Al-Khemia vangt bot bij rechter, domeinnaam blijft bij DNV

Al-Khemia Foundation (AKF) heeft bot gevangen bij de kortgedingrechter om haar domeinnaam csirt.sr terug te krijgen van het Directoraat Nationale Veiligheid (DNV) en Telesur. In het belang van de nationale veiligheid van Suriname, behoort deze domeinnaam officieel aan de Staat toe, met name DNV. Het directoraat heeft een officiële Suriname Computer Security Incident Response Team (SurCSIRT); het eerste meldpunt voor computercriminaliteit (cybersecurity en -crime).

Vorige maand wees kantonrechter Sylvana Bradley de vordering van Al-Khemia af, die voet bij stuk hield dat de website naam csirt.sr van haar is. De organisatie spande in maart 2020 een kort geding aan tegen de Staat (DNV) en Telesur. En eiste onder meer een schadevergoeding van US$ 37.500, opheffing van de blokkade, beschikbaar stellen van de domeinnaam en verbod voor de Staat om die domeinnaam te gebruiken tot de beslissing in de bodemzaak.

De klacht volgde na een briefwisseling tussen AKF en DNV, die in oktober 2019 begon, nadat Telesur de domeinnaam en toegang tot de website blokkeerde voor AKF. Een domeinnaam is een naam of website adres die je intikt in een zoekmachine om op een website te komen. Te vergelijken met een adres van een huis, maar dan online.

De zaak kwam aan het rollen nadat DNV klachten binnenkreeg over geplaatste confidentiële interne informatie op de website csirt.sr, waaronder foto’s van het Korps Politie Suriname. DNV stelde een onderzoek in dat uitwees dat AKF de domeinnaam gebruikte en eigen bedrijfsactiviteiten daarop plaatste.

DNV vroeg aan Telesur om in te grijpen. Volgens hen deed csirt.sr zich voor als de officiële CSIRT van Suriname. DNV schreef Telesur: “Phishing is een vorm van internetfraude waarbij de bezoeker naar een valse webpagina wordt gebracht. Deze vorm van internetfraude vindt meestal plaats via e-mail, maar ook online en heeft als doel het verkrijgen van persoonlijke gegevens.”
Telesur moest eerst een kopie maken van de websitegegevens (back-up) en daarna verwijderen van hun server. En het beheer (account) van csirt.sr overplaatsen onder die van DNV. Dit viel niet in goede aarde bij AKF, die DNV verweet van onrechtmatig handelen.

In een brief aan DNV schreef AKF het volgende: “Volgens Telesur heeft u ons beschuldigd van phishing, scamming en het nabootsen van een overheidsinstantie. U heeft onze website laten blokkeren/uitwissen en subsequent de domein overgenomen voor uw eigen website. Zonder tussenkomst van een politioneel onderzoek of rechterlijke bevel.”

Beide partijen hielden het been stijf ook tijdens de rechtszaak. De Staat vond niet dat het onrechtmatig handelde en stelde dat de domeinnaam csirt.sr reeds jaren aan DNV toebehoort. Als eerste CSIRT van Suriname, heeft DNV specifieke nationale verantwoordelijkheden op het gebied van bescherming van de Staat tegen computercriminaliteit in brede zin.

Wereldwijd is het uitgangspunt dat elke Staat zo een team moet hebben, in lijn met de Budapest Convention. Een verdrag tussen staten voor de bestrijding van strafbare feiten verbonden met elektronische netwerken. Personen of instanties die geen deel zijn van de Staat kunnen daarom deze domeinnaam niet gebruiken.

Websitebezoekers moeten duidelijk weten dat DNV het eerste meldpunt is voor computercriminaliteit en niet AKF. En dat de website officieel van de Staat is. Om dus verwarring bij bezoekers te voorkomen is AKF gevraagd om een andere domeinnaam te kiezen.

Maar AKF weigerde: Csirt.sr is sinds augustus 2018 van haar en is legaal aangevraagd, geregistreerd en betaald bij Telesur. Deze domein, de website erop, de email en database, ondersteunend personeel en de voorlichting campagne waaraan het is gebonden hebben volgens de organisatie nimmer de indruk gegeven dat de website van DNV/overheid is.

Verklaringen van AKF dat zij “geheel onbevangen en vrij van voorkennis” voor de naam koos vond de rechter “vooralsnog niet aannemelijk”. AKF slaagde er niet om het belang of een aanvaardbare verklaring te geven waarom zij zich verzet tegen wijziging van de domeinnaam, in het belang van de nationale veiligheid.

Partijen hebben niet weersproken dat de goedkeuring door Telesur verleend aan AKF op een vergissing berustte. Mede-gedaagde Telesur waste de handen enigszins in onschuld. De regel van wie als eerste registreert, krijgt de domeinnaam toegewezen, ging in dit specifieke geval niet meer op. Want in het belang van de nationale veiligheid moet de Staat de geldende internationale verdragsregels volgen en deze domeinnaam hoort de Staat toe.

Over de schadevergoeding verwees Bradley naar de bodemrechter die hierover zal beslissen. “In deze kortgedingprocedure heeft toewijzing van een voorschot van die schade geen plaats. De vordering mist een voldoende feitelijke grondslag en zal om die reden worden afgewezen”, gaf de kortgedingrechter aan.