Online kiezen criminelen graag voor zekerheid

De criminaliteit heeft zijn eigen afdeling op internet. Dat is niet het clear web waar je dit leest, maar het dark web waar een Tor-browser de anonimiteit van de partijen garandeert. Marktplaatsen daar doen niet in kinderfietsjes of kleding, maar bieden drugs aan, wapens, gestolen creditcards, en bouwpakketten voor DDoS-aanvallen, phishing campagnes of gijzelsoftware. Dat is althans wat criminoloog Rolf van Wegberg de afgelopen jaren zag langskomen.

Na zijn studie in Leiden combineerde hij voor zijn promotieonderzoek criminologie met informatica bij de cybersecurity-groep van de faculteit Techniek, Bestuur en Management (TBM). “De redenen voor het kiezen van een dienstverlener zijn hetzelfde als in de gewone wereld”, vertelt Van Wegberg. “Kopers gaan af op de beoordeling van eerdere klanten. Klantenservice, niet-goed-geld-terug-regelingen, en het voeren van een merknaam versterken het vertrouwen.” Dat leidt ertoe dat de meest professionele tien procent van de aanbieders op zo’n marktplatform negentig procent van de omzet draait. 

Hoe weet Van Wegberg dat? Uit de bestudering van zes jaar aan transacties van acht prominente ondergrondse platformen. Darkweb marktplaatsen worden regelmatig ontruimd. Silk Road was de eerste, daarna volgden AlphaBay, Hansa Market en vele andere. Naar schatting zijn er ondanks regelmatige schoonmaakacties toch altijd zo’n tien tot vijftien marktplaatsen actief.

De opzet is volgens Van Wegberg in de basis steeds hetzelfde: toegang via een Tor-browser en betaling in bitcoins zodra de klant zijn ‘bestelling’ heeft ontvangen. Van Wegberg kon met behulp van twee Amerikaanse onderzoekers de broncodes van de marktpagina’s opslaan, zogeheten scraping. Dat leverde een database op met duizenden aanbieders, tienduizenden producten en miljoenen feedback. Inmiddels heeft hij – via een samenwerking met politiediensten –  ook toegang tot de bestanden van andere, opgeheven illegale marktplaatsen.

Uit een analyse bleek niet alleen dat een klein aantal aanbieders de meeste omzet draait, maar ook dat die professionele aanbieders vaak veelzijdig zijn. Naast malware-bouwpakketten verzorgen ze bijvoorbeeld ook ‘bulletproof hosting’ voor phishing websites of verspreiding van kinderporno.

Bij het oprollen van online criminaliteit is het dus verstandig om te focussen op de meest professionele aanbieders. Van Wegberg beaamt dat zo’n selectie kan helpen om de opsporingscapaciteit optimaal in te zetten. Tegelijkertijd is de recherche altijd afhankelijk van (minder professionele) foutjes om de identiteit van verdachten te kunnen achterhalen, en de organisatie moet in Nederland actief zijn.

• Rolf van Wegberg, Michel van Eeten c.s., Go See a Specialist? Predicting Cybercrime Sales on Online Anonymous Markets from Vendor and Product Characteristics, 20 April 2020.
• Rolf van Wegberg, Outsourcing cybercrime, PhD thesis supervisor prof. Michel van Eeten (TBM) and prof. A.J. Klievink (Leiden University), 27 Oktober 2020