Home   2026-10-22 19:56:51

←

NFI kraakt Google Pixel van verdachte in drievoudige moordzaak in Oosterhout

Original article

Het Nederlands Forensisch Instituut (NFI) heeft de Google Pixel gekraakt van een van de verdachten in een drievoudige moordzaak in Oosterhout. Daardoor zijn foto's en chatberichten toegankelijk voor de autoriteiten. Dit onthult de officier van justitie donderdag op een inleidende zitting bij de rechtbank.

Dankzij het kraken van de smartphone van de 29-jarige verdachte Veronica K. heeft het Openbaar Ministerie (OM) nu toegang tot foto's en berichten op dat toestel, schrijft Omroep Brabant. Volgens de officier van justitie zijn dat 'heel veel afbeeldingen van wapens en stapels geld'. Daarnaast 'zijn er heel veel chats die nu gelezen kunnen worden'.

De drievoudige moord in Oosterhout eind maart vorig jaar zou mede door de 29-jarige verdachte mogelijk zijn gemaakt. Zij zou de daders hebben ondersteund. Volgens de officier is er goede hoop dat het NFI ook de Google Pixel-telefoons van de andere twee verdachten kan kraken.

Oudere Pixels zijn kraakbaar

Het is niet bekendgemaakt om welke generatie van Googles smartphone het gaat. In november vorig jaar bleek uit uitgelekte informatie dat oudere Pixels kraakbaar zijn door Cellebrite, maker van kraaksoftware voor smartphones. De Pixel 10 was toen nog niet te kraken door Cellebrite.

Het is niet bekend met welke middelen het NFI het Pixel-toestel in deze Nederlandse zaak heeft gekraakt. Ook is het onbekend welke Android-versie of bijvoorbeeld het privacygerichte GrapheneOS op de telefoon draait.

Het NFI geeft standaard geen commentaar op lopende onderzoeken in opdracht van het OM, de politie of andere partijen. Ook het OM Zeeland-West-Brabant, waar deze moordzaak onder valt, kan vragen van Tweakers niet beantwoorden. Mogelijk komen bij de inhoudelijke behandeling van deze rechtszaak nog technische details naar buiten. Naar verwachting is de inhoudelijke behandeling begin maart 2027.

Door Jasper Bakker

Nieuwsredacteur

Feedback • 20-08-2026 16:39
110 • submitter: CLB

20-08-2026 • 16:39

110

Submitter: CLB

Lees meer

Reacties (110)

zijn dezelfde Pixels met graphene ook te kraken?
3 criminelen met een pixel.. daar draait geen android op, dat geloof ik niet.
Ik vind het al opvallend dat je 3 criminelen oppakt en ze hebben allemaal een Pixel. Het marktaandeel van Google in de Android markt is niet zo groot dat ze dat voor elkaar kunnen krijgen. 3 Samsungs zou logischer zijn. Of een mix.

Ik zit te denken aan Encrochat of een andere "anonieme" chatdienst voor criminelen. Die maken wel veel gebruik van Pixels.
Ja criminelen gebruiken een Pixel met graphene OS, in combinatie met de Titan chip extra aanlokkelijk.
Dat staat er volgens mij niet. Er zijn geen 3 criminelen opgepakt, geen 3 Pixels gekraakt, slechts 1.
In het artikel staat:
Volgens de officier is er goede hoop dat het NFI ook de Google Pixel-telefoons van de andere twee verdachten kan kraken.
Met andere woorden, er zijn 3 verdachten en 3 pixels, waarvan er nu dus eentje is gekraakt. Ik schrijf nergens dat ze alle 3 gekraakt zijn.
Wees dan even precies: er staat niet dat die andere verdachten elk 1 Pixel hebben. Misschien hebben ze er wel meerdere! ;)
Check! Totaal overheen gelezen…
Niet elke crimineel is tech-savvy. Dan zouden ze ook wel een Duress Pin gehad en dan hadden we dit nieuws-item niet gehad.
Los van extra privacy en security features binnen het OS, is het uiteindelijk ook Android. Waarschijnlijk indien up-to-date behoorlijk veilig, maar laat laat hem een paar maanden in de kast liggen en dan zijn er in de tussentiid al weer allerhande security issues gevonden en is het verhaal weer anders.
Dat is wel heel erg makkelijk. Als je het een paar maanden in de kast laat liggen is het weer in BFU-staat (Before First Unlock) en is het voor telefoons met een secure enclave (itt. tot de meuk die TrustZone gebruikt) heel erg lastig toegang te verschaffen.

Android hier specifiek uitzonderen is ook niet zo zinvol. Als je naar de laatste gelekte Cellebrite presentaties kijkt, zijn iPhones vaak ook vrij snel AFU uit te lezen. De grootste uitzondering leek tot nu toe GrapheneOS. Maar dat zou inmiddels natuurlijk veranderd kunnen zijn.
Ik bedoel dit niet specifiek voor Android. Voor andere OS-en geldt hetzelfde. Ik denk dat er onlangs ook gretig gebruik is gemaakt van de bitlocker issues. Overigens is 'enkele maanden'(in mijn eerste reactie) wel een kort tijdsbestek, meestal gaat er meer tijd overheen(en is het voor zo'n onderzoek niet echt relevant natuurlijk). Ik het geval van een telefoon neem ik aan dat ze hem tijdens een inval 'aan' proberen te houden. Voor Graphene is dat afhankelijk van de instellingen natuurlijk wel weer anders( geschedulde reboot)

[Reactie gewijzigd door YoMarK op 21 augustus 2026 09:26]

Dat zou ik even aan het NFI of de politie vragen.
Die dat soort informatie niet weg gaan geven..of zijn we de /sarcasme vergeten?
/sarcasme lijkt me in dit geval redelijk overbodig.
klinkt alsof het een crack kan zijn die voor het OS werkt, dan zou de kans groter zijn dat zelfs met Graphene er een bypass is..

Edit, lees net "Daardoor is het voor Cellebrite bijna onmogelijk om dit soort toestellen te hacken en informatie te achterhalen. "

...Bijna is nog niet helemaal onmogelijk

[Reactie gewijzigd door Jensw19 op 20 augustus 2026 16:45]

GrapheneOS heeft allerlei beveiligingstechnieken geïntroduceerd/verbeterd, juist om zwakheden uit het oorspronkelijke OS op te vangen.
Het is niet bekendgemaakt om welke generatie van Googles smartphone het gaat.
Ook is het onbekend welke Android-versie of bijvoorbeeld het privacygerichte GrapheneOS op de telefoon draait.
Dat kan niet vastgesteld worden op basis van de informatie uit deze zaak.
Vwb opsec is de regel gewoon dat fysieke toegang áltijd betekent dat het apparaat compromised is, of het nu direct te kraken is of niet. Als ze het willen kraken zal dat vroeg of laat lukken, maakt niet uit of het een Android-apparaat met een verouderde versie, een up to date veilig OS, of bijv. een iPhone met iOS is.
Door te wachten en offline te houden wordt het automatisch minder veilig... :z
Als dat zo is, dan zou er snel een update komen.
Meestal is dat dan wel zo.
Ligt eraan in welke staat de telefoon is. In BFU (before first unlock), de modus waar je in komt na een reboot, ben je het best beveiligd. De volledige opslag is dan versleuteld en zou praktisch onkraakbaar moeten zijn, mits je een redelijk wachtwoord gebruikt en niet een pin van 4 cijfers.

In AFU is de opslag dus ontgrendeld, en zou een kwetsbaarheid in Android je ook toegang kunnen geven tot GrapheneOS.

Als je GrapheneOS dus echt veilig wilt gebruiken, gebruik je een wachtwoord om te ontgrendelen, geen pin of vingerafdruk, en stel je m zo in dat ie na 3 uur oid na laatste unlock moet rebooten, dan kom je dus weer in BFU terecht (dit is een standaard feature van GrapheneOS maar staat standaard op 12 uur volgens mij).
Niets is honderd procent veilig, maar GrapheneOS maakt het wel een stuk moeilijker.
tijd voor een 'this phone will self-destruct in five seconds'-app!
Bij GrapheneOS is dat het 'Duress Password'. Moet je alleen dus wel invoeren net voordat de politie hem in gaat nemen..
Dan kan je weer gedoe krijgen dat je evidence vernietigd hebt. Volgens mij was dat een tijd geleden met iemand gebeurd die zijn Duress Password aan Amerikaanse douane gaf, zij die ingevoerd hadden en de telefoon zichzelf ging resetten naar fabrieksinstellingen.


https://techcrunch.com/2026/07/24/us-accuses-american-of-allegedly-wiping-his-phone-using-a-duress-password-during-border-search/

[Reactie gewijzigd door protected22 op 20 augustus 2026 17:00]

In Nederland loop je dan tegen artikel 189 Sr. Daar kun je in grote problemen mee komen.

Weigeren je telefoon te ontsluiten mag dan weer wel.

Dus: geen wachtwoord of code geven is legaal, maar een code geven die het toestel wist is niet legaal.
In Nederland loop je dan tegen artikel 189 Sr. Daar kun je in grote problemen mee komen.

Weigeren je telefoon te ontsluiten mag dan weer wel.

Dus: geen wachtwoord of code geven is legaal, maar een code geven die het toestel wist is niet legaal.
Grotere problemen dan een 3 voudige moord? Ik had het wel geweten als verdachte haha
Wanneer de inhoud van die telefoon het enige bewijs zou zijn, is het inderdaad een no-brainer.

Wanneer de inhoud steunbewijs op zou kunnen leveren, of bewijs of je gegeven alibi wel of niet klopt, zou het niet mee willen werken aan het ontgrendelen van je telefoon samen met al het andere bewijs, misschien nét dat zetje kunnen zijn waardoor de rechter je schuld overtuigend genoeg vindt.
Lastig aan te tonen "door de stress/hoge druk gaf ik het verkeerde wachtwoord."
Met voorbedachte rade, waarom heb je dan een wachtwoord voor vernietigen, die je als eerste geeft.

Dan kan je beter het wachtwoord niet meer herinneren door stress.
Briefje in je telefooncase stoppen met de duress code erop en dan hopen dat de betreffende agent echt zo naïef is.
Dan moet je het niet iets minder overduidelijk maken. Bijvoorbeeld ergens 'reminder: Laatste cijfers postcode, laatste cijfers bankpas' te noemen ofzo.

Garandeer je dat iemand dat ingevuld.
Hoeveel cijfers heeft jouw postcode?
Ja zoiets heb ik altijd gedaan met pincode. Bij bankpasje briefje met pincode 8211, daarna nog 2 pogingen over :o
Deze persoon was bij de grens en dus het land technisch gezien nog niet in.
Dat is zo'n beetje het cruciale punt waar de verdediging in deze zaak om draait
Weigeren je telefoon te ontsluiten mag dan weer wel.
Mogelijk niet als het je vingerafdruk of gezicht betreft.
Klopt inderdaad. Je wordt wel gemind, maar in het verleden hebben instanties gewoon vinger of gezicht gebruikt om telefoon te openen. Daarom heb je tegenwoordig dat je telefoon vaker vraagt (om de zoveel keer/tijd) dat je even je code moet invoeren.
Bij iphones kan je ook 5x keer de aan/uit knop indrukken om FaceID uit te schakelen en je toegangscode te verplichten. Ik dacht dat Android een vergelijkbare functie heeft. Dit moet je alsnog wel doen voordat je hem overdraagt maar het is makkelijker te doen dan een code in voeren of het toestel uitzetten.
Bij de Pixel 10 kan je in ieder geval je Aan-knop ingedrukt houden. Dan krijg je zo'n pop-upmenuutje met Noodgeval, Uitzetten en Herstarten.
En Lockdown. Druk je daar op, worden alle biometrische inlogmethodes uitgezet en moet je verplicht je pincode gebruiken voordat je weer met vingerafdruk kan inloggen.
IANAL, maar als ik het goed lees staat daar 6 maanden op. Dat is misschien veel als je je telefoon leeg veegt na een demonstratie. Maar als er informatie op staat die tot meer dan 6 maanden gevangenisstraf leidt, dan maak je je daar waarschijnlijk minder zorgen om?

Of zie ik het verkeerd?
Moet dat 198 zijn? IANAL, maar 189 gaat om hulp aan daders, lid 3 stelt dat het niet van toepassing is als je zelf de vervolgde bent. Via artikel 198 is het strafbaar om iets te vernietigen wat in beslag genomen is.

En hoe zit het dan met beslag? Stel dat je je duress code invult terwijl je doet alsof je je telefoon ontgrendelt, voordat je hem overhandigt. Is deze pas in beslag gelegd als ie in handen van de politie is, en zou dat dus legaal kunnen zijn?
Hij is pas in beslag genomen als het goed is overhandigd en de opsporingsambtenaar heeft genoemd of bevestigd dat het in beslag genomen is. Dus voor die tijd is art 198 sr (ook) niet van toepassing, lijkt het.
Met dat duress wachtwoord van GrapheneOS wis je de opslag technisch gezien niet, je maakt de key om het te ontsleutelen alleen onbruikbaar.

Weet niet of dat echt zou werken als je dat tegen een rechter vertelt, maar je kunt het proberen.
Geld dit artikel wel als jezelf de verdachte bent omdat je niet aan je eigen veroordeling hoeft mee te werken. Als je er niks mee te maken hebt mag geen bewijs vernietigen.
Van wat ik van andere verhalen over deze kwestie begrijp is dat de persoon in kwestie anders mogelijk ook problemen had gekregen. Het betreft een activist die meedeed aan een protest in Atlanta (Stop Cop City) en daardoor op de radar van de overheid stond.

Op het vliegveld wilden ze zijn telefoon inzien onder het mom van kinderporno, waarna hij de Duress code gaf. Dat hele proces zou ook onrechtmatig verlopen zijn. Miranda rights niet voorgelezen, geen bevel, verzoek om een advocaat werd niet ingewilligd. Dat verhaal over die kinderporno was waarschijnlijk maar een smoesje om iets te kunnen vinden om hem op te pakken.

Die details staan niet allemaal in het artikel dat jij linkt. Ik vind dit artikel van CNN wat vollediger: An airport search, a wiped phone and a potential test of Fourth Amendment protections | CNN Politics (maar het staat op meer sites beschreven).

[Reactie gewijzigd door Piggen op 20 augustus 2026 17:26]

De zaak Samuel Tunick. Voor wie zich hier verder in wil verdiepen, LegalEagle heeft hier een uitgebreide analyse over. Nebula / YouTube. Er zitten behoorlijk veel haken en ogen in deze zaak waardoor het de ene of de kant kant op kan vallen. Een interessante om te blijven volgen.
Ahh alright. Ik had inderdaad ook gewoon het eerste artikel gepakt die ik op google erover zag.
Bij binnenkomst van een land gelden ander (minder strenge) regels dan in het strafrecht en heeft iemand die het land binnen wil komen (hoeft niet eens ergens van verdacht te zijn) veel minder rechten, zejer in de VS. Daar kunnen ze iedere willekeurige reiziger die het land binnen wil komen vragen om zijn telefoon te ontgrendelen om te controleren of er bv. geen kinderporno of ander verboden materiaal op staat. Weiger je, dan kan je zondermeer de toegang toty het land geweigerd worden en is de luchtvaarmaatschappij die je gebracht heeft verplicht om je met het eerste vliegtuig terug ne nemen van de plaats van herkomst.

Het wordt een stuk ingewikkelder wanneer het een Amerikaan is die de VS in wil. Die kan je niet terugsturen naar zijn eigen land (of ander land vanwaar hij kwam vliegen). Dan is het een afweging van de TSA of ze gaan dreigen met doorgeven van de weigering aan de politie/ FBI voor verder onderzoek, of meteen zelf de situatie te escaleren.
De TSA (zeker aan de balies) bestaat voor een groot deel uit onderbetaalde mensen met een superioriteitscomplex die vaak bij verschillende andere wetshandhavingsdiensten zijn geweigerd. Escalatie (voordat er een jurist bij betrokken wordt die kan beoordelen hoe terecht/onterecht dat is) wordt dan erg waarschijnlijk, waarna de rest van de organisatie zich gedwongen voelt om zich er doorheen te proberen te bluffen. Ten koste van degene die het niet nodig vond dat een onderbetaalde Calimero zonder reden door zijn foto's ging snuffelen.
Het gaat volgens CNN om CBP (Customs and Border Protection) en niet TSA (transportation security administration).
CBP stelt dat zij het recht heeft om elektronische apparaten van iedereen die de VS binnenkomt of verlaat te controleren, ongeacht nationaliteit. Volgens CBP gebeurt dit om onder meer terrorisme, kinderuitbuiting, drugs- en mensensmokkel, visafraude en andere veiligheidsdreigingen te bestrijden. In 2025 werd minder dan 0,01% van alle internationale reizigers aan een dergelijke controle onderworpen.

De zaak van Sam Tunick zou echter de grenzen van die bevoegdheid kunnen testen. Zijn advocaat betoogt dat de huidige interpretatie van het Fourth Amendment (bescherming tegen onredelijke huiszoekingen en inbeslagnames) aan de grens te ruim is en herzien moet worden. Volgens hem zijn smartphones zo privacygevoelig dat er strengere regels nodig zijn voor controles op luchthavens.

Ook andere juristen wijzen erop dat meerdere rechtszaken momenteel draaien om de vraag of een huiszoekingsbevel of ten minste een redelijke verdenking nodig zou moeten zijn voor het doorzoeken van digitale apparaten. Sommige federale rechters hebben al geoordeeld dat dergelijke zoekingen vanwege de grote impact op de privacy alleen met een bevel zouden mogen plaatsvinden.

Tegelijkertijd heeft het bevoegde federale hof (het 11e Circuit) eerder geoordeeld dat telefoons aan de grens niet meer bescherming genieten dan een koffer of handtas, ondanks de enorme hoeveelheid persoonlijke informatie die erop staat.

Daarnaast is er een nieuwe juridische vraag: vormt het geven van een code die een telefoon wist een strafbare belemmering van een onderzoek? Critici vragen zich af welk onderzoek precies wordt gehinderd wanneer er geen bevel of concrete verdenking bestaat. Ook is onduidelijk welke middelen autoriteiten hebben als een Amerikaanse burger weigert zijn toegangscode te geven. Ze kunnen een burger immers niet de toegang tot zijn eigen land weigeren.

Volgens Tunicks advocaten dreigden agenten dat zij zijn telefoon zouden meenemen en op een andere manier toegang zouden verkrijgen als hij niet meewerkte. De rechter heeft inmiddels een termijn vastgesteld tot eind oktober voor verdere voorbereidende processtukken. [ktvz.com]
Dan kan je weer gedoe krijgen dat je evidence vernietigd hebt.
Hangt er een beetje af waar je van verdacht wordt of kan worden. Als dat moord is, denk ik dat een straf voor het vernietigen van bewijsmateriaal altijd minder is dan mogelijk een spuitje... (in de VS dan).
Het bewijsmateriaal zal zelden enkel op de telefoon staan.
Met voldoende aanwijzingen en insinuaties zal een jury het wel heel erg verdacht vinden dat je je telefoon gewist hebt, waardoor je wel schuldig zou moeten zijn.
Daar weet een handige advocaat wel raad mee. In de VS is een rechtszaak vaak een toneelstukje voor de jury. Heeft vaak weinig met echt bewijzen te maken, maar met de perceptie van de jury.
In Nederland hoef je nooit mee te werken aan je eigen onderzoek. En je telefoon betreft je eigen data, die mag jij ten alle tijden wissen als dat mogelijk is. Er is geen wetgeving die dat strafbaar stelt. Jou pincode/wachtwoord is intellectueel eigendom, die hoef je nooit te geven.

[Reactie gewijzigd door Sebastian1313 op 21 augustus 2026 00:57]

Het duress wachtwoord is niet om zelf in te voeren, maar om te overhandigen wanneer je (onwettig) gedwongen wordt om je wachtwoord af te staan.
Er zijn wel mogelijkheden om een telefoon op afstand te resetten naar factory settings, maar of daarmee ook helemaal niks meer te achterhalen valt weet ik zo niet.
Dat wordt direct al geblokkeerd - telefoons die als bewijsmateriaal gebruikt worden, worden meteen in een Faraday kooi gestopt, waardoor er geen (draadloze) verbinding met de buitenwereld meer mogelijk is. Dus geen wifi en geen netwerk. Dan valt er op afstand niks meer te resetten.

Daarnaast trekken ze als eerste natuurlijk een complete image van het interne geheugen van zo'n apparaat, en daar gaan ze op los, zodat, als het inderdaad kapot gaat, ze gewoon een backup hebben.
Dan kan je altijd nog zo instellen dat als er binnen bijv 72u geen phone-home bericht is het toestel zich wist.

Geen idee of het mogelijk is om binnen die tijd een image van het geheugen te maken. Me dunkt dat ook daar een beveiliging voor is. De telefoon openen en dan de nand-chips eruit halen/lezen is ook lastig. Dan mag je vaak een encryptie breken die haast niet te doen is of helemaal niet te doen.
Wanneer je een kopie trekt van die chips dan maakt het niet uit of de data versleuteld is of niet. Je weet dat de data in ieder geval niet kwijt gemaakt kan worden, want je kunt zo die kopie terug plaatsen.

Ik weet alleen niet wat er gebeurt met de encryptie sleutel. Die zit waarschijnlijk in het beveiligde geheugen van de processor en die kan ook weleens gewist worden na bijvoorbeeld 10x verkeerde code invoeren; dan heb je niks meer aan die kopie.
Bij het wissen van een toestel wordt de encryptie sleutel weggegooid, dat gebeurt in een paar nano seconden. Dan is het normaliter niet terug te halen. Tenzij je 100 jaar de tijd hebt bij een 265 bits encryptie.

Dan heb je ook niets aan een backup van de data.
AFU mag je er van uitgaan dat dat mogelijk is.
De telefoon openen en dan de nand-chips eruit halen/lezen is ook lastig.
Niet als dat je specialisme is :)
Het gaat vooral om de zin erna, het geheel als aanvalmethode. De chip lezen is stap 1, daarna decrypten is een haast onhaalbare stap.
Dat specialisme is wel schaars, hoor. Een gewoon politiekorps heeft dat niet tot z'n beschikking.
De digitale recherche wel, en die zitten bij ieder regionaal korps, en bij het landelijke ook. NFI kan het ook.
Bij het wissen van een toestel wordt de encryptie sleutel weggegooid, dat gebeurt in een paar nano seconden. Dan is het normaliter niet terug te halen. Tenzij je 100 jaar de tijd hebt bij een 265 bits encryptie.
Kan "gekraakt" ook betekenen dat het wachtwoord/pincode/screen pattern gewoon geraden is dan wel achterhaald? En dat dus niet de beveiliging van het device zelf is omzeilt?

Of dat de vingerafdruk is gevonden, door een vettige afdruk op een item van de verdachte of gewoon deurkruk van zn toilet deur?

[Reactie gewijzigd door Jazco2nd op 20 augustus 2026 16:51]

Of dat de vingerafdruk is gevonden, door een vettige afdruk op een item van de verdachte of gewoon deurkruk van zn toilet deur?
Als de verdachte in bewaring is, dan kan die gedwongen worden om het onderzoek niet tegen te werken. Met andere woorden: justitie gebruikt de vingerafdruk of het gelaat van de verdachte zelf.

[Reactie gewijzigd door The Zep Man op 20 augustus 2026 17:35]

Er zijn telefoons die als ze leeg zijn en later opgeladen je eerst weer een pincode moet invoeren voor dat die biomedische zaken functioneren.

Als je dus wat lang wacht dan kan dat niet meer zo makkelijk.
Als je dus wat lang wacht dan kan dat niet meer zo makkelijk.
Dan hangen ze de smartphone aan een lader of powerbank.
Dan nog zit er vaak een tijdslimiet op. Als het goed is is dit bij iOS 48 uur. Als het toestel in die tijd niet ontgrendeld wordt dan is de toegangscode vereist. zo zijn er nog wel een paar situatie waarin de toegangscode vereist is voordat de gezichtsscan gebruikt kan worden. en zelfs die je zelfs kan triggeren op het moment dat je staande gehouden wordt.
Ik vraag me af of de politie dat doet , maar het kan natuurlijk wel. Ik verwacht eigenlijk dat die gewoon in eerste instantie bewaard wordt bij alle andere spullen die in bewaring worden genomen.
Ik vraag me af of de politie dat doet ,
Als er mogelijk forensisch onderzoek verwacht wordt, dan heeft men liever een apparaat dat nog aan staat. Daar zullen ze wel een procedure voor hebben.
iPhone en PixelOS hebben een reboot timer van 72 uur om een apparaat weer in BFU staat te brengen als het gedurende 72 uur niet ontgrendeld is. Op GrapheneOS kun je dit zelfs verkorten tot (als ik het me goed herinner) 10 minuten.

Dus alleen de telefoon aan een lader hangen is niet genoeg. Je moet ook nog snel zijn.
GrapheneOS standaard 18 uur, zie hun FAQ.
En dat kun je aanpassen naar 10 minuten tot 3 dagen.
Dat geldt ook voor Pixels (in ieder geval voor de nieuwere).
Als je kraken definieert als zonder toestemming van de eigenaar toegang verschaffen: dan ja, zeker :) Denk in dit geval echter van niet, want:
Volgens de officier is er goede hoop dat het NFI ook de Google Pixel-telefoons van de andere twee verdachten kan kraken.
Als je kraken definieert als zonder toestemming van de eigenaar toegang verschaffen:
Dat zou impliceren dat kraken ook insluiping betreft. Toch gaat het om een vorm van inbraak (een beveiliging wordt gebroken).
De overheid heeft bij een strafrechtelijk onderzoek nooit toestemming nodig van de verdachte, alleen maar van de officier van justitie.
Heel waarschijnlijk dat het veel minder spectaculair is dan ze weer laten uitschijnen.

Net zoals het 'kraken van het Sky ECC netwerk' wat eigenlijk toegang was via een backdoor.
In het artikel wordt het NFI benoemd. Dat is dus geen wachtwoord of vingerafdruk...
Behoorlijk clickbait artikel. Kraken terwijl we niet eens weten hoe dat gebeurt is. Dit kon ook prima een iPhone zijn als ze toevallig de geboortedatum geprobeerd hebben als pin en dat die correct was.
Kraken is gewoon zonder toestemming van de eigenaar toegang verkrijgen tot de inhoud van de telefoon, dus als dat door een geraden pincode is, of door een vette vinger die een afdruk achterliet, dan is dat ook kraken. Doet het er iets toe? Maar mijn mening niet; het gaat vooral om de creativiteit die ze gebruiken.
Doet er wel toe. In het artikel wordt vooral gesugereerd dat het om een Google Pixel telefoon gaat. Het leest weg alsof alle pixel telefoons ineens kwetsbaar zijn. Dit kan dan ook prima een iphone, samsung of iets anders zijn als men een getal geraden heeft. Als het een backdoor, bruteforce of iets dergelijks, dan mag je best spreken over een specifiek telefoon. Maar we weten niet wat er gebruikt is, dus had het niet zo expliciet in de titel gehoeven
Ik heb dit al eens eerder gezegd hier in de comments, maar werd toen uitgelachen:

Maat van mij van vroeger had ik een keer mee afgesproken voor een biertje. Hij vertelde dat hij ondertussen bij de recherche werkte, kantoorbaan, bewijs verzamelen van ingenomen spullen enzo. Hij zei dat het niet uitmaakt wat voor telefoon je hebt, kraken doen ze het wel. Meestal gewoon door de pincode te gokken (geboortedatum enzo, was volgens hem het geval bij die kopschoppers op dat Spaanse eiland een jaar of 2 geleden). En anders hebben ze wel manieren om binnen te komen, zoals Cellebrite.

Jezelf veilig achten met een bepaalde telefoon was volgens hem nogal naïef. Enkel als je echt dedicated privacy hard en software gebruikte kon het moeilijk zijn, zoals die berichtendiensten waarvan je af en toe hoort dat ze gekraakt zijn.
Enkel als je echt dedicated privacy hard en software gebruikte kon het moeilijk zijn, zoals die berichtendiensten waarvan je af en toe hoort dat ze gekraakt zijn.
Proest, dat zijn meerdere malen honeypots gebleken, en dat weten de criminelen inmiddels ook. Lijkt erop dat je maat je heeft weten te misleiden.

Je wordt uitgelachen omdat je bron n=1 hearsay is. Niet omdat het niet waar kan zijn ;) eenieder die hier meer over weet, mag hier niets over zeggen. Die maat van jou mag zoiets niet met jou delen, en jij mag het hier niet delen.

Bij politiële diensten zoals THTC van de Landelijke Eenheid werken forensische experts, en Cellebrite UFED is maar een (blackbox) tooltje. Een tooltje gebruiken is niet zo moeilijk. Je volgt de documentatie en procedures, en that's it (dat is overigens wel zeer belangrijk om te volgen; kan een zaak op stuk gaan). Dat dat het enige zou zijn, daarmee zou je het THTC tekort doen; hier werken mensen die iets meer kunnen dan dat. Dat laat onverlet dat Cellebrite UFED een krachtig, gebruikersvriendelijk (en duur) tooltje is. Dat inderdaad ook nog eens regelmatig updates ontvangt.

Je kunt het qua in beslag genomen spullen ook niet allemaal op een hoop gooien. Het maakt uit wat voor OS er op staat. Het maakt uit of de status van het apparaat BFU of AFU is. Het maakt uit wat voor hardware er in de smartphone zit. Het maakt uit hoe oud de software en hardware is t.o.v vandaag (datum inbeslagname). Het maakt uit of er een PIN of een wachtwoord op zit. Uiteindelijk is alles te hacken mits je maar lang genoeg wacht. Kwetsbaarheden worden immers altijd bekend. Hang een server tien jaar aan het internet met wat services aan, en patch nooit. Gegarandeerd dat deze na tien jaar zo lek als een zeef is.

Ergo, beste criminelen: you can run, but you can't hide. De tijd zal het leren en u als een schaduw achtervolgen zoals het zwaard van Damocles }> nul medelijden mee
Ik zeg enkel dat volgens iemand die daadwerkelijk bij de recherche werkt, dat ze vrijwel iedere telefoon binnen weten te komen. Weet je nog dat de FBI of CIA Apple vroeg om de iphone 5c van een verdachte te kraken, jaren geleden? Ze konden die telefoon met gemak in. Was enkel om druk op Apple te zetten, van kijk ze helpen een moordenaar, en kijken wat de mensheid van een dedicated backdoor vindt. Want toen Apple zei nee we doen het niet, hadden ze even later op magische reden de telefoon unlocked.

Mensen die zich veilig achten met een regulier iOS of Android toestel, zijn naïef is wat ik stel.
Ik zeg enkel dat volgens iemand die daadwerkelijk bij de recherche werkt, dat ze vrijwel iedere telefoon binnen weten te komen. [...] iphone 5c van een verdachte te kraken
Dat voorbeeld is niet sterk om je argument te onderbouwen. De iPhone 5c had nog geen secure enclave (5s was de eerste iPhone die dat wel had). Op pre-secure enclave telefoons kon je gewoon nog een image van de opslag maken en daar dan een brute force PIN aanval op doen. Bij een secure enclave is dat een heel ander verhaal, want:
  • De versleuteling gebeurd met materiaal die in de enclave opgeslagen is, de PIN wordt alleen gebruikt om de enclave toestemming te geven data te ontsleutelen.
  • De enclave is ontworpen om kapot te gaan als je een fysieke aanval probeert te doen.
  • De enclave vertraagt authenticatie na elke PIN poging (wat brute force aanvallen onmogelijk maakt). Sommige enclaves wipen ook de keys na N mislukte pogingen.
Hierdoor zijn dit soort telefoons vaak alleen AFU te kraken (één van de redenen waarom iPhones, GrapheneOS, en volgens mij tegenwoordig ook Samsung flagships automatisch na een bepaalde tijd zonder een PIN unlock rebooten).

Grappig genoeg gebruiken de meeste Android telefoons (in modellen-aantallen) nog steeds geen secure enclave/element, maar een veilige omgeving die op de main CPU draait (met wat geheugenbescherming via TrustZone). Dit soort telefoons zijn vaak triviaal te kraken. Bekende Android-uitzonderingen zijn Google Pixel (Titan M) en Samsung flagships (Knox Vault).

Aangezien Pixel wel een secure element heeft, is het wel interessant te horen wat hier gebeurd is. Wellicht een oudere versie van Pixel OS zonder reboot timer?

Ik denk dat we het voorlopig niet gaan horen.
iPhone 5c is inderdaad een niet al te best voorbeeld. Het is een gedateerd toestel (september 2013), de beruchte shooting waar deze werd gebruikt was meer dan tien jaar geleden (december 2015). Dat was toen al verouderde kennis. Verouderde kennis delen, is een beproefde tactiek om te misleiden. Overigens was dat ook een campagne om te misleiden want zoals je stelt kon de FBI zo'n toestel destijds eenvoudig kraken. Ook zonder Cellebrite. Want security researchers konden dat ook, en daar werken er enkelen van bij politiële diensten.
Aangezien Pixel wel een secure element heeft, is het wel interessant te horen wat hier gebeurd is. Wellicht een oudere versie van Pixel OS zonder reboot timer?
Pixel OS is eigenlijk vrijwel gewoon Android. Het maakt uit of een Google Pixel GrapheneOS of Android draait. De configuratie maakt ook uit. Voor iemand die er de ballen verstand van heeft, zijn er genoeg mogelijkheden voor PEBCAK, ook met GrapheneOS (ik heb dit onlangs geïnstalleerd op de nieuwe Google Pixel 10 van mijn partner en ik kwam hier diverse voorbeelden van tegen; zelf gebruik ik een minder veilig OS en minder veilige hardware omdat ik andere concessies doe).

Uit gelekte slides over Cellebrite UFED, blijkt dat vooral AFU eigenlijk niet zo moeilijk is. Ook op hacker conferenties komt regelmatig wel eens voorbij 'welke smartphone nu het veiligste is', en daar komen gedegen analyses uit. Gelukkig is het dusdanig complex dat een gemiddelde crimineel te dom is om het allemaal te begrijpen. Lekker houden zo, beetje moeite erin steken mag wel. Afgelopen december op 39C3 was de analyse van Jiska Classen: recente Google Pixel met GrapheneOS > iOS in lockdown > lege ruimte > iOS > Google Pixel met stock (de uitleg was via een plot, dus genuanceerder, bovendien noemde ze ook verschillen BFU en AFU).

Overigens hebben onze politiële diensten officieel geen UFED. Eenieder die dat publiek zou ontkrachtingen 'want ik heb ze gebruikt/gezien' lekt heimelijke informatie, en bevestigen dat ze niet in bezit zijn, zegt niets want bevestigen dat je iets niet hebt, is nietszeggender (niet te bewijzen) dan het tegendeel bewijzen (denk hierbij aan bijvoorbeeld een foto van). Een slimme, sluwe zet.

Ik betwijfel dat dat waar is, gezien dergelijke hardware wereldwijd door politiële diensten wordt ingezet. Misschien hebben onze politiële diensten wel een soortgelijk of beter inhouse alternatief, of is het semantisch omdat de apparaten in bruikleen zijn. Het mooie van UFED is niet wat het kan (dat is een hele rits bekende kwetsbaarheden, plus mogelijk enkele zero days), maar dat het dat op een betrouwbare wijze kan, in een eenvoudige interface (inclusief de hardware), met een support contract, en met regelmatige software-updates. Ik noem dat met een eenvoudig woord 'gebruikersvriendelijk'. Het nadeel, in de huidige geopolitiek, is dat je afhankelijk bent van een Israëlisch bedrijf.
Ik denk dat we het voorlopig niet gaan horen.
Dit soort zaken worden met een goede reden naar buiten gebracht :) in ieder geval zorgt het voor een beetje reuring in het criminele circuit.
Proest, [...] Je wordt uitgelachen omdat je bron n=1 hearsay is.
Ook als je het niet met iemand eens bent, moet dat nou zo?

Informatie overnemen van iemand met kennis is wat alle slimme mensen doen; je kan niet altijd weten of dat dan klopt. En hoevaak komen mensen zelf in de comments met "ik werk in branche X en het zit algemeen zus en zo"? Toch prima als iemand branche-informatie deelt met een breder publiek
Die maat van jou mag zoiets niet met jou delen, en jij mag het hier niet delen.
Algemene stellingen als "alles is uiteindelijk onveilig" staat eenieder vrij om te maken, dat is geen informatie waar iemand iets mee kan. Deze persoon, als niet-ambtenaar, is al helemaal aan geen geheimhouding gebonden

Specifieke kennis delen over Cellebrites mogelijkheden is waarschijnlijk wél contractueel verboden (voor de maat en diens organisatie), of over zaken waar je mee te maken hebt gehad uit hoofde van je functie bij de overheid. Dat soort specifieke informatie lees ik hier niet in terug. Het klinkt zelfs alsof de persoon dit überhaupt slechts vanaf een afstand meekreeg, meer aan de lunchtafel en niet dat hij of zij zelf veel geheime kennis had over de technische hulpmiddelen die kunnen worden ingezet. Cellebrite kent iedereen in de techwereld en kun je dus bij naam noemen zonder iets prijs te geven dat niet al onder publieke informatie valt
[details, details, maar] Uiteindelijk is alles te hacken mits je maar lang genoeg wacht.
Dat is toch wat de maat ook zegt? De meeste gevallen zijn makkelijk, sommige lastiger, maar ze komen er toch wel. Althans dat is de strekking zoals ik die lees. Ook van die diensten bedoeld voor criminelen geeft de persoon aan regelmatig te horen dat ze gekraakt worden. Ze zullen vooral langer duren omdat het een beperkter publiek is en dus veel minder interessant voor de cellebrites van deze wereld
dat zijn meerdere malen honeypots gebleken, en dat weten de criminelen inmiddels ook.
Toch zijn er steeds weer veel zaken als zo'n dienst wordt opgerold. In een juridische podcast hoorde ik voorbij komen dat een van de advocaten geen encrochat-zaken meer doet omdat er bewijstechnisch niks in zit en het clientèle ook niet de underdog is waar zij zich moreel verplicht voelen. Schijnbaar (ik hoor de objection: hearsay! al aankomen) vallen er toch steeds weer veel criminelen voor. Van één chatdienst weet ik dat het een honeypot was, maar de meeste diensten deden domme dingen waardoor mee te lezen viel, werden door goed technisch werk binnengedrongen, of de eigenaar werd voor iets anders gepakt en is informant geworden. Dat er ook een of twee keer een succesvolle honeypot tussen zat, wil niet zeggen dat ze dat allemaal zijn, of dat elke crimineel dat ook denkt

[Reactie gewijzigd door baseoa op 21 augustus 2026 00:36]

Ook als je het niet met iemand eens bent, moet dat nou zo?
Je ziet spoken, en quote op een dusdanige manier dat je twee datapunten aan elkaar verbindt die ongerelateerd zijn. Proest is in deze context niet uitlachen van de schrijver, maar van degenen die in honeypots tuinen.

Dat honeypots wil ik graag nog even op in gaan. Voor mij is die definitie ruim. De details die wij kennen over al deze zogeheten cryptofoons (en daar is veel over beschikbaar) laten zien dat men van beveiliging weinig kaas heeft gegeten. Dat kan iedereen die daar wel verstand van heeft beamen, en (FWIW) heb ik ook diverse mensen in de infosec gemeenschap zien uiten. Ook het hosten van de private key en/of server in een jurisdictie als Frankrijk is lachwekkend. Als je ook nog bedenkt dat men eerder hetzelfde trucje deed bij BBM dan kun je toch wel spreken van ezels die zich aan dezelfde steen stoten. Vooral als er veelgebruikte tooling is die wel uitstekend werkt. Dat maakt het, de facto, honeypots.

En dat is (in ieder geval voor mij) hilarisch.

Ik kan me nog een anecdote van Rop of Barry (Amsterdamse infosec, volgens mij was het een presentatie van Barry) uit de jaren '00 herinneren over het type klant herinneren. En dat dat roughly twee types waren: het type corporate in net pak, en het type ehhh... zware jongens, die geen idee hadden hoe het werkte. (Ik weet niet meer hoe ik destijds aan mijn gedachte kwam, maar hoe dan ook: zo iemand kun je ook snake oil verkopen.) Ze verkochten het dan ook niet meer aan deze types omdat men niet de onderwereld in gezogen wilde worden. Want stel de cryptofoon werkt niet adequaat? En de stakes zijn hoog? Een CEO snapt best effort. Die snapt ook dat bijvoorbeeld geheime informatie besproken over telefoon een X aantal jaar geheim blijft. Daarna is het dan, hopelijk, niet meer relevant. Bij (zware) criminaliteit ligt dat anders vanwege verjaringstermijn, en die denken dat je een wanprestatie leverde omdat de belofte niet is nagekomen. Dat had, ik meen dus Barry, 1x meegemaakt, zodoende ging men type klant inschatten.

Ik vind het enorm geestig wanneer dat zware jongens type domme dingen doet. Velen met mij, want het is een veelvoorkomende slapstick in (strip)boeken, films, series, enz.
Informatie overnemen van iemand met kennis is wat alle slimme mensen doen; je kan niet altijd weten of dat dan klopt. En hoevaak komen mensen zelf in de comments met "ik werk in branche X en het zit algemeen zus en zo"? Toch prima als iemand branche-informatie deelt met een breder publiek
Het punt is niet dat diegene deze informatie overneemt. Dat moet diegene zelf weten. Eigen keus. Geen probleem.

Het punt is dat die informatie vervolgens gedeeld wordt, terwijl de rest van de lezers deze bron (en de bron van de bron) niet op waarde kan schatten. Dan krijg je hearsay. Dat is een observatie; geen oordeel van mijn kant.

Zo wist ik via een familielid ook dat ik mij in mijn jeugd moest gedragen op het internet. We hebben het over de vroege jaren '00. Het voorbeeld: laten we het houden op feit dat deze persoon gewoon plaintext protocol gebruikte, zonder versleuteling, want nutteloos. Voor mij had dat waarde. Dat alles werd afgeluisterd verbaasde mij n.a.v de Snowden onthullingen dan ook niet. Ik had voldoende informatie ontvangen van diegene; maar voor anderen is dat niet van waarde. Zij kennen de bron niet, en mij eigenlijk ook niet.

Ik had destijds een vriendin die een vriend kende (je snapt al waar het heengaat) die bij de NSA werkte die ongeveer hetzelfde zei. Maar voor mij was dat geen betrouwbare bron. Ik weet dat voorbeeld nog glashelder omdat wij daar toen ook discussie over gehad hebben. Helaas was ze nogal een muur.
Toch zijn er steeds weer veel zaken als zo'n dienst wordt opgerold. In een juridische podcast hoorde ik voorbij komen dat een van de advocaten geen encrochat-zaken meer doet omdat er bewijstechnisch niks in zit en het clientèle ook niet de underdog is waar zij zich moreel verplicht voelen. Schijnbaar (ik hoor de objection: hearsay! al aankomen) vallen er toch steeds weer veel criminelen voor. Van één chatdienst weet ik dat het een honeypot was, maar de meeste diensten deden domme dingen waardoor mee te lezen viel, werden door goed technisch werk binnengedrongen, of de eigenaar werd voor iets anders gepakt en is informant geworden. Dat er ook een of twee keer een succesvolle honeypot tussen zat, wil niet zeggen dat ze dat allemaal zijn, of dat elke crimineel dat ook denkt
Ja, dat heb ik ook in een podcast gehoord. Dat er veel zaken zijn wanneer zo'n dienst wordt opgerold, dat klopt. Punt is dat je door die hoeveelheid en de latency van vrouwe justicia kunt denken dat dit soort diensten nog steeds worden gebruikt. Maar dat is niet zo; dat is een bias.

Want in volgens mij dezelfde podcast kwam ook naar voren dat men (het clientèle) tegenwoordig een andere, wijdverspreide dienst gebruikt. Dat geeft aan dat men toch in ieder geval iets heeft geleerd.

Nu nog leren wat je OPSEC moet zijn als je weet dat je toestel in beslag wordt genomen en met succes uitgelezen gaat worden. Ik heb mijn keus in ieder geval gemaakt in de vroege adolescentie: niet doen.
Software als Cellebrite, wordt ook regelmatig geüpdatet. Als een telefoon door bijvoorbeeld de meest recente update nog niet kan worden uitgelezen, kan dat vaak wel na een update vanuit cellebrite.

Cellebrite is niet de enige software die gebruikt kan worden om telefoons uit te lezen.

Als het NFI iets kraakt, gebeurt dat niet via Cellebrite maar door andere fysieke handelingen.
Ik moet dan meteen denken aan gezichtsherkenning, onverwacht ineens het toestel voor de verdachte z'n neus houden en voilà, "gekraakt". Of onder dwang de vinger op de scanner leggen...
Dat konden ze toch al op dag 1 doen? En niet jaren later?

Mij klinkt het juist alsof de software gekraakt is, dat is ook het meest logisch na al die tijd...

[Reactie gewijzigd door watercoolertje op 20 augustus 2026 17:33]

Kan ook een hardware exploit zijn, dat duurt ook een tijd om te vinden.
Het klinkt mij ook alsof de software gekraak is, maar moet altijd wel denken aan waarom niet zoals ik opgaf. Benieuwd of iemand hier meer over kan zeggen.
omdat de eigenaar gewoon een pincode erop heeft en geen gebruik maakt van biometrische opties? Dat is sowieso verstandig als je een boefje bent volgens mij.

[Reactie gewijzigd door DonChaot op 20 augustus 2026 17:54]

Haha ja dat is absoluut zo! Zeer waarschijnlijk hier het geval natuurlijk, maar het lijkt me dat dit niet in alle gevallen zo is. Daarom benieuwd of het wel eens zoals opgegeven gedaan is en of het überhaupt mag natuurlijk.
Juist wanneer je een boefje bent wil je alles lekker eenvoudig hebben. (Zoals snel geld verdienen zonder er al te hard voor te hoeven werken.)
Die zal gezichtsherkenning op het toestel juist heel erg handig vinden.

(En ze voelen zich toch veel te slim om ooit gepakt te worden, dus waarom zullen ze zich zorgen maken om wat er zou kunnen gebeuren wanneer hun telefoon in handen komt van de politie?)
onverwacht ineens het toestel voor de verdachte z'n neus houden en voilà
Ogen dicht houden, dan werkt het niet bij iPhone. Als ie maar 2x mislukt ofzo moet je pin gebruiken.
Of onder dwang de vinger op de scanner leggen...
Vinger gebruiken die je niet zo snel zou raden (dus geen duim). Na enkele pogingen => pincode nodig.

En de pincode kunnen/mogen ze niet afdwingen.
Ik ga geen linkje plaatsen, maar het is mogelijk om op Marktplaats Google Pixel’s kopen die volgens de verkoper maximaal beveiligd zijn (ingebouwde VPN, niet te volgen) en een self destruct button hebben. Volgens mij is het tegenwoordig kinderspel. Helaas wordt goeie privacy vriendelijke software verkocht door dit soort figuren.
Denk dat het volk dat zo naïef is om op marktplaats een "beveiligde" telefoon te kopen ook op de benodigde beveiligingsdiscipline bijzonder incompetent gaat zijn, mocht het op die manier per ongeluk daadwerkelijk een goed zeker gestelde telefoon in huis halen.
Ik ga geen linkje plaatsen, maar het is mogelijk om op Marktplaats Google Pixel’s kopen die volgens de verkoper maximaal beveiligd zijn (ingebouwde VPN, niet te volgen) en een self destruct button hebben
... en een verborgen app die meeluisterd, meekijkt, positie bijhoudt en deze informatie periodiek doorstuurt naar een schimmige server.

Wanneer ik op zoek zou zijn naar een dergelijke telefoon is Marktplaats wel de laatste plek waar ik die zou halen.
Waarom niet iets voor criminelen dat als je x uur niet ontgrendelt dat dan je toestel zichzelf wist?
GrapheneOS reboot standaard automatisch indien je achtien uur lang niet unlocked. Dan zit je op BFU i.pv. AFU en wordt het wat meer een uitdaging.

[Reactie gewijzigd door Jerie op 20 augustus 2026 21:47]

Dat bestaat gewoon, hoor! Maar kennelijk gebruikten deze criminelen dat niet.
Gelukkig zijn de meeste zware criminelen geen OPSEC specialisten.

Om te kunnen reageren moet je ingelogd zijn