Compensatie door banken aan klanten is rechtstreekse schade bij malwarefraude

HOGE RAAD DER NEDERLANDEN

STRAFKAMER

Nummer21/01639 Datum7 maart 2023

ARREST

op het beroep in cassatie tegen een arrest van het gerechtshof Den Haag van 30 maart 2021, nummer 22-003570-16, in de strafzaak

tegen

[verdachte] , geboren te [geboorteplaats] op [geboortedatum] 1974, hierna: de verdachte.

1 Procesverloop in cassatie

Het beroep is ingesteld door de verdachte. Namens deze heeft M. Berndsen, advocaat te Amsterdam, bij schriftuur cassatiemiddelen voorgesteld. De schriftuur is aan dit arrest gehecht en maakt daarvan deel uit. Namens de benadeelde partij Coöperatieve Rabobank U.A. heeft Th.O.M. Dieben, advocaat te Amsterdam, een verweerschrift ingediend. Namens de benadeelde partij ING Bank Nederland N.V. heeft A.L. de Vogel, advocaat te Amsterdam, een verweerschrift ingediend. De advocaat-generaal E.J. Hofstee heeft geconcludeerd tot verwerping van het beroep. De raadslieden van de benadeelde partijen hebben daarop schriftelijk gereageerd.

2 Beoordeling van het tweede cassatiemiddel

2.1 Het cassatiemiddel klaagt over de toewijzing door het hof van de vorderingen van de benadeelde partijen Coöperatieve Rabobank U.A. (hierna: Rabobank) en ING Bank Nederland N.V. (hierna: ING). Het voert daartoe aan dat het hof de gevorderde schade ten onrechte heeft aangemerkt als rechtstreekse schade als bedoeld in artikel 361 lid 2, aanhef en onder b, van het Wetboek van Strafvordering (hierna: Sv).

2.2.1 Ten laste van de verdachte is onder 1 bewezenverklaard dat: “hij, in de periode van augustus 2012 tot en met december 2012 in Nederland en in Groot-Brittannië, tezamen en in vereniging met anderen, van het plegen van witwassen een gewoonte heeft gemaakt, door van een voorwerp, te weten geldbedragen van in totaal 243.273,36 zegge tweehonderddrieënveertigduizend tweehonderddrieënzeventig euro en zesendertig cent de herkomst en de verplaatsing te verhullen, immers hebben verdachte en zijn mededaders voornoemde geldbedragen verkregen door het (laten) versturen van grote hoeveelheden e-mailberichten (zogenaamde ‘spamruns’) waardoor computers van derden zijn geïnfecteerd met TorRAT malware en vervolgens de mogelijkheid verkregen het online betalingsverkeer tussen de klant en de bank te manipuleren en vervolgens die gelden onder valse omschrijvingen naar andere bankrekeningen overgeschreven en/of laten overschrijven dan waartoe opdracht was gegeven, en vervolgens

• die geldbedragen meermalen doorgeboekt naar (buitenlandse en/of zakelijke) bankrekeningen die (indirect) door hem en/of zijn mededaders werden beheerd en/of gecontroleerd en/of gebruikt en/of (vervolgens)
• die geldbedragen van die bankrekeningen opgenomen in contanten (ter doorbreking van de papertrail) en/of
• de digitale banktegoeden en/of contante bedragen omgezet naar ‘bitcoins’,
• een door middel van oplichting/phishing van [A] te [plaats] verkregen geldbedrag (ongeveer 8.155,00 zegge acht duizend en honderd en vijfenvijftig euro) doorgeboekt/overgeboekt naar een bankrekening die door hem en/of zijn mededaders werd beheerd en/of gecontroleerd en/of gebruikt en (vervolgens) met dat geldbedrag gouden munten gekocht, welke geldbedragen - middellijk of onmiddellijk - van misdrijf afkomstig zijn, terwijl hij en zijn mededaders wisten dat die voorwerpen - onmiddellijk of middellijk - afkomstig waren uit enig misdrijf.”

2.2.2 Het hof heeft ten aanzien van de bewezenverklaring onder meer het volgende overwogen: “Centraal in deze zaak staat een malware die in 2012 en 2013 door middel van spamruns en het internet werd verspreid en die TorRAT wordt genoemd. Deze malware had tot doel om fraude te plegen bij (rekeninghouders van) Coöperatieve Rabobank U.A. (hierna: ‘Rabobank’) en ING-bank (hierna: ‘ING’). Kort gezegd, komt het erop neer dat grote aantallen spammails met veelal aanmaningen of voorstellen voor een betalingsregeling werden verzonden. In die mails zat ogenschijnlijk een link naar een openstaande factuur of ander (PDF-)bestand, maar in werkelijkheid betrof het een programma dat de malware op de computer van iedere gebruiker installeerde die op die link klikte. De malware werd door een Command and Control server (hierna: ‘C&C-server’) op het internet aangestuurd. Bij het gebruik van internetbankieren op een besmette computer kon zo het bankrekeningnummer, de naam van de begunstigde en de omschrijving van de betaling worden aangepast, zonder dat dit voor de gebruiker van die computer (direct) zichtbaar was. Op deze wijze konden betalingen door de TorRAT-malware worden gewijzigd en omgeleid naar de bankrekeningen van zogeheten moneymules.

(...)

Het witwassen is in deze zaak vervolgens een onlosmakelijk onderdeel van de fraude; immers, als het geld te lang bij de moneymules staat, dan kunnen de banken transacties blokkeren en gelden terughalen, zoals in deze zaak veelvuldig is gebeurd.”

2.3.1 Volgens het proces-verbaal van de terechtzitting in hoger beroep heeft de raadsman van de verdachte daar het woord gevoerd overeenkomstig de pleitnota die aan het proces-verbaal is gehecht. Deze pleitnota houdt voor zover van belang het volgende in: “Wat betreft de vorderingen van de benadeelde partijen ING Bank en Rabobank hebben zij zich opnieuw gevoegd in hoger beroep. Daarbij heeft ING Bank zich gevoegd voor het oorspronkelijke bedrag van € 105.491,42 terwijl de Rabobank een gewijzigde vordering heeft ingediend ten bedrage van € 157.873,10. Dienaangaande het volgende.

(...)

5.2 Geen rechtstreekse schade (51f Sv) Voorts meent de verdediging dat geen sprake is van een rechtstreekse schade als bedoeld in artikel 51f, eerste lid Sv. Het Openbaar Ministerie stelt zich op het standpunt dat dit wel het geval is nu ING en Rabobank “al hun klanten schadeloos” hebben gesteld zodat de banken uiteindelijk degenen zijn die daadwerkelijk financiële schade hebben geleden. De redenering van het Openbaar Ministerie is daarbij dat de compensatie de banken daadwerkelijk hebben gegeven nu als schade zou kunnen worden toegewezen. De rechtbank hangt een soortgelijke redenering blijkens de uitspraak, waarbij wel aantekening wordt gemaakt dat de compensatie van klanten daadwerkelijk moet blijken uit de stukken.

De verdediging kan zich vinden in de (minimale) eis dat banken de daadwerkelijke vergoeding moeten aantonen. Voor het overige is de redenering van het Openbaar Ministerie en de rechtbank echter (veel) te kort door de bocht. Naar de smaak van de verdediging zou immers ook moeten blijken uit de stukken of banken als benadeelde partijen daadwerkelijk de verplichting en/of het beleid hadden om vermeende schade als bedoeld in onderhavige situaties aan klanten te compenseren.

Dat laatste is bepaald geen vanzelfsprekendheid. Doorgaans moet worden voldaan aan een flink aantal voorwaarden wil een klant vermeende schade van een bank vergoed krijgen. Zo moet er niet alleen aangifte plaatsvinden maar vindt er bijvoorbeeld ook controle plaats of klanten al dan niet onvoorzichtig zijn geweest dan wel of klanten mogelijk zelf iets te verwijten valt (bijvoorbeeld omdat onvoldoende maatregelen zijn getroffen of omdat klanten zelf op enig moment hadden moeten vermoeden dat iets niet aan de haak was).

Op geen enkele wijze blijkt uit onderhavige vorderingen dat de toets aan het interne beleid van de betreffende bank destijds in deze individuele gevallen heeft plaatsgevonden. Indien die toets niet heeft plaatsgevonden, althans daarvan niets blijkt, maar desalniettemin toch is overgegaan tot compensatie door banken kan dat worden gekwalificeerd als een stukje servicegerichtheid en klantvriendelijkheid vanuit de bank. Deze compensatie dient in dat geval echter gewoon te vallen onder gebruikelijke kosten die zijn verbonden aan en exploitatie van een dienstverlenende bank en kan niet worden opgevoerd als rechtstreekse schade.

De gedachte hierachter is dat banken als benadeelde partij geen schade vorderen die zij niet hebben geleden of hadden hoeven leiden. Verwacht mag worden dat banken niet alleen aantonen dat ze daadwerkelijk gecompenseerd hebben maar óók of dat conform het gehanteerde beleid is gebeurd. Daarmee moet voorkomen worden dat banken al te lichtvaardig klanten compenseren, ook als deze klanten bijvoorbeeld niet meewerken of onvoorzichtig hebben gehandeld.

Zeker in gevallen - zoals onderhavige - waarin de politie al in een vroeg stadium de samenwerking met banken heeft gezocht is het niet ondenkbeeldig dat banken te gemakzuchtig en onverplicht overgaan tot compensatie van klanten. De stelling van de rechtbank, dat hier sprake is van een in het maatschappelijk verkeer voorzienbare reactie, is bepaald niet het geval.

De veronderstelling dat de gevorderde bedragen dus ‘gewoon’ via de vordering benadeelde partij kunnen worden opgevoerd is daarmee te kort door de bocht. Dergelijke kosten zijn in dit geval niet (meer) te typeren als rechtstreekse schade. Van rechtstreekse schade kan daarom, gelet op het ontbreken van een onderbouwing op het punt van de compensatie, niet worden gesproken. De concrete omstandigheden van het geval (waarbij de rechtbank heeft verwezen naar de zaak ECLI:NL:HR:2016:1522) kunnen de conclusie dat sprake is van rechtstreekse schade niet dragen.

Nu beide vorderingen op voornoemd punt op geen enkele wijze zijn onderbouwd zijn de vorderingen naar de smaak van de verdediging ook hierom niet-ontvankelijk.”

2.3.2 Het hof heeft geoordeeld dat de verdachte hoofdelijk aansprakelijk is voor de door de benadeelde partijen Rabobank en ING geleden materiële schade tot respectievelijk € 134.626,42 en € 100.491,94. De uitspraak van het hof houdt hierover het volgende in: “Vordering tot schadevergoeding Rabobank In het onderhavige strafproces heeft Rabobank zich als benadeelde partij gevoegd en een vordering ingediend tot vergoeding van geleden materiële schade als gevolg van het aan de verdachte onder 1 ten laste gelegde, tot een bedrag van € 166.227,25, vermeerderd met de wettelijke rente. De bank stelt schade te hebben geleden wegens het vergoeden van de als gevolg van bancaire malware ontstane schades aan zijn benadeelde rekeninghouders.

In eerste aanleg is de benadeelde partij niet-ontvankelijk verklaard in de vordering.

De benadeelde partij heeft zich in hoger beroep opnieuw gesteld voor het bedrag van € 166.227,25. In hoger beroep is de vordering derhalve aan de orde tot het bedrag van € 166.227,25.

(...)

Ten aanzien van de vordering van de benadeelde partij is namens de verdachte verzocht deze vordering af te wijzen, primair nu ten aanzien van feit 1 vrijspraak is bepleit en de opgevoerde schade daarin zijn grondslag zou vinden en subsidiair omdat er aan de zijde van de banken geen sprake is van rechtstreekse schade zoals bedoeld in artikel 51f lid 1 Sv. (...)

Naar het oordeel van het hof heeft de benadeelde partij aangetoond dat tot een bedrag van € 134.626,42 materiële schade is geleden. Deze schade is een rechtstreeks gevolg van het onder 1 bewezenverklaarde. De vordering van de benadeelde partij zal derhalve tot dat bedrag worden toegewezen, te vermeerderen met de gevorderde wettelijke rente over dit bedrag vanaf 1 januari 2013 tot aan de dag der algehele voldoening.

Voor het overige levert behandeling van de vordering van de benadeelde partij naar het oordeel van het hof een onevenredige belasting van het strafgeding op. Het hof zal dan ook bepalen dat de benadeelde partij voor het overige niet-ontvankelijk is in de vordering tot vergoeding van de geleden schade. Deze kan in zoverre bij de burgerlijke rechter worden aangebracht.

(...) Vordering tot schadevergoeding ING In het onderhavige strafproces heeft ING zich als benadeelde partij gevoegd en een vordering ingediend tot vergoeding van geleden materiële schade als gevolg van het aan de verdachte onder 1 ten laste gelegde, tot een bedrag van € 105.491,42, vermeerderd met de wettelijke rente. De bank stelt schade te hebben geleden wegens het vergoeden van de als gevolg van bancaire malware ontstane schades aan zijn benadeelde rekeninghouders.

In hoger beroep is deze vordering aan de orde tot dit in eerste aanleg gevorderde en in hoger beroep gehandhaafde bedrag van € 105.491,42.

(...)

Ten aanzien van de vordering van de benadeelde partij is namens de verdachte verzocht deze vordering af te wijzen, primair nu ten aanzien van feit 1 vrijspraak is bepleit en de opgevoerde schade daarin zijn grondslag zou vinden en subsidiair omdat er aan de zijde van de banken geen sprake is van rechtstreekse schade zoals bedoeld in artikel 51f lid 1 Sv. (...)

Naar het oordeel van het hof heeft de benadeelde partij aangetoond dat tot een bedrag van € 100.491,94 materiële schade is geleden. Deze schade is een rechtstreeks gevolg is van het onder 1 bewezenverklaarde. De vordering van de benadeelde partij zal derhalve tot dat bedrag hoofdelijk worden toegewezen, te vermeerderen met de gevorderde wettelijke rente over dit bedrag vanaf 1 januari 2013 tot aan de dag der algehele voldoening.

Voor het overige levert behandeling van de vordering van de benadeelde partij naar het oordeel van het hof een onevenredige belasting van het strafgeding op. Het hof zal dan ook bepalen dat de benadeelde partij voor het overige niet-ontvankelijk is in de vordering tot vergoeding van de geleden schade. Deze kan in zoverre bij de burgerlijke rechter worden aangebracht.”

2.4 Een benadeelde partij kan in het strafproces vergoeding vorderen van de schade die zij door een strafbaar feit heeft geleden als voldoende verband bestaat tussen het bewezenverklaarde handelen van de verdachte en de schade om te kunnen aannemen dat de benadeelde partij door dit handelen rechtstreeks schade heeft geleden. Voor de beantwoording van de vraag of zo’n verband bestaat, zijn de concrete omstandigheden van het geval bepalend. Voor het aannemen van zodanig verband is niet vereist dat de benadeelde partij is getroffen in een belang dat door de overtreden strafbepaling rechtstreeks wordt beschermd. (Vgl. HR 28 mei 2019, ECLI:NL:HR:2019:793, rechtsoverweging 2.3.1.) Bovendien geldt dat voor vergoeding aan de benadeelde partij overeenkomstig de regels van het materiële burgerlijk recht slechts in aanmerking komt de schade die de benadeelde partij heeft geleden als gevolg van de onrechtmatige gedragingen van de verdachte, voor zover deze schade op de voet van artikel 6:98 van het Burgerlijk Wetboek aan de verdachte kan worden toegerekend. (Vgl. HR 28 mei 2019, ECLI:NL:HR:2019:793, rechtsoverweging 2.4.1.)

2.5 Het hof heeft geoordeeld dat de benadeelde partijen Rabobank en ING hebben aangetoond dat zij tot de toegewezen geldbedragen schade hebben geleden, bestaande uit de vergoeding door die banken van de geldbedragen die zijn ontvreemd van hun rekeninghouders. Dat oordeel is, ook in het licht van wat de raadsman heeft aangevoerd, toereikend gemotiveerd. Het oordeel van het hof dat tussen het onder 1 bewezenverklaarde gewoontewitwassen van de verdachte en de schade van die banken voldoende verband bestaat om te kunnen aannemen dat de benadeelde partijen door dit handelen rechtstreeks schade hebben geleden, getuigt niet van een onjuiste rechtsopvatting en is niet onbegrijpelijk. Daarbij neemt de Hoge Raad in aanmerking dat het hof heeft vastgesteld dat de geldbedragen zijn weggenomen doordat betaalopdrachten van rekeninghouders in de online bankieromgeving van de banken door malware werden gemanipuleerd en het bewezenverklaarde gewoontewitwassen met betrekking tot die geldbedragen is gepleegd (mede) om die geldbedragen buiten het bereik van de benadeelde partijen te brengen.

2.6 Het cassatiemiddel faalt.

3 Beoordeling van het eerste cassatiemiddel

De Hoge Raad heeft de klachten over de uitspraak van het hof beoordeeld. De uitkomst hiervan is dat deze klachten niet kunnen leiden tot vernietiging van die uitspraak. De Hoge Raad hoeft niet te motiveren waarom hij tot dit oordeel is gekomen. Bij de beoordeling van deze klachten is het namelijk niet nodig om antwoord te geven op vragen die van belang zijn voor de eenheid of de ontwikkeling van het recht (zie artikel 81 lid 1 van de Wet op de rechterlijke organisatie).

4 Beslissing

De Hoge Raad verwerpt het beroep.

Dit arrest is gewezen door de vice-president V. van den Brink als voorzitter, en de raadsheren Y. Buruma en A.L.J. van Strien, in bijzijn van de waarnemend griffier H.J.S. Kea, en uitgesproken ter openbare terechtzitting van 7 maart 2023.