Een 54-jarige man uit Beverwijk is maandag door de politierechter in Haarlem veroordeeld voor het herhaaldelijk binnendringen in de systemen van Translink, het bedrijf achter de OV-chipkaart. De man zegt dat hij vooral de gebrekkige beveiliging aan de kaak wilde stellen. “Ik ben eigenlijk gewoon een klokkenluider”, verklaarde hij tijdens de zitting.

Volgens de verdachte lukte het hem tussen 2020 en 2023 om met een Chinese NFC-chip gegevens van OV-kaarten te kopiëren en zelfs tegoed toe te voegen zonder daarvoor te betalen. Hij meldde de kwetsbaarheid via het zogeheten responsible disclosure-systeem van Translink, maar dat zou draaien op sterk verouderde software. Toen er niets gebeurde, probeerde hij het lek onder de aandacht te brengen via de veiligheidsregio. Ook dat leverde geen resultaat op.
De Beverwijker stelde dat de gevolgen van het beveiligingsprobleem veel verder reiken dan het openbaar vervoer. Omdat Translink ook systemen voor Defensie beheert, zou een kwaadwillende partij in theorie vitale infrastructuur kunnen saboteren. “Het gaat om de staatsveiligheid”, aldus de man, die zich gefrustreerd toonde over het uitblijven van maatregelen. “Translink wil zich gewoon niet beveiligen.”

Grenzen overschreden

Het Openbaar Ministerie vond dat de verdachte de grenzen van ethisch hacken ver heeft overschreden. De politie had hem eerder opgedragen te stoppen met zijn acties, maar hij ging toch door. Officier van justitie eiste een boete van 5000 euro, waarvan 3000 euro voorwaardelijk.
De verdediging betwistte een groot deel van de beschuldigingen en wees erop dat er maar beperkt bewijs was: enkel camerabeelden van een incheckactie in juni 2023. De rechter erkende dat de man een beveiligingslek wilde aantonen, maar oordeelde dat hij daarbij de regels van proportionaliteit heeft overtreden.
De Beverwijker kreeg uiteindelijk een voorwaardelijke geldboete van 2000 euro. Daarmee wil de rechtbank een signaal afgeven dat het aankaarten van kwetsbaarheden op zichzelf belangrijk is, maar dat het herhaaldelijk hacken van systemen niet door de beugel kan.