De DDoS-aanvallen eerder deze maand op MasterCard, Visa en PayPal zorgden voor onrust. De teneur was dat strenge straffen gepast waren: het zou gaan om vernieling. Nogal wat mensen vreesden dat dit een voorbode was van hackers die het betalingsverkeer zouden ontregelen of andermans geld inpikten.
Bij een DDoS-aanval wordt een leger computers ingezet om een website te overspoelen; die krijgt ineens van alle kanten talloze verzoeken om een pagina te tonen. De webserver kan de toeloop niet aan, raakt overbelast en geeft de geest: missie geslaagd. De remedie is betrekkelijk simpel en komt erop neer dat je de webserver herstart en verdachte verzoeken voorlopig even afwimpelt. Er wordt geen infrastructuur ontregeld of informatie ontvreemd, er worden geen systemen overgenomen, er gaat niks kapot. Een DDoS-aanval is het beste te vergelijken met een digitale wegversperring. Het verkeer rond de website wordt ernstig belemmerd. Heel hinderlijk, maar niet iets dat thuishoort in de categorie zware criminaliteit.
De aanleiding voor de kwestie vind ik serieuzer. MasterCard, Visa en PayPal hadden bekend gemaakt dat zij de tegoeden van WikiLeaks hadden bevroren. Op grond waarvan was onduidelijk. PayPal zei aanvankelijk een brief te hebben gekregen van het Amerikaanse State Department dat hen daartoe sommeerde; dat bleek gelogen te zijn. Daarna beweerde PayPal dat WikiLeaks ‘mogelijk’ activiteiten tentoonspreidde die illegaal waren, of althans ongewenst, en dat ze zulke klanten volgens hun bedrijfsvoorwaarden mogen weren.
Het uitsluiten van klanten vanwege ‘ongewenste’ activiteiten ligt iets ingewikkelder dan PayPal deed voorkomen. Ze mogen een klant alleen weren als die een duidelijk bedrijfsrisico oplevert (bijvoorbeeld omdat-ie geregeld zijn schulden verzaakt), of indien bewezen is dat het geld illegaal is verkregen dan wel voor illegale doelen wordt aangewend. En een klant de dienst opzeggen is bepaald iets anders dan zijn geld bevriezen: dat laatste is simpelweg een wederrechtelijke inbeslagname. (U kunt dat desgewenst ook diefstal noemen.)
PayPal, Visa en MasterCard mogen WikiLeaks niet zomaar de deur wijzen, laat staan hun geld in beslag nemen. Dat financiële instanties zo eigengereid optreden en hun beleid door het nieuws laten bepalen in plaats van door wet en recht, is zorgwekkend. Uw bank hoeft u helemaal niet aardig te vinden. Definiëren wat gewenst of ongewenst politiek gedrag is van hun klanten, is niet hun taak. Ook de KluKluxKlan heeft recht op een bankrekening en iemands geld in beslag nemen mag alleen als een rechter dat verordonneert.
Dus dat sommige supporters van WikiLeaks het die banken betaald wilde zetten, was niet vreemd. Toch: slim is anders. Wie onheus gedrag beantwoordt met meer onheus gedrag, vereffent immers geen rekening. Die schept slechts meer onheusheid.
Eén aspect van de affaire is onderbelicht gebleven. Wat zijn dat eigenlijk voor computers die als een leger kunnen worden ingezet, en die op afstand door anderen kunnen worden aangestuurd en afgevuurd? Uit wie of wat bestaat zo’n botnet?
Het antwoord zal u verrassen: de kans is groot dat u erin zit. De gemiddelde PC wemelt van de virussen, en een deel daarvan heeft uitsluitend tot doel uw computer in te lijven in een leger van botnets. Botnets om DDoS-aanvallen uit te voeren, botnets om spam te versturen, en helaas: ook botnets die wél zijn bedoeld om de infrastructuur te ontwrichten of u uw geld te ontfutselen.