Het misdrijf van het verkrijgen van bank- en creditcardgegevens

Ingang

Met de wijdverbreide acceptatie van digitaal bankieren en online winkelen is bank- en creditcardinformatie een van de meest begeerde gegevenspunten geworden voor criminele organisaties en individuele daders. Wanneer informatie zoals kaartnummer, vervaldatum, CVV/CVC-code, naam en achternaam van de kaarthouder, eenmalige verificatiecode, mobiel bankieren-melding en 3D Secure-bevestigingscode in handen is, kunnen criminelen geld van de rekening van het slachtoffer opnemen, online aankopen doen, geld storten op digitale portemonnees of illegale winsten aan anderen verstrekken.

Daarom moet de diefstal van bank- en creditcardgegevens in het Turkse strafrecht niet worden beschouwd als een simpel geval van "het verkrijgen van kaartgegevens". Afhankelijk van de aard van het incident kan het verschillende misdrijven omvatten, misbruik van bank- of creditcards, onrechtmatige verkrijging van persoonsgegevens, ongeoorloofde toegang tot een computersysteem, gekwalificeerde fraude, systeemverstoring of gegevensmanipulatie, en in sommige gevallen zelfs witwassen van geld .

Artikel 245 van het Turkse Wetboek van Strafrecht regelt het misdrijf van misbruik van bank- of creditcards. Volgens de huidige tekst van dit artikel wordt iemand die op welke wijze dan ook de bank- of creditcard van een ander verkrijgt of in bezit neemt en deze zonder toestemming van de kaarthouder gebruikt of laat gebruiken om er zelf of voor een ander voordeel uit te halen, gestraft met een gevangenisstraf van drie tot zes jaar en een boete van maximaal vijfduizend dagen. Hetzelfde artikel regelt ook afzonderlijk de handelingen van het produceren, verkopen, overdragen, kopen en accepteren van vervalste bank- of creditcards, en het gebruik van vervalste kaarten om voordeel te behalen.

Wat betekent het als bank- en creditcardgegevens gecompromitteerd raken?

Diefstal van bank- of creditcardgegevens beperkt zich niet tot het fysiek stelen van de kaart. Tegenwoordig wordt de meeste kaartinformatie verkregen via internet, telefoon, nepbetaalpagina's, social engineering of malware.

Kaartgegevens kunnen op de volgende manieren worden gestolen:

Voorbeelden van frauduleuze activiteiten zijn onder andere het fotograferen van de kaart, het noteren van het kaartnummer en de CVV-code, het invoeren van kaartgegevens op nepwebsites, het worden doorgestuurd naar nep-links die afkomstig lijken te zijn van banken of verzendbedrijven, een beller die zich voordoet als een bankmedewerker, skimmingapparaten die in POS-terminals of geldautomaten worden geplaatst, nep-betaalschermen in apps, gehackte e-commerceaccounts, datalekken, malware en nep-klantenservicelijnen.

Een cruciaal juridisch onderscheid is hier van belang: het enkel verkrijgen van kaartgegevens als het gebruiken van die gegevens om voordeel te behalen . Als de dader de kaartgegevens heeft verkregen maar deze nog niet heeft gebruikt, kan, afhankelijk van de specifieke omstandigheden, het misdrijf van onrechtmatig verkrijgen van persoonsgegevens, zoals gedefinieerd in artikel 136 van het Turkse Wetboek van Strafrecht, of andere cybermisdrijven van toepassing zijn. Als de dader deze gegevens echter heeft gebruikt om online aankopen te doen, geld op te nemen, betalingen te verrichten of een derde partij voordeel te verschaffen, kan het misdrijf van misbruik van bank- of creditcards, zoals gedefinieerd in artikel 245 van het Turkse Wetboek van Strafrecht, zijn gepleegd.

Misbruik van bank- of creditcards in de zin van artikel 245 van het Turkse Wetboek van Strafrecht

Artikel 245, lid 1 van het Turkse Wetboek van Strafrecht bestraft het verkrijgen van voordeel door het zonder toestemming gebruiken van de bank- of creditcard van een ander. Voor dit misdrijf is het niet nodig dat de dader de kaart fysiek in bezit heeft. Het verkrijgen van kaartgegevens en het gebruiken ervan voor online aankopen kan in de praktijk ook onder deze definitie vallen.

De basiselementen van het misdrijf zijn als volgt:

De dader moet in het bezit zijn van een bankpas of creditcard, of van kaartgegevens die toebehoren aan iemand anders. De dader moet deze pas of gegevens op illegale wijze hebben verkregen of in zijn bezit hebben. De toestemming van de kaarthouder mag ontbreken. De dader moet de pas gebruiken of door iemand anders laten gebruiken. Dit gebruik moet de dader of een andere persoon een oneigenlijk voordeel opleveren.

Het online kopen van een telefoon met iemands creditcardnummer, vervaldatum en CVV-code; het doen van in-game betalingen met de kaart van het slachtoffer; het toevoegen van kaartgegevens aan een digitale portemonnee en daarmee aankopen doen; het online doen van aankopen met de bankpas van het slachtoffer; en het doorgeven van de gestolen kaartgegevens aan iemand anders voor gebruik, kunnen allemaal worden beschouwd onder artikel 245 van het Turkse Wetboek van Strafrecht.

Artikel 245/2 van het Turkse Wetboek van Strafrecht (TCK) regelt de productie, verkoop, overdracht, aankoop of acceptatie van vervalste bank- of creditcards die gekoppeld zijn aan bankrekeningen van anderen. Artikel 245/3 van het TCK bestraft het verkrijgen van voordeel door gebruik te maken van een vervalste bank- of creditcard. In uitspraken van het Hooggerechtshof wordt het belang van het element van het produceren van een vervalste/kopieerbare kaart die gekoppeld is aan een bestaande bankrekening van een ander, benadrukt met betrekking tot artikel 245/2 van het TCK.

Wordt diefstal van creditcardgegevens altijd beschouwd onder artikel 245 van het Turkse Wetboek van Strafrecht?

Het verkrijgen van kaartgegevens vormt niet altijd direct een overtreding van artikel 245 van het Turkse Wetboek van Strafrecht (TCK). In de meeste gevallen vereist artikel 245 het gebruik en de daaruit voortvloeiende ongerechtvaardigde verrijking . Als de dader alleen de kaartgegevens heeft verkregen maar er geen aankopen mee heeft gedaan, moet het incident afzonderlijk worden beoordeeld op grond van artikel 245 (poging tot misbruik), artikel 136 (onrechtmatige verkrijging van persoonsgegevens), artikel 243 (ongeautoriseerde toegang tot een informatiesysteem) of artikel 245/A (verboden apparaten/programma's).

Kaartnummer, vervaldatum, CVV-code en betaalgegevens van de kaarthouder kunnen als persoonsgegevens worden beschouwd. Artikel 136 van het Turkse Wetboek van Strafrecht stelt het onrechtmatig openbaar maken, verspreiden of verkrijgen van persoonsgegevens door een andere partij strafbaar. Het stelen van kaartgegevens uit een database, het delen ervan op sociale media of Telegram-groepen, het verkopen ervan aan derden of het onrechtmatig opslaan ervan kan daarom niet alleen worden beschouwd als een kaartmisdrijf, maar ook als een misdrijf tegen persoonsgegevens.

Bovendien, als de dader toegang heeft verkregen tot het internetbankieren, mobiel bankieren, e-mailaccount of e-commerceaccount van het slachtoffer om kaartgegevens te bemachtigen, kan het misdrijf van ongeoorloofde toegang tot een informatiesysteem, zoals gedefinieerd in artikel 243 van het Turkse Wetboek van Strafrecht, eveneens van toepassing zijn. Indien de handelingen het wijzigen, verwijderen of overdragen van gegevens binnen het systeem, of het ontoegankelijk maken van het systeem, betreffen, dient ook artikel 244 van het Turkse Wetboek van Strafrecht in overweging te worden genomen.

Phishing, nep-links en 3D Secure-fraude

Een van de meest voorkomende methoden om bank- en creditcardgegevens te bemachtigen is phishing. De dader stuurt het slachtoffer een bericht dat afkomstig lijkt te zijn van een legitieme bank, verzendbedrijf, e-overheidsdienst, betaalinstelling, marktplaats of bekend merk. Het bericht bevat meestal zinnen zoals "uw kaart is geblokkeerd", "uw zending is in behandeling", "uw betaling is onvolledig", "uw account is geblokkeerd" of "verdachte transactie gedetecteerd". Wanneer het slachtoffer op de link klikt, wordt hij of zij doorgestuurd naar een nep-betaal- of inlogscherm waar hij of zij zelf de kaartgegevens moet invoeren.

In sommige gevallen voert het slachtoffer ook de 3D Secure-code in. In die situatie beweren banken soms dat de transactie door de klant is goedgekeurd. Het feit dat de 3D Secure-code is ingevoerd, betekent echter niet dat het slachtoffer schuld heeft of dat de bank in alle gevallen volledig van aansprakelijkheid is vrijgesteld. In het specifieke geval moeten ook de frauduleuze website, een misleidend scherm, een discrepantie in het transactiebedrag, een ongebruikelijke transactie, beveiligingswaarschuwingen van de bank, transactielimieten, het fraudedetectiesysteem, het klantgedragsprofiel en de notificatieprocessen worden onderzocht.

Een slachtoffer denkt bijvoorbeeld een transactie van 50 TL te doen, maar via een nepwebsite kan een transactie van 50.000 TL worden goedgekeurd. In dit geval moet vanuit strafrechtelijk oogpunt rekening worden gehouden met het frauduleuze gedrag van de dader, het gebruik van kaartgegevens, de uitbuiting van het banksysteem en de aantasting van de vrije wil van het slachtoffer. Afhankelijk van de aard van het incident kan, naast artikel 245 van het Turkse Wetboek van Strafrecht, ook het misdrijf van gekwalificeerde fraude van toepassing zijn.

De relatie tussen artikel 245 van het Turkse Wetboek van Strafrecht en gekwalificeerde fraude

Transacties waarbij creditcardgegevens betrokken zijn, betreffen niet altijd één type misdrijf. In sommige gevallen gebruikt de dader rechtstreeks de kaartgegevens van het slachtoffer. In andere gevallen misleidt hij het slachtoffer om de kaartgegevens en de 3D Secure-code te verstrekken. In dit geval is de relatie met verzwaarde fraude, zoals gedefinieerd in artikel 245 en artikel 158 van het Turkse Wetboek van Strafrecht, discutabel.

Bij verzwaarde fraude misleidt de dader het slachtoffer door middel van frauduleus gedrag en verkrijgt hij voordeel voor zichzelf of een ander ten koste van het slachtoffer of een ander. Fraude gepleegd met behulp van informatiesystemen, banken of kredietinstellingen wordt beschouwd als een verzwaarde vorm van fraude. Internetbankieren, nepbetaalpagina's, meldingen van mobiel bankieren, e-commerce-infrastructuur of betaalinstellingen kunnen als instrumenten worden gebruikt bij het plegen van dit misdrijf.

In gevallen waarin kaartgegevens worden gestolen en de dader het slachtoffer misleidt met een valse link, diens kaartgegevens verkrijgt en daarmee aankopen doet, kan een beoordeling nodig zijn van zowel misbruik van de kaart als gekwalificeerde fraude. In het strafrecht wordt echter bepaald welke misdaad voor dezelfde handeling van toepassing is, op basis van factoren zoals de kennelijke samenhang van de delicten, de relatie tussen specifieke en algemene normen, de intentie van de dader, de ernst van de misleiding, de wijze waarop de kaart werd gebruikt en hoe het voordeel werd verkregen.

Het volstaat daarom niet om in de klacht alleen te vermelden: "Mijn kaartgegevens zijn gestolen." De klacht moet gedetailleerd beschrijven welke methode is gebruikt, of het slachtoffer is misleid, hoe de kaartgegevens zijn verkregen, hoe de 3D Secure-authenticatie is beveiligd, bij welke winkelier de transactie heeft plaatsgevonden, wie de betaling heeft ontvangen en waar het geld vervolgens is gebleven.

Eerste stappen voor het slachtoffer

Iedereen die ontdekt dat zijn of haar kaartgegevens zijn gestolen of dat er ongeautoriseerde transacties zijn uitgevoerd, moet onmiddellijk contact opnemen met de bank. De kaart moet worden geblokkeerd, een transactiegeschil moet worden ingediend, een verdachte transactie moet worden gemeld en de wachtwoorden voor mobiel bankieren en internetbankieren moeten worden gewijzigd (indien van toepassing). Daarnaast moet de bank worden verzocht om de transactiegegevens te bewaren, waaronder de verkoper, de betaalverwerker, het IP-adres, het apparaat, de datum en het tijdstip.

Volgens Wet nr. 5464 betreffende bankpassen en creditcards zijn kaartuitgevende instellingen verplicht om binnen twintig dagen na de aanvraagdatum te reageren op klachten en bezwaren van kaarthouders met betrekking tot het gebruik van de kaart, met een gemotiveerde uitleg. Dezelfde wet bepaalt dat bezwaren tegen creditcardafschriften binnen tien dagen na de vervaldatum bij de kaartuitgevende instelling kunnen worden ingediend.

Kaarthouders hebben ook verantwoordelijkheden. Volgens artikel 16 van Wet nr. 5464 zijn kaarthouders verplicht hun kaart en de code, het wachtwoord of de identificatiegegevens die het gebruik ervan mogelijk maken, veilig te bewaren en de kaartuitgevende instelling onmiddellijk op de hoogte te stellen als de kaart verloren of gestolen is, of als er een transactie tegen hun wil heeft plaatsgevonden. Het is daarom belangrijk dat het slachtoffer onmiddellijk contact opneemt met de bank, een schriftelijke aanvraag indient en een aanvraagregistratienummer verkrijgt.

Aansprakelijkheid en terugbetaling van de bank

De meest gestelde vraag van slachtoffers is: "Er is zonder mijn med weten geld van mijn kaart afgeschreven; is de bank verplicht het geld terug te betalen?" Het antwoord op deze vraag hangt af van de specifieke omstandigheden van de zaak. Het is belangrijk om te onderzoeken of de transactie met toestemming van de kaarthouder is uitgevoerd, of 3D Secure is gebruikt, hoe de kaartgegevens zijn verkregen, of er sprake was van grove nalatigheid van de kaarthouder, of de bank ongebruikelijke transacties heeft opgemerkt, het transactiebedrag, het tijdstip van de transactie, de aard van de handelaar en hoe snel de klacht is ingediend.

Artikel 15 van Wet nr. 5464 bepaalt dat de verantwoordelijkheid voor het gebruik van een kaart bij de kaarthouder ligt vanaf het moment dat de overeenkomst is gesloten en de kaart in zijn bezit komt, of vanaf het moment dat het kaartnummer bekend is als de kaart niet fysiek aanwezig is. Hetzelfde artikel bepaalt echter ook dat de kaarthouder niet aansprakelijk kan worden gesteld voor schade die voortvloeit uit onrechtmatig gebruik bij de aankoop van goederen en diensten via diverse communicatiekanalen of bestelformulieren zonder ontvangstbewijs.

Artikel 12 van de wet regelt de beperkte aansprakelijkheid van de kaarthouder voor schade die voortvloeit uit onrechtmatig gebruik dat heeft plaatsgevonden binnen vierentwintig uur vóór de melding, in geval van verlies of diefstal van de kaart of de gegevens die het gebruik ervan mogelijk maken; deze beperking geldt echter niet in gevallen van grove nalatigheid, opzet of het niet melden door de kaarthouder.

Er is dus geen definitieve en automatische uitkomst met betrekking tot terugbetalingen door banken. Als het beroep bij de bank wordt afgewezen, worden de technische gegevens van de transactie, de reacties van de betaalinstelling, 3D Secure-gegevens, IP- en apparaatinformatie, het klantgedragsprofiel, het transactiebedrag en de beveiligingsmaatregelen van de bank onderzocht. De juridische procedure kan vervolgens worden voorgelegd aan een consumentenarbitragecommissie, een consumentenrechtbank of een gewone rechtbank.

Hoe dien ik een strafrechtelijke klacht in bij het Openbaar Ministerie?

Iedereen wiens bank- of creditcardgegevens zijn gecompromitteerd, moet aangifte doen bij het Openbaar Ministerie. Volgens artikel 245 van het Turkse Wetboek van Strafrecht is misbruik van bank- of creditcards geen misdrijf dat afhankelijk is van een aangifte van het slachtoffer; een dergelijke aangifte is echter van groot praktisch belang voor het starten van het onderzoek, het verzamelen van bewijsmateriaal en het identificeren van de dader.

De strafrechtelijke klacht moet het incident chronologisch en technisch gedetailleerd beschrijven. Hierin moet duidelijk de datum van elke transactie worden vermeld, hoe de kaartgegevens mogelijk zijn verkregen, welke website is bezocht, op welke link is geklikt, welke sms of e-mail is ontvangen, bij welk bedrijf de aankoop is gedaan, het betrokken bedrag, wanneer contact is opgenomen met de bank, de uitkomst van het geschil over de transactie, of er een verdacht telefoonnummer of IBAN-nummer is, en via welke betaalinstelling de betaling is verricht.

De volgende onderzoeken dienen bij het Openbaar Ministerie te worden aangevraagd:

Dit omvat het opvragen van informatie over de handelaar en de betaalinstelling waar de transactie heeft plaatsgevonden; het verkrijgen van virtuele POS-gegevens waar de betalingsopdracht is verwerkt; het opvragen van IP-, apparaat-, browser- en transactielogboekgegevens; het onderzoeken van het bezorgadres en de gegevens van de ontvanger als het product is bezorgd; het opvragen van verzendgegevens; het opvragen van de relevante platformaccountgegevens als een digitaal product is gekocht; het onderzoeken van GSM-abonnementsgegevens als een telefoonnummer beschikbaar is; het uitvoeren van een onderzoek naar blokkeringen en geldstromen van de accounts die door de dader zijn gebruikt; en het opvragen van fraudegegevens bij banken en betaalinstellingen.

Indien toegang wordt verkregen tot de apparaten van de dader, kan het doorzoeken, kopiëren en onderzoeken van computers, telefoons of ander digitaal materiaal worden overwogen op grond van artikel 134 van het Wetboek van Strafvordering (CMK). Artikel 134 van het CMK regelt de voorwaarden voor het doorzoeken, kopiëren en in beslag nemen van computers, computerprogramma's en bestanden: een sterk vermoeden op basis van concrete bewijzen en de onmogelijkheid om op andere wijze bewijs te verkrijgen.

Proces voor het verzamelen van bewijsmateriaal

Het verzamelen van bewijsmateriaal is van cruciaal belang bij diefstal van creditcardgegevens. Dit komt doordat de misdaad vaak zeer snel plaatsvindt en de dader probeert zijn digitale sporen uit te wissen. Het slachtoffer moet daarom vanaf het begin alle gegevens bewaren.

De belangrijkste bewijsstukken die bewaard moeten worden, zijn de volgende:

Bank-sms-berichten, 3D Secure-berichten, mobiele meldingen, transactiebewijzen, creditcardafschriften, nummers van aanvragen voor transactiegeschillen, gespreksverslagen van de klantenservice van de bank, nep-links, e-mailheaders, WhatsApp-/sms-gesprekken, screenshots van nep-websites, URL-adressen, screenshots van betaalpagina's, naam van de verkoper, naam van de betaalinstelling, verzendinformatie (indien beschikbaar), bezorgadres, ordernummer en product-/servicegegevens.

Een screenshot maken is vaak niet voldoende. Bewaar de volledige URL, de datum- en tijdsinformatie, het betalingsscherm, het nummer van het verzonden bericht, het e-mailadres van de afzender en een omschrijving van de transactie uit de bankgegevens. Als de frauduleuze website nog steeds online is, kan een notariële verificatie, een deskundigenrapport of een technisch onderzoek worden overwogen.

Verantwoordelijkheid van personen die kaartgegevens delen of verkopen

Hoewel de diefstal van creditcardgegevens soms lijkt op een individuele roofoverval, worden de gegevens in de meeste gevallen op georganiseerde wijze verzameld en aan derden verkocht. Kaartnummers, CVV-codes en gebruikersinformatie kunnen worden gedeeld via Telegram-groepen, darkweb-marktplaatsen, nepdashboards, datalekken of besloten digitale groepen.

In dit geval kunnen, naast de persoon die de kaartgegevens direct gebruikt, ook degenen die deze gegevens verzamelen, verkopen, verspreiden, aan anderen geven, opslaan of het gebruik ervan faciliteren, aansprakelijk worden gesteld. Afhankelijk van de specifieke omstandigheden van de zaak kunnen de artikelen 136, 245 en 245/A van het Turkse Wetboek van Strafrecht en bepalingen betreffende georganiseerde misdaad van toepassing zijn.

Artikel 245/A van het Turkse Wetboek van Strafrecht regelt het misdrijf van verboden apparaten of programma's. Apparaten voor het kopiëren van betaalkaarten, valse betaalpanelen, phishingkits, software voor het kapen van wachtwoorden, malware of systemen die worden gebruikt om kaartgegevens te verzamelen, kunnen eveneens onder dit artikel vallen. Het is daarom noodzakelijk om niet alleen de persoon die de kaart gebruikt, maar ook de technische infrastructuur die de kaartgegevens verkrijgt en verspreidt, in ogenschouw te nemen.

Het aspect van de Wet bescherming persoonsgegevens (KVKK) voor bedrijven en webshops

Als creditcardgegevens lekken via een e-commercewebsite, betaalinfrastructuur, hotel, verzekeringsmaatschappij, zorginstelling, abonnementsplatform of andere gegevensbeheerder, beperkt de zaak zich niet alleen tot het strafrecht. Ook de verplichtingen met betrekking tot datalekken en gegevensbeveiliging spelen dan een rol.

Volgens artikel 12 van Wet nr. 6698 inzake de bescherming van persoonsgegevens (KVKK) is de verwerkingsverantwoordelijke verplicht de nodige technische en administratieve maatregelen te nemen om onrechtmatige verwerking van persoonsgegevens en onrechtmatige toegang tot gegevens te voorkomen en de bewaring van gegevens te waarborgen. Volgens het besluit van de KVKK-raad van 24 januari 2019, nummer 2019/10, moet de verwerkingsverantwoordelijke de raad onmiddellijk en uiterlijk binnen 72 uur na constatering van het datalek op de hoogte stellen; betrokkenen moeten eveneens zo spoedig mogelijk worden geïnformeerd.

Een bedrijf dat onnodig kaartgegevens opslaat, zijn betalingsinfrastructuur niet beveiligt, versleuteling en toegangsautorisatie verwaarloost, datalekken verzwijgt of klanten niet tijdig informeert, kan daarom te maken krijgen met administratieve, juridische en strafrechtelijke gevolgen.

Rechten van slachtoffers op schadevergoeding

Diefstal van creditcardgegevens kan leiden tot financiële verliezen voor het slachtoffer. Deze verliezen kunnen bestaan ​​uit het bedrag dat met de creditcard is betaald, de kosten van aankopen, bankkosten, rente, wisselkoersverschillen, verliezen als gevolg van het blokkeren van de rekening en in sommige gevallen zelfs bedrijfsschade. Zodra de dader is geïdentificeerd, kan het slachtoffer een schadevergoeding eisen voor de geleden financiële verliezen.

Daarnaast kunnen banken, betaalinstellingen, winkeliers of gegevensverwerkers juridisch aansprakelijk worden gesteld indien zij in gebreke zijn gebleven. Als een bank bijvoorbeeld een ongebruikelijke transactie met een hoge waarde niet tegenhoudt, een winkelier geen veilige betaalinfrastructuur gebruikt, een webwinkel onrechtmatig kaartgegevens opslaat of een gegevensverwerker de noodzakelijke technische en administratieve maatregelen niet neemt, kan het slachtoffer recht hebben op schadevergoeding.

In niet alle gevallen van creditcardfraude wordt automatisch een vergoeding voor immateriële schade toegekend. Echter, indien de persoonsgegevens van het slachtoffer op grote schaal zijn verspreid, inclusief de openbaarmaking van identiteits- en financiële informatie, indien het slachtoffer reputatieschade heeft geleden, of indien het incident een ernstige impact heeft gehad op zijn of haar privéleven, kan een vergoeding voor immateriële schade per geval worden toegekend.

Verdediging vanuit het perspectief van de verdachte of beklaagde

Bij misdrijven waarbij bank- en creditcardgegevens betrokken zijn, heeft de verdediging ook behoefte aan technische analyse. De ontvangst van geld op een rekening, de levering van een product, het verschijnen van een IP-adres of het gebruik van een telefoonnummer bewijzen op zichzelf niet altijd definitief de intentie van de dader. Wanneer deze gegevens echter in samenhang worden beschouwd, kunnen ze wel sterk bewijsmateriaal vormen.

Vanuit het oogpunt van de verdediging zijn de volgende vragen belangrijk:

Wie heeft de kaart gebruikt? Vanaf welk IP-adres en apparaat is de transactie uitgevoerd? Aan wie is het product geleverd? Is de verdachte slechts een tussenpersoon? Was er sprake van rekeningverhuur of het faciliteren van geldovermakingen? Heeft de verdachte de kaartgegevens zelf verkregen, of heeft hij/zij deze van een derde partij ontvangen? Is er een situatie die de verdachte zou kunnen doen geloven dat de kaarthouder toestemming heeft gegeven? Is het bewijsmateriaal rechtmatig verkregen? Zijn de bank- en betaalgegevens volledig? Op wiens apparaat is de 3D Secure-transactie goedgekeurd? Zijn het bezorgadres en de camerabeelden gekoppeld aan de verdachte?

Bovendien moet in sommige gevallen worden onderzocht of het incident een privaatrechtelijke relatie betreft in plaats van een strafrechtelijke. Als de kaarthouder bijvoorbeeld willens en wetens zijn kaart aan een derde heeft gegeven en met de transactie heeft ingestemd, maar er vervolgens een schuldgeschil ontstaat, hoeft niet elke zaak automatisch onder artikel 245 van het Turkse Wetboek van Strafrecht te vallen. Omgekeerd geldt dat als de kaarthouder niet heeft ingestemd en de dader de kaart heeft gebruikt om voordeel te behalen, er wel degelijk sprake is van strafrechtelijke aansprakelijkheid.

Conclusie

Het verkrijgen van bank- en creditcardgegevens is een van de meest voorkomende en ernstige cybercriminaliteitsvormen in het digitale tijdperk. De eigendommen van het slachtoffer kunnen direct worden geschaad als gevolg van de diefstal van kaartnummers, vervaldatums, CVV-codes, 3D Secure-wachtwoorden of mobiel bankieren-bevestigingen. In dergelijke gevallen kunnen verschillende soorten misdrijven gezamenlijk worden beschouwd, waaronder misbruik van bank- of creditcards op grond van artikel 245 van het Turkse Wetboek van Strafrecht, evenals onrechtmatige verkrijging van persoonsgegevens, ongeoorloofde toegang tot informatiesystemen, gekwalificeerde fraude en het gebruik van verboden apparaten/programma's.

Het allerbelangrijkste voor het slachtoffer is snel handelen. Neem onmiddellijk contact op met de bank, blokkeer de kaart, dien een betwisting in, doe aangifte van een verdachte transactie, bewaar al het digitale bewijsmateriaal en dien een gedetailleerde aangifte in bij het Openbaar Ministerie. In de aangifte moet niet alleen staan ​​"mijn kaartgegevens zijn gestolen"; er moet duidelijk de transactiedatum, het bedrag, de verkoper, de betaalinstelling, de URL, sms-berichten, e-mails, 3D Secure-berichten, bankgegevens en alle digitale sporen die kunnen helpen bij de identificatie van de dader in staan.

Voor banken en betaalinstellingen zijn een veilige betaalinfrastructuur, het monitoren van klanttransacties, het detecteren van ongebruikelijke transacties, het tijdig afhandelen van geschillen en de bescherming van persoonsgegevens van groot belang. Kaarthouders moeten hun kaart- en wachtwoordgegevens ook goed beschermen en ongeautoriseerde transacties zo snel mogelijk aan de bank melden.

Kortom, de diefstal van bank- en creditcardgegevens is niet louter een technisch beveiligingsprobleem; het is een veelzijdig geschil met aspecten die strafrecht, cyberrecht, bankrecht, gegevensbescherming en schadevergoeding omvatten. Daarom is het van het grootste belang voor zowel het slachtoffer als de verdachte/gedaagde dat het proces verloopt zonder verlies van bewijsmateriaal, met tijdige verzameling van technische gegevens en met een correcte juridische classificatie.