Svea Hovrätt Dom B 6402-13

SVEA HOVRÄTT DOM Mål nrAvdelning 05 2013-09-25 B 6402-13Rotel 0508 Stockholm

ÖVERKLAGAT AVGÖRANDENacka tingsrätts dom den 20 juni 2013 i mål nr B 2124-12, se bilaga A

PARTER (antal tilltalade 1)

Klagande och motpart (Åklagare)Kammaråklagaren Henrik OlinÅklagarmyndighetenInternationella åklagarkammaren i Stockholm

Klagande och motpart (Tilltalad)Per GOTTFRID Svartholm Warg, 841017-0537Frihetsberövande: Häktad

Ombud och offentlig försvarare: Advokaten Ola SalomonssonKungsholmstorg 16112 21 Stockholm

SAKENGrovt bedrägeri m.m.

HOVRATTENS DOMSLUT

Hovrätten, som även tillämpar 34 kap. 3 § andra stycket brottsbalken, ändrartingsrättens dom endast på så sätt att

- åtalen för dataintrång mot Nordea Bank AB (åtalspunkten 5), grovt bedrägeri(åtalspunkten 6) och försök till grovt bedrägeri (åtalspunkterna 7, 9-11 och 13)ogillas och attfängelsestraffets längd bestäms till ett år.

Vad tingsrätten förordnat om beslag ska alltjämt gälla.

Gottfrid Svartholm Warg ska stanna kvar i häkte till dess att fängelsestraffet fårverkställas, dock längst till den tidpunkt då han skulle ha frigivits villkorligt omhovrättens dom i denna del hade vunnit laga kraft mot honom.

Avräkning på här utdömt fängelse ska ske med elva dagar för den tidGottfrid Svartholm Warg har varit frihetsberövad utomlands.

Ola Salomonsson tillerkänns ersättning av allmänna medel med 174 892 kr, varav114 264 kr avser arbete, 25 650 kr tidsspillan och 34 978 kr mervärdesskatt. Dennakostnad ska stanna på staten.

Dok.Id 1089739

PostadressBox 2290103 17 Stockholm

BesöksadressBirger Jarls Torg 10

Telefon08-561 6700008-561 672 90

Telefax08-56167299

Expeditionstidmåndag - fredag09:00-15:00

E-post: [email protected]

Sid 2SVEA HOVRÄTT DOM B 6402-13Avdelning 05

YRKANDEN I HOVRÄTTEN

Åklagaren har yrkat att hovrätten ska döma Gottfrid Svartholm Warg till ett längre

fängelsestraff än vad tingsrätten har bestämt.

Gottfrid Svartholm Warg har yrkat att hovrätten ska döma honom för gärningen i

åtalspunkten 3, dataintrång mot Bisnode Information AB (tidigare Infodata

Applicate AB, nedan kallat Applicate), med den inskränkningen att han har begått

gärningen ensam. Gottfrid Svartholm Warg har vidare yrkat att hovrätten i övrigt ska

ogilla åtalet, dvs. åtalspunkten 4, dataintrång mot Logica Sverige AB (nuvarande

CGI Sverige AB, nedan kallat Logica), åtalspunkten 5, dataintrång mot

Nordea Bank AB (nedan kallat Nordea), åtalspunkterna 6-7, 9-11 och 13,

grovt bedrägeri och försök därtill mot Nordea och bestämma påföljden till böter

för det erkända brottet i åtalspunkten 3.

Parterna har motsatt sig varandras ändringsyrkanden.

HOVRÄTTENS DOMSKÄL

Utredningen i hovrätten är väsentligen densamma som i tingsrätten. På begäran av

Gottfrid Svartholm Warg har det i hovrätten dessutom hållits förhör med

Jacob Appelbaum samt tilläggsförhör med Gottfrid Svartholm Warg och

Jesper Blomström angående frågan om fjärrstyrning av Gottfrid Svartholm Wargs

dator.

Skuld

Gottfrid Svartholm Warg har inte ifrågasatt att hans dator har använts för att utföra

dataintrången mot Applicate, Logica och Nordea samt bedrägeribrotten. Gottfrid

Svartholm Warg har erkänt dataintrång mot Applicate, men har gjort gällande att han

agerat ensam. Han har vidare förnekat att det är han som begått de övriga brotten.

Istället har han gjort gällande att det måste vara någon annan som utan hans kännedom

har utfört gärningarna, antingen genom att fjärrstyra hans dator eller genom att

använda datorn vid besök i hans hem. Han har sina misstankar om vem eller vilka som

ligger bakom detta men vill av rädsla för repressalier inte nämna några namn.

SVEA HOVRÄTT DOM B 6402-13Avdelning 05

Har dataintrång skett?

På de skäl som angetts av tingsrätten finner hovrätten det utrett att flera intrång

gjorts i Applicates tjänst Infotorg och i Logicas stordator under tiden l januari 2010 till

den 15 april 2012 samt i Nordeas stordator under tiden juli till augusti 2012.

Av utredningen framgår att Logicas stordatormiljö innehåller databaser tillhörande

Skatteverket, bl.a. Statens Personadressregister (SPAR), och Kronofogdemyndigheten.

Vidare framgår att känslig information laddats ned vid dataintrången, bl.a. filer med

närmare 10 000 personnummer tillhörande personer med skyddad identitet. De flesta

av personnumren har sedan lagts ut på Internet där de varit lätt åtkomliga för envar. Av

utredningen framgår vidare att den förtroendeskada som svenska myndigheter lidit på

grund av intrången har varit stor.

Vid vissa av dataintrången mot Nordeas stordator har olovliga penningtransaktioner

och försök till sådana utförts, vilket i ett fall har resulterat i att pengar betalats ut till en

obehörig person.

Har Gottfrid Svartholm Wargs dator använts vid brotten?

I likhet med tingsrätten finner hovrätten det visat att Gottfrid Svartholm Wargs dator

har använts vid dataintrången mot Applicate, Logica och Nordea samt vid bedrägeri-

brotten. Genom utredningen är vidare visat att även Mathias Gustafssons dator använts

vid intrången mot Applicate och Logica, vilket är något som Gottfrid Svartholm Warg

inte har ifrågasatt.

Har Gottfrid Svartholm Wargs dator fjärrstyrts?

Gottfrid Svartholm Warg har avseende brotten mot Logica och Nordea gjort gällande

att hans bärbara dator av märket MacBook Pro kan ha fjärrstyrts utan hans vetskap.

Datorn fungerade enligt honom som en server och datorns brandvägg var konfigurerad

som för en "labbdator", vilket innebar att utomstående kunde koppla upp sig på datorn

och använda den. På datorn kunde därför även "udda" saker förekomma.


Hovrätten konstaterar att datorns brandvägg enligt IT-säkerhetsspecialisten Jacob

Appelbaum har varit konfigurerad på ett sådant sätt att datorns intigritet inte längre

kunde garanteras och fjärrstyrning av datorn kunnat ske på ett stort antal sätt. Enligt

Jacob Appelbaum är det vidare möjligt att fjärrstyra en dator utan att detta lämnar

några spår, tex. genom användande av programmeringsspråk som Python eller Neko;

ett användande som tillåts genom den aktuella konfigurationen av datorns brandvägg.

Om fjärrstyrningen sker via den fjärrstyrda datorns arbetsminne försvinner dessutom

enligt honom spåren nästan omedelbart. Jacob Appelbaums slutsatser har i hovrätten i

princip bekräftats av IT-säkerhetsspecialisten Jesper Blomström.

Jesper Blomström har visserligen under förundersökningen undersökt datorn och

därvid kommit fram till slutsatsen att datorn inte har fjärrstyrts sedan operativsystemet

ominstallerades den 11 juli 2011. Han har dock i hovrätten uppgett att datorn vid

undersökningen inte genomsöktes i sin helhet och att undersökningen främst var

inriktad på att söka efter spår efter fjärrstyrning med något av programmen Terminal

Services och Powershell Server. Jesper Blomström har i hovrätten därför sagt sig inte

kunna utesluta att datorn skulle kunna innehålla ett fjärrstyrningsprogram för

exempelvis Python.

Hovrätten konstaterar att den nya bevisning som lagts fram här ger stöd för Gottfrid

Svartholm Wargs påstående om att datorn var en "labbdator", som en obestämd krets

av personer kunde använda, och att i ljuset av den nya utredningen så framstår därför

Jesper Blomströms undersökning av datorn som alltför begränsad för att ensam

utesluta fjärrstyrning.

Hovrätten övergår nu till att pröva frågan vilket stöd som övrig utredning, såsom

chattkonversationerna, ger för åklagarens gärningspåståenden.


Chattkonversationer om intrången mot Applicate och Logica

Det framgår av utredningen att Gottfrid Svartholm Warg vid chattande använt sig av

signaturerna "anakata", "tLt" och "tLt-" samt att "dIROX" är en signatur som Mathias

Gustafsson använt i sådana sammanhang.

Gottfrid Svartholm Warg har hävdat att det i de flesta av de av åklagaren åberopade

chattkonversationerna inte är han utan andra personer som har använt samma

chattsignatur som han brukar använda och som skrivit inläggen. Gottfrid Svartholm

Warg har även gjort gällande att han vid chattande huvudsakligen använt sig av

signaturen "anakata". Han har slutligen hävdat att "tLt" är en förkortning av ett namn

på en mindre datahackergrupp i Kambodja bestående av mestadels svenskar och att

alla medlemmarna i gruppen använder denna signatur.

Gottfrid Svartholm Warg har emellertid vidgått att han under signaturen "tLt-" deltagit

i en av åklagaren åberopad chattkonversation med en annan person år 2011 och att han

därvid skrivit att han varit inne och "röjt" på servrarna för bl.a. SPAR, Skatteverket

och Kronofogdemyndigheten.

Som tingsrätten har konstaterat innehåller chattkonversationerna även många andra

inlägg av signaturerna "anakata"/"tLt"/"tLt-" och "dIROX" som på olika sätt refererar

till dataintrången mot Applicate och Logica.

I en konversation den 30 mars 2012, alltså tidsmässigt väl i anslutning till de nu

aktuella dataintrången, blev signaturen "tLt" tilltalad som "anakata" och "tLt" svarade

utan att invända mot detta. "tLt" skrev i den konversationen om "folk med skyddad

identitet" och gjorde vidare anspelningar både på namnet på det operativsystem som

används på Logicas stordator, z/OS, och på det prefix, D044, som Skatteverket

använder för sina dataset.


Hovrätten konstaterar att det faktum att det rör sig om dataintrång under flera års tid i

sig innebär att det framstår som osannolikt att dessa skulle ha skett utan Gottfrid

Svartholm Wargs vetskap via fjärrstyrning eller genom att besökare i dennes hem

skulle ha använt hans dator. Detta faktum tillsammans med de ovan nämnda

chattkonversationerna och det faktum att det i den aktuella delen (partitionen) av

datorn även funnits filer hänförliga till Gottfrid Svartholm Warg personligen ger enligt

hovrättens mening ett sådant stöd för åtalet att det är ställt utom allt rimligt tvivel att

det är Gottfrid Svartholm Warg som tillsammans och i samförstånd med Mathias

Gustafsson har begått intrången mot Logica på sätt åklagaren har påstått. Gottfrid

Svartholm Wargs dator var således varken fjärrstyrd eller använd av någon gäst vid

intrången. Det är därigenom även ställt utom allt rimligt tvivel att Gottfrid Svartholm

Warg begått intrången mot Applicate delvis på egen hand - vilket han också erkänt -

och delvis tillsammans och i samförstånd med Mathias Gustafsson på sätt åklagaren

har påstått.

Tingsrättens dom ska därför inte ändras såvitt avser dataintrången mot Applicate och

Logica (åtalspunkterna 3 och 4).

Ger chattkonversationerna stöd för åtalet för dataintrång och bedrägeribrott mot

Nordea?

Tingsrätten fann det besvärande för Gottfrid Svartholm Warg att signaturen "tLt" den

29 mars 2012 i en chatt skrev "fan jag vill hakka banklD". Hovrätten konstaterar dock

för sin del att begreppet "banklD" har att göra med systemet för elektronisk

legitimation varför uttalandet i sig inte tyder på något samband med intrång i Nordeas

stordator. Inte heller i övrig av åklagaren åberopad chattkonversation finns det något

som binder Gottfrid Svartholm Warg till brotten mot Nordea.

Som konstaterats ovan utesluter den under förundersökningen gjorda undersökningen

av datorn inte ensam att datorn kan ha fjärrstyrts utan Gottfrid Svartholm Wargs

vetskap. Inte heller chattkonversationerna eller övrig utredning ger alltså tillräckligt

stöd för åtalet avseende brotten mot Nordea. Åtalet ska därför ogillas såvitt avser


dataintrång och bedrägeribrott mot Nordea och tingsrättens dom ändras i enlighet med

detta (åtalspunkterna 5 samt 6-7, 9-11 och 13).

Påföljd m.m.

Gottfrid Svartholm Warg förekommer sedan tidigare under ett avsnitt i belastnings-

registret. Han dömdes den 17 april 2009 av Stockholms tingsrätt for bl.a. medhjälp till

brott mot upphövrättslagen till ett års fängelse. Verkställigheten påbörjades

den 11 september 2012 och han frigavs villkorligen den 9 maj 2013.

Gottfrid Svartholm Warg döms nu för två fall av dataintrång. Intrånget mot Logicas

stordator har inneburit att mycket känslig information åtkommits och har förorsakat

stor förtroendeskada för svenska myndigheter och stora kostnader. Brottslighetens

straffvärde uppgår enligt hovrättens mening därför till drygt ett års fängelse. Eftersom

dataintrången begicks innan domen den 17 april 2009 hade börjat verkställas ska viss

reduktion företas då straffet bestäms och straffmätningsvärdet uppgår till ett års

fängelse. Det saknas utrymme att välja annan påföljd än fängelse på grund av det höga

straffmätningsvärdet och då det är fråga om återfall i brott. Fängelsestraffets längd ska

därför bestämmas till ett år. Tingsrättens dom ska ändras i enlighet med detta.

På grund av risken för att Gottfrid Svartholm Warg på fri fot undandrar sig

straffverkställighet ska han vara kvar i häkte.

HUR MAN ÖVERKLAGAR, se bilaga B

Överklagande senast 2013-10-23.

I avgörandet har deltagit hovrättsråden Mats Walberg och Anna-Karin Winroth,

tf. hovrättsassessorn Gabriel Lind af Hageby, referent, samt nämndemännen

Anki Agneby och Gerd Wrede.

Avräkningsunderlag, se hovrättens akt

SVEA HOVRATTAvdelning 05Rotel 0508

AVRAKNINGSUNDERLAG2013-09-25Stockholm

Aktbilaga 3 Ö

Mål nr B 6402-13

Underlaget avser

Person-/samordningsnummer/fbdelsetid841017-0537EfternamnSvartholm Warg

Datum for dom/beslut2013-09-25FörnamnPer GOTTFRID

Ovan angiven person har under en sammanhängande tid av minst 24 timmar varit frihetsberövadsom anhållen, häktad eller på något annat sådant sätt som avses i 19 a § lagen (1974:202) omberäkning av strafftid m.m. eller 10 a § lagen (1998:603) om verkställighet av slutenungdomsvård under nedan angivna tider.

Frihetsberövad Frihetsberövandet hävt/upphört/avbrutet

Datum2012-09-112013-05-09

Datum2012-12-07

Särskild anteckning

Kriminalvården har lämnat domstolen en underrättelse om att det finns uppgifter hosKriminalvården som är av betydelse för avräkning (8 § förordningen (1974:286) om beräkning avstrafftid m.m.).

Särskild upplysning till Kriminalvården m.fl. myndigheter

Det finns tidigare meddelad dom, beslut eller avräkningsunderlag enligt 12 a §strafföreläggandekungörelsen (1970:60) som innehåller uppgift om frihetsberövande som harbetydelse för avräkning (3 § 4 förordningen (1990:893) om underrättelse om dom i vissa brottmål,m.m.).

DokJd 1102385PostadressBox 2290103 17 Stockholm

BesöksadressBirger Jarls Torg 10

Telefon08-561 670 0008-561 672 90

Telefax08-56167299


E-post: [email protected]

NACKA TINGSRÄTTAvdelning 2

DOM2013-06-20meddelad iNacka Strand

Mål nr B 2124-12

Bilaga APARTER (Antal tilltalade: 4)

ÅklagareKammaråklagare Henrik OlinÅklagarmyndighetenInternationella åklagarkammaren i Stockholm

TilltaladAbdul-Rahim Bashe Said, 940410-2692c/o Bashe Järn SaidBennetsVäg 7 C213 67 Malmö

Offentlig försvarare:Advokat Tobias FälthFörsvarsadvokaterna Stockholm HBBox 12107102 23 Stockholm

DOMSLUT

Åtalet ogillas.

Ersättning1. Tobias Fälth tillerkänns ersättning av allmänna medel med 61 781 kr. Av beloppet

avser 46 575 kr arbete, 2 850 kr tidsspillan och 12 356 kr mervärdesskatt.2. Kostnaden för försvaret ska stanna på staten.

PostadressBox 110413126 Nacka Strand

BesöksadressAugustendalsvägen20

Telefon Telefax08-561 656 00 08-561 657 99E-post: [email protected]

www.nackatingsratt.domstol.se


Mål nr B 2124-12NACKA TINGSRÄTT DOMAvdelning 2 2013-06-20

meddelad iNacka Strand

PARTER (Antal tilltalade: 4)


TilltaladSeifaddin Sedira, 931222-7979Ryttaregatan 5 B212 43 Malmö

Offentlig försvarare:Advokat Ingela Ekman HessiusAdvokat Ingela E Hessius ABFörrådsvägen 18141 46 Huddinge

DOMSLUT

Begångna brott Lagrum1. Narkotikabrott l § l st 6 p narkotikastrafflagen

(1968:64)

2. Narkotikabrott l § l st 6 p och 2 § narkotikastrafflagen(1968:64)

Påföljd m.m.

Skyddstillsyn- Särskild föreskrift: Seifaddin Sedira ska underkasta sig den drogawänjande vård

som frivården föreskriver.

KriminalvårdenFrivården Malmö

ÖvervakareÖvervakare förordnas av Kriminalvården.

PostadressBox 11 04131 26 Nacka Strand

BesöksadressAugustendalsvägen20


www .nackatingsratt. domstol, se


NACKA TINGSRÄTT DOM B 2124-12Avdelning! 2013-06-20

Andra lagrum som åberopas29 kap 7 § l st brottsbalken

Följande åtal ogillasMedhjälp till försök till grovt bedrägeri, åtalspunkten 12 i domsbilaga l

Förverkande och beslagI beslag tagen narkotika jämte emballage, våg, cigarettpapper och plastpåse förklarasförverkade. Beslagen ska bestå (Polismyndigheten i Skåne; beslagsnr. 2012-1200-BG16183p. l-2,2012-1200-BG16185p. 1-2 och 2012-1200-BG16186p. 1-3).

BrottsofferfondDen tilltalade åläggs att betala en avgift på 500 kr enligt lagen (1994:419) ombrottsofferfond.

Ersättning1. Ingela Ekman Hessius tillerkänns ersättning av allmänna medel med 61 963 kr. Av

beloppet avser 44 091 kr arbete, 4 560 kr tidsspillan, 919 kr utlägg och 12 393 lo-mervärdesskatt.

2. Kostnaden för försvaret ska stanna på staten.

ÖvrigtSeifaddin Sedira ska till staten betala tillbaka kostnaderna för provtagning och analys pål 230 kr.

Mål nr B 2124-12NACKA TINGSRÄTT DOMAvdelning 2 2013-06-20

meddelad iNacka Strand



TilltaladBror Olof MATHIAS Gustafsson, 7'61117'-7234Timmermansvägen 141771 51 Ludvika

Offentlig försvarare:Advokat Björn HurtigAdvokaterna Hurtig & Partners ABStampgatan 20411 01 Göteborg

DOMSLUT

Begångna brott LagrumDataintrång 4 kap 9c § brottsbalken

Påföljd m.m.

Skyddstillsyn- Särskild föreskrift: Mathias Gustafsson ska underkasta sig den drogawänjande

vård och den psykisatriska vård som frivården föreskriver.

KriminalvårdenFrivården Dalarna

ÖvervakareÖvervakare förordnas av Kriminalvården.

Andra lagrum som åberopas34 kap l § l st 2 p brottsbalken

Postadress Besöksadress Telefon Telefax ExpeditionstidBox 1104 Augustendalsvägen 08-561 656 00 08-561 657 99 måndag - fredag131 26 Nacka Strand 20 E-post: [email protected] 08:00-16:30

www.nackatmgsratt.domstol.se

NACKA TINGSRÄTT DOM B 2124-12Avdelning 2 2013-06-20

Förverkande och beslagI beslag tagna WiFi-antenner, minneskort, datorer, krypterade hårddiskar samt enWiFi-adapter och hårddisk förklaras förverkade. Beslagen ska bestå (Polismyndigheteni Stockholms län; beslagsnr. 2012-0201-BG10221 p. l, 13-14,16-17,19, 29 och 42-44).

SekretessMed stöd av 43 kap. 5 § offentlighets- och sekretesslagen (2009:400) förordnartingsrätten att sekretessbestämmelsen i 35 kap. 13 § samma lag även i fortsättningen skavara tillämplig beträffande uppgifter om Mathias Gustafssons personliga förhållandensom förebringats vid förhandling inom stängda dörrar.


Ersättning1. Björn Hurtig tillerkänns ersättning av allmänna medel med 251 253 kr. Av beloppet

avser 187 542 kr arbete, 8 550 kr tidsspillan, 4 911 kr utlägg och 50 250 krmervärdesskatt.



DOM2013-06-20meddelad iNacka Strand

Mål nr B 2124-12



TilltaladPer GOTTFRID Svartholm Warg, 841017-0537Frihetsberövande: Häktadf n häktet Sollentuna

Offentlig försvarare:Advokat Ola SalomonssonAdvokatfirman Ola Salomonsson KommanditbolagKungsholms Torg 16, 4tr11221 Stockholm

DOMSLUT

Begångna brottl. Dataintrång

Lagrum4 kap 9c § brottsbalken

2. Grovt bedrägeri

3. Försök till grovt bedrägeri

9 kap l § l st och 3 § brottsbalken

9 kap l § l st, 3 § och 11 § samt 23 kapl § brottsbalken

Påföljd m.ni.

Fängelse 2 år

Andra lagrum som åberopas34 kap l § l st 2 p brottsbalken

Följande åtal ogillasFörsök till grovt bedrägeri, åtalspunkterna 8 och 12 i domsbilaga l

Postadress BesöksadressBox 1104 Augustendalsvägen13126 Nacka Strand 20


www.nackatingsratt.domstol.se



Förverkande och beslag1. Beslaget av en laptop ska bestå till dess domen vunnit laga kraft i ansvarsdelen.

Därefter ska godset utlämnas till Gottfrid Svartholm Warg (Polismyndigheten iStockholms län; beslagsnr. 2012-0201-BG25708 p. 1).

2. I beslag tagna hårddiskar och en bärbar dator förklaras förverkade. Beslagen skabestå (Polismyndigheten i Stockholms län; beslagsnr. 2012-0201-BG25023, p. 1-2 och 23).

Häktning m.m.1. Gottfrid Svartholm Warg ska stanna kvar i häkte till dess domen i ansvarsdelen

vinner laga kraft mot honom.2. Avräkning på här utdömt fängelse ska ske med elva (11) dagar för den tid Gottfrid

Svartholm Warg varit frihetsberövad utomlands.


Ersättning1. Ola Salomonsson tillerkänns ersättning av allmänna medel med 363 712 kr. Av

beloppet avser 267 030 kr arbete, 23 940 kr tidsspillan och 72 742 krmervärdesskatt.



YRKANDEN M.M.

Åklagaren har yrkat enligt stämningsansökan, domsbilaga 1-2.

Mathias Gustafsson och Gottfrid Svartholm Warg har varit frihetsberövade i målet

under den tid som framgår av avräkningsunderlag som finns i tingsrättens akt. Gott-

frid Svartholm Warg har också varit frihetsberövad från det att han greps i Kam-

bodja den 30 augusti 2012 till 11 september samma år då han häktades första

gången i det här målet eller närmare bestämt elva dagar.

Utöver den bevisning som framgår av stämningsansökan, förutom att vittnesförhö-

ret med Robert Pock har återkallats, har åklagaren åberopat en rapport från Rikspo-

lisstyrelsen daterad den 15 april 2012 för att styrka omfattningen av dataintrången

och konsekvenserna för polisen (avser domsbilaga l, åtalspunkt 1-4) och en pro-

memoria från Säkerhetspolisen "Analys av filen utcam.sh" daterad den 18 april

2012 för att styrka tillvägagångssättet vid dataintrånget mot Logica och dess allvar

(avser domsbilaga l, åtalspunkt 4) samt vittnesförhör med hos Nordea anställde

Rolf Larsson. Gottfrid Svartholm Warg har för sin del åberopat vittnesförhör med

Richard Holmboe, för att styrka att spår från fjärrstyrning går att radera.

DOMSKÄL

1. Inledning

En stordators datormiljö skiljer sig ganska mycket från den moderna datormiljö som

vanligtvis förekommer i dag. Stordatorer har använts sedan 1960-talet och används

fortfarande, framför allt av organisationer som behöver en stor beräkningskraft, t.ex.

myndigheter, banker och försäkringsbolag. Stordatorn har kännetecknats av en hög

driftsäkerhet och även en hög säkerhetsnivå.

Den 7 mars 2012 upptäckte en anställd hos företaget Applicate (numera Bisnode

Information) ovanliga aktiviteter i den stordatormiljö som bolaget har sin tekniska

infrastruktur i. I anledning härav startade undersökningar, inte bara inom det egna

bolaget utan även hos Logica (numera CGI) som Applicate är kund hos. Eftersom


de interna undersökningarna hade visat att någon (i fortsättningen benämnd "angri-

paren" även om det kan ha rört sig om flera) hade gjort intrång i Applicates webb-

tjänst Infotorg och i Logicas stordator gjorde bolagen en polisanmälan som registre-

rades den 23 mars 2012. Undersökningen visade också att flera svenska myndighet-

er såsom Polisen, Kronofogdemyndigheten och Skatteverket var berörda varför

Rikspolisstyrelsens verksamhetsskydd kopplades in och den 28 mars 2012 klassifi-

cerade det inträffade som en nationell särskild händelse enligt förordningen

(1989:773) med instruktion för Rikspolisstyrelsen. Det akuta arbetet i anledning av

det inträffade pågick fram till den 4 april 2012 men arbetet avslutades först den 15

november samma år. Parallellt med Rikspolisstyrelsens arbete pågick förundersök-

ning vilken har resulterat i aktuellt åtal, domsbilaga l, åtalspunkt 1-4.

Under utredningsarbetet avseende intrånget mot Logica och Applicate upptäcktes

även spår av intrång i en stordator som tillhör Nordea. I anledning härav kontakta-

des Nordea och efter mera ingående undersökningar konstaterades att intrång hade

förekommit också i Nordeas stordator samt att det hade genomförts en överföring

av pengar från ett visst konto hos banken till annat konto och flera sådana försök.

Den l oktober 2012 gjordes en formell polisanmälan och den förundersökningen

har resulterat i åtalet i domsbilaga l, åtalspunkt 5-13.

Dataintrången har varit mycket omfattande och tekniskt avancerade. Angriparen har

påverkat mycket känsliga system, t.ex. stordatorer hos Logica och Nordea. Denne

har därigenom kommit åt system som innehåller mycket känslig information. Vi-

dare har det laddats ner/tankats ut stora mängder data/information. Mycket av den

informationen har i sig varit av känsligt slag men det har också rört sig om inform-

ation som i kombination med annan tillgänglig information kan bli än mer känslig.

Den av åklagaren åberopade bevisningen har varit betydande och avser i huvudsak

fynd som gjorts bl.a. i de hos Mathias Gustafsson och Gottfrid Svartholm Warg i

beslag tagna datorerna jämfört med loggar (registrerade spår) från de drabbade före-

tagen samt ytterligare fynd i form av s.k. chattar (diskussioner på Internet) som på-

10


träffats i s.k. molnlagring, dvs. information som har sparats på Internet och som har

kunnat kopplas till Mathias Gustafsson och Gottfrid Svartholm Warg.

Målet bygger till stor del på skriftlig bevisning men också på förhör med IT-

forensisker och andra personer som på olika sätt arbetat med utredningen och som

har sammanställt och dokumenterat resultatet av utredningen.

I inledningen av utredningen blev flera oskyldiga personer misstänkta och hos

några av dem gjordes tillslag. Spåren ledde dock ganska snart till Mathias Gustafs-

son och den 15 april 2012 gjordes en husrannsakan i hans bostad i Ludvika och i

samband därmed gjordes fynd som pekade mot Kambodja. Det visade sig nämligen

att flera IP-adresser som säkrats från intrången kunde hänföras dit och det gjordes

också fynd i Mathias Gustafsson datorer m.m. som talade för att Gottfrid Svartholm

Warg, som då befann sig i Kambodja, var inblandad. I samband med att Gottfrid

Svartholm Warg greps i Kambodja den 30 augusti 2012 påträffades hos honom da-

torer m.m. som togs i beslag.

2. Domsbilaga 1

• Åtalspunkt 1 - 4 (dataintrång, Mathias Gustafsson /åp. 1-4/och Gottfrid SvartholmWarg /åp. 3-47)

Inställningar

Mathias Gustafsson har erkänt gärningarna i åtalspunkt 1-2, likaså det som läggs

honom till last i åtalspunkten 3, dock inte mer än att detta skett på egen hand och

inte tillsammans eller i samförstånd med annan. Gottfrid Svartholm Warg har haft

motsvarande inställning som Mathias Gustafsson vad avser åtalspunkten 3, nämli-

gen att han förfarit som åklagaren gjort gällande, men att det skett på egen hand och

således inte tillsammans eller i samförstånd med annan. Bägge har förnekat och

bestritt allt ansvar vad avser åtalspunkten 4. De har medgett eller har inte haft någon

erinran mot de särskilt framställda yrkandena förutom att Mathias Gustafsson be-

stritt de som riktar sig mot honom under åtalspunkten 4 (p. l - 2).

11


Utredningen

I målet är samtliga faktiska och bakomliggande förhållanden objektivt sett i det

närmaste helt ostridiga. De tilltalade har inte närmare ifrågasatt de utredningsresul-

tat som presenterats, t. ex. att Mathias Gustafssons och Gottfrid Svartholm Wargs

datorer använts vid intrången och inte heller att deras signaturer, s.k. nicks, före-

kommit på s.k. chattsidor i sammanhang och med innehåll som är ganska besvä-

rande för dem. Av utredningen har framkommit i huvudsak följande.

Intrången

Under våren 2012 gjordes intrång i Logicas stordator i de delar/partioner/lpars av

datorn som är benämnda SY3/SYS3 ("SY3") och SY19/SYS19 ("SY19"). SY3 ut-

nyttjades då av Applicate och ca 40 andra kunder till Logica medan SY 19 endast

utnyttjades av Applicate. Angriparen använde kapade konton vid intrånget och ut-

nyttjade sårbarheter i det operativsystem, z/OS, som används i stordatorn. Efter det

att en ingång/port till stordatorn hittats och använts skapade angriparen flera alter-

nativa portar till stordatorn, bl.a. genom att placera ut s.k. bakdörrar. En bakdörr

kan beskrivas som ett program eller en modifikation av ett program som möjliggör

åtkomst till en dator utan att använda de normala säkerhetskontrollerna.

Ett av de konton som hade kapats och som den 25 februari 2012 kom att användas

vid ett intrång i SY 19 tillhörde Riksdagsförvaltningen. Angriparen fick vid det till-

fället stor systemåtkomst och tillgång till administrationskonton i den databas som

hanterar användarkonton och behörigheter i stordatorn, den s.k. RACF-databasen.

Härigenom tillfördes de kapade kontona utökade behörigheter vilket ledde till att

angriparen hade tillgång till användarkonton med högsta behörighet, vilket bl.a.

medför behörighet att stänga av hela stordatorn. I mars 2012 gjordes intrång även i

SY3 med hjälp av information åtkommen vid intrånget i SY19.

Vid de här intrången installerade angriparen specialtillverkade nätverksverktyg på

stordatorn som gjorde att denne fick nätverksåtkomst genom utgående nätverksan-

rop från stordatorn till de system som valdes. Härigenom kunde vissa blockeringar

12


och filtreringar av brandvägg och systemkonfigureringar undvikas; genom denna

indirekta åtkomst till nätverket minskade möjligheterna att spåra varifrån intrången

gjordes.

Angriparen laddade inte bara upp program i stordatorn utan kopierade även ut från

den en stor mängd material, t.ex.

i) information från den nationella svenska persondatabasen SPAR, inklusive in-formation avseende personer med skyddade personuppgifter,

ii) databaser över kunder,iii) viss ekonomisk information,iv) källkod från Logica, kunder till Logica och deras kunder samt systemkällkod

från IBM ochv) autentiseringsinformation avseende systemen.

Av utredningen framgår inte exakt hur mycket information som kopierats ut ef-

tersom det har varit svårt att få fram informationen, bl.a. på grund av att vissa filer

laddats ner flera gånger, att vissa filer klumpats samman till s.k. tår-filer innan de

kopierades ut och även p.g.a. att allt utkopierat material inte hittats. Att utkopiering

skett i här aktuella fall går dock att utläsa av loggar och det utkopierade materialet

uppgår totalt till ett flertal gigabyte under perioden januari 2010 - april 2012.

Parallellt med intrång i Logicas stordator har alltså intrång skett i Applicates webb-

tjänst Inf otorg. Intrång har skett genom att angriparen haft tillgång till ett stort antal

användarnamn och lösenord och därigenom kunnat ansluta sig till och genomföra

sökningar i Infotorgs databas som innehåller bl.a. stora mängder skyddade person-

uppgifter.

Dataintrång har förkommit på tre olika sätt, nämligen genom i) att Mathias Gustafs-

son använt andra personers (boende i hans omedelbara närhet) trådlösa nätverk

(åtalspunkt l - 2), ii) intrång mot Infotorgs webbgränssnitt, dvs. den tjänst som är

tillgänglig via Internet och som man kan komma åt om man har ett användarnamn

och ett lösenord (åtalspunkt 3) och iii) angreppen mot och intrången i stordatormil-

jön hos Logica som har ett stort antal kunder i sin stordatormiljö (åtalspunkt 4).

13


De tilltalades datorer m.m.

Åklagarens har åberopat en betydande utredning vad avser spår som angriparen har

lämnat efter sig inte bara i stordatorerna utan också i Mathias Gustafssons och Gott-

frid Svartholm Wargs datorer samt på externa lagringsutrymmen, s.k. molnlagring.

Utredningen visar att en av Gottfrid Svartholm Wargs datorer haft programmet

"Hercules" installerat, ett program som gör det möjligt att på en vanlig persondator

utveckla och testa programvaror för stordatormiljö, allt i syfte att inte behöva testa

sig fram i den skarpa stordatormiljön och inte heller riskera upptäckt.

När det gäller dataintrång mot Applicate har andra personers användarnamn och

lösenord använts för att ansluta sig till och göra sökningar i Infotorgs databas över

Internet. De IP-spåniingar som redovisats talar med styrka för att såväl Mathias

Gustafssons som flera andra personers, boende i hans närområde, IP-adresser har

använts vid dessa dataintrång. IP-adresser som jämförts mot Logicas loggar av

slagningar och vid undersökning av datorer, telefoner och minneskort som tagits i

beslag hos Mathias Gustafsson visar slagningar i tjänsten Infotorg.

Utredningen vad gäller en mobiltelefon och ett minneskort visar att telefonen an-

vänts för att ansluta mot Infotorgs system genom telefonens förinstallerade webblä-

sare men också genom den användarinstallerade applikationen "InfoTorg". Vad

gäller minneskortet återfanns där filer med inloggningsuppgifter till trådlösa nät-

verk och två av dessa påträffades på de geografiska adresser som spårats genom IP-

adresser som använts vid dataintrång hos Logica. De textfragment som påträffats

innehöll inloggningsuppgifter relaterade till Infotorgs tjänster. Allt detta och inhäm-

tade uppgifter om molnlagring hos Passagen.se visar att spår från inloggningar mot

tjänsten Infotorg anträffats och att det från Mathias Gustafssons dator utförts olov-

liga slagningar i den tjänsten.

Ett lagringsutrymmeskonto på molnlagringstjänsten UbuntuOne.com har varit regi-

strerat på en Mathias Gustafsson med e-postadress ([email protected])

en adress som Mathias Gustafsson sedan länge använt. På kontot fanns en stor

14


mängd data från Logicas servenniljö sparad. Dessutom återfanns loggfiler som vi-

sade postskanningar och anslutningar mot Logicas servrar och även loggfiler med

olika test av konton hos Logica samt sammanställning och förteckning av konton på

maskiner i den miljön.

När det gäller en bärbar dator anträffad hos Gottfrid Svartholm Warg i Kambodja

har den IT-forensiska undersökningen visat att datorns Windowspartition inte hade

några spår från att den skulle ha anslutits och styrts från annan dator. En stor del av

de filer som anträffades återfanns även i en krypterad container. Av tidsstämplarna i

den krypterade containern och av genvägar (länkfiler) som återfunnits framgår att

containern funnits och använts på datorn sedan i vart fall år 2010 i både den nuva-

rande och i en tidigare installation av Windows. Vidare framgår att flera loggfiler

och programfiler har laddats upp mot Logica och det återfanns i den krypterade

containern också flera filer från Logica.

Utredningen visar också att i de flesta fall har själva intrånget skett via andra dato-

rer från flera olika EP-adresser men styrda från Gottfrid Svartholm Wargs dator. I

den krypterade containern återfanns bl. a. två filer med listor innehållande närmare

9090 svenska personnummer och som är identiska med de personnummer som den

29 mars 2012 publicerades på webbsidan "Pastebin.com" och som i sin tur är iden-

tiska med 8230 personnummer som gick ut från Logica den 15 och 16 mars samma

år. Till detta kommer att det i Mathias Gustafsson tillhörigt lagringsutrymme på

molnlagringstjänsten UbuntuOne.com fanns en fil identisk med en fil som två

gånger laddats ut från Logicas stordator år 2010 och 2011.

Av utredningen har vidare framkommit att Logica utsatts för intrång i sin stor-

datormiljö redan år 2010 och att detta intrång har kopplingar till fynd gjorda i dato-

rer tagna i beslag från Gottfrid Svartholm Warg. Av händelseloggen framgår också

att det vid kontroll av en IP-adress visat sig att den kom från ett nät som inte var via

en Applicatekund utan ett i Kambodja.

15


Data som olovligen åtkommits från Logicas stordatonniljö har också anträffats i ett

minneskort som tagits i beslag hos Mathias Gustafsson. Utredningen visar att kortet

använts för att olovligen försöka ansluta till Logicas stordator samt att man även

lyckats med att hämta data från den stordatormiljön och att det lagts till filer i den-

samma. Vidare har det framkommit att sådan olovligen åtkommen data delats mel-

lan Mathias Gustafssons och Gottfrid Svartholm Wargs datorer.

Mathias Gustafssons s.k. "Lisas dator" har innehållit stora mängder filer från Lo-

gicas stordatormiljö. Data som åtkommits innefattade skyddade personuppgifter

och som delvis överensstämmer med personnummer som publicerats på Paste-

bin.com har påträffats i datorn och den har även använt två IP-adresser som använts

vid intrånget mot Logicas stordatormiljö 2012.

En trasig hårddisk som tagits i beslag hos Mathias Gustafsson har innehållit stora

mängder filer från Logicas stordatormiljö som åtkommits under datorintrång år

2010 och 2011 och har även innehållit två IP-adresser som använts vid intrång mot

Logicaår 2011.

Utredningen som rör Mathias Gustafssons konto hos molnlagringstjänsten

UbuntuOne.com visar att det förekommit olovliga anslutningar till och hämtningar

av data från Logicas stordatormiljö samt att filer lagts till i den stordatormiljön.

Data har även åtkommits vid dataintrången innefattade skyddade personuppgifter,

delvis överensstämmande med de personnummer som publicerats på Pastebin.com,

och påträffats på det molnlagringskontot som av allt att döma tillhört Mathias Gus-

tafsson.

I den hos Gottfrid Svartholm Warg beslagtagna bärbara datorn av märket Mac Book

Pro finns spår som visar att ett flertal IP-adresser som använts vid dataintrången

mot Logicas stordatormiljö funnits i den, att den ofta med hjälp av andra datorer

använts för intrången mot Logicas stordatormiljö, att data som olovligen åtkommits

från Logicas stordatormiljö anträffats, att användarnamn anträffats som använts vid

datorintrånget mot Logicas stordatormiljö, att program anträffats som använts vid

16


datorintrånget mot Logicas stordatormiljö, att data som åtkommits vid datain-

trången innefattade skyddade personuppgifter som delvis överensstämmer med de

personnummer som publicerats på Pastebin.com påträffats i datorn, att den hämtat

data och lagt till data i Logicas stordatormiljö och att Mathias Gustafsson och Gott-

frid Svartholm Warg haft kontakt med varandra.

C hattkonversationer

l en chatt pratar deltagarna med varandra i realtid över Internet genom skriftliga

meddelanden som kan sparas i form av loggfiler och textfiler. Sådana har i stor om-

fattning säkrats i de tilltalades i beslag tagna datorer och i de externa lagringsut-

rymmen, molnlager, som tillhandahålls av bland andra Passagen.se och

UbuntuOne.com.

På chattar använder man sig av s.k. nicks (nicknames). Av utredningen framgår att

nicks som kan förknippas med de två tilltalade förekommit i stor omfattning. Det

som avhandlats i dessa chattkonversationer har inte så sällan rört förhållanden och

omständigheter som har nära anknytning till de här aktuella dataintrången. Med

hänsyn till vad som kommer till uttryck i chattarna kan det enligt tingsrättens me-

ning inte vara andra som konverserar än personer involverade och med mycket kun-

skap i de aktuella dataintrången. De nicks som i första hand är aktuella är

"dIROX"och"tLt"/"tLt-"/"anakata", som i de här sammanhangen är välkända nicks

för Mathias Gustafsson resp. Gottfrid Svartholm Warg.

En viktig del av den skriftliga bevisningen utgörs av chattkonversationer mellan i

första hand "dlROX" och "tLt" men ibland deltar också andra. Denna skriftliga

kommunikation kan sparas i form av loggfiler som är rena textfiler. Sådana har i

stor omfattning säkrats, såväl i beslagtagna datorer som i externa lagringsutrym-

men, främst i molnlagringskontot hos Passagen.se.

I de polisförhör som hållit med Mathias Gustafsson och Gottfrid Svartholm Warg

har de lämnat ganska diffusa svar på frågor vad avser de aktuella nicksen och om

17


huruvida de skrivit de chattinlägg som är åberopade i målet. Lika svävande har de

varit i de förhör som hållits med dem under huvudförhandlingen.

Mathias Gustafsson har visserligen vidgått att han har under många år använt signa-

turen (nicket) "dIROX" men varit mycket svävande i fråga om det är han som skri-

vit de av åklagaren åberopade inlägg som "dIROX" står för. Detsamma gäller Gott-

frid Svartholm Warg som vidgått att han i vissa fall använder signaturerna "tLt",

"tLt-" och "anakata" men har mer bestämt än Mathias Gustafsson hävdat att det inte

är han som chattat då chattinlägg rör uppgifter som har uppenbar anknytning till de

i målet aktuella dataintrången. Enligt vad Gottfrid Svartholm Warg uppgett ingår

han i en grupp med chattare av vilka flera använder "tLt".

Från de åberopade chattkonversationerna återges här ett mindre urval varvid nicket

"tLt" används som gemensam beteckning, för "tLt" och "tLt-".

Den 4 mars 2012 chattar "dIROX" med signaturen "tLt" och säger då "hackade

precisinfotorg igen" och "djävla wifi kopplingen emot grannen 500 meter bort dog"

och dagen efter "hackade infotorg inatt igen som vanligt".

Den 4 mars 2012 har "tLt" och "dIROX" en chattkonversation som visar att de

samarbetar och delar material som åtkommits vid dataintrång. Vidare har "dIROX"

och "tLt" en konversation på chatten som talar för att "tLt" lagrar material åtkom-

met från dataintrång med hjälp av s.k. momlagring.

I en chattkonversation den 6 mars 2012 talar "dIROX" om sin ADHD och att den

gör honom till en produktiv hackare, att han hackat staten i går och att han därmed

kommit över en massa kul info. Samma dag talar han om att han har tillgång till ett.

fordonsregister och vad han kan göra med det. Dagen efter, den 7 mars, chattar

"dIROX" om tillgång till uppgifter om polisens bilar.

Ett inlägg från den 7 mars 2012 säger sig "dIROX" ha utfört dataintrång mot Lo-

gica och hämtat ut och delat data från intrånget med andra. Från den 9 mars 2012

finns en omfattande chattkonversation mellan "dIROX" och "tLt" som kan hänföras

18


till dataintrång mot Logica och som visar att personerna som döljer sig bakom de

här nicksen tillsammans och i samförstånd varit delaktiga samt att de delat från in-

trången åtkommen data. Detsamma handlar en chattkonversation om dagen efter.

Den 11 mars 2012 chattar "tLt" med "dIROX" och säger att han/hon vet vad

han/hon ska hacka härnäst, "min jävla isp:P".

Den 20 mars 2012 har "dIROX" och "tLt" kontakt över chatten och den konver-

sationen talar för att material som åtkommits vid dataintrång har delats. Den 25

mars 2012 förekommer en chattkonversation mellan "dIROX" och "tLt" i vilken de

bl.a. talar om att de har tillgång till "fogdens register" och konton på Infotorg.

Den 29 mars 2012 chattar "dIROX" med annan signatur på ett sätt som talar starkt

för att "dIROX" varit delaktig i dataintrång mot Logica. Samma dag chattar

"dIROX" om att han/hon har en fil med alla skyddade identiteter, alla personnum-

mer och att man borde göra en stor sökbar databas av allt man har.

Tingsrättens närmare bedömning

Åtalspunkt l -2

När det först gäller ansvar enligt åtalspunkt 1-2 har alltså Mathias Gustafsson er-

känt att han hackat och använt grannars trådlösa nätverk.

Utredningen visar att han vid dessa kapningar använt en signalförstärkare/WiFi-

antenn och att inloggningar till målsägandena Linnea Vikströms och Mikael Backes

trådlösa nätverk anträffats i datorer som tagits i beslag hos honom. Även undersök-

ning av telefon och minneskort tagna i beslag i samband med husrannsakan i hans

bostad visar att han använt Mikael Backes trådlösa nätverk. Detta styrks ytterligare

av åberopad bevisning som avser de chattloggar som påträffats i Passagen.se i vilka

signaturen "dIROX" i början av mars 2012 chattar om att bl.a. ha "hackat 100 wire-

less nätverk, ska logga in på en granne och uppmanas av en annan chattare att fixa

en riktad antenn mot en granne ännu längre bort".

19


Genom Mathias Gustafssons erkännande och vad som i övrigt framkommit finner

tingsrätten åtalet i den här delen styrkt. Mathias Gustafsson kan därmed göras an-

svarig för dataintrång enligt åtalspunkterna l och 2.

Åtalspunkt 3-4

Som redan nämnts är i de här delarna av målet, men också i de efterföljande delar-

na, samtliga faktiska och bakomliggande förhållanden objektivt sett i stort ostridiga.

De tilltalade har inte ifrågasatt riktigheten i den av åklagaren åberopade utredningen

vad avser de dataintrång som förekommit och att intrången genomförts på det sätt

som beskrivits. Inte heller har de ifrågasatt att det är deras datorer som använts vid

intrången och att det förekommit chattkonversationer med signaturer (nicks) som de

tidigare använt och fortfarande använder sig av i sådana sammanhang. Däremot har

såväl Mathias Gustafsson som Gottfrid Svartholm Warg bestämt hävdat att de, föru-

tom i viss begränsad omfattning vad avser åtalspunkten 3, inte har gjort intrången

och inte heller, annat än i mycket begränsad omfattning, döljer sig bakom nicksen i

de för dem besvärande chattkonversationer som åklagaren åberopat till ytterligare

stöd för sina påståenden om att det är just de två som ligger bakom och även utfört

här aktuella dataintrång.

Mathias Gustafsson och Gottfrid Svartholm Warg har i stället bestämt hävdat att det

måste vara andra personer som via fjärrstyrning av deras datorer, eller för den delen

dem ovetande rent faktiskt suttit vid deras datorer och, genomfört intrången; lika

bestämt har de hävdat att det måste ha varit andra personer som i deras namn

(nicks) har kommunicerat på åberopade chattar.

Det är således mot bakgrund av dessa i och för sig ostridiga faktiska förhållanden

och invändningar från de tilltalades sida om fjärrstyrning m.m. som tingsrätten har

att pröva för att bedöma om åklagaren förmått styrka sina påståenden och därmed

visat att det är Mathias Gustafsson och Gottfrid Svartholm Warg som är gärnings-

män och om de agerat tillsammans och i samförstånd.

20


Det är ostridigt att dataintrång förekommit, likaså att dessa varit av omfattande slag

och att det är Mathias Gustafssons och Gottfrid Svartholm Wargs datorer som där-

vid använts. Åklagarens utredning härvidlag är imponerande och kan så långt be-

tecknas som tillräckligt robust. Enligt tingsrättens mening kan det därmed faststäl-

las att dataintrång förekommit på sätt och i den omfattning åklagaren har gjort gäl-

lande och att det skett från Mathias Gustafssons och Gottfrid Svartholm Wargs da-

torer.

Vad tingsrätten har att ta ställning till och som det här målet i huvudsak handlar om

är i stället om åklagaren uppfyllt sin utrednings- och bevisbörda när det gäller att

vederlägga de två tilltalades påståenden om att andra personer använt deras datorer

och i övrigt agerat i deras namn, främst i de för dem mycket besvärande chattsam-

manhangen.

För att en godtagbar bevisvärdering ska kunna utföras gäller för all straffrättslig

prövning i domstol att underlaget inte får vara för dåligt; t.ex. måste närliggande

alternativa hypoteser vara tillräckligt utredda och utredningen måste sålunda ge vid

handen att tänkbara alternativ kan uteslutas. Det tänkbara alternativ som här är ak-

tuellt är att andra personer än Mathias Gustafsson och Gottfrid Svartholm Warg är

gärningsmän. Det åvilar åklagaren att ta fram utredning också beträffande sådana

alternativa hypoteser från en tilltalad, allt i syfte att i bevishänseende antingen be-

kräfta eller vederlägga uppgifterna.

Det kan finnas många orsaker till att en tilltalad väljer att avstå från att närmare för-

klara sig och detta kan i vissa fall anses vara legitimt. I sådana sammanhang har

man att beakta artikel 6 i Europakonventionen. Enligt 35 kap. 4 § rättegångsbalken

kan emellertid en tilltalads tystnad användas som bevis mot honom/henne i princip

utan begränsningar, vilket ligger i linje med den fria bevisvärderingens princip (se

bl.a. Nowak, Oskyldighetspresumtionen, Norstedts Juridik 2003 s. 422). Det är vis-

serligen åklagaren som ska bevisa den tilltalades skuld och den tilltalade har rätt att

inte uttala sig alls och är inte heller skyldig att på något sätt underlätta åklagarens

uppgift. Detta hindrar dock inte att det i vissa fall, sedan åklagaren lagt fram bevis-

21


ning rörande ett visst förhållande, kan ligga en förklaringsbörda på den tilltalade.

Detta är nämligen ofta en förutsättning för att åklagaren ska kunna uppfylla sin ut-

redningsskyldighet vad avser uppgifter som talar för den tilltalade men också för att

i förekommande fall motbevisa en av den tilltalade påstådd omständighet.

För att ett påstående från en tilltalad ska kunna godtas enbart därför att det inte bli-

vit vederlagt krävs emellertid att påståendet har blivit så konkretiserat att det inte på

grund av sin vaghet praktiskt sett undandrar sig kontroll (jfr. NJA 1980 s. 359 I).

Mathias Gustafsson och Gottfrid Svartholm Warg har inte kunnat lämna några

andra uppgifter om fjärrstyrning än att det måste ha förekommit. Dessa påståenden

sett i belysningen av åklagarens bevisning i övrigt kan därmed inte anses ha konkre-

tiserats på ett sådant sätt att det gett åklagaren möjlighet att föra motbevisning utö-

ver den som har förekommit i målet.

Vid sådana förhållanden måste det enligt tingsrättens mening åvila en tilltalad att

utveckla och närmare förklara sin alternativa hypotes. I en situation där bevisningen

från åklagarens sida är i det närmaste överväldigande måste den tilltalade kunna

precisera sig eller i vart fall presentera någon form av godtagbar förklaring för att

inte riskera att påståendet bedöms som så osannolikt att det att lämnas helt utan av-

seende.

Mathias Gustafsson har inte på något sätt kunnat lämna en rimlig förklaring till var-

för hans dator skulle ha fjärrstyrts eller att personer i hans närmaste vänkrets

hemma hos honom skulle ha använt hans datorer i här aktuella sammanhang, inte

heller någon antydan om vem i så fall den eller de personerna är.

Däremot har Gottfrid Svartholm Warg uppgett att han misstänker, t.o.m. känner sig

ganska säker på, att viss eller vissa för honom kända personer har fjärrstyrt hans

dator eller t.o.m. kan ha använt den på plats i ett gästrum i hans lägenhet i Phnom

Penh, Kambodja. Som förklaring till att han inte vill namnge personen/personerna i

fråga, har han uppgett att han är rädd för repressalier. Bl.a. har han förklarat sig vara

rädd för att i fängelse bli utsatt för allvarlig misshandel eller något liknande.

22


När det gäller de tilltalades påståenden om fjärrstyrning har åklagaren kunnat visa

att det i bägges datorer inte runnits spår efter sådan styrning, vilket inte heller Mat-

hias Gustafsson och Gottfrid Svartholm Warg ifrågasatt. Däremot har de hävdat att

de okända/kända gärningsmännen måste ha raderat alla spår som en fjärrstyrning

ostridigt lämnar kvar. Visserligen har utredningen i målet inte klart visat att det är

helt uteslutet att det går att radera alla spår efter en fjärrstyrning men visar samtidigt

med tillräcklig styrka för åklagarens påstående om att någon fjärrstyrning inte torde

ha förekommit varför också denna hypotes kan anses vara vederlagd. Enligt tings-

rättens mening har åklagaren sålunda uppfyllt det som åvilar denne när det gäller att

utreda tänkbara alternativa hypoteser.

Motsvarande bedömning gör tingsrätten när det gäller vem som står bakom de

chattinlägg som förekommit. Framför allt beträffande Mathias Gustafsson har det

förekommit inlägg med sådant innehåll som bara han kan ha fört fram. Tingsrätten

finner det också som osannolikt att andra personer skulle använda nicks som alla i

de här kretsarna vet tillhör Gottfrid Svartholm Warg. Tingsrätten finner deras in-

vändningar också i den här delen som så osannolika att de kan lämnas helt utan av-

seende.

Sammantaget finner tingsrätten att den utredning som åklagaren har åberopat för att

utesluta alternativa hypoteser är tillräckligt robust och att den samtidigt vederlägger

Mathias Gustafssons och Gottfrid Svartholm Wargs invändningar om bl.a. fjärrstyr-

ning och/eller att andra personer använt inte bara deras datorer utan också deras

identiteter på chattsidor. Förutom att deras datorer ostridigt har kommit till använd-

ning vid intrången talar det mesta, bl.a. med hänsyn till vad som kommit till uttryck

i de olika chattkonversationerna dem emellan, med tillräcklig styrka för att de två

inte bara är gärningsmän under den aktuella tidsperioden utan även i viss omfatt-

ning agerat tillsammans och i samförstånd. Enligt tingsrättens mening är det således

ställt utom rimligt tvivel att Mathias Gustafsson och Gottfrid Svartholm Warg är de

personer som gjort de här aktuella dataintrången på sätt åklagaren hävdat. Åtalet

vad avser åtalspunkt 3-4 ska därmed bifallas fullt ut.

23


• Åtalspunkt 5 - 1 3 (dataintrång, grovt bedrägeri och försök därtill Gottfrid Svart-holm Warg /åp. 5 -137 samt medhjälp till försök till grovt bedrägeri, Abdul RahimBashe Said /åp. 11/ och Seifaddin Sedira /åp. 12/)

Inställningar

Gottfrid Svartholm Warg, Abdul Rahim Bashe och Seifaddin Sedira har förnekat

och bestritt allt ansvar.

Utredningen

Under tiden juli - augusti 2012 gjordes flera intrång i Nordeas stordator. Angripa-

ren fick vid intrången tillgång till kunddatabaser inklusive användaruppgifter och

lösenord. Ett flertal av intrången gjordes från en IP-adress tillhörande Malmö Bor-

garskola. Genom att utnyttja sårbarheter på Malmö Borgarskolas webbserver kunde

angriparen ta kontroll över servern. Servern användes sedan för att genomföra eller

försöka genomföra pengatransaktioner från danska konton i Nordea.

Ett belopp om 24 200 DKR överfördes från ett konto tillhörande Fackföreningen

BUPL:s konto till ett konto tillhörande Mohammed Haji Elmi. På grund av ett miss-

tag inom Nordea stoppades aldrig pengarna och kunde därför tas ut från dennes

konto vid flera olika tillfållen.

Däremot kunde ett stort antal andra överföringar stoppas i olika skeden, vissa innan

pengarna "lämnat" Nordea och i några fall av den mottagande banken. Vad gäller

försöket till överföring av 2 300 DKR (åp. 8) stoppades dock den överföringen av

gärningsmannen och vad avser försöket till överföring av 99 808 DKR (åp. 12) har

det visat sig att den mottagande banken (SEB) inte mottagit beloppet.

Utredningen visar att av 14 unika IP -adresser som kan sättas i samband med intrång

hos Nordea har 13 återfunnits i olika former i Gottfrid Svartholm Wargs dator eme-

dan den 14:e fanns med indirekt. Tolv av dessa kom från tre olika Intemetleverantö-

rer i Kambodja, en från Iran och en från Sverige. Av de åtta penningstransaktioner

som registrerats av Nordea återfanns samtliga namn och belopp i olika loggfiler i

den aktuella datorn. Uppgifter om de personer och företag som transaktionerna var

utställda på återfanns i olika textdokument. Fem av de åtta transaktionerna återfanns

24


i loggfiler som enligt tidstämplar skapats på datorn i anslutning till gärningstill-

fallena. Av loggfiler som återfunnits i datorn framgår att användaren av densamma

vid flera tillfallen anslutit via andra datorer för att nå den adress som varit målet. I

det undersökta materialet har återfunnits över 400 filer och kataloger vilkas namn är

identiska med namn på dataset hos Nordea.

För att ansluta till en virtuell eller fysisk stordator krävs en programvara, en s.k.

terminal emulator eller "Hercules" och som ovan nämnts har sådana program på-

träffats i den aktuella datorn.

Tingsrättens närmare bedömning

De faktiska och bakomliggande förhållandena är också i den här delen av åtalet ob-

jektivt sett ostridiga. De tilltalade har inte ifrågasatt riktigheten i den av åklagaren

åberopade utredningen vad avser de spår som lett fram till att det är Gottfrid Svart-

holm Wargs dator som använts vid intrång i Nordeas stordator (åp. 5) och därefter

använts på sätt som anges inledningsvis i gärningsbeskrivningen för åtalspunkt 6 -

13.

Gottfrid Svartholm Wargs inställning och förklaringar vad avser påstått dataintrång

och de bedrägeribrott som förekommit är desamma som redovisats ovan under ru-

briken Åtalspunkt 1-4. Han har bestämt förnekat att han haft något att göra med de

aktuella gärningarna och har lika bestämt hävdat att det måste vara andra personer

som agerat via fjärrstyrning av hans dator och att andra personer uppträtt med hans

nick på chattar i de fall inlägg som "tLt" eller "tLt-" gjort varit besvärande för ho-

nom.

Abdul Rahim Bashe Said har alltså bestritt ansvar. Han har vidgått han visste att det

skulle sättas in ett belopp på hans bankkonto men inte varför och inte heller med

vilket belopp. Det var en för honom okänd person som ringde och det framgick av

samtalet att denne visste allt om honom, personnummer, adress, familj m.m. Den

okände hotade att skjuta varenda en i hans familj om han inte tog ut pengarna.

25


Seifaddin Sedira har också bestritt ansvar. Han har inte ställt sitt konto till förfo-

gande. Han hade ett konto i SEB och hade vid den här tiden fatt sitt ID stulet/hackat

efter att hans legitimation blivit stulen på en fest. Han visste inte att det skulle göras

en överföring till hans konto. Att han lämnat andra uppgifter i polisförhör och då

A vidgått att hans konto var mottagarkonto var en lögn och berodde på att han ville bli

släppt av polisen och vid den här tiden rökte mycket marijuana.

Som redogjorts för ovan under rubriken Utredningen har det visat sig att beträf-

9 fande försöket till överföring av 2 300 DKR (åp. 8) kom det försöket att stoppas av

den som försökte genomföra transaktionen. Likaså har det beträffande åtalspunkt 12

framkommit att pengarna aldrig kommit fram till SEB. På grund härav finns det

enligt tingsrättens mening utrymme för tveksamheter i fråga om den s.k. försöks-

punkten passerats i de fallen varför åtalet i de punkterna redan på grund härav inte

kan vinna bifall. Därför kan åtalet mot Gottfrid Svartholm Warg vad avser åtals-

punkt 8 och 12 inte bifallas och till följd härav ska detsamma gälla beträffande Sei-

faddin Sediras ev. ansvar i den senare av de åtalspunkterna.

När det sedan gäller övriga åtalspunkter gör tingsrätten följande bedömning.

W Utredningen är också i den här delen och som framgått ovan under rubriken Utred-

ningen omfattande och i högsta grad besvärande för Gottfrid Svartholm Warg. Till

detta kommer att signaturen "tLt" den 29 mars 2012 i chatt med "dIROX" säger

9 "fan jag vill hacka banklD".

Det har inte framkommit något som föranleder tingsrätten att göra en annan bedöm-

ning i utrednings- och bevishänseende än vad som redogjorts för i det förra avsnittet

(åp. 1-4) och därmed ska Gottfrid Svartholm Warg göras ansvarig fullt ut inte bara

för dataintrång under åtalspunkten 5 utan även i fråga om bedrägeribrott av olika

slag (åp. 6-7 och 9-11 samt 13). Tingsrätten delar åklagarens bedömning att re-

spektive bedrägerigärning ska bedömas som grovt brott.

Beträffande Abdul Rahim Bashe Saids ev. ansvar finner tingsrätten anledning att

ifrågasätta hans trovärdighet och riktigheten i hans uppgifter som alltså ändrats med

26


tiden. Dock finner tingsrätten, med beaktande av bl.a. hans ungdom och den avan-

cerade brottslighet det rört sig, att han inte torde ha varit helt införstådd med vad

han gett sig in i. På grund härav och eftersom det inte heller finns utrymme för att

säkert slå fast att han varit likgiltig inför den effekt hans handlade skulle kunna fa,

kan han inte anses ha haft sådant uppsåt som krävs för att göra honom straffrättsligt

ansvarig. Åtalet mot honom ska därför ogillas.

3. Domsbilaga 2

Åtalspunkt 1 - 2 (narkotikabrott och ringa sådant, Seifaddin Sedira)

Seifaddin Sedira har erkänt och medgett det särskilda yrkandet. Hans erkännanden

stöds av utredningen i övrigt och tingsrätten delar åklagarens bedömning vad avser

rubriceringar. Seifaddin Sedira ska således dömas för tre fall av narkotikabrott,

varav två bedöms som ringa.

4. Påföljder

Mathias Gustafsson och Gottfrid Svartholm Warg ska göras ansvariga i stort sett

fullt ut. För dataintrång gäller i dag en straffskala från böter upp till fängelse två år.

Sett isolerade från övriga två åtalspunkter är de två första och som rör Mathias Gus-

tafssons intrång på de trådlösa nätverken, inte särskilt allvarliga. Normalt skulle

påföljden för de intrången ha resulterat i ett bötesstraff.

Däremot är övriga dataintrång, framför allt de i förhållande till Logica och Nordea,

av synnerligen allvarlig beskaffenhet och måste i straffvärdehänseende var och ett

för sig ligga närmare ett års fängelse än sex månader. Med den straffmätningsmo-

dell som tillämpas vid flerfaldig brottslighet och med hänsyn till den s.k. rabattering

som då ska ske, bör Mathias Gustafssons brottslighet bedömas motsvara knappt ett

års fängelse och Gottfrid Svartholm Wargs sammantagna brottslighet, inklusive

bedrägeribrotten, bör motsvara två års fängelse.

Mathias Gustafsson förekommer sedan tidigare under tre avsnitt i belastningsregist-

ret och den brottsligheten har i huvudsak avsett narkotikabrott. Den senaste domen

är från år 2009 då påföljden bestämdes till skyddstillsyn. Av de utredningar som

27


inhämtats beträffande hans personliga förhållanden framgår att han sedan många år

är arbetslös och har allvarliga problem i form av dels visst alkohol- och narkotika-

missbruk, dels psykiska besvär. Utifrån vad som sålunda framkommit om Mathias

Gustafssons personliga förhållanden och eftersom straffvärdet av hans brottslighet

inte är högre än vad som ovan angetts, finner tingsrätten att det finns utrymme för

en icke frihetsberövande påföljd och han bör därför ges det stöd och den behandling

som kan erbjudas inom ramen för en ny skyddstillsyn.

Gottfrid Svartholm Warg förekommer under ett avsnitt i belastningsregistret. Han

dömdes år 2009 för brott mot upphovsrättslagen till fängelse ett år som han började

avtjäna förra året och han blev villkorligt frigiven den 9 maj i år. Med hänsyn till

det höga straffvärdet och att det beträffande honom inte har framkommit något som

föranleder annat, kan annan påföljd än fängelse inte komma i fråga.

Seifaddin Sedira ska dömas för tre fall av narkotikabrott, ett av normalgraden och

två ringa. Av den utredning som finns beträffande honom är det uppenbart att han är

i behov av det stöd och den behandling som kan ges inom ramen för en skyddstill-

syn. Med hänsyn härtill och till hans ungdom bestämmer tingsrätten påföljden till

skyddstillsyn med en särskild föreskrift.

5. Övrigt

Eftersom fängelse ingår i straffskaloma för här aktuella brott ska de dömda betala

föreskriven avgift till brottsofferfonden.

Annat har inte framkommit än att Seifaddin Sedira ska betala den analyskostnad

som staten har haft.

Med hänsyn till utgången i ansvarsdelarna och att de särskilda yrkandena får anses

vara lagligen grundade ska dessa bifallas fullt ut.

Här aktuellt mål har varit omfattande och har pågått under en längre tid vilket krävt

stora arbetsinsatser från försvaramas sida, även för Tobias Fälth och Ingela Ekman

Hessius. Med hänsyn härtill anser tingsrätten att de yrkade ersättningarna är väl

avvägda och rimliga.

28


På grund av fängelsestraffets längd och den stora risk som får anses föreligga att

Gottfrid Svartholm Warg på fri fot undandrar sig straffverkställighet, ska han vara

fortsatt häktad fram till dess domen i ansvarsdelen vinner laga kraft mot honom.

Av det strafftidsbeslut som tingsrätten fått från kriminalvården framgår inte att

Gottfrid Svartholm Warg vid avtjänande av det förra fängelsestraffet fått avräkna de

dagar han varit frihetsberövad i anledning av utlämningen från Kambodja den 30

augusti 2012. Tingsrätten finner därför anledning att här avräkna de dagarna.

Hur man överklagar, se domsbilaga 3 (DV 400)Överklagande senast 2013-07-11 (Svea hovrätt)

På tingsrättens vägnar

Gunnar Lavett

Avräkningsunderlag för frihetsberövanden finns i tingsrättens akt

ÅKLAGARMYNDIGHETEN

Internationella åklagarkammaren Stockholm

Kammaråklagare Henrik Olin

Ansökan om stämning

2013-04-16

Bilaga 1Sida 1(24)

JHandling 445

""" Ärende AM-52124-12

Handläggare 109-37

[Angejiessa uppgifter vid kontato med myndigheten

Nacka tingsrättEnhet 2Box 110413126 NACKA STRAND


INKOM: 2013-04-16MÅLNR: B 2124-12AKTBIL: 63

TR mål: B 2124-12Handl.: OVR

1Tilltalad: efternamn och alla förnamn Tilltalsnamn

Gustafsson, Bror Olof Mathias MathiasPersonnr Medborgare i Telefon

19761117-7234Adress

Timmermansvägen 14 1, 771 51 LUDVIKAOffentlig försvarare/ombud

Hurtig, Björn, Försvarsadvokaterna Väst AB, StampgatanFrihetsberövande m. m.

Yrke/titel

Tolkbehov

20,41101 GOTEBORG

Anhållande verkställt 2012-04-15, Häktad 2012-04-18, Häktningsbeslutet hävt 2012-06-19Delgivningsuppgifter

2Tilltalad: efternamn och alla förnamn

Svartholm Warg, Per GottfridPersonnr Medborgare i

19841017-0537 SverigeAdress

Saknar adress i SverigeOffentlig försvarare/ombud

Tilltalsnamn

GottfridTelefon

Yrke/titel

Tolkbehov

Salomonsson, Ola, Advokatfirman Salomonsson HB, Kungsholms Torg 16, 4 tr, 1 1221 STOCKHOLMFrihetsberovande m. m.

Anhållande 2012-09-1 1, Häktad 2012-09-14, Häktningsbeslutet hävt 2012-12-07Delgivningsuppgifter

F n Anstalten Mariefred, Box 104, 647 23 MARIEFRED


Bashe Said, Abdul-RahimPersonnr

19940410-2692Adress

Medborgare i

Sverige

Tilltalsnamn

Telefon

YrkeAitel

Tolkbehov

Bashe Jam Said, Bennets Väg 7 C Lgh 1403 213 67 MALMÖOffentlig försvarare/ombud

Önskar offentlig försvarare. Godtar den rätten förordnar.Frihetsberovande ram.

Delgivningsuppgifter

Postadress

Box 7029610722 STOCKHOLM

Gatuadress

Hantverkargatan 25 ATelefon010-5625000

Telefax

010-5625483

E-post

[email protected]

Internationella åklagarkammaren Stockholm

Kammaråklagare Henrik Olin


2013-04-16

Sida 2(24)Handling 445Ärende AM-52124-12Handläggare 109-37


Sedira, SeifaddinPersonnr

19931222-7979Adress

Medborgare i

Sverige

Tilltalsnamn

Telefon

Yrke/titel

Tolkbehov

Ryttaregatan 5 B Lgh 1 102 212 43 MALMÖOffentlig försvarare/ombud

Önskar offentlig försvarare. Godtar den rätten förordnar.Frihetsberövande mm.

Delgivningsuppgifter

Ansvarsyrkanden m.m.

AP 1. DATAINTRÅNG (Gustafsson) (0201-K81864-12)

MålsägandeLinnea Vikström, underrättad

GärningMathias Gustafsson har i mars 2012 i anslutning till sin bostad påTimmermansvägen i Ludvika med hjälp av s.k. signalförstärkare/WiFi-antenngenom att forcera lösenord vid flera tillfällen olovligen berett sig tillträde tillmålsägandens trådlösa router. Han har därigenom olovligen berett sig tillgångtill uppgifter avsedda för automatiserad behandling.

Lagrum4 kap 9 c § brottsbalken

AP 2. DATAINTRÅNG (Gustafsson) (0201-K81864-12)

MålsägandeMikael Backe, underrättad

GärningMathias Gustafsson har i mars 2012 i anslutning till sin bostad påTimmermansvägen i Ludvika med hjälp av s.k. signalförstärkare/WiFi-antenn

Ansökan om stämning Sida 3(24)Internationella åklagarkammaren Stockholm Handling 445

Ärende AM-52124-12Kammaråklagare Henrik Olin 2013-04-16 Handläggare 109-37

genom att forcera lösenord vid flera tillfallen olovligen berett sig tillträde tillmålsägandens trådlösa router. Han har därigenom olovligen berett sig tillgångtill uppgifter avsedda för automatiserad behandling.

Lagrum

4 kap 9 c § brottsbalken

Särskilda yrkanden (Gemensamt för ÅP1-ÅP2)1. Förverkande enligt 36 kap 2 § l st brottsbalken av i beslag tagen WiFi

antenn (1012-0201-BG10221 p l, fu-prot s 527 ff), som använts somhjälpmedel vid brott.

2. Förverkande enligt 36 kap 2 § l st, alternativt 36 kap 3 § l st p lbrottsbalken, av i beslag tagen WiFi antenn och WiFi adapter (1012-0201-BG10221 p 42 och 43, fu-prot s 527 ff), som använts somhjälpmedel vid brott, alternativt som på grund av sin särskildabeskaffenhet och omständigheterna i övrigt kan befaras komma tillbrottslig användning.

AP 3. DATAINTRÅNG (Warg och Gustafsson) (0201-K81864-12)

MålsägandeBisnode Information AB, 556436-3421, Sveavägen 151,105 99 Stockholm,(f.d. Applicate AB. Benämns Applicate nedan.), underrättad

GärningMathias Gustafsson och Gottfrid Svartholm Warg har under perioden den ljanuari 2010 till och med den 15 april 2012 i bland annat Stockholm delstillsammans och i samförstånd dels på egen hand vid ett stort antal tillfällen viaInternet med hjälp av andra personers användarnamn och lösenord olovligenanslutit sig till och genomfört sökningar i målsägandens tjänst Infotorgsdatabas innehållande bland annat stora mängder personuppgifter. De hardärigenom olovligen berett sig tillgång till uppgifter avsedda för automatiseradbehandling.




Särskilda yrkanden

Förverkande enligt 36 kap 2 § l st brottsbalken av i beslag taget minneskort(l012-0201-BG10221 p 44, Fu-prot s 527 ff), som använts som hjälpmedel vidbrott.

AP 4. DATAINTRÅNG (Warg och Gustafsson) (0201-K81864-12)

MålsägandeLogica Sverige AB, 556337-2191,131 85 Stockholm, (Benämns Logicanedan), underrättad

GärningMathias Gustafsson och Gottfrid Svartholm Warg har från den l januari 2010till och med den 15 april 2012 i bland annat Nacka tillsammans och isamförstånd olovligen berett sig tillgång till en stordator som tillhörmålsäganden. De har successivt tillförskansat sig utökad behörighet i systemetför att till slut uppnå högsta behörighet. De har även ändrat behörigheter forbefintliga användare, lagt till data i stordatorn samt hämtat ut stora mängderinformation från stordatorn och delat sådan information med andra. MathiasGustafsson och Gottfrid Svartholm Warg har därigenom olovligen berett sigtillgång till uppgifter avsedda för automatiserad behandling, olovligen ändratsamt i register fört in sådana uppgifter.


Särskilda yrkanden1. Förverkande (från Mathias Gustafsson) enligt 36 kap 2 § l st

brottsbalken av i beslag taget minneskort (2012-0201-BG10221-l 3, Fu-prot s 527 ff), dator (samma beslag p 14), dator (samma beslag p 19),hårddisk (samma beslag p 29) som använts som hjälpmedel vid brott.

2. Förverkande (från Mathias Gustafsson) enligt 36 kap 3 § l st p l av ibeslag tagna två stycken krypterade datorer (2012-0201-BG10221-16och 17, Fu-prot s 527 ff) som polisens IT-forensiker inte kunnatanalysera, som på grund av sin särskilda beskaffenhet ochomständigheterna i övrigt kan befaras komma till brottslig användning.

3. Förverkande (från Gottfrid Svartholm Warg) enligt 36 kap 2 § l stbrottsbalken av i beslag tagen hårddisk (2012-0201-BG25023-1, Fu-prot s 494 ff), hårddisk (samma beslag p 2), bärbar dator (samma beslagp 26) som använts som hjälpmedel vid brott.



4. Att beslaget av en laptop (2012-0201-BG25708-1, FU-prot s 501) skabestå till dess dom i målet vunnit laga kraft i ansvardelen (Bevisbeslag).Beslaget ska därefter hävas till Gottfrid Svartholm Warg.

AP 5. DATAINTRÅNG (Warg) (0201-K292108-12)

MålsägandeNordea Bank AB, 516406-0120, Smålandsgatan 17,105 71 Stockholm,(Benämns Nordea nedan), underrättad

GärningGottfrid Svartholm Warg har från juli till och med augusti 2012 i bland annatStockholm olovligen berett sig tillgång till en stordator som tillhörmålsäganden. Han har successivt tillförskansat sig utökad behörighet isystemet samt hämtat ut stora mängder information från stordatorn. GottfridSvartholm Warg har därigenom olovligen berett sig tillgång till uppgifteravsedda för automatiserad behandling.


AP 6-13 GROVT BEDRÄGERI (Warg) och FÖRSÖK TILL GROVTBEDRÄGERI (Warg) och MEDHJÄLP TILL FÖRSÖK TILL GROVTBEDRÄGERI (Bashe Said, AP 11) och MEDHJÄLP TILL FÖRSÖKTILL GROVT BEDRÄGERI (Sedira, AP 12) (0201-K292108-12)

MålsägandeNordea Bank AB, 516406-0120, Smålandsgatan 17,105 71 Stockholm,(Benämns Nordea nedan), underrättad

GärningGottfrid Svartholm Warg har i bland annat Sverige olovligen påverkatrespektive försökt påverka resultat av en automatisk informationsbehandlinggenom att i Nordeas stordator utföra respektive försökt utförapenningtransaktioner till vinning för sig själv eller annan och skada för Nordeaenligt följande.

6. Den 22-23 juli 2012 överfört 24 200 danska kronor från FackföreningenBUPL:s konto i Nordea till Mohammed Haji Elmis konto i Nordea.



7. Den 23-24 juli 2012 försökt överföra 30 300 danska kronor från OdenseKommunes konto i Nordea till Mohammed Haji Elmis konto i Nordea.

8. Den 23-24 juli 2012 försökt överföra 2 300 danska kronor från OdenseKommunes konto i Nordea till Mohammed Haji Elmis konto i Nordea.

9. Den 24 juli 2012 försökt överföra 3 900 Euro från Odense Kommunes kontoi Nordea till Earthport Plc:s konto i Barclays.

10. Den l augusti 2012 försökt överföra 420 000 Euro från Nets CardProcessings konto i Nordea till SSE System Service Establishments konto iUBS.

„ . _to_ „ . .Processings konto i Nordea till Abdul-Rahim Bashe Saids konto i Swedbank.

12. Den l augusti 2012 försökt överföra 99 808 danska kronor från Nets CardProcessings konto i Nordea till Seifaddin Sediras konto i SEB.

13. Den l augusti 2012 försökt överföra 230 000 Euro från Nets CardProcessings konto i Nordea till Clevellina Ltds konto i Hellenic Bank PublicCompany Ltd.

Bedrägeribrotten och försöken därtill är grova då gärningarna föregåtts av ettavancerat dataintrång, varit systematiska, avsett betydande värden samtpåverkat allmänhetens förtroende för betalningssystem och varit av särskiltfarlig art.

Fara för försöksbrottens fullbordan har förelegat eller varit utesluten endast pågrund av tillfälliga omständigheter.

Abdul-Rahim Bashe Said har främjat gärningen under åtalspunkten 11 genomatt ställa sitt konto till förfogande för penningtransaktionen.

Seifaddin Sedira har främjat gärningen under åtalspunkten 12 genom att ställasitt konto till förfogande för penningtransaktionen.

Lagrum9 kap l § 2 st och 3 §, 9 kap l § 2 st, 3 och 11 §§ samt 23 kap l och 4 §§brottsbalken



Yrkande om häktning

Jag yrkar att Gottfrid Svartholm Warg förklaras häktad på sannolikaskäl misstänt för de åtalade brotten. Häktningen begärs träda i kraft vidtidpunkt då Gottfrid Svartholm Warg inte längre verkställerfängelsestraff eller annars är omhändertagen på kriminalvårdsanstalt.Det finns risk för att Gottfrid Svartholm Warg avviker eller på någotannat sätt undandrar sig lagföring eller straff.



Bevisning

Allmänt

Skriftlig bevisning

Sammanfattning av Logicas rapport "Report on the IT Security Incident 2012"översatt till svenska, till styrkande av tillvägagångssätt för dataintrången samtomfång och följder av desamma. (Tilläggsprotokoll daterat 2013-04-09, s 7-10)

Skisser från Logica till styrkande av den tekniska infrastrukturen i Logicasstordatormiljö och kopplingarna mellan denna och Applicate/ Infotorg, RPS,Skatteverket och Kronofogdemyndigheten. (Fu-prot s 43-45)

Skatteverkets rapport (Fu-prot, Bilaga B s 11-15). Åberopas till styrkande avhur data från Skatteverket hanterats i Logicas stordatormiljö, omfånget avdataintrången och konsekvenserna av desamma för Skatteverket.

Kronofogdemyndighetens beskrivning av konsekvenser med anledning avdataintrånget (Fu-prot, Bilaga B s 41-44). Åberopas till styrkande av hur datafrån Kronofogdemyndigheten hanterats i Logicas stordatormiljö, omfånget avdataintrången och konsekvenserna av desamma för Kronofogdemyndigheten.

Säkerhetspolisens analys avseende stulen information vid dataintrången motLogica och Applicate till styrkande av tillvägagångssätt för dataintrången samtomfång och följder av desamma. (Fu-prot s 217-229)

IT-forensiskt undersökningsprotokoll för beslag 2012-0201-BG10221 samtinhämtad data från Passagen.se (Fu-prot s 257-313) och Beslagsprotokoll2012-0201-BG10221 (Fu-prot s 527 fr).Följande delar åberopas.

• Inledning och sammanfattning till styrkande av det brottsligahändelseförloppet. (Fu-prot s 257-261)

• Gällande 2012-0201-BG10221-14 - "Kittys dator". (Fu-prot s 276-279)till styrkande av att Mathias Gustafsson använt användarnamnenLuciddream och dIROX.

• Gällande 2012-0201-BG10221-19 - "Lisas dator". (Fu-prot s 281-287)till styrkande av att inga spår av fjärrstyrning av datorn påträffats.

IT-forensiskt undersökningsprotokoll för beslag 2012-0201-BG25023 (Fu-prots 348-410) och Beslagsprotokoll 2012-0201-BG25023 (Fu-prot s 494 ff).Följande delar åberopas.



• Inledning och sammanfattning till styrkande av det brottsligahändelseförloppet. (Fu-prot s 348-349)

• Gällande 2012-0201-BG25023-26 - Bärbar dator MacBook Pro (Fu-prot s 363-410, i detta sammanhang särskilt s 370 f) till styrkande av attinga relevanta spår av fjärrstyrning av datorn påträffats.

Utdrag ur chattkonversation säkrad från Passagen.se (Fu-prot s 435-480)I denna del åberopas följande delar av chattkonversationen.

• Fu-prot s 442, två rader, 2012-03-06 12:24 till och med 2012-03-0612:24, rad 23 och 24 uppifrån, till styrkande av att Mathias Gustafssonhackar.

• Fu-prot s 443, två rader, 2012-03-06 12:45 till och med 2012-03-0612:45, rad 15 och 16 uppifrån, till styrkande av att Mathias Gustafssonhackar.

• Fu-prot s 447, sju rader, 2012-03-06 23:48 till och med 2012-03-0623:50, rad 18 till rad 13 nerifrån, till styrkande av att MathiasGustafsson hackar.

• Fu-prot s 448, 30 rader, 2012-03-07 00:02 till och med 2012-03-0701:02, 30 översta raderna, till styrkande av att Mathias Gustafssonhackar.

• Fu-prot s 455, en (1) rad, 2012-03-11 03:22, 18:e raden uppifrån, tillstyrkande av att Gottfrid Svartholm Warg hackar.

• Fu-prot s 450, sju rader, 2012-03-09 14:36 till och med 2012-03-0914:48 andra till och med åttonde raderna uppifrån, till styrkande av attGottfrid Svarthohn Warg hackar.

• Fu-prot s 438,20 rader, 2012-03-04 19:56 till och med 2012-03-0420:15 första 20 raderna uppifrån, till styrkande av att GottfridSvartholm Warg och Mathias Gustafsson samarbetat och delat materialsom åtkommits vid dataintrång.

• Fu-prot s 459, fem rader, 2012-03-25 21:31 till och med 2012-03-2521:35, andra till och med åttonde raderna uppifrån, till styrkande av attGottfrid Svarthohn Warg lagrar material med åtkommet fråndataintrång med hjälp av s k molnlagring.

• Fu-prot s 458, tolv rader, 2012-03-20 20:46 till och med 2012-03-2021:34 rad 24 till och med rad 35 uppifrån, till styrkande av att MathiasGustafsson har kontakt med Gottfrid Svartholm Warg samt att han delatmaterial som åtkommits vid dataintrång.

Promemoria upprättad av säkerhetspolisen angående möjlighet till fjärrstyrningav dator tagen i beslag hos Gottfrid Svarthohn Warg till styrkande av att datorninte har fjärrstyrts sedan operativsystemet installerades om på densamma den11 juli 2011. (Fu-prot s 411-413).



Promemoria från Polisen gällande uppgifter från Försäkringskassan beträffandeMathias Gustafsson till styrkande av att han använder e-postadressenluciddream(5).gmail.com. (Fu-prot s 90-91)

Promemoria från Polisen gällande Gottfrid Svartholm Wargs s.k. "Nicks" tillstyrkande av att han använder "Nicksen" "tLt" och "Anakata" bl a då hanchattar på Internet. (Fu-prot s 421-429)

IT-forensiskt undersökningsprotokoll för beslag 2012-0201-BG25708 (Fu-prots 430-434) och Beslagsprotokoll 2012-0201-BG25708 (Fu-prot s 501) tillstyrkande av att Mathias Gustafsson och Gottfrid Svartholm Warg kännervarandra sedan åtminstone 2003.

Muntlig bevisning

Vittnesförhör med IT-säkerhetsspecialist Jesper Blomström,mformationssäkerhetsenheten, Säkerhetspolisen, Box 12312,102 28Stockholm, angående hans iakttagelser och slutsatser underförundersökningsarbetet, till styrkande av tillvägagångssättet för och följdernaav de åtalade dataintrången samt till styrkande av att Gottfrid Svartholm Wargsdatorer inte varit fjärrstyrda.

Vittnesförhör med enhetschefen Marie Berg, Skatteverket, Säkerhetsstaben,171 94 Solna, angående hur Skatteverket använt sig av Logicas/Applicatestjänster samt hur Skatteverket hanterat de aktuella dataintrången till styrkandeav att skyddade personuppgifter åtkommits vid dataintrången samtkonsekvenser hos Skatteverket med anledning av dataintrången.

Vittnesförhör med verksamhetschefen Sven Kihlgren,Kronofogdemyndigheten, Box 1050, 172 21 Sundbyberg, angående hurKronofogdemyndigheten använt sig av Logicas/Applicates tjänster samt hurKronofogdemyndigheten hanterat de aktuella dataintrången till styrkande av attuppgifter från Kronofogdemyndighetens register åtkommits vid dataintrångensamt konsekvenser hos Kronofogdemyndigheten med anledning avdataintrången.

Åtalspunkten 1-2

Skriftlig bevisning

Kartskiss över placering av bostäder i Ludvika tillhörande personer varstrådlösa nätverk blivit hackade, till styrkande av att dataintrång genom



hackande av deras trådlösa nätverk med hjälp av signalförstärkare varit möjlig.(Fu-prot s 87)

Beslagsprotokoll samt fotografier avseende signalförstärkare/WiFi-antenn tillstyrkande av han haft tillgång till sådan signalförstärkare. (Fu-prot s 527 resp s259)

Produktblad/information från Internet med bilder gällandesignalförstärkare/WiFi-antenn av det fabrikat och modell som påträffades iMathias Gustafssons lägenhet vid husrannsakan, till styrkande av att sådansignalförstärkare kan användas för åtkomst till trådlösa nätverk på långtavstånd. (Fu-prot s 92-103)

Framställningar om samt svar på IP-spåniing till styrkande av att såväl MattiasGustafssons IP-adress, som flera personers IP-adresser i Mathias Gustavssonsbostads närområde använts vid dataintrången. (Fu-prot s 10, 29-30 samt 32-34.)

IT-forensiskt undersökningsprotokoll för beslag 2012-0201-BG10221 samtinhämtad data från Passagen.se (Fu-prot s 257-313) och Beslagsprotokoll2012-0201-BG10221 (Fu-prot s 527 ff).Följande delar åberopas.

• Gällande 2012-0201-BG10221-14 - "Kittys dator". (Fu-prot s 276-279)till styrkande av att inloggningar till Linnea Vikströms och MikaelBackes trådlösa nätverk anträffats i en dator som tagits i beslag frånMathias Gustafsson.

• Gällande 2012-0201-BG10221-19 - "Lisas dator". (Fu-prot s 281-287)till styrkande av att inloggningar till Linnea Vikströms och MikaelBackes trådlösa nätverk anträffats i en dator som tagits i beslag frånMathias Gustafsson.

• Gällande inhämtad data från Passagen.se (Fu-prot s 292-304) tillstyrkande att inloggningar till Linnea Vikströms och Mikael Backestrådlösa nätverk anträffats i ett lagringsutrymme som disponerats avMathias Gustafsson.


• Gällande 2012-0201-BG10221-25 - Mobiltelefon. (Fu-prot s 248-251)till styrkande av att spår från användande av grannen Mikael Backestrådlösa nätverk anträffats i en telefon som tagits i beslag från MathiasGustafsson.

• Gällande 2012-0201-BG 10221-44 - Minneskort. (Fu-prot s 251-254)till styrkande av att spår från användande av grannarnas Mikael Backe



och Linnea Wikströms trådlösa nätverk anträffats i ett minneskort somsuttit i en telefon som tagits i beslag från Mathias Gustafsson.

Utdrag ur chattkonversation säkrad från Passagen.se (Fu-prot s 435-480) tillstyrkande av att Mathias Gustafsson hackat grannars trådlösa nätverk. I dennadel åberopas följande delar av chattkonversationen.

• Fu-prot s 437, en (1) rad, 2012-03-04 13:50, femte från slutet på sidan• Fu-prot s 447, fem rader, 2012-03-06 23:42 <zOna> till och med 2012-

03-06 23:42• Fu-prot s 453, en (1) rad, 2012-03-10 16:57, åttonde från slutet på sidan• Fu-prot s 460, fyra rader, 2012-03-29 12:34 till och med 2012-03-29

12:34, sista fyra raderna på sidan• Fu-prot s 461,19 rader, 2012-03-29 12:34 till och med 2012-03-29

12:36, raderna 20-38 på sidan

Muntlig bevisning

Förhör med målsäganden Linnea Vikström bl a angående hennes trådlösanätverk i bostaden i Ludvika till styrkande av att nätverket blivit hackat ochvad det medfört.

Förhöret kan enligt åklagaren hållas per telefon. Linnea Vikström behöverendast närvara vid rättegången under sitt förhör.

Förhör med målsäganden Mikael Backe bl a angående hans trådlösa nätverk ibostaden i Ludvika till styrkande av att nätverket blivit hackat och vad detmedfört.

Förhöret kan enligt åklagaren hållas per telefon. Mikael Backe behöver endastnärvara vid rättegången under sitt förhör.

Mathias Gustafssons hörande.

Åtalspunkten 3

Skriftlig bevisning

Framställningar om samt svar på IP-spårning till styrkande att vissa IP-adressertillhör Mattias Gustafssons. (Fu-prot s 29-30 samt 32-34.)

Promemoria angående FTP- och HTTP-trafik till Mathias Gustafsson bl a tillstyrkande av kopplingar mellan IP-adresser tillhörande Mathias Gustafsson och



intrången i Mbtorgs databas, att Mathias Gustafsson olovligen berett sigtillträde till uppgifter i databasen samt utfört sökningar i densamma. (Fu-prot s39-40)

Applicates incidentbeskrivning (Fu-prot, Bilaga B s 2-6). Åberopas tillstyrkande av dataintrånget mot Applicate och dess följder samt till styrkandeav vilken juridisk person som utsatts för dataintrång.

Översikt över Applicates/ Bisnodes svenska organisation (Fu-prot, Bilaga B, s8). Åberopas till styrkande av vilken juridisk person som utsatts för dataintrång


• Gällande 2012-0201-BG10221-25 - Mobiltelefon. (Fu-prot s 248-251)till styrkande av att spår från anslutningar mot Infotorg anträffats i entelefon som tagits i beslag från Mathias Gustafsson, att MathiasGustafsson haft kontakt med Gottfrid Swartholm Warg, att MathiasGustafsson använder sig av användarnamnet dIROX

• Gällande 2012-0201-BG 10221-44 - Minneskort. (Fu-prot s 251-254)till styrkande av att spår från anslutningar mot tjänsten Infotorganträffats i ett minneskort som suttit i en telefon som tagits i beslag frånMathias Gustafsson.

IT-forensiskt undersökningsprotokoll för beslag 2012-0201-BG 10221 samtinhämtad data från Passagen.se (Fu-prot s 257-313) och Beslagsprotokoll2012-0201-BG10221 (Fu-prot s 527 ff).Följande delar åberopas.

• Gällande 2012-0201-BG10221-13 - Minneskort. (Fu-prot s 269-276)till styrkande av att spår från inloggningar mot tjänsten Infotorganträffats i ett minneskort som tagits i beslag från Mathias Gustafssonsamt att Mathias Gustafsson utfört olovliga slagningar i tjänstenInfotorg.

• Gällande 2012-0201-BG10221-19 - "Lisas dator". (Fu-prot s 281-287)till styrkande av att Mathias Gustafsson olovligt använt tjänstenInfotorg.

• Gällande 2012-0201-BG 10221-29 - "Trasig hårddisk" (Fu-prot s 288-291) till styrkande av att Mathias Gustafsson olovligt använt tjänstenInfotorg.

• Gällande inhämtad data från Passagen.se (Fu-prot s 292-304) tillstyrkande av att Mathias Gustafsson olovligt använt tjänsten Infotorg.



Promemoria angående husrannsakan hos Passagen.se (Fu-prot s 537-538) tillstyrkande av hur information tillhörande Mathias Gustafsson lagrat påPassagen.se säkrats.


• Fu-prot s 437, en (1) rad, 2012-03-04 01:42,20:e raden uppifrån, tillstyrkande av att Mathias Gustafsson utfört dataintrång mot tjänstenInfotorg.

• Fu-prot s 438, två rader, 2012-03-05 09:35 till och med 2012-03-0509:35, 39:e och 39:e raderna uppifrån, till styrkande av att MathiasGustafsson utfört dataintrång mot tjänsten Infotorg.


• Gällande 2012-0201- BG25023-26 - Bärbar dator MacBook Pro (Fu-prot s 363-410) till styrkande av att spår från inloggningar mot tjänstenInfotorg anträffats i en dator som tagits i beslag från Gottfrid SvartholmWarg samt att Gottfrid Svartholm Warg utfört olovliga slagningar itjänsten Infotorg.

Muntlig bevisning

Vittnesförhör med kriminalinspektören John Stéenmark, Polismyndigheteni Stockholms län, Länskriminalpolisavdelningen, IT-forensiska sektionen, 10675 Stockholm, angående av honom utförda IT-forensiska analyser av materialtaget i beslag från Mathias Gustafsson, Passagen samt Ubunto One ochresultatet av dem till styrkande av;

• att datorer och s k molnlagrad data tagna i beslag från MathiasGustafsson innehöll omfattande data som olovligen åtkommits viddataintrången mot Applicate,

• att datorer och s k molnlagrad data tagna i beslag från MathiasGustafsson använts vid dataintrången mot Applicate,

• att Mathias Gustafsson och Gottfrid Svartholm Warg dels tillsammansoch i samförstånd dels på egen hand under perioden 2010-2012 vid ettstort antal tillfällen via Internet olovligen anslutit sig till och genomförtsökningar i tjänsten Infotorgs databas

Vittnesförhör med kriminalinspektören Olle Wahlström, Polismyndigheten iStockholms län, Länskriminalpolisavdelningen, IT-forensiska sektionen, 106



75 Stockholm, angående av honom utförda IT-forensiska analyser av materialtaget i beslag från Gottfrid Svartholm Warg och resultatet av dem till styrkandeav;

• att datorer tagna i beslag från Gottfrid Svartholm Warg innehöllomfattande data som olovligen åtkommits vid dataintrången motApplicate,

• att datorer tagna i beslag Gottfrid Svartholm Warg använts viddataintrången mot Applicate,

• att Mathias Gustafsson och Gottfrid Svartholm Warg dels tillsammansoch i samförstånd dels på egen hand under perioden 2010-2012 vid ettstort antal tillfällen via Internet olovligen anslutit sig till och genomförtsökningar i tjänsten Infotorgs databas

Vittnesförhör med IT-forensikern Robert Pock, Polismyndigheten iStockholms län, Länskriminalpolisavdelningen, IT-forensiska sektionen, 10675 Stockholm angående undersökning av från Mattias Gustafsson i beslagtagna telefoner till styrkande av att spår från anslutningar mot Infotorganträffats i en telefon och ett minneskort som tagits i beslag från MathiasGustafsson, att Mathias Gustafsson haft kontakt med Gottfrid SwartholmWarg, att Mathias Gustafsson använder sig av användarnamnet dIROX.

Vittnesförhör med nordenchefen för Bisnode Björn-Erik Karlsson, BisnodeInformation AB (f d Applicate), Sveavägen 151,105 99 Stockholm, angåendehans iakttagelser i samband med intrånget mot Applicate och vilka åtgärdersom vidtogs från Applicates sida m.m., till styrkande av det brottsligatillvägagångssättet och följderna därav för Applicate.


Gottfrid Svartholm Wargs hörande.

Åtalspunkten 4

Skriftlig bevisning

Framställningar om samt svar på IP-spårning till styrkande att vissa IP-adressertillhör Mattias Gustafssons. (Fu-prot s 29-30 samt 32-34.)

Promemoria angående FTP- och HTTP-trafik till Mathias Gustafsson bl a tillstyrkande av kopplingar mellan IP-adresser tillhörande Mathias Gustafsson ochintrången i Logicas stordatormiljö, att Mathias Gustafsson olovligen berett sig



tillträde till uppgifter i stordatormiljön samt hämtat data från densamma. (Fu-prot s 39-40)

Promemoria gällande undersökning av i beslag tagna datorer tillsammans medElisabeth Gummesson från Logica till styrkande av;att datorer tagna i beslag i Mathias Gustafssons bostad,att datorer tagna i beslag som funnits i Gottfrid Svartholm Wargs bostad iKambodja innehöll ochatt material säkrat från Mathias Gustafssons molnlagringstjänst Ubunto One,innehöll data som kommer från Logicas stordatormiljö (Fu prot s 47-50)

E-postkommunikation mellan polis och Riksdagsförvalmingen till styrkande avatt Riksdagsförvaltningens användarkonto använt vid intrånget mot Logicasstordatormiljö. (Fu-prot s 51-53)

Händelse- och åtgärdslogg ur Logicas utredningsrapport 2012-03-28 (Fu-prot,Bilaga B s 107-115), till styrkande av tillvägagångssätt för dataintrången 2012mot Logicas stordatormiljö.

Utskrift av fil med skyddade personnummer utlagd på Pastbin.com tillstyrkande av att genom intrånget åtkomna känsliga personuppgifter gjortstillgängliga för allmänheten. (Samtliga personnummer är maskade iförundersökningsprotokollet.) (Fu-prot s 54-83)

Svar på rättslig hjälp från USA avseende filer som funnits utlagda påPastebin.com till styrkande av att genom intrånget åtkomna känsligapersonuppgifter gjorts tillgängliga för allmänheten. (Fu-prot s 206-207)

Intyg skrivet av tjänsteman på Skatteverket samt två promemorior avfattade avpolisens IT-forensiker till styrkande av att den på Pastbin.com publicerade fileninnehållit personnummer tillhörande personer med skyddade personuppgifter,att data som åtkommits vid dataintrången innefattat skyddade personuppgiftersamt att sådana data påträffats i dator tillhörig Mathias Gustafssons samt s.k.molnlagringstjänst som disponerats av honom. (Fu-prot s 84-86)

Promemoria upprättad av polisens IT-forensiker till styrkande av att det idatorer och telefon som påträffats i Mathias Gustafssons bostad påträffats spårav att användaren dIROX anslutit till Passagen.se samt att denna användare ärMathias Gustafsson. (Fu-prot s 109)

Logicas incidentrapport 2010-02-19 (Fu-prot, Bilaga B, s 53-66) till styrkandeav att intrång skett mot stordatormiljön 2010 och att detta intrång harkopplingar till fynd gjorda i datorer tagna i belag från Gottfrid SvartholmWarg. (Avsnitten "Händelseförlopp", s 54-55, "Händelselogg", s 56-57, samt"Lista med kända SRC-IP", s 58, åberopas.)



Logicas Utredningsrapport 2012-04-04 (Fu-prot, Bilaga B, s 115-135) tillstyrkande av tillvägagångssättet för intrången mot Logicas stordatormiljö under2012 och mängden data som påverkats i systemet samt kopplingarna tillintrången 2010 mot Logicas stordatormiljö.

IT-forensiskt undersökningsprotokoll för beslag 2012-0201-BG10221 samtinhämtad data från Passagen.se (Fu-prot s 257-313) och Beslagsprotokoll2012-0201-BG10221 (Fu-prot s 527 ff).Följande delar åberopas.

• Gällande 2012-0201-BG10221-13 - Minneskort. (Fu-prot s 269-276)till styrkande av att data som olovligen åtkommits från Logicasstordatormiljö anträffats i ett minneskort som tagits i beslag frånMathias Gustafsson samt att Mathias Gustafsson olovligen anslutit sigtill och försökt hämta och hämtat data från Logicas stordatormiljö samtlagt till filer i densamma. Vidare till styrkande av att data som olovligenåtkommits från Logicas stordatormiljö delats mellan MathiasGustafsson och Gottfrid Svartholm Warg.

• Gällande 2012-0201-BG10221-14 - "Kittys dator". (Fu-prot s 276-279)till styrkande av att datorn tagen i beslag från Mathias Gustafssonanvänds vid dataintrång mot Logica 2011 och 2012.

• Gällande 2012-0201-BG10221-19 - "Lisas dator". (Fu-prot s 281-287)till styrkande av att datorn tagen i beslag från Mathias Gustafssontidigare innehållit stora mängder filer från Logicas stordatormiljö.Vidare till styrkande av att data som åtkommits vid dataintrångeninnefattade skyddade personuppgifter, delvis överensstämmande medde personnummer som publicerats på Pastbin.com, påträffats i datortillhörig Mathias Gustafsson. Även till styrkande av att datorn använttvå IP-adresser som använts vid intrånget mot Logicas stordatormiljö2012. Sammanfattningsvis till styrkande av att datorn tagen i beslagfrån Mathias Gustafsson används vid dataintrång mot Logica.

• Gällande 2012-0201-BG 10221-29 - "Trasig hårddisk" (Fu-prot s 288-291) till styrkande av att hårddisken tagen i beslag från MathiasGustafsson tidigare innehållit stora mängder filer från Logicasstordatormiljö som åtkommits under datorintrången mot Logicasstordatormiljö 2010 och 2011, att datorn använt två IP-adresser somanvänts vid intrånget mot Logicas stordatormiljö 2011.

• Gällande inhämtad data från Passagen.se (Fu-prot s 292-304) tillstyrkande av att Mathias Gustafsson olovligen berett sig tillgång tillLogicas stordatormiljö och från denna hämtat ut data samt lagt till filer idensamma, att Mathias Gustafsson och Gottfrid Svartholm Warg haftkontakt med varandra och genomfört dataintrången mot Logicasstordatormiljö tillsammans och i samförstånd.



• Gällande inhämtad data från Ubunto One (Fu-prot s 304-313) tillstyrkande av att Mathias Gustafsson haft ett konto hos den s.k.molnlagringstjänsten Ubunto One, att Mathias Gustafsson olovligenanslutit sig till och hämtat data från Logicas stordatormiljö samt lagt tillfiler i densamma. Även till styrkande av att data som åtkommits viddataintrången innefattade skyddade personuppgifter, delvisöverensstämmande med de personnummer som publicerats påPastbin.com, påträffats i molnlagringstjänst tillhörig MathiasGustafsson. Vidare till styrkande av att Gottfrid Svartholm Wargolovligen anslutit sig till och hämtat data från Logicas stordatormiljösamt att Mathias Gustafsson och Gottfrid Svartholm Warg haft kontaktmed varandra och genomfört dataintrången mot Logicas stordatormiljötillsammans och i samförstånd.

Promemoria angående husrannsakan hos Passagen.se (Fu-prot s 537-538) tillstyrkande av hur information tillhörande Mathias Gustafsson lagrat påPassagen.se säkrats.


• Fu-prot s 460,15 rader, 2012-03-29 11:48,43:e raden uppifrån och2012-03-29 12:30 till och med 2012-03-29 12:34, 18:e till och medfemte raderna från slutet på sidan, till styrkande av att MathiasGustafsson varit delaktig i dataintrånget mot Logica.

• Fu-prot s 448-449, 33 rader, 2012-03-07 02:29 till och med 2012-03-0703:01, de sista 16 raderna på s 448 och de första 17 raderna på s 449,till styrkande av att Mathias Gustafsson utfört dataintrång mot Logica,dataintrånget mot Logica samt hämtat ut och delat data från intrångetmed andra.

• Fu-prot s 461, sex rader, 2012-03-29 12:37 till och med 2012-03-2912:39,15:e till och med 10:e raderna nerifrån, till styrkande av attMathias Gustafsson innehaft data med skyddade personnummer somåtkommits vid dataintrånget mot Logica.

• Fu-prot s 450-452, 2012-03-09 15:33 till och med 2012-03-09 18:57,alla rader på s 450 från och med rad 16, alla rader på s 451 och de fyraförsta raderna på s 452, till styrkande av att Mathias Gustafsson ochGottfrid Svartholm Warg utfört dataintrång mot Logica tillsammansoch i samförstånd samt delar vid intrången åtkommen data.

• Fu-prot s 453-454, 30 rader, 2012-03-10 16:33 till och med 2012-03-1017:14, de sista 26 raderna på s 453 och de fyra första raderna på s 454,till styrkande av att Mathias Gustafsson och Gottfrid Svartholm Wargutfört dataintrång mot Logica tillsammans och i samförstånd samt delarvid intrången åtkommen data.



• Fu-prot s 457-459,2012-03-19 19:41 till och med 2012-03-25 21:24, desista 34 raderna på s 457, hela s 458 och de tre första raderna på s 459,till styrkande av att Mathias Gustafsson och Gottfrid Svartholrn Wargutfört dataintrång mot Logica tillsammans och i samförstånd samt delarvid intrången åtkommen data.


• Gällande 2012-0201-BG25023-1 - Hårddisk (Fu-prot s 353-354) tillstyrkande av att data som olovligen åtkommits från Logicasstordatormiljö anträffats i en hårddisk som tagits i beslag från GottfridSvartholm Warg samt att Gottfrid Svartholrn Warg olovligen anslutitsig till och hämtat data från Logicas stordatormiljö.

• Gällande 2012-0201-BG25023-2 - Hårddisk (Fu-prot s 354-362) tillstyrkande av data som olovligen åtkommits från Logicas stordatormiljöanträffats i en hårddisk som tagits i beslag från Gottfrid SvartholmWarg samt att Gottfrid Svartholm Warg olovligen anslutit sig till ochhämtat data från Logicas stordatormiljö.

• Gällande 2012-0201-BG25023-26 - Bärbar dator MacBook Pro (Fu-prot s 363-410) till styrkande av;

o att det i en dator som tagits i beslag från Gottfrid SvartholmWarg finns spår av ett flertal IP-adresser som använts viddataintrången mot Logicas stordatormiljö,

o att datorn, oftast med hjälp av andra datorer, använts förintrången mot Logicas stordatormiljö,

o att data som olovligen åtkommits från Logicas stordatormiljöanträffats i en dator som tagits i beslag från Gottfrid SvartholmWarg

o att det i en dator som tagits i beslag från Gottfrid SvartholmWarg påträffats spår av användarnamn som använts viddatorintrånget mot Logicas stordatormiljö,

o att det i en dator som tagits i beslag från Gottfrid SvartholmWarg påträffats spår av program som använts vid datorintrångetmot Logicas stordatormiljö,

o att data som åtkommits vid dataintrången innefattade skyddadepersonuppgifter, delvis överensstämmande med depersonnummer som publicerats på Pastbin.com, påträffats idator tillhörig Gottfrid Svartholm Warg.

o att Gottfrid Svartholm Warg hämtat data och lagt till data iLogicas stordatormiljö och

o att Mathias Gustafsson och Gottfrid Svartholm Warg haftkontakt med varandra och genomfört dataintrången mot Logicasstordatormiljö tillsammans och i samförstånd.



Dokument från Kungadömet Kambodja angående gods taget i beslag frånGottfrid Svartholm Warg vid gripandet av Kambodjans polis, somöverlämnades av kambodjanska myndigheter till svensk polispersonal (Fu-prots 173-174) samt promemoria upprättad av svensk polis gällande material frånKambodja (Fu-prot s 177), till styrkande av att godset som tagits i beslag medbeslagsnummer 2012-0201-BG25023 kommer från Gottfrid Svartholm Wargoch fanns i hans besittning vid gripandet i Kambodja.

Muntlig bevisning

Vittnesförhör med IT-säkerhetsspecialist Jesper Blomström,Informationssäkerhetsenheten, Säkerhetspolisen, Box 12312,102 28Stockholm, angående hans iakttagelser och slutsatser underförundersökningsarbetet, till styrkande av tillvägagångssättet för ochbrottstiden för de åtalade dataintrången mot Logica.

Vittnesförhör med kriminalinspektören John Stéenmark, Polismyndigheteni Stockholms län, Länskriminalpolisavdelningen, IT-forensiska sektionen, 10675 Stockholm, angående av honom utförda IT-forensiska analyser av materialtaget i beslag från Mathias Gustafsson, Passagen samt Ubunto One ochresultatet av dem till styrkande av;

• att datorer och s k molnlagrad data tagna i beslag från MathiasGustafsson innehåll omfattande data som olovligen åtkommits viddataintrången mot Logica,

• att datorer och s k molnlagrad data tagna i beslag från MathiasGustafsson Warg använts vid dataintrången mot Logica,

• att Mathias Gustafsson och Gottfrid Svartholm Warg olovligen berettsig tillgång till data i Logicas stordatormiljö och från denna hämtatsamt till denna lagt till data,

• att Mathias Gustafsson och Gottfrid Svartholm Warg under perioden2010 till och 2012 tillsammans och i samförstånd begått dataintrångenmot Logica,

Vittnesförhör med kriminalinspektören Olle Wahlström, Polismyndigheten iStockholms län, Länskriminalpolisavdelningen, IT-forensiska sektionen, 10675 Stockholm, angående av honom utförda IT-forensiska analyser ochresultatet av dem till styrkande av;

• att datorer tagna i beslag från Gottfrid Svartholm Warg innehållomfattande data som olovligen åtkommits vid dataintrången motLogica,

Ansökan om stämning Sida 21 (24)Internationella åklagarkammaren Stockholm Handling 445


• att datorer tagna i beslag från Gottfrid Svartholm Warg använts viddataintrången mot Logica,

• att Mathias Gustafsson och Gottfrid Svartholm Warg olovligen berettsig tillgång till data i Logicas stordatormiljö och från denna hämtatsamt till denna lagt till data,

• att Mathias Gustafsson och Gottfrid Svartholm Warg under perioden2010 till och 2012 tillsammans och i samförstånd begått dataintrångenmot Logica,

• att tidsinstälhiingarna i den från Gottfrid Svartholm Warg i beslag tagnabärbara Mac-datorn ändrats, men att tidsinställningarna stämmeröverens med Logicas loggar för angrepp mot deras stordatormiljö.

Vittnesförhör med säkerhetschefen Anders Sandell, CGI (f d Logica), 131 85Stockholm, angående hans iakttagelser i samband med dataintrången motLogica och Logicas arbetsinsatser, till styrkande av det brottsligatillvägagångssättet och följderna därav för Logica.

Vittnesförhör med systemteknikern Elisabeth Gummesson, CGI (f dLogica), 131 85 Stockholm, angående hennes iakttagelser i samband medutredningen efter intrånget mot Logica samt samtal med personal frånförundersökningen, till styrkande av att datorer tagna i beslag i MathiasGustafssons bostad,att datorer tagna i beslag som funnits i Gottfrid Svartholm Wargs bostad iKambodja innehöll och att material säkrat från Mathias Gustafssonsmolnlagringstjänst Ubunto One, innehöll data som kommer från Logicasstordatormiljö


Gottfrid Svartholm Wargs hörande

Åtalspunkten 5

Skriftlig bevisning

Incidentrapport från Nordea daterad den 10 januari 2013 (Fu-prot s 8-21) tillstyrkande av tillvägagångssättet för dataintrången mot Nordea och följdernadärav.

Promemoria från Säkerhetspolisen daterad 2013-03-01 (Fu-prot 51-54), tillstyrkande av tillvägagångssättet för dataintrången mor Nordea samt



kopplingarna till Gottfrid Svartholm Warg och fynd i datorer som tagits ibeslag från honom.

IT-forensiskt undersökningsprotokoll för beslag 2012-0201-BG25023avseende intrång riktat mot Nordea (Fu-prot s 81-132).Följande delar åberopas.

• Inledning och sammanfattning (Fu-prot s 81-82) till styrkande av detanträffats spår av IP-adresser som använts vid dataintrången motNordea samt stora mängder data som åtkommits vid dataintrånget motNordea i datorer tagna i beslag från Gottfrid Svartholm Warg.

• Gällande 2012-0201-BG25023-2 - Hårddisk (Fu-prot s 97 under rubrik"Dataset") till styrkande av att data som olovligen åtkommits frånNordeas stordatormiljö anträffats i en hårddisk som tagits i beslag frånGottfrid Svartholm Warg.


o att data som olovligen åtkommits från Nordeas stordatormiljöanträffats i en dator som tagits i beslag från Gottfrid SvartholmWarg,

o att det i en dator som tagits i beslag från Gottfrid SvartholmWarg finns spår av ett flertal IP-adresser som använts viddataintrången mot Nordeas stordatormiljö,

o att datorn använts för intrången mot Nordeas stordatormiljö ocho att Gottfrid Svartholm Warg hämtat data från Nordeas

stordatormiljö.

Muntlig bevisning

Vittnesförhör med IT-säkerhetsspecialist Jesper Blomström,Informationssäkerhetsenheten, Säkerhetspolisen, Box 12312, 102 28Stockholm, angående hans iakttagelser och slutsatser underförundersökningsarbetet, till styrkande av tillvägagångssättet för ochbrottstiden för de åtalade dataintrången mot Nordea samt kopplingarna tillGottfrid Svartholm Warg och fynd i datorer som tagits i beslag från honom.

Vittnesförhör med kriminalinspektören Olle Wahlström, Polismyndigheten iStockholms län, Länskriminalpolisavdehiingen, IT-forensiska sektionen, 10675 Stockholm, angående av honom utförda IT-forensiska analyser ochresultatet av dem till styrkande av;

• att data som olovligen åtkommits från Nordeas stordatormiljö anträffatsi en dator som tagits i beslag från Gottfrid Svartholm Warg,

• att det i en dator som tagits i beslag från Gottfrid Svartholm Warg finnsspår av ett flertal IP-adresser som använts vid dataintrången motNordeas stordatormiljö,



• att datorn använts för intrången mot Nordeas stordatormiljö och• att Gottfrid Svartholm Warg hämtat data från Nordeas stordatormiljö.


Åtalspunkterna 6-13

Skriftlig bevisning

Incidentrapport från Nordea daterad den 10 januari 2013 (Fu-prot s 8-21) tillstyrkande av tillvägagångssättet för penningtransaktionerna från Nordea ochförsöken därtill, belopp och tidpunkt för transaktionerna samt att försöken tillbedrägeri varit tjänliga försök.

Betalningsöversikt från Nordea (Fu-prot s 23), till styrkande av belopp ochdatum för aktuella grova bedrägerier och försökt till grova bedrägerier.

Promemoria gällande kontakter med Nordea upprättad av polis (Fu-prot s 26-27), till styrkande av tillvägagångssättet för penningtransaktionerna frånNordea och försöken därtill, belopp och tidpunkt för transaktionerna samt attförsöken till bedrägeri varit tjänliga försök.

Skriftväxling med Swedbank (Fu-prot s 55-67) till styrkande av försök tillpenningtransaktion till Abdul-Rahim Bashe Said.

Skriftväxling med SEB (Fu-prot s 68) till styrkande av försök tillpenningtransaktion till Seifaddin Sedira.

Skriftväxling med Nordea (Fu-prot s 69-74) till styrkande avpenningtransaktioner och försök därtill till Mohammed Haji Elmi.

IT-forensiskt undersökningsprotokoll för beslag 2012-0201-BG25023avseende intrång riktat mot Nordea (Fu-prot s 81-132).Följande delar åberopas.

• Inledning och sammanfattning (Fu-prot s 81-82) till styrkande av detanträffats spår av de banktransaktioner och försök till banktransaktionersom omfattas av gärningsbeskrivningen samt de personer och företagsom transaktionerna varit utställda på i dator tagen i beslag frånGottfrid Svartholm Warg.




o att de banktransaktioner och försök till banktransaktioner somomfattas av gärningsbeskrivningen utförts från en dator somtagits i beslag från Gottfrid Svartholm Warg,

o att det anträffats spår av de personer och företag somtransaktionerna varit utställda på i dator tagen i beslag frånGottfrid Svartholm Warg.

Muntlig bevisning

Vittnesförhör med kriminalinspektören Olle Wahlström, Polismyndigheten iStockholms län, Länskriminalpolisavdelningen, IT-forensiska sektionen, 10675 Stockholm, angående av honom utförda IT-forensiska analyser ochresultatet av dem till styrkande av;

• att de banktransaktioner och försök till banktransaktioner som omfattasav gärningsbeskrivningen utförts från en dator som tagits i beslag frånGottfrid Svartholm Warg,

• att det anträffats spår av de personer och företag som transaktionernavarit utställda på i dator tagen i beslag från Gottfrid Svartholm Warg.


Seifaddin Sediras hörande

Abdul-Rahim Bashe Saids hörande

HandläggningUppskattning av tidsåtgång för sakframställning och förhör samt önskemål omturordning för förhör inkommer inom kort från åklagaren.

Henrik Olin

ÅKLAGARMYNDIGHETEN

Malmö Aklagarkammare

Kammaråklagare Sofia Syrén-Akesson


2013-04-25

Bilaga 2


MALMÖ TINGSRÄTTBESLUT a0U-ö*(-

: Ange dessa uppgifter yjd kontakt med mvndiaheien j

Qoff.försvarareWfw*»enl, lista

D Begäran om off. förevanw av-slås enl bil, till samntngeo

^STPersonundereötot utfOn

Malmö tingsrätt

Box 265201 22 MALMÖ

.BACKåJlNGSRÄIL—^^éttSM!ihcftfr

?f»ftr-J-

D Yttrande från frivardsmyntlghInhämtas

D Tolk förordnasD Förordn.

TR mål: B 11830-12Handl.: NARK

1Tdllalad: etiemamn och alla (Omawi

Sedira, SeifaddinPerionnr

19931222-7979Adress

Medborgare!

Sverige

Tilltalsnamn

T ett lon

040-933311

Ylteftitel

Tolkbehov

Ryttaregatan 5 B Lgh 1 102 212 43 MALMÖOffaniig fSfivarare/ombud

Ehrnford, Fredrik, advokatenia Nyblom & Sarvik AB, Stortorget 17, 21 1 22 MALMÖFitheUbertvande rara

Oelgnringsuppglfter

Ansvarsyrkanden m.m.

1. NARKOTIKABROTT, RINGA BROTT (1200-K171593-12)

Sedira har den 30 oktober 2012 eller koit tid dessförinnan på okänd plats i riketolovligen brukat cannabis, som är narkotika.

Lagrum

l § l st 6 p och 2 § narkotikastrafflagen (1968:64)

AnmärkningStatens kostnader för provtagning och för analysen av provet uppgår till 615 kr.

Bevisning

Förhör med tilltalade Seifaddin Sedira (erkänner)Analysbesked, fup s. 6

Postadress

20590 MALMÖ

Gatuadress TelefonRättscentrum Malmö, Porslinsgatan 4 010-562 60 63

Telefax

010-5626011

[email protected]

Malmö Aklagarkammare

Kammaråklagare Sofia Syren-Åkesson


2013-04-25


2. NARKOTIKABROTT (1200-K191599-12)

Sedira har den 3 december 2012 på Ryttaregatan i Malmö olovligen innehafttotalt 75,63 gram cannabis.

Sedira har samma dag eller kort tid dessförinnan på okänd plats i riketolovligen brukat cannabis, som är narkotika.

Lagrum

l § l st 3, 6 p och 2 § narkotikastrafflagen (1968:64)

Särskilt yrkandeFörverkande av i beslag tagen narkotika jämte emballage, våg, cigarettpapperoch plastpåse (beslag nr 2012-1200-BG16183 p 1-2, 2012-1200-BG16185 p 1-2,2012-1200-BG16186pl-3).

AnmärkningStatens kostnader för provtagning och för analysen av provet uppgår till 615 kr,

Bevisning

Förhör med tilltalade Seifaddin Sedira (erkänner)Beslagsprotokoll, fup s. 6-10Fotografier, fup s. 11-15Analysbesked, fup s. 16-21

Sofia Syren-Åkesson

Documents

Svea Hovrätt Dom B 6402-13