardigde. Aangezien de kans op herhaling klein is, werd Krol alleen tot een geldboete veroordeeld. Tegenover Nu.nl laat hij weten mogelijk in hoger beroep te gaan.
Krol kreeg toevallig een sleutel in handen die aan iemand anders toebehoorde en heeft die misbruikt.
Om onzorgvuldigheid aan te toenen wellicht nog verdedigbaar ook. Maar hij is verder gegaan dan het openen van het slot.
Hij heeft dat meermaals gedaan.
Uit publiciteitsgeilheid wellicht?
Was Krol niet verder gegaan dan had het wellicht helemaal niet tot een strafzaak gekomen, en zeker niet tot een veroordeling. Hij had zijn punt gemaakt volgens de rechter.
Zou ik wel blijven doen. Die meneer Krol had zich iets beter moeten inlezen op de regels op dit gebied. Hij deed alles goed, maar ging iets te ver in zijn enthousiasme.
Ik ben het roerend met je eens. Het ontbreekt neerlandsch' justitie het besef hoe arrogant bedrijven omgaan met de bevindingen van white-hat heroes. Koesteren deze jongens!
En dan de ontsteltenis als een bedrijf als DigiNotar de verkeerde partij tegenkomt....
EIKELS!
Hey, uw deur is niet gesloten ?!
en als ik niet reageer een groot bord voor men deur zetten, via die deur kan je binnen !
het is een feit dat die ethische hackers er moeten zijn om mensen hierop te wijzen
( net zoals politie zegt: hey sluit je deuren ! )
btw, wat zou je ervan vinden moest ik een sleutel van jouw deur online gratis verdelen omdat ik gevonden heb dat er een masterkey bestaat voor jou deur ?
dus ik het er een beetje gemengde gevoelens bij.
De eerste die zo voor men deur staat die krijgt een knuppel tegen zen gezicht !
Er staat namelijk: de inbraak en het aan het licht stellen dient een wezenlijk maatschappelijk belang. Hij wordt hier ook niet voor veroordeeld. Ook niet voor het printen en het anoniem publiceren van de gegevens, wat de rechtbank zorgvuldig noemt.
Hij heeft echter nog meer gegevens dan bovenstaande geprint, en die zijn inderdaad niet nodig zijn om het probleem aan te tonen.
Of hij te snel naar de media is gestapt vind ik lastiger. De rechter oordeelt van wel. De beveiligingsfout was namelijk het 'afkijken' van een wachtwoord, geen fundamentele fout in het programma.
Zo oneerlijk als mensen hier schrijven is het vonnis van de rechter dus niet.
Krol heeft de login gegevens van iemand anders gekregen die het op zijn beurt weer afgeluisterd had.
Dit is in principe hetzelfde als iemand die jou de sleutel van een voordeur geeft en dat jij dan zo naar binnen kan lopen. Het laat niet echt zien dat er een lek in het systeem zit.
Zou ik wel blijven doen. Die meneer Krol had zich iets beter moeten inlezen op de regels op dit gebied. Hij deed alles goed, maar ging iets te ver in zijn enthousiasme.
Beste Huge,
Niemand verplicht je om lekken te gaan melden, dus ach, stop maar met het melden van (beveiligings)lekken aangezien de ICT een grote leugen is.
In de meeste gevallen die ik meemaak zullen instellingen security incidenten maximaal downplayen en zaken veel rooskleuriger voorstellen dan ze zijn (zo ook in dit geval, zie https://www.security.nl/artikel/45029/1/Open_brief_in_de_zaak_Henk_Krol.html#comment-314345).
Als je maar 1 account hebt ingezien zullen ze zeggen dat er maar 1 account kon worden ingezien. Als je geen substantiële bewijzen verzamelt heb je wellicht geen case. En in mij eigen ervaring struikel je soms over de gegevens die niet voor jouw ogen bedoeld zijn.
De meeste instellingen doen niets met jouw informatie als je ze vriendelijk benadert en verder je kop houdt. En waarom zouden ze? Pas als je ermee naar de pers gaat en er financiële belangen mee gemoeid zijn, gebeurt er wat.
Triest dat er ook hier mensen zijn die denken dat je het probleem oplost (de ICT wereld veiliger maakt) door whitehats te criminaliseren.
Henk Krol heeft het "lek" tenminste nog gemeld, maar word gewoon verwacht het schriftelijk te melden.
Van de zotte, zou een echte "Black-hat" het weten dan had je de poppen aan het dansen gehad en gegevens
misschien wel op Past-bin terug gevonden.
Los van het feit hoe hij de code heeft gekregen van het Diagnostiek voor U.
Diagnostiek voor U is diegene die de zaakjes slecht hebben afgetimmerd.
Ten tweede moet zou er een soort van token achtige hardware devices moeten komen waardoor derden
niet vanaf een andere computer kunnen inloggen op een database. Of op IP basis andere computers blokkeren.
Er zijn genoeg mogelijkheden te bedenken toch?
Verder kreeg de oorspronkelijke tipgever een boete van 250 euro voorwaardelijk.
Ook hier kun je je afvragen waarom deze niet ook een gelijkwaardige boete kreeg want ik feite heeft hij
de code weer aan Henk Krol gegeven. Hij wist immers dat Henk Krol er werk van ging maken. In feite spant
hij dus Henk Krol voor zijn karretje om een beetje "buiten shot" te blijven lijkt mij zo.
De rechtbank vindt wel dat hij zorgvuldig te werk ging bij het in kaart brengen van het lek.
Dat hij echter verder ging door nog meer gegevens te verzamelen, neemt de rechtbank hem wel kwalijk. Met de gegevens die hij op dat moment had, was zijn punt al duidelijk, vindt de rechtbank. Vooral dit meerdere malen inbreuk plegen wordt hem kwalijk genomen door de rechters. De rechtbank vindt verder dat Krol het centrum meer ruimte had moeten geven om te reageren.
Waarom kan iemand bij Diagnostiek voor U niet gelijk alarm slaan?
Is het dan echt zo moeilijk?
Is het dan echt NIET zo belangrijk?
Rechters en ICT blijft een .............?
En enkele dossiers van de honderd duizenden, zo niet miljoenen, inzien en uitprinten om zo fysiek bewijs te kunnen leveren die je stelling ondersteunt en bewijst, is niets anders dan logisch. Dat een rechter hem hiervoor veroordeelt of kan veroordelen is een grove schande en staat lijnrecht tegenover onze vrije democratisch principes en gezien niemand in de tweede kamer zich zijn/haar afschuw over uitspreekt, bewijst dat ze of niet geschikt zijn als volksvertegenwoordigers of erger, staan ze inmiddels allemaal op de loonlijst dan wel toekomstige loonlijst, van de onzichtbare krachten achter dit hele EPD circus. Één corrupte pest bende is het..
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
