Verdachte aangehouden in cyberonderzoek

Het onderzoek leidde in april en augustus 2025 al tot de aanhoudingen van de ontwikkelaar en medeontwikkelaar van het systeem. Het systeem, beter bekend als een zogenaamd One-Time Password bot, droeg de naam JokerOTP. De Dordrechtenaar verkocht de bot via een Telgram account aan andere cybercriminelen. Hij had zelf ook licentiesleutels in handen van de bot.

Werking bot

Een one-time password is een tijdelijk wachtwoord dat maar een keer kan worden gebruikt voor authenticatie. Het wordt vaak gebruikt als een extra beveiligingsmaatregel bij online transacties of inlogprocessen. Deze code wordt meestal verzonden via sms of e-mail, en vervalt na gebruik of na een korte tijd. Met de JokerOTP bot was het mogelijk om slachtoffers geautomatiseerd te bellen. Om vervolgens slachtoffers te verleiden een one-time password in te vullen, om hiermee toegang te krijgen tot iemands account.

Anouk Bonekamp, teamleider Team Cybercrime: ‘Slachtoffers werden door de bot geautomatiseerd gebeld met de mededeling dat er door criminelen geprobeerd werd toegang te krijgen tot zijn of haar account. De bot stelde vervolgens de vraag om het eenmalige wachtwoord in te toetsen. Slachtoffers denken dus dat ze zichzelf beschermen door mee te werken aan het verstrekken van informatie. Daarmee wordt ingespeeld op gevoelens van onzekerheid en angst. Terwijl zo’n eenmalig wachtwoord bedoeld is om te voorkomen dat kwaadwillende inloggen op jouw account. Met behulp van de bot kan de tweestapsverificatie worden omzeild en kan de cybercrimineel dus toegang krijgen tot de accounts van slachtoffers, met als doel het plegen van fraude.’

Verder onderzoek

Het onderzoek van Team Cybercrime is hiermee nog niet ten einde. In het onderzoek zijn tientallen Nederlandse kopers van de JokerOTP bot naar voren gekomen. ‘Het doel is om hen uiteindelijk ook op te sporen zodat het OM ze kan vervolgen. Zij kopen doelbewust een tool waarmee ze slachtoffers kunnen oplichten. Ze krijgen bijvoorbeeld toegang tot een app voor online beleggen of een webshopaccount om vervolgens dure spullen te kopen waar het slachtoffer de rekening voor krijgt. Ze maken veel slachtoffers waarbij ze naast financiële schade ook emotionele schade toebrengen, zoals stress en schaamte.’

Schaamte

‘Slachtoffers schamen zich ervoor dat ze er toch zijn ingetrapt. Dat is niet nodig, want cybercriminelen gaan geraffineerd te werk. Het kan iedereen overkomen. Ben daarom extra alert op de urgentie die de crimineel je probeert aan te praten. Dat doen criminelen bij heel veel vormen van oplichting. Ze proberen je onder druk te zetten om direct iets te doen omdat je anders je geld verliest. Als je direct wordt opgedragen iets te doen, of als je op een ongebruikelijke manier je wachtwoord of pincode moet doorgeven, moeten er eigenlijk al alarmbellen afgaan. Daarnaast is het verstandig om te checken of jouw gegevens voorkomen in een datalek via haveibeenpwnd.com en via www.politie.nl/checkjehack’, aldus Anouk Bonekamp.