Silkeveiene_. Bidrag til kategori «Nyhetsjournalistikk» Den Trønderske journalistprisen 2014

Silkeveiene_ Bidrag til kategori «Nyhetsjournalistikk» Den Trønderske journalistprisen 2014 Hovedsak publisert onsdag 5. november: http://www.adressa.no/pluss/article10313897.ece Jonas Alsaker Vikan, 928 28 316 Jonas.vikan@adresseavisen.no Ole Martin Wold, 986 31 898 Ole.martin.wold@adresseavisen.no Adresseavisen

Funn I en serie saker kjent som «silkeveiene» har Adresseavisen avdekket følgende som hittil ikke har vært kjent: Norske, organiserte nettverk har det siste året stått for minst 5500 salg av kokain, ecstasy, amfetamin, LSD og andre stoffer til norske kunder på en skjult del av internett, kjent som det mørke nettet --- Omsetningen fra salgene er på mange millioner kroner. Pengene forsvinner med en anonym digital valuta som ikke kan spores av banker og myndigheter. Nettverkene har vært aktive i flere år --- Narkotika sendes i brev med innenrikspost. I Norge er det ingen kontroll, eller sporing av innenlands brevpost. Nettverkene bruker intetanende postmenn som narkotikakurerer --- I tillegg selger nettverkene fra Norge til kunder i hele verden. Det er tilnærmet ingen kontroll av brev og pakker på vei ut av landet. Det vet nettverkene, og bruker aktiv i markedsføring --- Norske narkotikaselgere tilbyr nordmenn gratis stoff mot å skrive en rusrapport om virkningen. Rusrapporten brukes i markedsføring, som bevis på stoffets kvalitet --- Nettverkene pusher kokain, ecstasy, amfetamin og andre stoffer på kunder de ikke aner hvem er. Blant kundene er barn under 18 år --- Påtalemyndigheten henla i fjor 87 prosent av alle saker som stammet fra utenlandske narkotikabrev adressert til nordmenn --- Antallet saker som ble påtaleavgjort er over fem ganger lavere enn antallet narkotikasalg som Adresseavisen kan dokumentere på det mørke nettet --- 2

Innhold 1.INNLEDNING 5 1.1.1 Oppstart 5 2. METODER 6 2.1 Datagraving 6 2.1.1 Lenkefarming 6 2.1.2 Informasjonsinnsamling 7 2.1.3 Analyse av omdømmesystemet 9 2.1.4 Søk krypteringsnøkkeldatabaser 11 2.1.5 Søk html-arkiv 14 2.2 Kartlegging sosiale medier 14 2.2.1 Deanonymisering: Fra BRUKER123 til «Øystein» 15 2.2.2 Profilanalyse det mørke nettet 16 2.2.3 Åpne søk 16 2.2.4 Profilanalyse det åpne nettet 16 2.2.5 Facebookanalyse 17 2.2.6 OSINT-søk «bak» Facebookprofil 17 2.2.7 Deanonymisering: SELGER123 18 2.2.8 OSINT-søk «bak» Facebookprofil 18 2.3 Bildeanalyse 19 2.4 Dokumentgraving 20 2.4.1 Analyse av Skånesak 20 2.4.2 Analyse av dom, tingsrätt og hovrätt 21 2.4.3 Dokumenter unntatt offentlighet 22 2.4.4 Siktelser Silk Road 1 og 2 23 2.4.5 Politidokumenter 24 2.4.6 Internasjonal forskning 24 2.5 Spaning 25 3. SPESIELLE ERFARINGER 25 3.1.1 Operations security (Opsec) 25 3.1.2 «Misbruk» av systemer 26 3.1.3 Trusler 27 4. PRESSEETISKE VURDERINGER 28 4.1.1 Personer under 18 år 28 4.1.2 Narkotikakjøp 28 4.1.3 Samtidig imøtegåelse 28 4.1.4 Bildebruk 28 4.1.5 Falsk identitet 29 3

5. KONSEKVENSER 29 5.1.1 Endring i postsystemet 29 5.1.2 Etterforskning av nettverk 30 5.1.3 Omverdenanalyse 30 6. PUBLISERINGSLISTE 31 4

1.Innledning Denne rapporten vil beskrive arbeidet med prosjektet kalt «silkeveiene», hvor vi i en dokumentar og flere nyhetssaker har avslørt et hittil ukjent norsk narkotikamarked som skjuler seg i et mørkt hjørne av internett. For å få adgang til det mørke nettet kreves kunnskap om avansert teknologi og kryptering. Sentrale begrep som er viktig å merke seg er «det mørke nettet», TOR og kryptomarkeder. TOR er en programvare som anonymiserer brukerens nettsurfing. Kryptomarkeder er nettsider som bruker TOR for å skjule sin reelle adresse, og hvor tusenvis av brukere kan kjøpe og selge narkotika ved hjelp av den digitale valutaen Bitcoin. Det mørke nettet er utgjort av alle sidene som er satt opp ved hjelp av TOR. Arbeidet pågikk på fulltid mellom 5. august og 5. november 2014, og pågår fortsatt. Det har vært et svært omfattende prosjekt, og en lang prosess frem mot publisering. Den har vært utfordrende med en bratt teknologisk læringskurve. Prosessen har vekslet mellom konvensjonell, journalistisk metodebruk, utvikling av nye metoder for å utvinne informasjon fra skjult materiale på det mørke nettet, og analyse av store mengder innsamlede opplysninger og dokumenter. Rapporten vil drøfte metodebruken og resultatene den ga, i tillegg til å ta for seg de presseetiske problemstillingene som sakene har berørt. Sakene avslører grov narkotikakriminalitet med strafferammer på langt over ti år i fengsel begått av organiserte miljøer. Kriminaliteten på kryptomarkedene genererer milliarder av kroner årlig. Norsk politi har ikke etterforsket disse miljøene, og de er fortsatt på frifot. Derfor er det brukt anonymisering og en rekke grep for å ivareta kildevern og sikkerhet i denne rapporten. Utfyllende opplysninger rundt enkelttema kan oppgis til jury ved forespørsel. 1.1.1 Oppstart Arbeidet som skulle ende opp i «silkeveiene», begynte for Jonas i starten av 2014. I januar dukket en uforståelig lenke opp i forbindelse med research til en annen sak. Lenken fremsto som ulogisk, og ga «page not found». Jeg ble nysgjerrig: http://hj4ndbfe2vhvauck.onion/ Et vanlig google-søk viste at lenken pekte mot en nettside skjult av programvaren TOR. På grunn av andre forpliktelser og saker, ble det med noen spredte søk og sporadisk research fra lenken ble oppdaget og til jeg gikk ut i foreldrepermisjon i april. I løpet av permisjonen, da jeg fikk litt avstand til jobben og mulighet til å samle tankene, bestemte jeg meg for å gjøre et prosjekt på det som for meg fremsto som en ukjent del av internett. Ole Martin, som er fotograf, ble koblet på i slutten av september, et par måneder før publisering. 5

Å lære seg å bruke TOR-programvaren var den første utfordringen. Da jeg hadde det på plass, og surfet inn på det mørke nettet for første gang opplevdes det litt som Alice' sin ferd ned kaninhullet mot eventyrland. 2. Metoder Det har blitt brukt en rekke forskjellige metoder i arbeidet med «silkeveiene». For å gjøre det så oversiktlig som mulig har jeg delt inn skriftlige kilder i avsnitt om datagraving og dokumentgraving. 2.1 Datagraving Den største utfordringen med dette prosjektet var at det ikke eksisterte noen form for oppskrift som jeg kunne følge. Jeg hadde sett flere andre journalistiske prosjekter som hadde fulgt elektroniske spor, og gått etter bakmenn på ulike nettsteder. Felles for prosjektene var at de undersøkte personer som beveget seg på det åpne nettet. Der finnes det en rekke metoder for å følge elektroniske spor. Årsaken til at noen velger opererer på det mørke nettet, er at det gir anonymitet, støttet av teknologi som er avansert nok til å gi ressurssterke etterretningsbyrå som NSA problemer. Jeg så at eksisterende metoder ikke ville fungere. Jeg måtte finne egne måter for å samle inn informasjon fra data på det mørke nettet. 2.1.1 Lenkefarming Adressene til sider på det mørke nettet består av tilsynelatende tilfeldig utvalgte bokstaver. Ettersom sidene ikke fanges opp av Google, var jeg avhengig av å vite adressen til sidene som jeg skulle undersøke. Det var viktig å få oversikt. Men under oppstarten føltes det hele som å famle rundt i blinde. Jeg fant en lenke til kryptomarkedet Silk Road 2 (SR2) gjennom søk på det vanlige nettet. Her lå det mye rart tilgjengelig, men det så ut til at hovedinnholdet var narkotika. Fra SR2 fant jeg veien videre inn på et undergrunnsforum, som lå utenfor SR2-siden. To forskjellige brukere med falsk identitet ble opprettet på begge sidene, for å få tilgang til alt innholdet. Det viste seg at kryptomarkedene og undergrunnsforumene hadde forskjellig funksjon. På kryptomarkedene var det ikke mye informasjon som var tilgjengelig, utover narkolangernes «butikkvinduer» hvor de presenterte stoffene sine med tekst og bilder. Flere av selgerne sa også noe om sin erfaring og delte opplysninger som ble ledetråder som viste meg veien til funn av viktige opplysninger andre steder. 6

På undergrunnsforumene var det langt mer å hente. De var bygd opp for at kundene på kryptomarkedene skulle bruke forumene til å diskutere og utveksle erfaringer om alt mulig mellom himmel og jord. For en person som var helt ny i denne skjulte verdenen var informasjonen som lå her helt uvurderlig. Jeg brukte mye tid på å lese meg opp, samle skjermbilder og analysere innholdet på undergrunnsforumene. Da arbeidet ble gjort var det over 30 kryptomarkeder i virksomhet. Den første lenken, til SR2s undergrunnsforum, satte meg imidlertid i stand til å lære nok om systemene til å peke ut de fem største og viktigste. Jeg lette gjennom diskusjonstråder, artikler og informasjon fra selgere til jeg satt på «veibeskrivelser» til de største og viktigste kryptomarkedene: Evolution, Agora, Pandora, Cloud-Nine og Silk Road 2 På samme måte som jeg gjorde da jeg oppdaget SR2, gikk jeg systematisk gjennom undergrunnsforummene knyttet til kryptomarkedene i jakten på opplysninger om nordmenn, systemer, modus og stoffer. Dette tok en del tid. Hvert enkelt av kryptomarkedene som er gjennomgått har mange tusen selgere. Lenkeinnsamlingsmetoden ble tatt i bruk på nytt i oktober da arbeidet hadde kommet lengre. Etter en ny og mer målrettet gjennomgang av kryptomarkedene, satt jeg på lenker til kontoene til norske narkonettverk, butikkene deres og hemmelige forum. Målet var å sikre et bredest mulig tilfang av opplysninger om det organiserte systemet som jeg begynte å se omrisset av. Et system hvor nordmenn gjorde store penger på dop uten at de så ut til å ofre risikoen for politiets innblanding en tanke. 2.1.2 Informasjonsinnsamling Parallelt med lenkefarmingen (og i tiden frem til midten av oktober) jobbet jeg med å sørge for skjermbilder av alle sider som jeg opplevde som relevante. Jeg satt etter hvert på hundrevis av sider med informasjon som var og kunne bli viktig. Dette var en rotete måte å jobbe på. Jeg innså at materialet måtte systematiseres før det ble for uoversiktlig til å bruke. Jeg brukte to metoder og opprettet et skjermbildearkiv (a) og et excelregister (b). A) Skjermbildearkiv Skjermbilder ble organisert i et mappesystem delt inn etter kryptomarkeder og navn på norske nettverk. Alle skjermbildene ble sortert etter relevans i mappen som passet. Volumet ble veldig stort, veldig fort, men opplysningene som ble samlet i arkivet ble helt sentralt for sakene. Jeg jobbet parallelt med innhenting av informasjon og analyse av materialet. Det kom en rekke funn fra skjermbildearkivet. To av dem var avgjørende: Forretningsideen: Nettverkenes narkosalg fra det mørke nettet bygde på å utnytte et sikkerhetshull i postvesenet. Ingen kontrollerer innenlandsbrev i Norge. Dermed 7

kunne nettverkene sende narkotika til kundene i A-post med tilnærmet null risiko for å bli tatt. Sammenholdt med bruken av TOR for å skjule ip-adresser, og krypterte e- poster for å beskytte kommunikasjon fremsto det som svært vanskelig for politiet å stoppe flyten av brev på kryss og tvers av Norge. Samtidig ble kundene coachet i hvordan de skulle nekte befatning med brevene, dersom de ble kalt inn til politiavhør. Det skulle føre til en mer krevende etterforskning og, til slutt, henleggelser. Omdømmesystemet: Hjørnesteinen i kryptomarkedene er omdømmesystemet. Det var analysen av omdømmesystemet som ble nøkkelen til å si noe om omfanget av de norske nettverkenes narkotikasalg Forretningsideen forsto jeg relativt raskt, mens det tok lengre tid før jeg skjønte hvor viktig omdømmesystemet var. Da det gikk opp for meg, var det enkelt å gå tilbake til skjermbildearkivet og hente ut informasjonen jeg hadde samlet om omdømmesystemet Jeg fikk flere ganger bevis på hvor viktig det var å ha kontroll på dokumentasjonen mens jeg arbeidet med sakene. Det kunne det skje ting som påvirket tilgangen min på informasjon. Ved flere anledninger opplevde jeg at et kryptomarked plutselig ble utilgjengelig i lengre perioder, og samtidig skjedde det at en narkolanger jeg undersøkte forduftet fra det mørke nettet. B) Excel-register Lenker og sentrale data bygde jeg et Excel-register av. Tanken var at registeret skulle fungere som et støttedokument, slik at jeg hele tiden hadde oversikt over hvor de viktigste opplysningene mine, og hvor de kom fra. Informasjonsinnsamlingen som lå til grunn for Excel-registeret stammet fra en rekke kilder på det mørke nettet: Fra kryptomarkedene Butikksidene: Disse brukte narkotikanettverkene til å presenterte seg selv til kundene Markedsføring: Hvor selgerne presenterte bilder og detaljer om ulike typer og mengder narkotika Nettverkenes krypteringsnøkler: Hver selger har en unik krypteringsnøkkel som brukes til identifikasjon Fra undergrunnsforum Forumtråder: Jeg gikk gjennom hundrevis. Blant annet eksisterte det en egen diskusjonstråd kun for nordmenn som ble svært nyttig Sikkerhetsmanualer: I det internasjonale miljøet knyttet til kryptomarkedene jobbes det systematisk for å bygge opp en kunnskapsbase hvor metoder og informasjon deles etter beste praksis. Blant manualene jeg fant var «Narkotikahunder hva de kan og ikke kan lukte» og «Hvordan pakke narkotika» i tillegg til instruksjoner om hvordan man skal bruke avansert kryptering og andre anonymiseringsverktøy Systematiseringen ga oversikt over kryptomarkedene, de viktigste funksjonene, men også forskjellen mellom dem og de unike detaljene: Pandora satset tungt på kundeservice, og ga publikummet hjelp på tysk, fransk og engelsk, Agora hadde ekstrem sikkerhet, mens Evolution ga kundene mulighet til å holde igjen penger til selgeren til varene var mottatt. 8

De viktigste opplysningene ble presentert i en omfattende, interaktiv grafikk i dokumentaren «silkeveiene»: Se direktelenke her Excel-registeret ga meg i tillegg oversikt over hvilke opplysninger og detaljer jeg satt på om de norske nettverkene og narkotikalangerne: Antall salg av narkotika, e-postadresser, krypteringsnøkler, hvor de var i virksomhet og hvor lenge de hadde drevet kriminalitet fra det mørke nettet. Å opprette arkivet og Excel-registeret var en tidkrevende drittjobb som bremset fremgangen min. Jeg satt i dagevis og grupperte informasjonen. Jobben sparte meg imidlertid for masse arbeid senere i prosjektet. Informasjonen som lå i lenkene og skjermbildene var avgjørende for å forstå systemene som var i sving. 2.1.3 Analyse av omdømmesystemet Et av de mest sentrale funnene i sakene er at det har blitt gjort 5500 narkotikahandler mellom nordmenn som skjulte seg på det mørke nettet det siste året. For å komme frem til tallet ble brukte jeg tre ulike metoder: Analyse av omdømmesystemet Søk i databaser over krypteringsnøkler Nettverkenes egne opplysninger Analysen av omdømmesystemet var den viktigste av metodene og ble gjort først. De to andre metodene brukte jeg senere for å få et dypere tallmateriale. Da jeg begynte å arbeide med omdømmesystemet på kryptomarkedene hadde informasjonsinnsamlingsfasen gitt svar på mange spørsmål. Men jeg følte likevel at saken skrek etter tallmateriale som kunne si noe om det norske omfanget. For å finne et slikt tall måtte jeg forstå hvordan kryptomarkedene var bygd opp, hvordan de fungerte og hvordan de skilte seg fra andre digitale markedsplasser jeg hadde vært innom. Jeg stilte meg selv noen spørsmål: Hvordan bygges tillit i en skyggeverden hvor alle beveger seg rundt skjult av anonymitetsverktøy? Hvordan kan mennesker stole på hverandre når alt de har å forholde seg til er et dekknavn, en bitcoin-konto og en kryptert e-postadresse? Svaret på alle disse spørsmålene skulle vise seg å være omdømmesystemet på kryptomarkedene. Selv om kryptomarkedene har forskjellige funksjoner og tjenester, har alle en variant av omdømmesystemet. Det fortalte kundene noe om narkotikalangernes troverdighet: Omdømmesystemet er sider hvor kundenes tilbakemeldinger til en narkolanger blir publisert slik at enhver som er innom selgerens konto kan se dem. Kunden bruker omdømmesystemet til å gi narkotikaselgere en karakter. Karakteren er ofte mellom 1 og 5, og baseres på service, pris og kvaliteten på stoffet som kjøpes. 9

Tilbakemeldingene er synlige for alle, og det er også informasjon om hvor lenge det er siden hver kommentar ble publisert. 1 Utdrag fra omdømmesystemet hos det norske nettverket Norwegian. Skjermbilde tatt i oktober 2014 på Silk Road 2. Etter hvert skjønte jeg at systemet skal motvirke svindel på det mørke nettet. På kryptomarkedene er omdømmet en offentlig, men avlåst del av selgerens profil. Det vil si at en narkotikaselger ikke kan redigere, manipulere eller forfalske tilbakemeldingene som står her. De publiseres av kundene, og forutsetningen for å få skrevet en tilbakemelding, er at man har brukt kryptomarkedets infrastruktur til å handle narkotika. Én tilbakemelding stammer fra ett kjøp. Tidligere i arbeidet hadde jeg foretatt en grovtelling av antall tilbakemeldinger de norske narkonettverkene hadde fått på sine omdømmesider. Hvert nettverk eller narkolanger har alt fra 1 til 30 sider fulle av tilbakemeldinger. Det var opptil 30 tilbakemeldinger på hver enkelt side. Opprinnelig hadde jeg tenkt å bruke tallet som et anslag. Jeg var bekymret for tilbakemeldingene ikke kunne gi et troverdig tall på omfanget av narkotikasalget. Først mot slutten av september gikk det opp for meg hvor sentralt omdømmesystemet var. Det var imidlertid bruken av andre, mer tradisjonelle metoder som gjorde det helt klart at metodikken min var sterkere enn det jeg opprinnelig hadde trodd: Da jeg så at omdømmesystemet ble lagt til grunn som bevis i to rettsinstanser i Sverige (se pkt. 2.4.1 og 2.4.2), så følte jeg meg overbevist om at metodikken holdt vann: Jeg kunne kvantifisere størrelsen på det norske markedet, og de norske nettverkene ved å telle alle tilbakemeldingene som nordmennene hadde fått. 10

Siden jeg satt på skjermbilder fra hver enkelt side med tilbakemeldinger til alle de norske aktørene kunne jeg gå inn i arkivet jeg hadde etablert under informasjonsinnsamlingsfasen (se pkt. 2.1.2). Deretter var det en grei operasjon å telle over, og slå fast at det var begått mer enn 5500 salg av narkotika fra nordmenn til nordmenn i løpet av det siste året. At alt dette hadde fått foregå ved hjelp av Posten, uten innblanding fra politiet, synes jeg var oppsiktsvekkende. Mens jeg jobbet med denne metoden holdt jeg tallet jeg fikk opp mot tall jeg hentet ut fra søk i databaser over krypteringsnøkler (se under), noe som bidro til totalsummen. I enkelte tilfeller la jeg tall, som nettverkene selv oppga til kundene, til grunn. De publiserte eldre salgstall som en del av markedsføringen sin mot nye kunder. Tallene kunne jeg hente ut fra data jeg satt på i skjermbilderegisteret. Eksempler: 2 Det norske nettverket «Alfa&Omega» oppgir salgstall fra nå nedlagte kryptomarkeder. Skjermbilde hentet fra kryptomarkedet Evolution i slutten av august 2014. 3 Det norske nettverket «Foxhound Norway» oppga salgstall på et undergrunnsforum sommeren 2014. Skjermbilde tatt i slutten av august. Det virket usannsynlig at noen skulle oppgi et høyere salgstall enn de hadde faktisk stått for og dermed eksponere seg selv for en langt strengere straffereaksjon. Likevel kunne jeg ikke utelukke det, og derfor rangerte jeg denne metoden som den minst viktige av de tre jeg brukte for å komme frem til totalantallet. 2.1.4 Søk krypteringsnøkkeldatabaser Selv om jeg kunne telle opp antall narkotikasalg nordmennene hadde gjennomførte på de fem kryptomarkedene som jeg hadde identifiserte som størst og viktigst i 2014, så var det tydelig at flere av aktørene hadde vært i sving på det mørke nettet en god stund. De hadde etablert rutiner for sikkerhet og kundebehandling, og utviklet modus for salg, pakking og sending av narkotika. Slikt tar tid. Under informasjonsinnsamlingsfasen (se pkt. 2.1.3) gikk jeg gjennom mange diskusjonstråder på ulike undergrunnsforum for å danne meg et inntrykk av menneskene, kulturen og historien bak det internasjonale miljøet på det mørke nettet. Flere steder fant jeg dedikerte 11

diskusjontråder som handlet om det opprinnelige kryptomarkedet Silk Road 1 (SR1), som ble bredt omtalt i internasjonale medier da det ble beslaglagt av FBI i oktober 2013. I etterkant av beslaget etablerte Black Market Reloaded og Sheep Marketplace seg som de største kryptomarkedene. Begge ble lagt ned i løpet av det neste halve året, men det måtte jo ha vært norsk aktivitet her og. Var det mulig å gå tilbake i tid og finne spor etter nordmennenes aktivitet? Under informasjonsinnsamlingsfasen kom jeg over en database på det mørke nettet som samlet de offentlige krypteringsnøklene til aktive narkotikaselgere. Formålet med databasen var, ifølge personene som sto bak, at den skulle være et stabilt verktøy hvor publikum på det mørke nettet kunne sjekke identiteten til en narkotikaselger basert på den offentlig tilgjengelige krypteringsnøkkelen som han / hun brukte til å identifisere seg selv med: 4 Dette er den offentlige krypteringsnøkkelen til det norske nettverket Foxhound Norway. Skjermbilde tatt i september 2014 på Silk Road 2. Databasen var etterspurt fordi mange narkonettverk hadde utviklet sine egne varemerker over tid, ikke ulikt slik man ser i mer vanlig forretningsdrift. Kryptomarkedene på det mørke nettet var imidlertid noe utsatt for «force majeure», noe FBIaksjonen i oktober 2013 ble et eksempel på. Det var også eksempler på at et kryptomarked kunne bli hacket, eller at bakmennene uten forvarsel la det ned. Etter hver hendelse migrerte kundene til nye kryptomarkeder, men hvordan skulle de vite at personene bak dekknavnet Foxhound Norway på Evolution var de samme som hadde stått bak dekknavnet på Sheep Marketplace noen måneder tidligere? 12

Jeg så tidlig at det var vanlig at narkolangere publiserte sin offentlige krypteringsnøkkel på selgerkontoen sin. Kundene brukte nøkkelen til å sende krypterte beskjeder til selgeren, og de krypterte beskjedene kunne bare dekrypteres ved hjelp av en hemmelig nøkkel selgeren selv satt på. Eksempel: Beskjeder kryptert med den offentlige krypteringsnøkkelen til det norske nettverket Foxhound Norway kunne bare dekrypteres med nettverkets egne, hemmelige nøkkel. Hvis dekknavnet var stjålet, og noen utga seg for å være Foxhound Norway for å dra nytte av det etablerte varemerket Foxhound Norway, så var det en smal sak å sende en slik kryptert beskjed ved hjelp av den offentlige krypteringsnøkkelen. Dersom det ikke kom et svar, var det bevis på at personene som nå kalte seg Foxhound Norway ikke var personene de utga seg for å være. Databasen jeg undersøkte hadde samlet 4500 offentlige krypteringsnøkler og gjort nøklene søkbare. Dermed kunne kundene verifisere at en nøkkel som var publisert på kryptomarkedet Evolution i oktober 2014, fortsatt førte til svar fra den samme langeren som hadde bygget seg et omdømme som stabil og serviceinnstilt over fem måneders virksomhet på Silk Road 1 i juni 2013. På samme måte som jeg oppdaget under analysen av omdømmesystemet (se punkt 2.1.3), var dette verktøyet tilgjengelig som resultat av et utstrakt behov for å etablere tillit i et miljø som var helt anonymt og preget av kriminelle som primært er ute etter å tjene penger. Nøkkeldatabasen ble et identifikasregister hvor man kunne spore personer og nettverk over tid, og gjennom virksomhet på flere kryptomarkeder. Da jeg forsto hvordan databasen fungerte, skjønte jeg at jeg hadde tilgang til en tidsmaskin. Jeg satt allerede på krypteringsnøkler til de norske aktørene og brukte de til å søke i systemet. Det førte til viktige funn som i utgangspunktet ikke var tilgjengelig for meg fordi de stammet fra tiden før jeg begynte på prosjektet: Salgstall til norske selgere og nettverk på kryptomarkeder som hadde blitt beslaglagt, nedlagt eller hacket i 2013 Dato for når de ulike dekknavnene ble registrert med den aktuelle krypteringsnøkkelen Databasen utvidet tidshorisonten for undersøkelsene mine av den kriminelle aktiviteten på det mørke nettet. Samtidig fikk jeg datoer for når de enkelte nettverkene og selgerne begynte virksomheten sin. Virksomheten var ikke så ny som jeg trodde. Nordmennene var i gang med å selge narkotika allerede i 2012. Dette var over ett år tidligere enn jeg trodde. 13

2.1.5 Søk html-arkiv I november fikk jeg tilgang til et lagret arkiv av alle selger-kontoene fra det opprinnelige kryptomarkedet, Silk Road. I filene lå det lagret informasjon om over 1200 narkotikanettverkog langere. Jeg visste at flere av nettverkene og personene som jeg omtalte hadde holdt på lenge. Nå satt jeg på informasjon som kanskje kunne gi et tidsbilde av aktiviteten deres i 2012 og 2013. Utfordringen var at arkivet besto av lagrede nettsider, i html-format. Hver fil hadde navn bestående av tilfeldige bokstaver og tall slik at jeg måtte åpne en og en for å lese innholdet. Dette var svært upraktisk. Jeg var interessert i norske aktører, og på jakt etter maks ti oppføringer i det store arkivet. Løsningen kom fra Jonas Nilsson ved Adresseavisens utviklingsdesk, som også sto for utsmykkingen av «silkeveiene»-dokumentaren online. Han hjalp meg kjøre filene inn i programmet Sublime Text. Sublime Text er et tekstredigeringsprogram som ofte brukes til å skrive kode. Programmet viste all koden som lå i de 1200 sidene, men det hadde en søkefunksjon. Dermed kunne jeg enkelt lete meg frem i kode og tekst ved å søke på Norge eller lignende. Det ga meg nye opplysninger, og lot meg følge de norske aktørene bakover i tid. Det viste seg at enkelte av dem hadde byttet dekknavn, men ved hjelp av å sammenholde opplysninger om e-postadresser og krypteringsnøkler klarte jeg å identifisere dem igjen: Eksempel: Nettverket som jeg ble kjent med som Foxhound Norway i august 2014, hadde i august 2013 kalt seg Loyal Success. 2.2 Kartlegging sosiale medier Alle som handler narkotika på det mørke nettet tror de er hundre prosent anonyme. Men anonymiteten fungerer kun dersom man bruker teknologien og de ulike verktøyene riktig. I tillegg må man være forsiktig slik at man ikke røper identifiserende opplysninger. I løpet av arbeidet med saken brukte jeg sosiale medier på det åpne nettet til å søke etter personer jeg fant spor etter på det mørke nettet. Det lykkes noen ganger. Samtidig var det ikke gull alt som glimret. 14

2.2.1 Deanonymisering: Fra BRUKER123 til «Øystein» Historien om «Øystein» (16) ble publisert i Adresseavisen torsdag 6. november, som del av papirutgaven av dokumentaren «silkeveiene». I rettsdokumenter fra Sverige (se pkt. 2.4.2) går det frem at en narkolanger sto for 1880 salg på det mørke nettet. Kundene var i alderen fra 18 til 50 år. Etterforskerne fortalte meg imidlertid at de var overbeviste om at systemene på det mørke nettet også ble brukt til å pushe narkotika på barn selv om de enda ikke hadde klart å finne konkrete spor til kunder under 18 år. Kunne jeg finne spor etter barn på det mørke nettet? Hvis det var så enkelt å bruke det mørke nettet at barn kan sitte hjemme og ha tilgang til alle mulige typer narkotika, så ville det være svært bekymringsfult. I forbindelse med informasjonsinnsamlingsfasen (se pkt. 2.1.2) lastet jeg ned, og skrev ut en diskusjon mellom norske brukere på et av undergrunnsforumene knyttet til kryptomarkedene. Diskusjonstråden, som var lest over 15 000 ganger av nordmenn, gikk over hele 2014 og besto av rundt nitti sider med mange hundre innlegg. I et av innleggene dukket det opp en person som jeg i denne rapporten kaller «BRUKER123». «BRUKER123» er ikke det ekte dekknavnet han brukte. Jeg har valgt å anonymisere dekknavnet i tillegg til den reelle identiteten til personen siden denne rapporten skal publiseres. Begge deler er gjort av kildevernhensyn. Våren 2014 skrev «BRUKER123» i et av sine første innlegg at han fersk på det mørke nettet, og at han ønsker å kjøpe narkotika. Han vet ikke hvordan han skal kryptere meldingene sine, men det får han opplæring i fra de andre nordmenn. De setter ham i stand til å handle stoff. Gutten gjør nybegynnerfeil og kjøper fra utenlandske selgere. «BRUKER123» fortalte videre at han må inn til avhør, men får beskjed om å nekte kjennskap til narkobrevet. Litt senere skriver «BRUKER123» at saken hans ble henlagt. Et annet sted skriver «BRUKER123» at han bor i Midt-Norge. Jeg måtte finne «BRUKER123» og forsøke å få snakket med ham, men jeg vurderte det som uaktuelt å kontakte ham på det mørke nettet hvor jeg ikke har kontroll over omstendighetene: Det er lett å ikke svare, enda enklere å slette brukeren, endre dekknavn og andre opplysninger og alt dette ville føre til at jeg mistet sporet av ham. Jeg brukte flere forskjellige metoder, og fant til slutt «BRUKER123» i den virkelige verden. 15

2.2.2 Profilanalyse det mørke nettet Jeg begynte med å analysere profilen til «BRUKER123» på undergrunnsforumet. Det lå ingen opplysninger der, utover dekknavnet og hans offentlige krypteringsnøkkel som han brukte til å kryptere meldingene sine med. Ettersom jeg hadde lært en del om krypteringsnøkler visste jeg at jeg kunne bruke den offentlige krypteringsnøkkelen til å vise meg hvilken e-postadresse den var knyttet opp mot. Håpet mitt var at «BRUKER123» hadde slurvet med sikkerheten, og ikke opprettet en egen, isolert e-postadresse som han kun brukte på det mørke nettet. Jeg hadde flaks, «BRUKER123» hadde ikke vært nøye nok: Analysen av krypteringsnøkkelen viste at den var knyttet til «BRUKER123@hotmail.com». 2.2.3 Åpne søk At dekknavnet og e-postadressen var den samme ga meg nye muligheter, og tydet på at «BRUKER123» ikke hadde rukket å bli like paranoid med tanke på sikkerhet som mange på det mørke nettet. Kunne det også bety at «BRUKER123» hadde brukt dekknavnet sitt på det åpne nettet? Et googlesøk avdekket at det hadde han. Selve dekknavnet utløste bare en lang rekke svadatreff, men dekknavet som del av en hotmail.com-adresse ga meg nye spor: E-postadressen var brukt i flere sosiale medier. 2.2.4 Profilanalyse det åpne nettet BRUKER123@hotmail.com ledet meg til en konto på Google +. Det var ikke et ekte navn på kontoen, men et bilde av en ung gutt, noe som støttet hypotesen om at «BRUKER123» faktisk var 16 år. E-postadressen ledet meg i tillegg til en Youtube-konto, også opprettet med et dekknavn. Under «info» hadde imidlertid personen bak kontoen oppgitt riktig alder (16 år) og i tillegg et fornavn. I denne rapporten bruker jeg fornavnet «Øystein» om ham. Det viktigste funnet var at Youtube-kontoen var koblet opp mot kontoer i andre sosiale medier, den samme Google +-kontoen og i tillegg en konto på Facebook. Facebook-kontoen viste samme fornavn, «Øystein», som på Google + og som ble oppgitt på Youtube-kontoen. Det var samme bilde som på Google + og et etternavn. 16

E-postadressen, som var utgangspunktet mitt, lå ikke på Facebooksiden: Jeg ville ikke funnet 16-åringens fulle navn hvis jeg ikke hadde fulgt brødsmulene gjennom de andre profilene hans. 2.2.5 Facebookanalyse Jeg satt på «BRUKER123s» navn, men han var 16 år og sto ikke i telefonkatalogen. Jeg var egentlig ikke nærmere å kontakte ham enn tidligere, og hadde fortsatt kun mulighet til å bruke nettet. 16-åringen oppga ikke e-post, telefonnummer eller adresse på Facebook. En gjennomgang av profilen hans førte imidlertid til morens profil. Hun hadde et annet etternavn så det var først etter å ha sett gjennom en del bilder at det var mulig å stadfeste identitet og slektskapet. Moren hadde ikke tatt særlige hensyn til anonymitet da hun opprettet sin profil: Hun hadde oppgitt 16-åringen som sin sønn slik Facebook ber brukerne gjøre. 2.2.6 OSINT-søk «bak» Facebookprofil Før jeg tok kontakt med 16-åringen diskuterte jeg fremgangsmåte med redaksjonsledelsen. Se redegjørelse for problemstillingene under pressetiske vurderinger (punkt 4.1). I telefonkatalogen sto moren oppført med tre mobilnummer. Hvilket hørte til 16-åringen? Ved å utnytte et OSINT-søk utviklet av den tidligere FBI-agenten Michael Bazzell kunne jeg sjekke de tre telefonnumrene opp mot Facebook-kontoer. OSINT er etterretningssjargong, og betyr «Open source intelligence». ilgang til verktøyet fikk jeg etter å ha deltatt på et av kursene på SKUPs graveskole i 2012. Mer om Michael Bazzell her. OSINT-verktøyet fra Bazzell muliggjør søk etter informasjon som ikke er direkte delt på FBkontoenes «about», eller «contact» sider. Jeg satt på tre telefonnummer. Da jeg sjekket det første fikk jeg opp profilen til 16-åringens mor. Det andre nummeret hørte til en jente som antakelig er søsteren til gutten. Det tredje nummeret fikk opp 16-åringens profil. Endelig var jeg sikker på at jeg hadde direkte kontaktinformasjon. Jeg tok sjansen på at han ikke ville sjekke nummeret mitt og videre hvem jeg var, og brukte min egen telefon til å ringe ham. Jeg fikk kontakt, og han fryktet først at jeg var politi. Da det gikk opp for ham at jeg var journalist, ble han satt ut. - Har jeg noe valg, spurte han da jeg sa jeg ønsket å møte ham for å høre hans historie. Etter å ha avklart at han ville være anonym i saken og beskyttet av kildevern, gikk han med på å treffe meg og fotograf Ole Martin. Noen timer senere fortalte han oss hvordan han hadde registrert seg og fått opplæring på undergrunnsforumet. 17

Jeg kunne verifisere opplysningene, fordi jeg hadde analysert diskusjonstråden hvor han hadde vært aktiv. 16-åringen hadde hørt om kryptomarkedene, og det mørke nettet, fra en kamerat som var 14 år. Kameraten satt da allerede på «et lager av hasj og viagra» som han hadde kjøpt og fått i posten. Fra 16-åringens historie ble det tydelig at også barn var aktive på kryptomarkedene, og at de brukte det mørke nettet til å kjøpe stoff fra norske narkotikanettverk. Å høre ham fremstille det som relativt normalt, var rystende. 2.2.7 Deanonymisering: SELGER123 I dette punktet skal jeg redegjøre for hvordan jeg fant identiteten til minst en person som kan ha vært involvert i organisert narkotikasalg på kryptomarkedene. Opplysningene er en del av pågående arbeid, og derfor er dekknavnet byttet ut med «SELGER123». Fremgangsmåten var som følger: Jeg oppdaget under innformasjonsinnsamlingsfasen (se pkt. 3.1.2) at et norsk/svensk nettverk av hasjselgere skjuler seg bak dekknavnet «SELGER123». Nettverket har gjennomført hundrevis av transaksjoner, og har vært i virksomhet i flere år. Jeg satt på e-postadressen nettverket brukte. Adressen ble gjenstand for diverse søk, på samme måte som ved deanonymiseringen av «BRUKER123». Ingen av de organiserte nettverkene hadde brukt e-postadressene de oppga på det mørke nettet andre steder. «SELGER123» var unntaket. E-postadressen nettverket fortsatt opererer med, peker til en Facebookside som bærer samme navn som nettverket. Det gjorde at jeg kunne undersøke Facebooksiden for å prøve å finne ut hvem som sto bak. 2.2.8 OSINT-søk «bak» Facebookprofil Det samme søkeverktøyet som ga meg telefonnummeret til 16-åringen fra Facebook, kunne også undersøke Facebook-profilen til «SELGER123». Fremgangsmåten har noen likhetstrekk, men bygger på andre opplysninger. Hver Facebook-konto har et såkalt screen name, en variant av navnet på kontoen. Ditt screen name kan ses i nettleserlenken som vises når du går inn på din profil. Hos meg er det jonas.vikan (selv om jeg heter Jonas Alsaker Vikan på Facebook). «SELGER123s» screen name blir da selger.123. Søkeverktøyet til den tidligere FBI-agenten kan bruke screen name til å finne profilens user number, som igjen kan brukes til å gjøre andre, åpne undersøkelser basert på informasjon som ligger på Facebook. 18

En bieffekt ved å bruke screen name til å finne user number er at det samtidig kommer frem andre opplysninger, blant annet om nasjonalitet og navn på profilen. Her oppdaget jeg noe uvanlig ved «SELGER123s» profil: Vedkommende som opprettet profilen hadde riktignok brukt dekknavnet «SELGER123» da profilen ble opprettet i 2012. Men på «innsiden» hadde personen brukt et ekte navn. Det ekte navnet, her kalt «PER PERSSON», ble stående. Da jeg fikk opp user number, dukket også det ekte navnet opp. Siden navnet var relativt vanlig, var det ikke bare å søke opp personen. Jeg kunne imidlertid bruke samme søkeverktøey til å gjøre søk etter innlegg hvor «PER PERSSON» var tagget. Da jeg fikk opp innleggene var det ikke vanskelig å klikke seg videre inn på «PER PERSSONs» profil, og slik fikk jeg deanonymisert en av narkoselgerne ved hjelp av åpent tilgjengelige verktøy. Dette fungerte fordi teknologien i Michael Bazzells verktøy bruker Facebooks egen graph search. Graph search ble introdusert for norske brukere i 2013 og «SELGER123» / «PER PERSSON» opprettet sin profil i 2012. Det er mulig å sperre kontoen sin for graph search, men det måtte altså gjøres i tiden etter at det ble introdusert i 2013, noe «SELGER123» åpenbart ikke hadde gjort. Sikkerhetsbristen gjorde det mulig for meg å identifisere minst en av personene bak dekknavnet. 2.3 Bildeanalyse En del av forretningsideen bak kryptomarkedene er å gi narkotikanettverkene mulighet til å presentere bilder av stoffene sine. I løpet av, og etter innformasjonsinnsamlingsfasen (punkt 2.1.2) utviklet jeg rutiner for å se gjennom bilder jeg lagret i et eksternt program. Jeg var på jakt etter elektroniske spor i bildefilene. Dersom bildet ikke «renses» kan det ligge igjen opplysninger i metadata. Sporene kan si noe om utstyr, tid, dato og geografisk plassering. Generelt er min erfaring at aktørene på det mørke nettet er disiplinerte med å fjerne avslørende data. Jeg opplevde imidlertid en situasjon hvor jeg fravek fra min egen rutine. Det kunne fått svært kjedelige konsekvenser for sakene. I forbindelse med jakten på «SELGER123s» Facebook-profil lastet jeg ned bildene som lå publisert på FB-kontoen. Ett av dem viste en person ikledd en Guy Fawkes-maske (kjent fra Anonymous-bevegelsen). Bildet så relativt proft ut, og var blant de bedre som jeg hadde funnet fra de ulike nettverkene. Jeg tenkte umiddelbart at det måtte gå an å bruke i saken, enten som en faksimile, eller som bilde fra det som er en åpen Facebook-profil. Litt senere i arbeidet kom jeg over bildet i arkivet mitt igjen. Av en eller annen grunn bestemte jeg meg for å sjekke metadata, selv om jeg ikke hadde gjort det den første gangen jeg hentet det ned. 19

Metadataene avslørte et navn, et navn på en kvinne. Jeg tenkte umiddelbart at det var en person som var involvert, eller en kjæreste. Et nytt, konkret spor å gå etter i den virkelige verden var sjelden vare i dette prosjektet. Da jeg googlet navnet kom jeg inn på kvinnens hjemmeside. Kvinnen viste seg å være frilansfotograf. I oversikten over hennes arbeider fant jeg igjen det samme bildet, som var tatt i forbindelse med et besøk hjemme hos noen som dyrket cannabis. Det hadde ingen verdens ting med det mørke nettet og gjøre. «SELGER123» hadde rett og slett rappet det, og brukt det til å profilere seg med. Heldigvis sjekket jeg metadataene på nytt og oppdaget dette. Det ble et bilde på hvor viktig det var å ha kontroll på detaljene i saken. 2.4 Dokumentgraving Denne delen av rapporten vil redegjøre for skriftlige kilder som er brukt og hvordan tilgang til disse ble skaffet. I sakene har jeg brukt det jeg fant av rettskilder i Norge og utlandet, noe forskning, nasjonale og internasjonale politirapporter samt etterforskningsdokumenter. Volumet på materialet var på rundt 1500 sider. 2.4.1 Analyse av Skånesak Kilde: Länskriminalen i Skåne Tidlig i prosjektet tenkte jeg at det måtte ha vært en norsk etterforskning av disse miljøene. Det klarte jeg ikke å finne, og derfor begynte jeg å se mot andre land. Politiet i Sverige hadde vært involvert i en etterforskning. I januar 2013 hadde noen etterforskere begynt å se på organisert narkotikasalg fra det mørke nettet. Jeg fant ut at flere personer ble pågrepet i 2013, og det ble etter hvert tatt ut en alvorlig tiltale mot flere av dem. Fra erfaringer jeg har gjort i andre kriminalsaker visste jeg at pressen i Sverige har rett til å be om å få utlevert etterforskningsdokumentene i en sak med en gang det er tatt ut tiltale. Jeg bestemte meg for å få tak i dokumentene og rettet en formell henvendelse til riktig instans, som var länskriminalen i Skåne. Det tok litt tid, men jeg fikk tilgang. Materialet besto av cirka 1200 sider og var delt inn i seks ulike.pdf-dokumenter. Det var for mye til å lese digitalt så jeg printet ut sidene. Etterforskningen var svært omfattende, og opp mot tretti personer hadde deltatt. Svensk politi hadde brukt mye ressurser på å spane på en mann på 30 år som var mistenkt for 1880 tilfeller av narkotikasalg fra kryptomarkedet Silk Road i 2013. Det viste seg at mannen postet 25-30 brev om dagen. Politiet hadde åpnet og undersøkt en rekke brev, og fotografert dem. Svensken solgte også til Norge, og i etterforskningsdokumentene fant jeg adresser og navn til kunder i Norge og Trondheim. Det var spor å gå videre med. 20