Samenvatting
De vraag of Odido afpersgeld had moeten betalen is geen principiële zwart-witkwestie, maar een complexe risico- en schadeafweging. Daarbij botsen twee perspectieven: het beperken van directe schade voor miljoenen betrokkenen op korte termijn, en het voorkomen dat cyberafpersing als verdienmodel wordt versterkt op lange termijn.
In dit artikel worden de belangrijkste belangen, risico’s en argumenten geanalyseerd vanuit vier perspectieven: de organisatie zelf, getroffen klanten, de overheid en de bredere samenleving. De centrale conclusie is dat cyberafpersing zelden een moreel zuivere keuze laat: organisaties moeten uiteindelijk bepalen welke optie in een concreet incident de minste totale maatschappelijke schade veroorzaakt.
Inleiding
De hack bij Odido (voormalig T-Mobile en Tele2) en Ben, heeft in korte tijd geleid tot forse maatschappelijke onrust. Dat is begrijpelijk. Niet alleen vanwege de omvang van het incident, maar vooral vanwege de aard van de buitgemaakte gegevens en de mogelijke gevolgen voor miljoenen betrokkenen. In termen van schaal, gevoeligheid en potentiële maatschappelijke impact behoort dit incident tot de ernstigste datalekken die Nederland tot dusver heeft gekend.
Tegelijk valt op dat het publieke debat zich snel vernauwt tot een ogenschijnlijk simpele vraag: had Odido moeten betalen of niet? Die vraag lijkt overzichtelijk, maar is dat in werkelijkheid niet. Bij cyberafpersing is zelden sprake van een moreel zuivere keuze. Het gaat vrijwel altijd om een afweging tussen verschillende vormen van schade, op verschillende tijdshorizonten, voor verschillende groepen.
De vraag of Odido had moeten betalen is daarom geen morele zwart-witkwestie, maar een strategische afweging tussen verschillende soorten schade: voor klanten, voor de organisatie, voor de opsporing en voor de samenleving als geheel. De werkelijke vraag is: welke keuze leidt, gegeven de feiten, de dreiging en de context, tot de minste totale schade? Daarbij moet onderscheid worden gemaakt tussen korte termijn en lange termijn, tussen organisatiebelang en maatschappelijk belang, en tussen principiële reflexen en operationele realiteit.
Continue reading
