sou · H5B389 · 2017-11-16 00:00:00 — De misstänkta huvudmännen i ärendet hade många möten utan förvarning. Dessa möten fram- kom inte av de samtal eller sms som avlyssnades. Det var därför mycket svårt att kunna göra prioriteringar i ärendet. Vissa perso- ner dök alltid upp utan förvarning, förmodligen efter kommuni- kation på . Det fanns vetskap om att stora narkotikaaffärer gjordes upp och man arbetade med ärendet. Trots detta gick det inte att få fram någon vital eller avgörande infor- mation om dessa affärer, och man tvingades att avsluta ärendet utan resultat. –I ett ärende som drevs i form av ett projekt gällande misstanke om storskalig smuggling och hantering av dopningsmedel hade den misstänkte huvudmannen en dator som var krypterad med Truecrypt (2015). I ett försök att knäcka lösenordet togs hjälp av andra myndigheter men det misslyckades och den misstänkte huvudmannen åtalades inte för sin inblandning. Däremot åtalades de övriga i grupperingen då deras datorer lyckades bli säkrade påslagna, vilket medförde att man kom förbi krypteringen. –Ett gripande av en person som misstänks ha varit största säljare av nätdroger . Vid gripandet hade denne, för- utom flera krypterade datorer, även tillgång till krypterad webb- post (Countermail) som han använde i sin verksamhet. Lösen- ordet till ett av den misstänktes krypterade e-postkonton säkra- des. Detta utgjorde sedan grunden till att denne dömdes för när- mare 3 000 försäljningar. Däremot lyckades man inte knäcka lösenordet till den misstänktes huvudsakliga e-postkonton, som högst sannolikt innehöll bevis för ännu fler försäljningar. –Kokainsmuggling från och (2015). Ärendet resulterade i beslag av narkotika samt gripande av olika kurirer. Däremot gick huvudmannen fri. Denne övergick till att kom- municera via ”WhatsApp”, och då det inte gick att binda honom till de olika narkotikapartierna på annat sätt, så kunde han inte lagföras för misstänkt narkotikasmuggling. –Uppstart av ett ärende som handlade om misstänkt smuggling av kokain till från . Ärendet fick läggas ner utan resultat. Genom hemlig avlyssning av elektronisk kommunikation framkom att de misstänkta personerna i ärendet kommunicerade via och . –Uppstart av ett ärende om misstänkt smuggling av amfetamin från till , samt smuggling av vapen. Avslutades utan att ärendet kommit framåt. Anled- ningen till detta var att de misstänkta personerna i ärendet kom- municerade via krypterade kanaler. –I ett pågående ärende som handlar om misstänkt smuggling av stora mängder narkotika och vapen kommuniceras det huvudsak- ligen på WhatsApp, Snapchat och Instagram. Valet av stängda kommunikationsvägar gör att det ser svårt ut att nå fram- gång i ärendet. Varför hemlig dataavläsning? Hemlig dataavläsning är det verktyg som behöver för att få tillgång till den kommunikation som vi för bara kunde ta del av, något som den tekniska utvecklingen nu i alltför hög grad förhindrar. Kriminella kretsar använder i allt större omfattning information som är krypterad i sin kommunikation. Om utvecklingen fortsätter som kommer det att bli allt svårare för att driva ärenden mot grupperingar och nätverk inom den grova organiserade brottsligheten. Bristande bevisföring försvårar för att knyta miss- tänkta huvudmän och andra nyckelpersoner till den misstänkta smugglingen. Det blir också svårare att påträffa varor som vi miss- tänker kommer att smugglas in i landet eller som misstänks redan tidigare ha smugglats in i landet. Det kan även försvåra för oss att kunna styrka att tillgångar som t.ex. påträffas vid en husrannsakan kommer från brottslig verksamhet, vilket i sin tur leder till minskade möjligheter att kunna förverka brottsvinster. Att bristen på bevisning även leder till att vi tvingas välja bort eller avsluta sådana ärenden är naturligtvis inte bra ur ett samhällsperspektiv. Organisatörerna för den grova narkotika- smugglingen blir då aldrig lagförda och kan på så sätt fortsätta med sin drogverksamhet, utan att bli nämnvärt påverkade av de åtgärder som myndigheten försöker vidta för att stoppa inflödet av narkotika till landet. Med tillgång till hemlig dataavläsning kan arbeta mer effektivt med att bekämpa den grova organiserade brottsligheten. För att kunna slå ut och lagföra aktörerna i kriminella nätverk måste vi få tillgång till den information som vi missar när brotts- misstänkta personer kommuniceras både inom och utom nätverken. Det är mycket svårt att nå framgång i dessa ärenden eftersom mer- parten av kommunikationen sker via krypterade kanaler. Även de beslag som görs av t.ex. mobiltelefoner och datorer är i allt större omfattning krypterade med olika standardprogram. Att kunna ta del av innehållet i dessa beslag är i stort sett omöjligt utan tillgång till lösenord (nycklar). Konsekvensen av bristen på tillgång till information, blir att narkotikan i bästa fall kan beslagtas på gränsen, men några andra misstänkta personer än möjligen kuriren kommer inte att kunna gripas och lagföras i ärendet. Under vissa omständigheter kan det även vara svårt att bevisa att kuriren haft kännedom om narkotikan, vilket medför att inte heller kuriren kan lagföras för brottet. Användningen av hemlig dataavläsning innebär en högre teknisk säkerhet vid inhämtningen, vilket förbättrar bevisläget, i synnerhet gällande huvudmän och andra nyckelpersoner i kriminella nätverk. Tvångsmedlet gör det även möjligt att förkorta utredningstider, vilket minskar utredningskostnaderna. Att inhämta uppgifter med hjälp av hemlig dataavläsning bör därmed bli mer rättssäkert och kostnadseffektivt, jämfört med inhämtning med hjälp av nuvarande hemliga tvångsmedel. Ytterligare problembeskrivning i vissa avseenden En avgörande framgångsfaktor i operativa projekt är att kunna identifiera misstänkta. Med anledning av den frekventa använd- ningen av anonyma kontantkort finns det ett stort behov av att kunna använda HDA för att identifiera en misstänkt person genom att kunna aktivera mobiltelefonens kamera, mikrofon eller gps. Svårigheten att kunna identifiera personer i samband med misstanke om brott, innebär i vissa fall att tvingas avstå från att begära inkoppling av ett hemligt tvångsmedel. Exempel: En narkotikakurir har gripits vid gränsen. I dennes mobil- telefon hittas telefonnummer till en person som misstänks vara mottagare av narkotikan. Möjligheten att kunna installera ett tekniskt hjälpmedel med stöd av HDA i mottagarens telefon som ger tillgång till kamera och gps är ett effektivt sätt att kunna identifiera hur mottagaren ser ut med hjälp av en bild , som man får reda på var denne befinner sig geografiskt. Det finns ett stort behov av att kunna positionera misstänkta perso- ner i operativa spaningsinsatser. Möjligheten att kunna ta del av historiska och lagrade WiFi i telefonen som leder till lokalisering av misstänkta kan bli avgörande, t.ex. för beslut om husrannsakan och vid senare lagföring. Användningen av HDA kompenserar här bristerna i operatö- rernas datalagring. Med anledning av dom om data- lagring innehåller uppgifterna från operatörerna inte någon detaljerad information om var den person som är misstänkt för brott finns eller har funnits under en viss intressant tidpunkt. För att kunna binda den misstänkte till brottsplatsen och brottstillfället är det viktigt att få fram mer detaljerade uppgifter om den misstänktes positionering, än t.ex. en mast som visar . Exempel: I ett pågående tullkriminalprojekt finns en misstänkt som är mycket försiktig med att överhuvudtaget använda sin telefon. Den misstänkte bor i ett s.k. ”särskilt utsatt område” i en storstad och är mycket misstänksam av sig och därför svår att spana fysiskt på. För att kunna fånga upp den misstänkte behövs positionsangivelser. Verktygen för nuvarande teknik är alldeles för grova, vilket innebär att det nästan är omöjligt att hitta den misstänkte. Med stöd av HDA ges möjlighet att kunna installera ett tekniskt hjälpmedel i den misstänktes mobiltelefon för att få tillgång till gps-funktionen, vilket i sin tur gör det möjligt att kunna spåra och hitta den misstänkte. - hemlig rumsavlyssning (HRA) använder ytterst sällan HRA i sina ärenden. Anledningen är inte att det saknas behov av att kunna använda tvångsmedlet, utan på att det är mycket svårt att få utrustningen på plats. En smart- phone innehåller bl.a. en mikrofon. I de fall som den misstänkte använder en smartphone finns därmed möjlighet att kunna använda HRA i mobiltelefonen med stöd av HDA. Ur ett integritetsperspek- tiv bör detta vara ett bättre alternativ för den enskilde, då risken för att utomstående (som inte är misstänkta för brott) spelas in och av- lyssnas minskar väsentligt om informationen inhämtas via en mobil- telefon med stöd av HDA. Detta bör i sin tur även minska mängden överskottsinformation. Exempel (fordon): För att kunna montera in utrustningen för HRA i ett fordon krävs en lång förberedelsetid. Det faktum att misstänkta personer också ofta byter bil, medför att det sällan är någon idé att begära tillstånd till HRA i ett specifikt fordon under pågående spaning. Att med stöd av HDA kunna installera ett tekniskt hjälpmedel i den misstänktes mobiltelefon för att avlyssna vad som sägs via telefonen, ger större möjligheter att få tillgång till den efterfrågade informationen, och utan krav på att installationen måste göras i ett särskilt fordon i samband med en pågående spaningsaktivitet. Exempel (bostad): Montering av utrustning i en bostad kräver flera veckors förspaning innan det är möjligt att verkställa ett beslut om HRA. När utrustningen sedan är på plats är det ett omfattande arbete att ta hand om all överskottsinformation, då alla ljud i lägenheten spelas in och därefter måste gås igenom noggrant. Att med stöd av HDA kunna installera ett tekniskt hjälpmedel i den misstänktes mobiltelefon för att avlyssna vad som sägs via telefonen, ger större möjligheter att få tillgång till den efterfrågade informationen i det enskilda samtalet mellan misstänkta personer, som mängden överskotts- information begränsas. Exempel (offentlig plats): I ett projekt erhölls tillstånd till HRA på offentlig plats, som var en avgränsad plats där misstänkta personer brukade träffas. Dessa möten bestämdes ofta endast innan de ägde rum. Något som medförde logistikproblem, då en annan myndig- het som bistod med installation av den tekniska utrust- ningen, måste kunna ställa upp på kort varsel. Att med stöd av HDA kunna installera ett tekniskt hjälpmedel i den misstänktes mobiltelefon för att avlyssna vad som sägs via telefonen, ger större möjligheter att få tillgång till den efterfrågade informationen i det enskilda samtalet mellan misstänkta, som mängden överskottsinformation begränsas. – hemlig kameraövervakning (HKÖ) HKÖ används framförallt vid platser som är svårspanade och där den misstänkte har möten som bedöms vara viktiga i brottsplaner- ingen. Ett flertalet gånger har HKÖ dock inte kunnat verkställas, då det har varit svårt att hitta ett bra ställe att montera kameran på. Att med stöd av HDA kunna installera ett tekniskt hjälpmedel i den misstänktes mobiltelefon för att få tillgång till kameran i tele- fonen, ger möjlighet att kunna se och även identifiera vem den miss- tänkte har möte med, utan att vara bunden till en specifik plats eller bra monteringsmöjligheter för en fjärrstyrd kamera. Realtidsövervakning av teknisk utrustning I tullkriminalens projektverksamhet har erfarit ett arbets- sätt som används av kriminella; de lägger meddelanden i s.k. utkast, dvs. skriftiga meddelanden som skrivs i realtid men som inte skickas. I samband med provokativa åtgärder och tillslag är behovet stort av att i realtid kunna avläsa dokument som delas löpande mellan misstänkta, i egna chattrum eller motsvarande ”sfärer” för realtids- kommunikation. Att med stöd av HDA kunna installera ett tekniskt hjälpmedel i den misstänktes kommunikationsutrustning, skulle ge möjlighet att få tillgång till sådan realtidskommunikation. Problembeskrivning; undersökningar av beslag Utifrån ett antal frågor som har ställts till forensiker via en kontaktperson, har följande sammanställning gjorts av de svar som inkommit. forensiker är placerade inom tullkrimi- nalverksamheten och finns på fyra orter i landet; , , och . Bifogad sammanställning utgår från svaren från två av dem, varav en storstad i söder () och en mindre stad i norr () som får representera . Övriga två stor- städer (och ) har dessvärre inte svarat. Hur vanligt förekommande är det med raderingsprogram? Av svaret från storstad framgår att raderingsprogram verkar vara vanligast förekommande i datorer. Särskilt i utredningsärenden gällande köp eller försäljning av illegala produkter (anm. införsel- reglerade varor) på internet. I övriga ärendetyper är det inte så ofta förekommande. Det vanligaste programmet man har kommit i kontakt med är CCleaner. Enligt uppgift från har uppskattningsvis av alla beslag någon typ av raderingsprogram, och om ett raderings- program har körts så är den informationen borta och går inte att återskapa. Det blir allt vanligare att det på olika sidor på internet finns rekommendationer att använda raderingsprogram och kryp- tering. Förekommer det att man i samband med en undersökning upptäcker att alla uppgifter på informationsbäraren (mobil, dator etc.) är borta? Enligt uppgift från storstad går det inte att få fram någon infor- mation då en mobiltelefon har återställts. Detta gäller både innan tele- fonen tas i beslag eller fjärråterställd, om inte flygplansläge har aktiverats. På datorer däremot finns alltid något spår kvar. Mängden information är dock beroende på borttagningsmetod, samt hur mycket datorn har använts vid eventuell borttagning, formatering eller ominstallation. Erfarenheten för är att detta har hänt vid ett flertal tillfällen, och då främst på mobiltelefoner som inte har nätverksisolerats. Följdfråga till fråga 2: I hur stor utsträckning av antalet undersökta beslag (uttryckt i procent), har bortfall av uppgifter upptäckts ? Enligt storstad är det svårt att uppskatta antalet misstänkta återställ- ningar, men gör en grov uppskattning för mobiler på ca tio stycken . Kan dock inte göra en uppskattning för datorer. gör en uppskattning på ett bortfall av uppgifter i 5–6 pro- cent av antalet undersökta beslag. Har användningen av raderingsprogram ökat, minskat eller ligger på samma nivå? Uppfattningen hos både storstad och är att användarnas kunskaper kring anti-forensiska metoder1 har ökat. Enligt storstad är ökningen dock inte extrem, vilket kan bero på olika brottstyper. har inte ärenden där man utreder brott som exempelvis dataintrång, där de misstänkta besitter sådan kompetens. I brotts- utredningar rörande narkotikasmuggling och olika typer av narko- tikabrott förekommer dock anti-forensiska verktyg och kryptering. 1 Begreppet anti-forensiska metoder är ett generellt begrepp som används för att beskriva olika programvaror och metoder som försvårar för brottsbekämpande myndigheter att få tillgång till uppgifter (t.ex. kryptering och radering). Begreppet förekommer i forum som t.ex. Flashback. Bilaga 2 SOU 2017:89 Hur ser ni på risken för att kriminella framöver kan komma att – i större utsträckning – installera raderingsprogram som för- svårar arbetet för forensiker? Både storstad och bedömer risken som mycket stor, dels för att raderingsprogrammen blir mer lättillgängliga och enklare att använda, dels för att: •verktygen blir lättare att hantera, •information om anti-forensiska metoder sprids, •myndigheters IT-forensiska metoder diskuteras på det nationellt kända internetforumet Flashback, och det finns en forumstråd där de ska samla förundersökningsprotokoll. 5.En uppgift som framkommit i är att dagens hårddiskar i sig är så bra på att radera/skriva över att det inte går att återskapa information vid undersökning av beslag. Vad är er erfaren- het av detta? Enligt både storstad och gäller detta främst de nya hård- diskarna (SSD) som har en funktion som innebär att data skrivs på olika platser på hårddisken. Därmed minimeras risken att gammal data skrivs över. Funktionen innebär också att data flyttas runt för att det ska bli jämnt ”slitage” på minnespositionerna. Dessa SSD- diskar blir allt vanligare eftersom de är mycket snabbare än tradi- skivdiskar. behovsbeskrivning avseende hemlig dataavläsning i underrättelseverksamhet Lagen (2012:278) om inhämtning av uppgifter om elektronisk kom- munikation i den brottsbekämpande myndigheternas underrättelse- verksamhet (den s.k. inhämtningslagen, IHL), trädde i kraft . Med stöd av denna lag får underrättelseverk- samhet inhämta uppgifter om elektronisk kommunikation från berörda operatörer. Inhämtningen som sker i hemlighet avser upp- gifter om elektronisk kommunikation i form av samtalslistor samt lokaliseringsuppgifter (dvs. visst geografiskt område), avseende elektroniska kommunikationsutrustningar (t.ex. mobiltelefon eller dator), i dåtid eller i realtid. För att ska kunna inhämta dessa uppgifter krävs inte misstanke om ett specifikt brott utan enbart misstanke om ”brottslig verksamhet”. Åtgärden ska dock vara av särskild vikt, i syfte att före- bygga, förhindra eller upptäcka sådan brottslighet, dvs. Kravet på särskild vikt är en behovsbedömning som innebär att det ska finnas andra uppgifter (t.ex. källinformation), som gör det möjligt att bedöma den förväntade betydelsen för syftet med inhämtningen. Därtill krävs att skälen för åtgärden uppväger det intrång eller men i övrigt som åtgärden innebär för den som utsätts för åtgärden, dvs. proportionalitetsprincipen ska tillämpas vid beslut om inhämtning. För att ska få inhämta uppgifter med stöd av inhämt- ningslagen krävs vidare att den misstänkta brottsliga verksamheten innefattar brott med minst två års fängelse i straffskalan. För Tull- verkets del motsvarar det angivna straffvärdet brotten grov narko- tikasmuggling eller synnerligen grov narkotikasmuggling2. uppdrag i dess brottsbekämpande verksamheten från riksdag och regering, är att förebygga, förhindra och utreda brott3. Den brottskatalog som arbetar med är dock begränsad i jämförelse med motsvarande kataloger inom respektive Säkerhetspolisen. Gemensamt för dessa myndigheter är att de samverkar med varandra mot den organiserade brottsligheten och de grova brotten. För att ska kunna fullgöra sitt uppdrag för att före- bygga och förhindra brott, dvs. underrättelseverksamhet, behöver myndigheten information och uppgifter. Behovet av information och uppgifter kan variera beroende på typ av brottslighet och vilka aktörer som är inblandade. För att samla information och uppgifter används olika arbetsmetoder som exempelvis fysisk respektive inre 26 § tredje och fjärde styckena lagen (2000:1225) om straff för smuggling (smugglings- lagen). 3Förordning (2016:1332 ) om instruktion för och Regleringsbrev för avseende . spaning, tips från allmänheten och kontakter med anmälare och tipsare. Insamlad information och uppgifter bearbetas, analyseras och byggs på, i syfte att få fram ett tillräckligt underbyggt underlag för att kunna inleda förundersökning med misstanke om brott. I detta arbete är det av yttersta vikt att även får tillgång till uppgifter om elektronisk kommunikation i form av trafik- och lokaliseringsuppgifter, både i realtid och i dåtid (historiska upp- gifter). tillgång till sådana uppgifter regleras av bestäm- melserna i inhämtningslagen. Rätten att få tillgång till dessa uppgifter som finns hos olika tele- operatörer, mängden uppgifter samt operatörernas lagringsskyldig- het för brottsbekämpande ändamål har ifrågasatts av i ett förhandsavgörande i de förenade målen C-203/15 och C-698/15. behov av hemlig dataavläsning i underrättelseverksamhet möjligheter att kunna inhämta uppgifter med stöd av bestämmelserna i inhämtningslagen är begränsade, dels av de upp- gifter som faktiskt får inhämtas med stöd av lagen (1 § 1 – 3 IHL), dels av kravet på ett straffvärde fängelse för det brott som omfattas av den misstänkta brottsliga verksamheten (2 § 1 IHL). För del avser detta enbart brotten grov narkotikasmugg- ling och synnerligen grov narkotikasmuggling enligt smugglings- lagen. Precis som inom förundersökningsverksamheten så försvåras underrättelsearbete av att kriminella aktiviteter numera i allt högre grad sker i olika typer av sociala medier. Kriminella perso- ner använder också många olika oregistrerade kontantkort i s.k. bus- lurar eller fullurar, som är mobiltelefoner av äldre modell, men som ändå i vissa fall klarar att hantera sociala medier, t.ex.”WhatsApp”. Mer avancerade kriminella personer med en god ekonomi har dock råd med dyra mobiltelefoner och datorer. I kombination med ett högt säkerhetsmedvetande har dessa personer även lättare att undvika spårbarhet (p.g.a. kryptering, raderingsprogram etc.), vilket fått till följd att underrättelsearbete har försvårats eller till och med inte gått att genomföra. Färre antal framtagna under- rättelseärenden leder i sin tur till minskat antal inledda förunder- sökningar och färre antal misstänkta personer som kan lagföras för grova brott. Att genomföra kartläggning av stora kriminella nätverk som misstänks syssla med storskalig smuggling och som fungerar som välorganiserade företag, kräver både resurser och lämpliga ”verktyg”. För del saknas sådana verktyg. Hemlig dataavläs- ning kan, som ett självständigt hemligt tvångsmedel, vara ett sådant verktyg. Bestämmelserna i inhämtningslagen är direkt kopplade mot vissa bestämmelser i som reglerar operatörernas lagringsskyldighet för brottsbekämpande ändamål, samt skyldighet att på begäran från brottsbekämpande myndigheter tillhandahålla dessa uppgifter. Dessa skyldigheter inbegriper s.k. telefonlistor, realtidsuppgifter och s.k. basstationstömning (eller masttömning). Kommunikation som sker via sociala medier omfattas inte av bestämmelserna i och FEK. Uppgifterna i sådan kommuni- kation är skyddade på olika sätt, t.ex. genom kryptering, krav på lösenord etc. För att få tillgång till uppgifterna finns ett stort behov för som brottsbekämpande myndighet i underrättelse- verksamhet att, precis som inom ramen för en förundersökning, kunna använda hemlig dataavläsning som ett självständigt hemligt tvångsmedel vid inhämtning av uppgifter enligt inhämtningslagen. Utifrån den lagens nuvarande utformning verkar detta dock inte vara möjligt, då det av förarbetena framgår att inhämtningslagen inte omfattar de brottsbekämpande myndigheternas möjlighet att med egna tekniska hjälpmedel hämta in uppgifter om elektronisk kom- munikation (prop. 2011/12:55 s. 120). rätt att tillämpa bestämmelserna enligt inhämtnings- lagen är sedan lagens tillkomst begränsad. kan enbart in- hämta uppgifter från operatörerna vid misstänkt brottslig verksam- het som avser brott med minst två års fängelse i straffskalan. Det högt satta straffvärdet omfattar bara två brott enligt smugglings- lagen; grov narkotikasmuggling eller synnerlig grov narkotika- smuggling. har i sin brottsbekämpande verksamhet i uppdrag att förebygga, förhindra och utreda brott, med fokus främst på smugg- ling av narkotika. Ett uppdrag som väsentligen har försvårats , på grund av den snabba tekniska utvecklingen. Detta har i sin tur påverkat både underrättelse- och utredningsverk- samheten negativt, genom att det har blivit allt svårare att kunna kartlägga, utreda och lagföra grova brott, däribland grov narkotika- smuggling. förslag att begränsa operatörernas lagringsskyldighet för olika trafik- och lokaliseringsuppgifter i kombination med att kriminella aktiviteter i allt större utsträckning sker via sociala medier, försvårar och till och med förhindrar insam- ling av uppgifter för kartläggning av misstänkt brottslig verksamhet avseende, i detta fallet, grov och synnerligen grov narkotikasmuggling. För att kunna uppfylla sitt uppdrag att bekämpa dessa smugglings- brott behöver bättre ”verktyg”. Hemlig dataavläsning som tvångsmedel är ett sådant rättsligt verktyg som ger möjlighet att kunna undersöka och kart- lägga avancerade och tekniskt utvecklade kriminella nätverk.