Eind 2016 krijgt een aardappelteler een e-mail van zijn bank. Hij moet op een link klikken en zijn bankgegevens invullen. De ondernemer vult alle gegevens in die de Rabobank nodig heeft om een nieuwe bankpas toe te sturen. Maar die nieuwe pas komt niet. Als zijn partner na de feestdagen de bankrekening controleert, ziet ze tot haar schrik dat alle rekeningen die aan het account hangen, geplunderd zijn. Een schade van maar liefst 215.000 euro. 

De criminelen hebben de kerstdagen gebruikt om bij veel webwinkels en bedrijven bestellingen te plaatsen, en dit met geld van de hardwerkende ondernemer te betalen. 
Het stel neemt direct contact op met de fraudeafdeling van de bank, die de rekeningen blokkeert. Omdat er nog bestellingen uitgeleverd moeten worden, worden die tegengehouden, en wordt het geld teruggestort. De Rabobank vergoedt een groot deel van de overige schade. 

Grootschalig phishingonderzoek

De aardappelteler doet aangifte. Die neemt de zaak direct in onderzoek. Al snel komen ze verdachten op het spoor. Het wordt een grootschalig phishing-onderzoek. Recent stonden de vijftien verdachten voor de rechter. De cashers, de social engineer, de ICT-specialist en de ronselaars staan terecht. De geldezels, de mensen die hun rekening beschikbaar stelden, hebben hun straf al opgelegd gekregen. 

Criminele organisatie

Het Openbaar Ministerie verdenkt de verdachten van deelname aan een criminele organisatie, omdat je phishing gewoonweg niet in je eentje kunt uitvoeren. Iedereen speelt een andere rol. Al eerder deden rechters uitspraak in soortgelijke phishingzaken. 

De werkwijze komt steeds overeen:

'Aan een slachtoffer wordt een e-mail verzonden die afkomstig lijkt te zijn van de bank. Vervolgens wordt het slachtoffer via een link in de e-mail naar een phishing-website geleid. Daar wordt een pagina getoond die sterke gelijkenis vertoont met een authentieke webpagina van de echte bank. Het slachtoffer wordt gevraagd bank-, adres- en persoonsgegevens in te vullen. Nadat die gegevens zijn verstrekt, wordt door derden met behulp van de gegevens een nieuwe bankpas aangevraagd, waarna deze bankpas naar het opgegeven adres van de benadeelde wordt verzonden en vervolgens wordt onderschept, waarna met deze pas geldbedragen worden opgenomen en/of pinbetalingen worden verricht.' 

De verdachten die recent terecht stonden voor de schade die de aardappelteler en andere slachtoffers lijden, maakten volgens het Openbaar Ministerie deel uit van een criminele organisatie die zich met omvangrijke phishing bezighield.

Leden van het onderzoeksteam van de politie dat de aangifte van het slachtoffer onderzoeken, ontvangen ook een phishingmail die leidt naar dezelfde verdachten. Het OM trekt de conclusie dat in de periode 1 december 2016 tot en mei 31 oktober 2017 een criminele organisatie actief is geweest die zich richtte op onder meer phishing van gegevens van klanten van de Rabobank. 

Rolverdeling binnen de phishingbende

De twee hoofdverdachten speelden belangrijke rollen binnen de phishingbende. Zo hengelde de ene de bankgegevens van de slachtoffers binnen, terwijl de ander vervolgens naar ‘klanten’ belde en zich voordeed als een medewerker van de Rabobank. Zo ontfutselde zij de laatste belangrijke gegevens om een nieuwe bankpas op te sturen. 

In werkelijkheid vergaarden ze daarmee de laatste sleutels tot de rekeningen van hun slachtoffers. Met de bankpassen, die de bende in handen kreeg, pinden ze geld van de rekeningen of maakten ze geld over naar rekeningen van geldezels. Ook plaatsten ze bestellingen met het geld van de slachtoffers. 

Forse strafeis voor beide hoofdverdachten

Ter zitting eiste de Officier van Justitie een gevangenisstraf van vijf jaar met aftrek van het voorarrest tegen een hoofdverdachte. De OvJ acht de kans op herhaling aanwezig omdat de verdachte in korte tijd veel geld wist buit te maken. Het geld dat de bende ontvreemde, is opgegaan aan dure kleding, tasjes, horloges, VIP-tafels en bitcoins. Een lange gevangenisstraf ontneemt hem de komende tijd mogelijk opnieuw phishingmails te sturen. 

De andere hoofdverdachte hoorde 6 jaar tegen zich eisen. Medeverdachten hoorden straffen tot 6 maanden tegen zich eisen. 

Cel en terugbetalen

Vrijdag 17 mei 2019 deed de rechtbank Zeeland-West Brabant uitspraak in de zaak. Beide hoofdverdachten kregen een gevangenisstraf van vijf jaar opgelegd. Ook moeten ze samen een bedrag van ruim 124.000 euro terugbetalen aan een slachtoffer. Wordt er niet binnen de gestelde termijn betaald, dan komt er bij beide 365 dagen hechtenis bovenop de straf. Dit ontneemt hun betaalverplichting overigens niet. 

Bende maakte meer dan een miljoen euro buit

De verdachten waren volgens de rechtbank de leiders van een strak georganiseerde bende die bankklanten op geraffineerde wijze voor meer dan een miljoen euro dupeerden. 
De veroordeelden maakten zich schuldig aan oplichting, computervredebreuk, diefstal, witwassen en aan deelname aan een criminele organisatie. Mede door de grote maatschappelijke impact die phishing heeft, legde de rechtbank forse gevangenisstraffen op. 

Naast de twee hoofdverdachten stonden ook elf medeverdachten terecht, onder meer voor diefstal van pinpassen en het pinnen van contanten van de rekeningen van slachtoffers. Acht hiervan kregen voorwaardelijke celstraffen en taakstraffen opgelegd. Drie verdachten werden vrijgesproken.