Onderzoek Bellingcat

Digitale kruimels ondersteunen de jacht op de daders van MH17

Beelden van Google Earth waarop het transport van de buk-raket te zien is. Beeld Bellingcat

Rusland probeerde met onder andere fake satellietbeelden en nepfoto’s van Oekraïense straaljagers de zoektocht naar MH17 te blokkeren. Maar de onderzoekers van JIT en Bellingcat vonden een overdaad aan digitaal bewijsmateriaal juist in Russische databases en sociale media. Hoe digitale kruimels als verkeersovertredingen de Russische desinformatiecampagne saboteerden.

Het is niet dat Rusland het niet probeerde. Een omvangrijke desinformatiecampagne via Twitter door het befaamde Internet Onderzoekscentrum (IRA) uit Sint Petersburg vlak na de crash van vlucht MH17, een persconferentie van de Buk-fabrikant die moest aantonen dat het wapen afgeschoten werd vanaf een plek die in handen was van Oekraïne en gemanipuleerde satellietbeelden: Rusland deed er alles aan om de bewijslast over MH17 de andere kant op te sturen. Er was een bijna kolderieke poging met een gefabriceerde foto met Oekraïense straaljagers. Probleem: het logo van Malaysia Airlines was niet ter hoogte van de vleugels geplaatst zoals bij het neergestorte type 9M-RMD, maar een stuk verderop.

Wilt u dit artikel liever beluisteren? Hieronder staat de door Blendle voorgelezen versie.

Ondanks deze Russische pogingen presenteerde het Joint Investigation Team (JIT) woensdag de namen van drie Russische en één Oekraïense betrokkene bij het neerhalen van MH17. Belangrijkste bouwstenen voor het bewijs zijn digitale sporen: de onderzoekers konden geen onderzoek doen op de plaats van het delict. In een informatietijdperk waarbij burgers zelf allerlei audio- en videobestanden maken, berichten via sociale media sturen en op webfora plaatsen, is zo’n grote gebeurtenis nauwelijks te verdoezelen. Jurist en internetdeskundige Danny Mekic: ‘Het is alsof je een kristal inkijkt: in het digitale tijdperk heeft opsporing een versterkend effect gekregen. Er is extreem veel materiaal, wat onderzoek zowel makkelijker als ingewikkelder maakt. Kunst is om snel te handelen.’ In de weken na het neerschieten van MH17 begon het internationale onderzoeksteam met het opslaan van 350 miljoen webpagina’s met informatie over Oost-Oekraïne. Mekic: ‘Dat is cruciaal, want bewijs kan ook weer verdwijnen.’ 

Hij wijst op de wraakpornozaak van de twintiger Chantal. Een onbekende had een seksueel filmpje met haar op Facebook geplaatst. Door weifelend handelen van politiek en Facebook konden de gebruikersgegevens van de dader niet achterhaald worden. Pas met nieuwe informatie en het inschakelen van externe onderzoekers lukte het maanden later alsnog een ip-adres te krijgen van de computer die het filmpje postte.

Overdaad bewijsmateriaal

Rond MH17 bestaat een overdaad aan bewijsmateriaal. Vaak gepost door burgers: de route van het Buk-transport vanuit Rusland naar Oekraïne kon vrijwel geheel gereconstrueerd worden aan de hand van foto’s en video’s op sociale media. Hoe zeker is het dat die beelden echt zijn? Digitaal expert Matthijs Koot, gepromoveerd op onderzoek naar data-anonimiteit: ‘Bij het verzamelen, analyseren en interpreteren van bewijs van computers en smartphones kan worden gewerkt volgens forensisch-technische normen. Dat is geen eis om bewijsmateriaal rechtsgeldig te laten zijn, maar versterkt de bewijskracht.’ Bijvoorbeeld de vraag of twee foto’s wel afkomstig zijn van hetzelfde digitale apparaat. De gigantische hoeveelheid gegevens werken volgens Koot in het voordeel van de opsporing. ‘Als gegevens beschikbaar zijn van meerdere, van elkaar onafhankelijke bronnen, en er geen bewijs is dat die gegevens weerlegt, komt er een moment waarop je niet meer kan volhouden dat er onvoldoende bewijs is voor een bepaalde bewering.’

De Russische bureaucratie is ook behulpzaam. Onderzoekscollectief Bellingcat heeft uit meerdere Russische databases, zoals het register voor verkeersovertredingen, nuttige gegevens gehaald over betrokkenen bij MH17. Door strengere privacywetgeving is het in Europa minder goed mogelijk om zomaar door dat soort bestanden te grasduinen. Tezamen met ander bewijsmateriaal zorgden deze digitale kruimels ervoor dat de Russische desinformatiecampagne kansloos was.

1.  Foto’s en video’s

Op 3 mei 2016 plaatst een ongeïdentificeerde gebruiker een video op YouTube. Het zijn beelden van een dashcam, dan bijna twee jaar oud, die midden juli 2014 zouden zijn gemaakt. De video levert interessante inzichten op over het transport van de Buk waarmee MH17 is neergeschoten. Bijvoorbeeld de locatie waar het transport rijdt, vlakbij Donetsk. Door de beelden te vergelijken met satellietgegevens kunnen onderzoekers de echtheid vaststellen. Na 47 seconden is de Buk te zien, inclusief twee begeleidende auto’s: een VW Transporter en een Toyota RAV4, die ook in eerdere video’s te zien zijn. Een twitteraar vergelijkt de getoonde brandstofprijzen uit de video met de website van het benzinestation. De getoonde prijzen komen overeen met die uit juli 2014.

2. Satellietbeelden

Boven de aarde zweven vele satellieten – zowel commercieel als van overheden. Digital Globe heeft zijn eigen satellieten die in hoge resolutie momentopnames maken van de aarde. Google koopt deze beelden voor Google Earth en in 2016 voegt Google satellietbeelden uit de regio Oost-Oekraïne van juli 2014 toe. Bij toeval zijn die beelden – die eens in de zoveel minuten worden gemaakt – geschoten op het moment dat het Buk-transport voorbij kwam, om 11.08 op 17 juli 2014. Dankzij de satellietbeelden is er meer bewijs dat pro-Russische rebellen een Buk vanuit Donetsk naar Snizhne in het oosten van Oekraïne vervoerden op de dag dat MH17 werd neergeschoten.

3. Getuigen

Een inwoner van Torez in Oost-Oekraïne hoort op 17 juli twee harde knallen, rent naar zijn balkon met een fototoestel en maakt, net na de lancering van de Buk, twee foto’s. In eerste instantie denkt hij dat hij te laat is: er is alleen een wit rookspoor te zien. Pas later begrijpt hij de betekenis van die rookpluim: het spoor van een Buk-raket. ‘Ik heb contact opgenomen met een vriend van mij en hem de foto’s gegeven, inclusief de originelen. Die vriend nam contact op met de SBOe (de Oekraïense veiligheidsdienst) en bij de SBOe hadden ze belangstelling voor de foto’s’, vertelt de man een half jaar later aan journalist Olaf Koens. Een eerste foto verschijnt de dag van de ramp op een blog, de tweede volgt een half jaar later. De Oekraïense veiligheidsdienst neemt de camera in beslag, tegen een vergoeding. De foto’s, ook in bezit van het JIT, zijn belangrijk bewijsmateriaal om te bepalen waar de Buk exact is gelanceerd. De inwoner: ‘Er zijn geen andere foto’s beschikbaar die bewijzen dat die Buk iets afschiet in dat gebied.’

Beelden van Google Earth waarop het transport van de buk-raket te zien is. Beeld Bellingcat
Foto waarop het rookspoor van de buk-raket is te zien. Beeld ukraine@war

4. Sociale media

Sociale media zijn een goudmijn. Bellingcat-onderzoeker Daniel Romein reconstrueert de samenstelling van het tweede bataljon van de 53ste brigade die de Buk naar het strijdgebied bracht. Maandenlang zoekt hij naar de juiste samenstelling via de Russische tegenhanger van Facebook, VKontakte, en de Russische profielensite Odnoklassniki. Dat gaat moeizaam: Russische militairen wissen foto’s en video’s uit 2014. Totdat Romein op de luitenant van het radarvoertuig van het bataljon stuit: Vadim M. Hij is een stuk minder terughoudend met informatie. Romein: ‘Dankzij hem vond ik veel foto’s van officieren die met het bataljon een oefening deden.’ Tijdens de oefening een jaar eerder in Kapustin Yar zijn groepsfoto’s genomen. In de reacties en getagde personen vindt Romein nieuwe namen en bevestigingen. Een van de officiersvrouwen reageert op een groepsfoto met de tekst ‘knapperd!’. Omdat haar achternaam dezelfde is als een officier uit het bataljon en Romein één persoon van de foto niet kan identificeren, zet haar reactie hem op het goede spoor.

Groepsfoto waarop iemand linksonder reageert met ‘knapperd!’, wat Romein helpt bij de identificatie van de officieren op de foto. Beeld Bellingcat

5. Afgeluisterde telefoongesprekken

Ze staan al online voordat de lichamen geborgen zijn: afgetapte telefoongesprekken van pro-Russische rebellen. De Oekraïense veiligheidsdienst SBOe publiceert ze een dag na de crash. Interceptie van communicatie is gebruikelijk in gevechtsgebieden, maar zonder details zijn de ruwe bestanden geen bewijs. Bellingcat doet eind 2016 onderzoek naar een gesprek van ene ‘Khmuryi’ die de Buk bestelde en het transport coördineerde. Het weet met uitvoerig online onderzoek zijn ware identiteit te bevestigen. Romein: ‘Wij hebben nooit klakkeloos aangenomen dat alle informatie van de afgetapte gesprekken klopte. Pas op het moment dat de tijdlijn, de gebeurtenissen en locaties zoals beschreven in die gesprekken overeenkwamen met bevestigde gegevens, konden we stellen dat ze zeer waarschijnlijk authentiek zijn. Definitief bewijs zagen we in veel gevallen pas aan de hand van stemvergelijkingen en getuigenverklaringen.’

Het Openbaar Ministerie gaat vier mensen vervolgen wegens moord in verband met het neerschieten van vlucht MH17. Dat heeft hoofdofficier van justitie Fred Westerbeke woensdag gezegd op een persconferentie van het internationale onderzoekteam JIT.

De aangeklaagden bestaan uit drie Russen en één Oekraïner. Onder hen bevinden zich inlichtingenofficieren en de voormalig minister van Defensie van de rebellenrepubliek Donetsk.

Meer over

Wilt u belangrijke informatie delen met de Volkskrant?

Tip hier onze journalisten


Op alle verhalen van de Volkskrant rust uiteraard copyright. Linken kan altijd, eventueel met de intro van het stuk erboven.
Wil je tekst overnemen of een video(fragment), foto of illustratie gebruiken, mail dan naar copyright @volkskrant.nl.
© 2019 de Persgroep Nederland B.V. - alle rechten voorbehouden