Voor het bespioneren en saboteren van geopolitieke vijanden hoeft men allang niet meer met een gleufhoed, trenchcoat en schaakbord de wereld over te reizen. De moderne staatsspion kan tegenwoordig gewoon thuiswerken, zelfs wanneer fysieke sabotage van kritieke nationale infrastructuur die dag op zijn to-do-lijstje staat. Goede programmeerskills en een simpel te kraken wachtwoord als 1111 kunnen vandaag de dag volstaan om de computersystemen van bijvoorbeeld een waterzuivering te infiltreren – en dat gebeurt, ook in Nederland. Wat zijn productieve aanvalstactieken van cybercriminelen wanneer het aankomt op kritieke infrastructuur, en hoe kan de watersector zich hiertegen weren? Rik Ferguson, adviseur van het Europees Cybercrime Centre van Europol en vicepresident veiligheidsinlichtingen bij mondiaal cybersecuritybedrijf Forescout, praat ons bij.
door Marianne Lankelma
For the original conversation, click here.
‘Wij zijn het eerstvolgende doelwit van Rusland, en lopen al gevaar’, was deze maand de ontluisterende boodschap van Mark Rutte als secretaris-generaal van de NAVO. Daarbij doelde hij op de NAVO als geheel, maar als fysieke en digitale toegangspoort tot Europa vormt Nederland een strategisch doelwit voor Rusland, waarschuwen (onder meer) de AIVD en MIVD. Naast pogingen om onze steun aan Oekraïne te ondermijnen, zien de inlichtingendiensten (pro-)Russische hackers in toenemende mate pogingen ondernemen tot sabotage van vitale infrastructuur, waaronder watervoorzieningen. Wat digitale dreigingen betreft is Rusland bepaald niet onze enige zorg – volgens de inlichtingendiensten vormt China momenteel ‘de grootste bedreiging voor de Nederlandse economie en kennisveiligheid’ – maar waar het om sabotage van primaire behoeften gaat, wijzen pogingen daartoe vaak in de richting van (sympathisanten van) het Kremlin.
Om watervoorzieningen hiertegen te wapenen is het van belang om te weten welke aanvalstactieken de hedendaagse hacker graag gebruikt. In Nederland wordt dit onderzocht door onder andere de Eindhovense Vedere Labs (oorspronkelijk begonnen als spin-off van de TU Eindhoven) van het mondiaal opererende cybersecuritybedrijf Forescout. In oktober publiceerde dit lab haar bevindingen over de cyberaanval van een pro-Russische hackgroep op een niet-bestaande ‘lok-waterzuivering’, die de onderzoekers hadden voorzien van een cyberbeveiligingsniveau dat gebruikelijk is voor Nederlandse zuiveringen. Niet wetende dat het een zogeheten honeypot was probeerden de hackers het zuiveringsproces te verstoren, wat de onderzoekers in staat stelde om hun werkwijze heimelijk te observeren. We vroegen Ferguson, wie betrokken was bij het onderzoek en sinds 1994 in de informatietechnologie werkt, welke lessen waterprofessionals hier uit kunnen halen en voor welke ontwikkelingen men beducht moet zijn.
Waar waren de hackers die in de computersystemen zaten van wat zij dachten dat een Nederlandse waterzuivering was, precies op uit?
“Ze kwamen binnen door inloggegevens te raden, waarna ze een paar uur hebben rondgeneusd in de systemen. Daarna hebben ze permanente toegang voor zichzelf aangemaakt door nieuwe gebruikersaccounts te creëren. Het eerste wat ze daarop deden was zogeheten ‘digitale bekladding’ (defacement) van de gebruikersinterface. Vervolgens gingen ze aan de slag in de omgeving waar de operationele technologie zit: ze verwijderden informatiebronnen, schakelden alarmen en apparatuur uit, en wijzigden instellingen om het waterzuiveringsproces te verstoren. Als het een echte zuivering was geweest, zou dit fysieke impact hebben gehad.”
De aanbevelingen die jullie op basis hiervan aan zuiveringsbeheerders deden; beschouwt u die als elementaire maatregelen die waterzuiveringen eigenlijk al geïmplementeerd zouden moeten hebben?
“In de IT-wereld zouden we zeggen: ja, de meeste hiervan zijn vrij basic. Maar informatietechnologie (IT) en operationele technologie (OT) zijn historisch gezien altijd heel verschillende werelden geweest. Netwerken segmenteren, beheerdersinterfaces weerbaar maken, zwakke authenticatie en blootstelling aan het internet vermijden – dat dit soort maatregelen essentieel zijn, is al lange tijd bekend. Maar dat gesprek is altijd met en tussen IT-professionals gevoerd; niet zozeer met OT-professionals.”
“Als ik ergens een lezing geef, stel ik het publiek vaak de vraag om hun hand op te steken als ze vinden dat hun IT- en OT-netwerken goed gesegmenteerd zijn. Het maakt niet uit hoe groot het publiek is: het is altijd maar een handjevol handen dat de lucht in gaat. Netwerksegmentatie is typisch zoiets waar mensen op papier nog wel fiducie in hebben, maar nerveus over worden zodra het op uitvoering aankomt. Dit komt door de vrees voor wat er mis zou kunnen gaan als je een netwerk begint op te knippen – wat inderdaad serieuze consequenties kan hebben als je ergens een foutje hebt gemaakt of iets over het hoofd hebt gezien. Daarom is het belangrijk om zo goed mogelijk te simuleren of visualiseren wat de effecten van segmentatie zullen zijn, voordat je eraan begint.”
Eén van de maatregelen die u aanraadt is een monitoringssysteem dat het doorheeft als iemand wachtwoorden aan het raden is. In 2023 konden Amerikaanse watervoorzieningen worden gehackt doordat bepaalde apparatuur niet met een wachtwoord beveiligd was of nog op het wachtwoord van de fabrieksinstellingen (1111) stond ingesteld. Dit voorjaar was het waarschijnlijk ook een zwak wachtwoord wat pro-Russische hackers de sleutels gaf om het afvoerdebiet van een Noorse dam te kunnen opvoeren. Is er, zelfs in het veld van vitale infrastructuur, nog te weinig aandacht voor het belang van sterke wachtwoorden?
“Password spraying blijft zijn vruchten afwerpen voor hackers, zeker gezien de gemiddelde wachtwoordhygiëne die nog steeds niet fantastisch is, en de gigantische hoeveelheid gestolen inloggegevens die circuleert. Ik heb geteld hoeveel identiteiten wereldwijd gecompromitteerd zijn in 2024: bijna 2,5 miljard – in één jaar. Dit getal bestaat voor een groot deel uit Amerikaanse identiteiten, omdat de VS meer openbare registraties van identiteitsdiefstal bijhoudt dan andere landen. Maar dat maakt het getal alleen maar enger, want dit gebeurt evengoed buiten de VS.”
In uw voorspellingen voor 2026 waarschuwt u dat het waarschijnlijk vaker zal gaan voorkomen dat hackers sporen zullen achterlaten die de suggéstie wekken dat ze een serieuze cyberaanval hebben gepleegd, terwijl ze in feite niet zoveel hebben uitgehaald.
“Hackers die het gemunt hebben op operationele technologie en kritieke infrastructuur hebben we geleidelijke veranderingen zien doormaken. Wanneer het hun doel is om angst, twijfel of destabilisatie te veroorzaken, hoeft een aanval niet meer écht te zijn. Wat echt moet zijn, zijn de gevolgen. En als jij je doelwit kan laten geloven dat er een serieuze aanval heeft plaatsgevonden – met neppe screenshots, of door het achterlaten van valse gegevens – dan zal de getroffen organisatie alsnog een onderzoek moeten starten. Dit kan betekenen dat ze zich genoodzaakt zien bepaalde systemen uit voorzorg tijdelijk uit de running te halen of handmatig te bedienen, totdat ze er zeker van zijn dat er geen hackers meer in hun netwerk zitten. Dus zelfs als een aanval compleet verzonnen is, en het onderzoek verspilde tijd, kan het alsnog fysiek voelbare consequenties hebben.”
“Het punt is: elke claim – echt of nep – moet serieus genomen worden. Want het Russische regime heeft niet alleen de interesse om systemen te verstoren, ze zijn er ook daadwerkelijk toe in staat. Om dit even te illustreren: Rusland heeft op maat gemaakte malware voor OT-omgevingen ontwikkeld, waarmee ze al een decennium succesvol zijn in het veroorzaken van stroomuitval op het Oekraïense elektriciteitsnet. Dus ze hebben de middelen, ze hebben de vaardigheden, en ze hebben ervaring.”
Zijn er nieuwe aanvalstactieken die u ziet opkomen?
“We zien momenteel een enorme toename in aanvallen op edge devices, zoals VPN-apparatuur, IP-camera’s, firewalls – ironisch genoeg met name beveiligingsapparatuur. Hackers zijn daar gek op, omdat deze dingen aan de rand van het netwerk zitten – blootgesteld aan het internet – en hun kwetsbaarheden vaak onzichtbaar zijn, omdat je beveiligingssoftware niet zal kijken naar je firewall, bijvoorbeeld. Iets anders dat in de lift zit zijn initial access brokers, die systemen infiltreren, daar nieuwe gebruikersaccounts aanmaken en die toegang vervolgens doorverkopen als handelswaar.”
Opent kunstmatige intelligentie nieuwe deuren voor cybercriminelen?
“Het heeft meertalige phishingcampagnes in elk geval veel makkelijker gemaakt; we zien statistieken die dat onderschrijven. Vroeger werd phishing vooral in het Engels geschreven, maar AI heeft het taalgebruik van deze en andere sociale beïnvloedingstechnieken verfijnd. Daarnaast zijn AI-gedreven aanvallen in opmars. Eerder dit jaar bracht Anthropic [een bedrijf dat o.a. chatbot Claude maakt, red.] naar buiten dat Chinese staatsspionnen hun AI-producten hebben misbruikt om 80 tot 90 procent van een aanval te automatiseren.”
“Dit is één van mijn grootste zorgen. Elke cybersecuritytool die de mensen ooit hebben uitgevonden berust op de aanname dat de aanvaller een mens is: dat het iemand is die denkt zoals wij, en die ongeveer even snel werkt als wij. In het Anthropic-voorbeeld werd de aanval nog steeds geregisseerd door een mens. Maar als AI een volledig autonome aanval kan uitvoeren – wat momenteel nog niet het geval is, maar de weg ligt vrij – dan moeten we ons gaan verdedigen tegen een niet-menselijke tegenstander. Ik wil niet onnodig alarmerend klinken, maar dat zou betekenen dat we niet langer kunnen vertrouwen op alles wat we geleerd hebben over kwaadwillende activiteiten die voortvloeien uit een menselijk brein.”
Waar zou u de watersector aanraden op te focussen bij de digitale verdediging van kritieke voorzieningen?
“Het slechte nieuws is: je zult niet iedere infiltratie kunnen voorkomen, of überhaupt opmerken – dat is nou eenmaal hoe het er nu voor staat. Het goede nieuws is: je kan de kans op een succesvolle aanval aanzienlijk verkleinen door zwakke authenticatie te vermijden, systemen niet aan het internet te hangen, achter deep packet inspection firewalls te plaatsen, enzovoort. Zodra die basis gelegd is, zou ik aanraden om te gaan oefenen met het onderzoeken van een cyberaanval, zodat het je zo min mogelijk downtime kost wanneer het je daadwerkelijk overkomt.”
“Ook moet je echt álles wat aan jouw netwerk verbonden is kennen en begrijpen, en dan niet in de zin van een momentopname: dit moet een continu doorlopend proces zijn. Dat is compleet haalbaar. Iets anders wat denk ik helpt is zorgen dat je niet verdrinkt in een golf van alerts waarbij je zelf de triage moet doen om het kritieke van het niet-kritieke te onderscheiden. Zeker in dit tijdperk van kunstmatige intelligentie kan je systemen gebruiken die het monnikenwerk voor je doen, zodat jij je tijd kan besteden aan meldingen die contextueel beoordeeld moeten worden.”
“Maar misschien wel het belangrijkst: focus op communicatie in je organisatie. Iedereen hierbij betrekken is even belangrijk als iedere technische maatregel die je kan nemen.”
LEES OOK:
H2O Actueel: Cyberjournaal: spionnen, honingpotjes en nieuwe wetgeving
Tip voor de Kerstdagen:
De AIVD Kerstpuzzel
