Utrechtse IT'ers reisden twee jaar gratis met gekraakte OV-chipkaarten

C. en K. zijn vrienden en collega's. Ze worden door het OM verdacht van computervredebreuk en het reizen met OV-kaarten waarvan ze de code hadden gekraakt en illegaal de waarde hadden opgehoogd. Dat deden ze volgens de officier van justitie van eind 2015 tot eind 2017.

In de rechtbank vertelden de twee dat ze in 2015 uit professionele interesse begonnen met het kraken van OV-chipkaarten. Ze werkten allebei in de IT en vroegen zich door nieuwsberichten over een beveiligingslek in de gloednieuwe chip af welke privacygevoelige gegevens op de kaarten staan en hoe lastig het zou zijn om ze te kraken. De mannen waren eigenlijk verrast over hoe eenvoudig dat was, vertelden ze in de rechtszaal.

Op internet vonden de twee informatie over ervaringen van andere hackers met OV-kaarten. Ze sloten de kaarten vervolgens aan op hun computers, waarna het al snel lukte om de codes te kraken en de oplaadprogramma's te manipuleren. De twee zouden vervolgens twee jaar lang gratis hebben gereisd, vooral van Utrecht naar hun werk in Alkmaar. Dat deden ze naar eigen zeggen niet voor het financieel gewin, maar vooral uit gemakzucht en vanwege de kick.

Translink, het bedrijf dat de OV-chipkaarten beheert, blokkeert kaarten waarmee gefraudeerd lijkt te worden. Daarom kraakten de Utrechters geregeld nieuwe kaarten. Toen Translink de stelselmatige fraude ontdekte, werd in 2017 aangifte gedaan bij de politie. Die kwam de verdachten na intensief onderzoek op het spoor door de bewakingscamera's op stations in de gaten te houden en de mannen te observeren.

Door de bekentenis van de verdachten zijn alle beschuldigingen volgens het OM bewezen. Maar over het financiële voordeel dat zij door gratis reizen hadden en over de schade voor Translink was veel discussie in de rechtszaal. Het OM ging uit van een volledige werkweek, terwijl de mannen niet fulltime werkten en lang op vakantie waren. Ook gingen ze soms met de auto naar hun werk of werkten ze thuis. De officier verlaagde daarom het geschatte financiële voordeel (zij kregen ook reiskostenvergoedingen) dat zij door de fraude zouden hebben verkregen.

De mannen betwistten ook het schadebedrag dat Translink opvoert. De vordering is slecht onderbouwd, zagen ook het OM en de rechters. Het bedrijf nam ook niet de moeite om het in de rechtbank toe te lichten. Zo werd volgens Translink in de helft van de gevallen naar andere bestemmingen gereisd dan Alkmaar, maar de verdachten zeggen dat zij dit maar sporadisch deden.

Volgens de verdachten is het mogelijk dat Translink fraude door anderen aan hen toegeschrijft. Ook zouden er fouten in de berekeningen van Translink zitten, stellen zij. Ze bezweren dat ze anderen niet mee hebben laten profiteren van de gekraakte kaarten. Dat vonden ze te ver gaan en daarvoor waren ze ook te bang voor ontdekking. Ook de gebruikte technieken zouden ze niet met anderen hebben gedeeld.

De twee verdachten en hun advocaat hebben geprobeerd tot een schikking te komen en de schade te vergoeden. Ze dachten het bedrijf ook te kunnen helpen door te vertellen hoe ze het systeem hadden gekraakt. Maar Translink zou de deur hebben dichtgehouden, omdat het bedrijf niet met misdadigers om de tafel wil zitten. Hun IT-werkgever, die zich bezighoudt met beveiligingssystemen vindt de zaak juist zeer interessant en volgt het met belangstelling.

Het OM vindt dat de mannen bij Translink hadden moeten aankloppen nadat ze hadden vastgesteld dat de OV-chipkaarten konden worden gekraakt. Maar volgens de verdediging valt Translink juist te verwijten dat het bedrijf een vernieuwde chipkaart introduceerde waarvan bekend was dat er een lek in de beveiliging zat. Omdat de redelijke termijn waarin de zaak behandeld had moeten worden ruim is verstreken, vindt zij het ongepast om nu nog een werkstraf op te leggen. Haar clienten hebben hun lesje wel geleerd door de strafzaak die hen al jaren boven het hoofd hangt, vindt zij.

De rechters zullen er een flinke klus aan hebben om alle financiele cijfers nog eens goed te bekijken. Op woensdag 17 juni doet de rechtbank uitspraak.