Cyberspionage: digitaal spioneren zonder ooit een grens over te steken
Stel je een spion voor die vroeger 's nachts een gebouw binnenslopen moest, een kluis kraken en foto's maken van geheime documenten, met het risico gepakt te worden. Bij cyberspionage gebeurt hetzelfde, maar dan via een internetverbinding. Een aanvaller breekt in op een computernetwerk, vaak vanuit een ander continent, en kopieert stilletjes bestanden, e-mails of onderzoeksdata. Niemand hoeft een grens over, en de inbraak kan maanden of zelfs jaren onopgemerkt blijven.
Cyberspionage is het stelselmatig en heimelijk verzamelen van gevoelige informatie via digitale netwerken, meestal door of namens overheden, maar soms ook door bedrijven of criminele groepen die voor overheden werken. Het onderscheidt zich van gewone cybercriminaliteit doordat het doel niet direct geldelijk gewin is, maar informatie: militaire plannen, diplomatieke correspondentie, technische blauwdrukken of politieke strategieën. Een bekend voorbeeld: een ministerie van Buitenlandse Zaken merkt na maanden dat een medewerker een besmette bijlage opende, en dat sindsdien binnenkomende diplomatieke rapporten zijn uitgelekt naar een buitenlandse inlichtingendienst.
Wat is het precies?
Cyberspionage verloopt meestal in een aantal stappen, die samen een campagne vormen. Aanvallers die op deze manier langdurig en gericht te werk gaan, worden in de vakwereld een Advanced Persistent Threat (APT) genoemd: een geavanceerde, volhardende dreiging die niet na één poging opgeeft.
De eerste stap is verkenning: uitzoeken wie er bij een doelorganisatie werkt, welke software ze gebruiken en welke zwakke plekken er zijn. Daarna volgt de eerste toegang, vaak via phishing (een nagemaakte, betrouwbaar ogende e-mail met een besmette link of bijlage) of door een onbekende softwarefout te misbruiken, een zogeheten zero-day-kwetsbaarheid, genoemd naar het feit dat de softwaremaker nul dagen de tijd heeft gehad om hem te repareren.
Een andere ingang is de supply chain attack of toeleveringsketenaanval: in plaats van het uiteindelijke doelwit rechtstreeks aan te vallen, infecteert de aanvaller software die dat doelwit vertrouwt en automatisch installeert, zoals een updatebestand van een leverancier. Zo besmet je in één keer duizenden organisaties tegelijk.
Eenmaal binnen installeert de aanvaller malware (kwaadaardige software) die een backdoor opent: een verborgen toegangsdeur die later hergebruikt kan worden. Vervolgens breidt de aanvaller zijn rechten uit (privilege-escalatie) en beweegt hij zich zijdelings door het netwerk op zoek naar waardevolle systemen. De laatste stap is exfiltratie: het wegsluizen van de buitgemaakte data, vaak in kleine, moeilijk te detecteren hoeveelheden om geen argwaan te wekken.
Wat wil men ermee bereiken?
Staten bedrijven cyberspionage om verschillende redenen. Politieke en militaire inlichtingen geven inzicht in de plannen van bondgenoten en tegenstanders, nuttig bij onderhandelingen, sancties of conflicten. Economische spionage richt zich op bedrijfsgeheimen: chipontwerpen, vaccinformules of onderzoeksdata, waarmee een land jaren aan eigen onderzoek en ontwikkeling kan overslaan.
Een derde doel is surveillance van individuen: journalisten, mensenrechtenactivisten, oppositiepolitici of dissidenten die als bedreiging voor een regime worden gezien. Een vierde, minder bekend doel is pre-positioning: je nestelen in kritieke infrastructuur zoals energienetten of waterzuivering, niet om nu iets te saboteren, maar om in een toekomstig conflict die mogelijkheid achter de hand te hebben.
Cyberspionage is voor staten aantrekkelijk omdat het goedkoper en minder risicovol is dan traditionele spionage met mensen op de grond. Bovendien is het lastig te bewijzen wie er precies achter een aanval zit, wat een zekere ontkenbaarheid oplevert. Dat maakt het instrument aantrekkelijk, ook voor landen met beperkte middelen.
Voorbeelden uit de praktijk
Enkele goed gedocumenteerde zaken laten zien hoe divers cyberspionage in de praktijk is.
Operation Aurora (2009-2010): Google onthulde in januari 2010 dat het, samen met tientallen andere Amerikaanse bedrijven, was gehackt door een groep die inlichtingen zocht over Chinese mensenrechtenactivisten en bedrijfsgeheimen probeerde te stelen. De aanval werd toegeschreven aan actoren in China.
Het APT1-rapport van Mandiant (2013): het Amerikaanse beveiligingsbedrijf Mandiant publiceerde bewijs dat een specifieke eenheid van het Chinese leger, bekend als Unit 61398, verantwoordelijk was voor jarenlange, grootschalige diefstal van bedrijfsgeheimen bij westerse ondernemingen. Het rapport was uniek doordat het voor het eerst een concrete militaire eenheid met naam en locatie identificeerde.
SolarWinds / Sunburst (ontdekt december 2020): aanvallers infecteerden een software-update van het netwerkbeheerprogramma Orion van leverancier SolarWinds, waardoor duizenden organisaties wereldwijd, waaronder Amerikaanse overheidsdiensten, besmet raakten. De aanval werd toegeschreven aan de Russische buitenlandse inlichtingendienst SVR, met de aanvalsgroep vaak aangeduid als APT29 of Cozy Bear.
Pegasus-spyware (vanaf circa 2016): het Israëlische bedrijf NSO Group ontwikkelde spionagesoftware die, eenmaal op een telefoon geïnstalleerd, vrijwel alles kan uitlezen: berichten, locatie, microfoon en camera. Onderzoek van Citizen Lab (Universiteit van Toronto) en het internationale journalistenconsortium achter het Pegasus Project (2021) toonde aan dat de software wereldwijd tegen journalisten, mensenrechtenactivisten en politici was ingezet, vaak door overheden die de software als klant hadden ingekocht.
Volt Typhoon (onthuld in 2023): Microsoft en Amerikaanse en bondgenootschappelijke overheidsdiensten meldden een Chinese statelijke actor die zich stilletjes had genesteld in Amerikaanse kritieke infrastructuur, zoals energiebedrijven en waterbedrijven. Anders dan bij klassieke spionage leek het doel vooral pre-positioning: aanwezig blijven voor het geval van een toekomstig conflict.
Hoe ver is de techniek?
Cyberspionage is geen opkomende technologie meer, maar een volwassen en voortdurend evoluerend vakgebied. De trend gaat naar meer gebruik van supply chain-aanvallen, omdat die efficiënter zijn dan losse doelwitten één voor één aanvallen. Ook groeit de commerciële spyware-industrie: bedrijven zoals NSO Group verkopen kant-en-klare spionagesoftware aan overheden, waardoor ook kleinere landen zonder eigen technische capaciteit toegang krijgen tot geavanceerde middelen.
Kunstmatige intelligentie wordt steeds vaker ingezet om phishingberichten overtuigender te maken en om grote hoeveelheden gestolen data sneller te doorzoeken op bruikbare informatie. Tegelijk verbeteren verdedigers: bedrijven investeren in detectiesystemen die ongebruikelijk netwerkgedrag herkennen, en overheden en beveiligingsbedrijven delen steeds vaker technische kenmerken van aanvallen ("indicators of compromise") om anderen te waarschuwen.
Een blijvend obstakel is attributie: het met zekerheid vaststellen wie achter een aanval zit. Aanvallers gebruiken tussenstations, gestolen digitale certificaten en tools die ook door anderen worden gebruikt, om sporen te vervagen. Onderzoekers en overheden komen daardoor soms tot verschillende conclusies, en formele toeschrijvingen ("dit was land X") blijven vaak met een zekere mate van onzekerheid omgeven, ook al wordt dat in nieuwsberichten niet altijd zo genuanceerd gebracht.
Wie werken eraan?
Op statelijk niveau worden aan Chinese zijde vaak groepen genoemd die worden gelinkt aan de Chinese ministeries van Staatsveiligheid en aan het Volksbevrijdingsleger, zoals de eerdergenoemde Unit 61398 en de groep achter Volt Typhoon. Rusland wordt in verband gebracht met de militaire inlichtingendienst GRU (aanvalsgroep APT28, ook wel Fancy Bear) en de buitenlandse inlichtingendienst SVR (APT29, Cozy Bear). Noord-Korea wordt gelinkt aan de Lazarus Group, die naast spionage ook grootschalige diefstal van cryptovaluta pleegt om het regime te financieren. Iran wordt in verband gebracht met groepen als APT33 en APT34. De Verenigde Staten beschikken via de NSA over eigen offensieve cybercapaciteiten; de zogeheten Equation Group, in 2015 beschreven door het Russische beveiligingsbedrijf Kaspersky, wordt breed vermoed hieraan gelinkt te zijn, al is dit nooit officieel bevestigd.
Aan de verdedigende en onderzoekende kant spelen gespecialiseerde beveiligingsbedrijven een grote rol, zoals Mandiant (onderdeel van Google Cloud), CrowdStrike, Microsoft Threat Intelligence en Kaspersky, die geregeld rapporten publiceren over nieuw ontdekte campagnes. Citizen Lab, verbonden aan de Universiteit van Toronto, is toonaangevend in onderzoek naar spyware die tegen individuen wordt ingezet.
In Nederland houden de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) zich bezig met het opsporen en tegengaan van digitale spionage tegen Nederlandse belangen, terwijl het Nationaal Cyber Security Centrum (NCSC) organisaties adviseert over bescherming en waarschuwt bij dreigingen.