Hoe een digitaal kruimelspoor onderzoekers naar de verdachten voor neerhalen MH17 leidde

Het is niet dat Rusland het niet probeerde. Een omvangrijke desinformatiecampagne via Twitter door het befaamde Internet Onderzoekscentrum (IRA) uit Sint-Petersburg vlak na de crash van vlucht MH17, een persconferentie van de fabrikant van de Boek-raket die moest aantonen dat het wapen afgeschoten werd vanaf een plek die in handen was van Oekraïne, gemanipuleerde satellietbeelden: Rusland deed er alles aan om de bewijzen over MH17 de andere kant op te sturen. 

Er was een bijna kolderieke poging met een gefabriceerde foto met Oekraïense straaljagers. Probleem: het logo van Malaysia Airlines was niet ter hoogte van de vleugels geplaatst zoals bij het neergestorte type 9M-RMD, maar een stuk verderop.

Ondanks die Russische pogingen presenteerde het Joint Investigation Team (JIT) woensdag de namen van drie Russische en één Oekraïense betrokkene bij het neerhalen van MH17. De belangrijkste bouwstenen voor het bewijs zijn digitale sporen, want de onderzoekers konden geen onderzoek doen op de plaats van het delict. 

In een informatietijdperk waarin burgers zelf allerlei audio- en videobestanden maken, berichten via sociale media sturen en op webfora plaatsen, is zo’n grote gebeurtenis nauwelijks te verdoezelen. Jurist en internetdeskundige Danny Mekic: “Het is alsof je in een kristal kijkt: in het digitale tijdperk heeft opsporing een versterkend effect gekregen. Er is extreem veel materiaal, wat onderzoek zowel makkelijker als ingewikkelder maakt. De kunst is om snel te handelen.”

In de weken na het neerschieten van MH17 begon het internationale onderzoeksteam met het opslaan van 350 miljoen webpagina’s met informatie over Oost-Oekraïne. Mekic: “Dat is cruciaal, want bewijs kan ook weer verdwijnen.”

Overdaad bewijsmateriaal

Over MH17 bestaat een overdaad aan bewijsmateriaal, vaak gepost door burgers. De route van het Boek-transport vanuit Rusland naar Oekraïne kon vrijwel geheel gereconstrueerd worden aan de hand van foto’s en video’s op sociale media. 

Hoe zeker is het dat die beelden echt zijn? Digitaal expert Matthijs Koot, gepromoveerd op onderzoek naar data-anonimiteit: “Bij het verzamelen, analyseren en interpreteren van bewijs van computers en smartphones kan worden gewerkt volgens forensisch-technische normen. Dat is geen eis om bewijsmateriaal rechtsgeldig te laten zijn, maar versterkt de bewijskracht.” Bijvoorbeeld de vraag of twee foto’s wel afkomstig zijn van hetzelfde digitale apparaat. 

De gigantische hoeveelheid gegevens werkt volgens Koot in het voordeel van de opsporing. “Als gegevens beschikbaar zijn van meerdere, van elkaar onafhankelijke bronnen, en er geen bewijs is dat die gegevens weerlegt, komt er een moment waarop je niet meer kunt volhouden dat er onvoldoende bewijs is voor een bepaalde bewering.”

De Russische bureaucratie is ook behulpzaam. Het onderzoekscollectief Bellingcat heeft uit meerdere Russische databases, zoals het register voor verkeersovertredingen, nuttige gegevens gehaald over betrokkenen bij MH17. Door strengere privacywetgeving is het in Europa minder goed mogelijk om zomaar door dat soort bestanden te grasduinen. 

Tezamen met ander bewijsmateriaal zorgden die digitale kruimels ervoor dat de Russische desinformatiecampagne kansloos was.

1.  Foto’s en video’s

Op 3 mei 2016 plaatst een ongeïdentificeerde gebruiker een video op YouTube. Het zijn beelden van een dashcam, op dat moment bijna twee jaar oud, die halverwege juli 2014 zouden zijn gemaakt. De video levert interessante inzichten op over het transport van de Boek waarmee MH17 is neergeschoten. Bijvoorbeeld de locatie waar het transport rijdt, vlak bij Donetsk. 

Door de beelden te vergelijken met satellietgegevens kunnen onderzoekers de echtheid vaststellen. Na 47 seconden is de Boek te zien, inclusief twee begeleidende auto’s: een VW Transporter en een Toyota RAV4, die ook in eerdere video’s te zien zijn. Een twitteraar vergelijkt de getoonde brandstofprijzen uit de video met de website van het benzinestation. De getoonde prijzen komen overeen met die uit juli 2014.

2. Satellietbeelden

Boven de aarde zweven vele satellieten – zowel commerciële als van overheden. De commerciële speler DigitalGlobe heeft zijn eigen satellieten, die in hoge resolutie momentopnames van de aarde maken. Google koopt die beelden voor Google Earth. In 2016 voegde Google satellietbeelden uit de regio Oost-Oekraïne van juli 2014 toe. 

Bij toeval zijn die beelden – die eens in de zoveel minuten worden gemaakt – geschoten op het moment dat het Boek-transport voorbijkwam, om 11.08 uur op 17 juli 2014. Dankzij de satellietbeelden is er meer bewijs dat pro-Russische rebellen een Boek vanuit Donetsk naar Snizhne in het oosten van Oekraïne vervoerden op de dag dat MH17 werd neergeschoten.

3. Getuigen

Een inwoner van Torez in Oost-Oekraïne hoort op 17 juli twee harde knallen, rent naar zijn balkon met een fototoestel en maakt, net na de lancering van de Boek, twee foto’s. In eerste instantie denkt hij dat hij te laat is: er is alleen een wit rookspoor te zien. Pas later begrijpt hij de betekenis van die rookpluim: het spoor van een Boek-raket. 

“Ik heb contact opgenomen met een vriend van mij en hem de foto’s gegeven, inclusief de originelen. Die vriend nam contact op met de SBOe (de Oekraïense veiligheidsdienst), en bij de SBOe hadden ze belangstelling voor de foto’s”, vertelt de man een half jaar later aan journalist Olaf Koens. 

Een eerste foto verschijnt de dag van de ramp op een blog, de tweede volgt een half jaar later. De Oekraïense veiligheidsdienst neemt de camera in beslag, tegen een vergoeding. De foto’s, ook in bezit van het JIT, zijn belangrijk bewijsmateriaal om te bepalen waar de Boek exact is gelanceerd. De inwoner: “Er zijn geen andere foto’s beschikbaar die bewijzen dat die Boek iets afschiet in dat gebied.”

4. Sociale media

Sociale media zijn een goudmijn. Bellingcat-onderzoeker Daniel Romein reconstrueert de samenstelling van het tweede bataljon van de 53ste brigade, die de Boek naar het strijdgebied bracht. Maandenlang zoekt hij naar de juiste samenstelling via de Russische tegenhanger van Facebook, VKontakte, en de Russische profielensite Odnoklassniki. 

Dat gaat moeizaam: Russische militairen wissen foto’s en video’s uit 2014. Tot Romein op de luitenant van het radarvoertuig van het bataljon stuit: Vadim M. Romein: “Dankzij hem vond ik veel foto’s van officieren die met het bataljon een oefening deden.”

Tijdens de oefening een jaar eerder in Kapustin Yar zijn groepsfoto’s genomen. In de reacties en getagde personen vindt Romein nieuwe namen en bevestigingen. Een van de officiersvrouwen reageert op een groepsfoto met de tekst “knapperd!” Omdat haar achternaam dezelfde is als die van een officier uit het bataljon en Romein één persoon van de foto niet kan identificeren, zet haar reactie hem op het goede spoor.

5. Afgeluisterde telefoongesprekken

Ze staan al online voor de lichamen geborgen zijn: afgetapte telefoongesprekken van pro-Russische rebellen. De Oekraïense veiligheidsdienst SBOe publiceert ze een dag na de crash. Interceptie van communicatie is gebruikelijk in gevechtsgebieden, maar zonder details zijn de ruwe bestanden geen bewijs. 

Bellingcat doet eind 2016 onderzoek naar een gesprek van ene ‘Khmuryi’, die de Boek bestelde en het transport coördineerde. Volgens de SBOe is hij geboren in 1962. Dat blijkt later 1964 te zijn. 

Bellingcat weet met uitvoerig online onderzoek zijn ware identiteit te bevestigen. Romein: “Wij hebben nooit klakkeloos aangenomen dat alle informatie van de afgetapte gesprekken klopte. Pas op het moment dat de tijdlijn, de gebeurtenissen en de locaties zoals beschreven in die gesprekken overeenkwamen met bevestigde gegevens, konden we stellen dat ze zeer waarschijnlijk authentiek zijn. Definitief bewijs zagen we in veel gevallen pas aan de hand van stemvergelijkingen en getuigenverklaringen.”