Verdachten van kinderpornodelicten hebben altijd al in zekere mate de behoefte gevoeld elkaar op te zoeken omdat ze zich onder gelijkgestemden begrepen en gerespecteerd voelen. Waar ontmoetingen vroeger voornamelijk in kleine groepen in de fysieke wereld plaatsvonden, kan dit nu met duizenden mensen van over de hele wereld online, bijvoorbeeld op het Darkweb. In dit artikel bespreken we wat dit betekent voor de opsporing van strafbare feiten die gepleegd worden op dergelijke netwerken. Het Team Bestrijding Kinderporno en Kindersekstoerisme maakt hiervoor gebruik van de zogenoemde PIM-methodiek.
De komst van het Darkweb, een anoniem deel van het internet dat niet rechtstreeks vindbaar is voor zoekmachines, heeft het ontstaan van illegale websites waarop kinderpornoliefhebbers samenkomen bevorderd. Deze zogenoemde forums kennen soms duizenden tot wel honderdduizenden geregistreerde leden. Hier worden fantasieen en ervaringen met kindermisbruik gedeeld en de nieuwste technische snufjes geleerd om anoniem en uit handen van de politie te blijven, en wordt men voorzien van kinderpornografisch materiaal. De nadruk is bij deze forums dus komen te liggen op het plegen van strafbare feiten. Het feit dat verdachten elkaar op het Darkweb relatief makkelijk en anoniem ontmoeten, heeft er bovendien toe geleid dat op deze netwerken seks met kinderen genormaliseerd en zelfs gepromoot wordt (Goodman, 2015; Owens et al., 2016; Westlake & Bouchard, 2016).
Wat betekent dit voor de opsporing van strafbare feiten die gepleegd worden op dergelijke netwerken? De ervaring van het Team Bestrijding Kinderporno en Kindersekstoerisme (TBKK) leert dat kinderporno steeds minder gezien kan worden als een individueel delict. Integendeel, ook al spreken we nog steeds over personen die opereren vanuit hun eigen huis en met hun eigen computer; een van de belangrijkste eigenschappen van de meeste daders van dit delict is dat ze elkaar opzoeken in georganiseerde, professionele en inherent internationale online criminele netwerken. Het TBKK zet zich sinds enkele jaren dan ook sterk in op het verkrijgen van inzicht in deze online netwerken en maakt hierbij gebruik van een innovatieve analysemethode die bekend staat als de PIM-methodiek (Program Identifying Main Targets).
De werking van kinderpornoforums
Net als bij forums over legale onderwerpen op het normale internet krijgt men tot kinderpornoforums toegang door het aanmaken van een account met een nickname en een wachtwoord. Hierna worden de publieke delen van het forum zichtbaar, waarin met elkaar gesproken wordt in threads, oftewel forumonderwerpen. Een thread wordt door een forumbezoeker gestart, en daarna kan iedereen hierop reageren. Threads zijn ingedeeld in categorieen. Zo zijn er strak begrensde secties speciaal ingericht voor het uitwisselen van kinderpornografisch materiaal: materiaal van meisjes dan wel jongetjes, materiaal ingedeeld in leeftijdsklasse en secties met soft- dan wel hardcore materiaal. Daarnaast zijn er onderdelen gereserveerd voor het beheer van het forum. Hier heten de administrators (de leiders/ managers van het forum) de leden welkom, worden de huisregels van het forum uitgelegd en kan van alles op technisch gebied geleerd worden.
Naarmate een forum langer bestaat, leren de leden elkaar door het vele communiceren steeds beter kennen. Hierdoor gaat het forum voelen als lokale community, waarin vriendschappen geboren worden. Het is dan bijna niet meer voor te stellen dat men elkaar enkel kent als anonieme nickname, en meestal niet eens weet hoe de ander echt heet en waar hij vandaan komt. Forumgebruikers delen lief en leed en geven hiermee veel informatie prijs, weggestopt in de grote hoeveelheden communicatiedata.
Netwerkanalyse op kinderpornoforums
Het feit dat binnen kinderpornografische forums op grote schaal met elkaar gecommuniceerd wordt, betekent dat de community aan de hand van netwerkanalyses in kaart gebracht kan worden. Hierbij kan geanalyseerd worden wie er op wie reageert, op welk deel van het forum en wat er gezegd wordt. Doordat grote delen van dergelijke forums publiek zijn, is gelukkig ook voor opsporingsdiensten de content van de communicatie te benaderen (Finklea, 2017). Uiteindelijk wil de politie weten wie zich bevindt in de kern van het netwerk, wie het grootste belang heeft bij het voortbestaan ervan en wie de belangrijkste rol op zich neemt. Welke verdachte moet gearresteerd worden om het netwerk zo maximaal mogelijk te verstoren? Wie is potentieel de meest gevaarlijke misbruiker? Wie zet andere mensen aan tot het plegen van misbruik? Wie levert de technische ondersteuning voor het voorbestaan van het forum? Wie is de uiteindelijke ‘hoogste baas’ van het forum en wie coordineert het? Dergelijke vragen, die normaliter grotendeels te beantwoorden zijn door middel van sociale netwerkanalyses, zijn binnen dit thema een stuk lastiger te beantwoorden. Bij een klassiek drugsnetwerk bijvoorbeeld is het door het meten van de aantallen telefoongesprekken tussen personen aan de hand van telefoontaps makkelijker te bepalen wie met wie contact hebben en hoe vaak. Maar hoe meet je het aantal contactmomenten en onderlinge relaties op kinderpornoforums op het Darkweb waar gebruikers ogenschijnlijk lukraak berichten en kinderporno plaatsen binnen verschillende threads op het publieke deel? Dit is te vergelijken met het uitvoeren van een sociale netwerkanalyse van de website GeenStijl. Hoe bepaal je het belang van een ‘reaguurder’ van GeenStijl? En hoe onderscheid je de spammers van de keyplayers?
De PIM-methodiek
Het Team Bestrijding Kinderporno en Kindersekstoerisme heeft na uitvoerig wetenschappelijk onderzoek een succesvolle methode ontwikkeld om de communicatie op online kinderpornonetwerken te analyseren. De methodiek van het TBKK is ontworpen om het gedrag van gebruikers en de structuur en cultuur van deze netwerken inzichtelijk te maken en om uiteindelijk tot een oordeel te komen over wie er aangewezen kunnen worden als prominente forumleden, oftewel keyplayers. De PIM-methodiek bestaat uit drie stappen.
Stap 1
Ten eerste wordt gemeten hoe vaak leden berichten plaatsen en binnen welke threads, en op welke andere leden achtereenvolgens gereageerd wordt. Aan de berekening daarvan liggen formules ten grondslag die rekening houden met het gegeven dat gebruikers direct binnen een thread of indirect binnen verschillende threads op elkaar kunnen reageren. Aangezien deze analyse specifiek ontworpen is om uit te voeren op een online forum kan hiermee vervolgens bepaald worden welke positie iemand in het netwerk inneemt en krijgt de gebruiker een ranking die verwijst naar de score van zijn communicatiebelang ten opzichte van andere gebruikers binnen het forum.
Stap 2
Veel netwerkanalyses houden na deze eerste stap op en de prioritering vindt voornamelijk plaats op basis van de positie van een persoon binnen een netwerk. Binnen de PIM-methodiek is echter een belangrijke toevoeging gedaan in de vorm van een tweede stap waarin gemeten wordt wat een gebruiker inhoudelijk toevoegt aan het netwerk. Dit wordt gedaan door aan de hand van het taalgebruik van forumleden te bepalen wat voor rol een forumlid precies inneemt en of deze rol mogelijk van belang is voor het voortbestaan van het forum. Hiermee kan onderscheid worden gemaakt tussen gebruikers die veel communiceren over onbelangrijke zaken en gebruikers die aangemerkt kunnen worden als zogenoemde experts op een bepaald gebied omdat zij bijvoorbeeld betrokken zijn bij het beheer van het forum. Naast de overduidelijke administrators en formele leiders van de groep komen hiermee ook de meer verborgen keyplayers in beeld.
Om een dergelijke analyse te kunnen uitvoeren, is eerst het crime script met betrekking tot kinderpornoforums in kaart gebracht en is uitvoerig onderzoek gedaan op testdata. Hierbij is onder andere (op geautomatiseerde wijze) gekeken naar specifiek taalgebruik voor archetyperollen en forumonderdelen. Zo werd het mogelijk om gebruikers met specifiek taalgebruik te labelen. Er zijn bijvoorbeeld leden die met name de technische ondersteuning op het forum voor hun rekening nemen. Een lid met deze rol gebruikt verhoudingsgewijs vaak specifieke woorden zoals tails, privoxy en encryption, waarmee zij hun kennis over techniek laten blijken. Verder zijn er leden die managementtaken uitvoeren, zoals het verwelkomen van nieuwe leden en het benoemen van de huisregels. In deze rol spreken zij vaker over registration, banned en rules. Tot slot is er de groep leden die kindermisbruik promoten of stimuleren. Zij communiceren actief over misbruik van kinderen en gebruiken expliciete taal op het gebied van seksualiteit, zoals boy, girl of sex.
Aan de hand van het labelen van de mogelijke rol van individuele gebruikers kan nadere duiding worden gegeven aan hun positie binnen het netwerk. In de opsporing kan bijvoorbeeld de nadruk worden gelegd op potentiele keyplayers met een technische rol als men van mening is dat dit van grote invloed is op de verstoring van het netwerk.
Stap 3
In de laatste stap wordt gemeten wat de autoriteit van forumleden is door te berekenen hoe vaak de nickname van een forumlid voorkomt op het forum in verhouding tot de nicknames van andere forumleden. Deze toevoeging geeft inzicht in zowel de autoriteit als de populariteit van een gebruiker. Die populariteit kan zelfs zo ver gaan dat er binnen de netwerken zogenaamde ‘idolen’ bestaan: leden met een belangrijke rol en positie die veel betekend hebben voor het forum en die daarmee bekendheid verworven hebben. Hierdoor komen niet alleen de formele leiders in beeld, maar ook de gebruikers die wellicht in aanmerking (gaan) komen voor een dergelijke rol, omdat zij zich binnen het netwerk sterk positioneren.
Resultaten
De resultaten van de verschillende analysestappen worden gecombineerd en bepalen in gezamenlijkheid de ranking van alle forumgebruikers. Daarmee komen de potentiele keyplayers direct in beeld. Inmiddels is de PIM-methodiek volledig geautomatiseerd, en kan zeer snel onderscheid worden gemaakt tussen tienduizenden minder belangrijke gebruikers en een overzichtelijke groep van enkele tientallen keyplayers met een belangrijkere positie en rol.
De toepassing in de opsporing
Abstracte scores, formules en kwantitatieve big-data-analyse worden met behulp van de PIM-methodiek heel concreet vertaald in forumgedrag. Hiermee wordt maatwerk geleverd in de advisering van de opsporing en in het prioriteren van verdachten. Nationaal wordt de methodiek inmiddels gebruikt ten behoeve van de advisering binnen opsporingsonderzoeken naar individuele verdachten. Teams worden gevoed met betrekking tot de rol van een verdachte, zijn contacten en zijn positie. Bovendien wordt de methodiek internationaal ingezet wanneer prioritering nodig is ten behoeve van opsporingsonderzoeken waarbij een forum als geheel onderwerp van onderzoek is. Met behulp van de resultaten kunnen de verschillende landen gericht keuzes maken in het prioriteren van hun zaken.
Het is gebleken dat het op deze manier definieren en in kaart brengen van posities en rollen van keyplayers inspeelt op een behoefte, zowel nationaal als internationaal. De PIM-methodiek zou niet tot stand zijn gekomen zonder ruimte om vanuit de praktijk een deel van de tijd te kunnen invullen voor innovatie en onderzoek. Het is cruciaal gebleken om hiervoor verschillende disciplines (analyse, gedrag en techniek) te combineren en de tijd te nemen om de data uitvoerig te bestuderen en te duiden. Het is niet ondenkbaar dat maatwerkanalyses zoals de PIM-methodiek ook effectief zijn binnen andere online criminele netwerken. Standaardmethodieken blijken echter niet altijd te blijven voldoen, zeker niet binnen verschillende thema’s die bovendien beinvloed worden door digitale ontwikkelingen. Daarom luidt het advies om te blijven investeren in maatwerk met oog voor themaspecifieke kenmerken.
Literatuur
Finklea, K. (2017). Law enforcement using and disclosing technology vulnerabilities. Congressional Research Service, 7(5700), 1-15.
Goodman, M. (2015). Future crimes. Inside the digital underground and the battle for our connected world. Londen: Transworld.
Owens, J., Eakin, J., Hoffer, T., Muirhead, Y. & Shelton, J.L.E. (2016). Investigative aspects of crossover offending from a sample of FBI online child sexual exploitation cases. Aggression and Violent Behavior, 30, 3-14. Westlake, B.G. & Bouchard, M. (2016). Liking and hyperlinking. Community detection in online child sexual exploitation networks. Social Science Research, 59, 23-36.
Geef een reactie