Met zijn scripts zou hacker onterecht 145.000 euro compensatie hebben gekregen van de NS

In dit artikel:

Het Openbaar Ministerie (OM) heeft bij de rechtbank in Utrecht 240 uur taakstraf en een voorwaardelijke gevangenisstraf van zes maanden geëist tegen de 28-jarige Mohammed T. uit Utrecht. Hij wordt ervan verdacht de NS voor ruim 145.000 euro te hebben opgelicht. Ook moet hij het bedrag volgens het OM terugbetalen.

T. zou met geautomatiseerde scripts op uitcheckgemist.nl kaartnummers en vervaldata van OV-chipkaarten hebben achterhaald waarvoor nog ongeclaimde compensatie openstond. Vervolgens vroeg hij die vergoedingen automatisch aan via de NS-website. Het geld liet hij overmaken naar elf bankrekeningen op verschillende namen, die hij volgens het OM via Telegram had verkregen. Ook had hij kopieën van vervalste identiteitsdocumenten in bezit.

De freelance webontwikkelaar erkent dat hij compensaties van anonieme kaarten heeft geclaimd, maar zegt dat hij aanvankelijk alleen wilde experimenteren. Toen hij niet werd tegengehouden, ging hij door. Volgens politieonderzoek is een deel van het geld naar gokbedrijven gegaan; in zijn woning werd ook veel contant geld gevonden. T. kan niet zeggen waar het resterende bedrag is en ontkent dat hij reizigers heeft benadeeld. Hij zegt inmiddels te begrijpen dat hij de fout had moeten melden aan Translink of de NS, volgens de principes van responsible disclosure.

De advocaat betwist dat sprake was van hacken, omdat de gebruikte gegevens volgens hem openbaar waren en T. niet in afgeschermde systemen binnendrong. Het OM stelt daartegenover dat het verzamelen van de juiste kaartgegevens een beveiliging omzeilde en dus wel hacking oplevert. De NS zegt de fraude zelf te hebben ontdekt en inmiddels extra controles, technische beveiliging en monitoring te hebben ingevoerd. De rechtbank doet op 7 september uitspraak.