Wanneer bedrijfsbeveiliging een wapen wordt: de eBay-zaak

In augustus 2019 runnen Ina en David Steiner vanuit hun woning in Massachusetts EcommerceBytes, een vakpublicatie over online handel. Al bijna twintig jaar volgen ze platforms, hun regels en de problemen van verkopers. Sommige artikelen en lezersreacties irriteren de leiding van eBay. Dat redactionele conflict had een communicatiekwestie moeten blijven. Het werd een vergeldingsoperatie.

Gedurende enkele weken sturen voormalige medewerkers van eBay-beveiliging anonieme berichten en leveringen die het echtpaar angst moeten aanjagen: levende insecten, een rouwkrans, een bebloed varkensmasker en een boek over het verlies van een echtgenoot. Advertenties die uit naam van de slachtoffers worden geplaatst, nodigen ook vreemden uit om bij hun woning te verschijnen. Daarna reist een team naar Massachusetts, observeert hun verplaatsingen en probeert een gps-tracker op hun auto te plaatsen.

De bizarre details mogen de belangrijkste les niet verbergen. De daders waren geen indringers die middelen van eBay kaapten. Ze werkten in de organisatie die verantwoordelijk was voor beveiliging, inlichtingen en veerkracht. Vaardigheden die mensen en bedrijfsactiviteiten moesten beschermen, werden gebruikt om twee journalisten te intimideren.

Van publieke kritiek naar een intern doelwit

EcommerceBytes publiceerde informatie voor online verkopers: veranderingen in kosten en regels, concurrentie tussen platforms en uitspraken van bestuurders. De stukken die intern woede opriepen, waren geen cyberaanval en geen fysieke dreiging. Ze verwezen onder meer naar openbare cijfers over de beloning van de CEO en bevatten kritiek op de commerciële strategie van eBay.

Gerechtelijke stukken beschrijven agressief geformuleerde gesprekken tussen leidinggevenden. De publicatie en haar auteurs werden niet langer behandeld als externe gesprekspartners of kritische journalisten, maar als een probleem dat moest worden uitgeschakeld. Die categoriewijziging is beslissend: zodra kritiek als een bedreiging wordt gezien, kan een organisatie middelen gaan rechtvaardigen die niets meer met bescherming te maken hebben.

Een campagne die spontaan moest lijken

De operatie combineerde drie vormen van druk. De eerste bestond uit leveringen en vernederende advertenties. De tweede gebruikte nepaccounts die zich voordeden als ontevreden verkopers. De berichten moesten steeds dreigender worden en uiteindelijk het woonadres van het echtpaar openbaar maken. De derde fase verplaatste zich van online naar de fysieke wereld: observatie van de woning, reizen vanuit Californië en een plan om de auto via gps te volgen.

Volgens het strafdossier dat eBay heeft erkend, was het plan vervolgens dat een andere beveiligingsmanager de Steiners hulp zou aanbieden om het door zijn eigen collega’s veroorzaakte stalken te stoppen. Die schijninterventie moest goodwill tegenover het bedrijf creëren en mogelijk de berichtgeving beïnvloeden. Het ging dus niet om losgeslagen grappen, maar om een operatie met een escalatiemodel, een dekmantel en een gewenst resultaat.

Beveiligingsmiddelen tegen de slachtoffers ingezet

De deelnemers beschikten over kennis die de operatie geloofwaardig maakte: openbronnenonderzoek, anonieme accounts, tijdelijke telefoons en betaalmiddelen, onopvallende verplaatsingen en observatie. Toen de lokale politie een onderzoek begon, probeerden zij hun positie ook te gebruiken om sporen te vertroebelen.

Dit maakt het verschil tussen een gewone individuele fout en falende governance. Meerdere mensen namen deel, er waren vergaderingen en er werden kosten gemaakt. Collega’s konden delen van de operatie zien. Toch stopten de interne barrières de actie pas nadat de slachtoffers zelf het voertuig hadden opgemerkt dat hen volgde.

Het plan met de gps-tracker mislukte. David Steiner fotografeerde het kenteken van een verdachte auto en gaf het door aan de politie van Natick. De huurauto leidde onderzoekers naar eBay-medewerkers. Toen het onderzoek dichterbij kwam, werden digitale bewijzen verwijderd, valse verklaringen voorbereid en documenten vervalst. Daarmee kwamen belemmering van het onderzoek en bewijsmanipulatie boven op de intimidatie.

Zeven veroordelingen en onafhankelijk toezicht op eBay

Zeven voormalige medewerkers of opdrachtnemers van het beveiligingsteam werden aangeklaagd en veroordeeld. Jim Baugh, voormalig Senior Director of Safety and Security, kreeg 57 maanden gevangenisstraf. David Harville, voormalig Director of Global Resiliency, kreeg 24 maanden. Andere deelnemers kregen gevangenisstraf, huisarrest, toezicht en boetes. De laatste veroordeling volgde in juli 2024.

De verantwoordelijkheid bleef niet bij individuen. In januari 2024 sloot eBay een overeenkomst tot uitgestelde vervolging met het Amerikaanse ministerie van Justitie. Het bedrijf erkende de feiten in de overeenkomst, aanvaardde de maximale geldstraf van 3 miljoen dollar en moest gedurende drie jaar een onafhankelijke toezichthouder aanstellen om het complianceprogramma te beoordelen. De aanklachten kunnen alleen worden ingetrokken als eBay de overeenkomst naleeft en in die periode geen nieuw misdrijf pleegt.

Dat is ingrijpender dan alleen een boete. Een onafhankelijke toezichthouder kan verantwoordelijkheden, escalatieprocedures, bewijsbewaring, opleidingen en de werkelijke mogelijkheid om misbruik van gezag te melden onderzoeken.

In 2026 eindigt het civiele deel

Ina en David Steiner hadden ook een civiele zaak aangespannen tegen eBay en meerdere voormalige leidinggevenden. Na een eerste akkoord dat niet werd afgerond, maakten de partijen in juli 2026 een openbare schikking bekend.

Het echtpaar ontvangt 48,7 miljoen dollar aan compensatie: 46,15 miljoen van eBay, 2 miljoen van voormalig CEO Devin Wenig, 500.000 dollar van voormalig bestuurder Wendy Jones en 50.000 dollar van voormalig communicatiechef Steve Wymer. Daar komen 7 miljoen dollar aan toezeggingen voor goede doelen bij, in totaal 55,7 miljoen dollar. De drie voormalige leidinggevenden in deze civiele regeling waren niet aangeklaagd in de strafzaak.

Het ontbreken van een geheimhoudingsbeding is even relevant als het bedrag. Daardoor kunnen de slachtoffers over de zaak spreken, kunnen onderzoekers en complianceverantwoordelijken de mechanismen bestuderen en kan het publiek onderscheid maken tussen strafrechtelijke veroordelingen en civiele beschuldigingen die via een schikking zijn beëindigd.

Wat beveiligingsdirecties hiervan moeten leren

De eBay-zaak is een bruikbare casus voor bedrijven, overheden en verenigingen met een beveiligings- of onderzoeksfunctie.

• Houd persoonsbeveiliging strikt gescheiden van reputatiemanagement. Publieke kritiek wordt geen beveiligingsincident omdat de directie er niet van houdt.
• Vereis een schriftelijk mandaat en goedkeuring op twee niveaus voor elk onderzoek naar een externe persoon. Doel, rechtsgrond, toegestane middelen en duur moeten zijn vastgelegd.
• Controleer afwijkende uitgaven, spoedreizen, tijdelijke telefoons en opdrachtnemers. Afzonderlijk lijken die signalen normaal; samen kunnen ze een operatie zonder legitiem doel onthullen.
• Bied een meldkanaal buiten de betrokken hiërarchie. Een werknemer kan een misbruikopdracht niet veilig melden als de enige ontvanger degene is die de opdracht gaf.
• Start automatische bewijsbewaring zodra een klacht, politieaanvraag of interne melding binnenkomt. Het verwijderen van berichten moet technisch moeilijk en direct zichtbaar zijn.
• Laat incidenten waarbij leidinggevenden of het beveiligingsteam betrokken zijn onderzoeken door een onafhankelijke partij met toegang tot logboeken, uitgaven en zakelijke communicatie.

AI verlaagt de kosten van intimidatie

De campagne van 2019 vergde meerdere personen, nepaccounts, reizen en handmatige coördinatie. Generatieve hulpmiddelen kunnen nu snel varianten van berichten, synthetische stemmen, vervalste beelden en de schijn van collectieve verontwaardiging produceren. Ze wissen financiële sporen, toegangslogboeken of fysieke verplaatsingen niet uit, maar verlagen wel de kosten van intimidatie en maken een eerste dreigingsanalyse moeilijker.

Het antwoord bestaat niet alleen uit betere detectie. Het begint bij governance die voorkomt dat een organisatie zelf misbruik goedkeurt: duidelijke mandaten, machtenscheiding, logging, uitgavencontrole en bescherming van melders.

Samengevat

De eBay-zaak gaat niet over technologie die zelfstandig ontspoorde. Mensen kozen een doelwit, gebruikten professionele middelen, omzeilden controles en probeerden daarna hun daden te verbergen. Technologie vergrootte hun bereik; de interne cultuur en het ontbreken van tegenmacht maakten het mogelijk.