Bruce Willis is terug als John McClane in Live Free or Die Hard, maar deze keer draait het niet alleen om het opblazen van gebouwen. Het plot draait om een schimmig syndicaat dat een digitale oorlog voert tegen de Verenigde Staten. Ze gebruiken geen bommen. Ze gebruiken internetaanvallen om de infrastructuur van het land te verlammen. McClane moet ze tegenhouden en zijn dochter redden, die in de chaos gegijzeld is.
Het klinkt als een Hollywood-drama. Maar het lezen van die synopsis roept een prangende vraag op. Is het eigenlijk mogelijk dat een groep hackers echte economische of fysieke verwoesting in de VS aanricht?
Het antwoord lijkt in de richting van ‘ja’ te neigen. Cyberbeveiliging is niet langer slechts een niche-IT-aangelegenheid. Het wordt nu door overheidsfunctionarissen en media gerangschikt als een bedreiging die vergelijkbaar is met terrorisme, nucleaire proliferatie en klimaatverandering. De logica is eenvoudig. Commerciële, particuliere en overheidssystemen zijn allemaal aangesloten op hetzelfde wereldwijde netwerk. Een breuk op één plek kan overal rimpelen.
Het dreigingslandschap is dramatisch veranderd. Hackers zijn niet langer eenzame wolven in kelders. Ze zijn georganiseerd. Ze opereren in losse netwerken die op zwarte markten lijken. Gestolen gegevens zijn een handelswaar. “Carders” verkopen creditcardgegevens in bulk. Phishing-fraude wordt steeds geavanceerder. Malware (virussen, Trojaanse paarden, wormen) genereert meer inkomsten voor criminelen dan de hele mondiale computerbeveiligingsindustrie voor verdedigers.
Deze acteurs zijn overal. Velen opereren vanuit landen met snel internet en lakse wetshandhaving. Roemenië is bijvoorbeeld een knooppunt voor deze activiteiten geworden. Het ontbreken van strikte juridische consequenties maakt het een veilige haven voor digitale misdaad.
De dreiging is niet alleen financieel. Het is geopolitiek. De Britse regering heeft onlangs bewijsmateriaal vrijgegeven waaruit blijkt dat buitenlandse inlichtingendiensten – waarschijnlijk uit China, Noord-Korea en voormalige Sovjetstaten – Britse computers hackten. Het motief? Economische spionage. Dit gaat niet alleen over het stelen van creditcardnummers. Het gaat over het ondermijnen van de economische macht van andere landen. Aanvallers stelen sectorgeheimen en handelen gegevens, en sturen die informatie vervolgens door naar bevriende bedrijven of staatsbedrijven om zo een concurrentievoordeel te behalen.
Het targeten van belangrijke medewerkers is een veel voorkomende tactiek. Eén enkele geïnfecteerde e-mail of USB-stick kan aanvallers toegang geven tot gevoelige overheidsgeheimen of bedrijfsblauwdrukken. De methoden zijn gevarieerd. Met virussen beladen e-mails, geïnfecteerde cd-roms of geheugensticks zijn allemaal toegangspoorten.
Regeringen worden zich bewust van de realiteit. De Europese Unie, de G8 en andere internationale instanties hebben taskforces voor cybercriminaliteit opgericht. In de VS zijn lokale wetshandhavingsinstanties bezig met het opzetten van eenheden voor elektronische misdaad. De FBI ondersteunt deze inspanningen via het InfraGard-programma, dat het delen van informatie tussen het bureau en deze lokale teams mogelijk maakt.
Groot-Brittannië ziet het gevaar. Maar moeten de Verenigde Staten zich zorgen maken? Het antwoord zou kunnen liggen in een kleine Baltische natie die onlangs te maken kreeg met een digitale aanval.
Cyberaanvallen in Estland
De vonk was een standbeeld. Op 27 april 2007 verplaatsten de Estse autoriteiten een monument uit de Tweede Wereldoorlog uit het Sovjettijdperk van een centraal plein in Tallinn naar een militaire begraafplaats. Het was een beslissing die geworteld was in de geschiedenis, maar vol hedendaagse spanningen. Estland was het grootste deel van de Koude Oorlog bezet door de Sovjet-Unie, en daar woont vandaag de dag een aanzienlijke Russischsprekende minderheid. De verhuizing verplaatste niet alleen een monument; het veranderde de gemoederen.
Protesten ontploften. In Estland kookte de woede over. Aan de andere kant van de Oostzee uitte de Russische regering scherpe protesten en verhulde dreigementen. De atmosfeer was dik van geopolitieke wrijving. Toen kwam de stilte van de offline wereld, onderbroken door het gezoem van servers en de stroom kwaadaardige pakketten.
Hoe gedistribueerde Denial of Service-aanvallen werken
Wat volgde waren weken van meedogenloze cyberaanvallen. Ze richtten zich zowel op overheidsportals als op particuliere websites. De methode was grof maar effectief: distributed denial of service (DDoS) -aanvallen.
Hackers hadden geen geavanceerde exploits nodig om in te breken. Ze hadden alleen volume nodig. Ze kaapten honderden, soms duizenden ‘zombiecomputers’: machines die waren geïnfecteerd met malware en op afstand werden bestuurd zonder medeweten van de eigenaren. Deze botnets bestookten Estse sites met duizenden verzoeken per seconde.
Normaal verkeer voor een website kan een paar honderd hits zijn. Door deze aanvallen liep dat aantal in de miljoenen. De servers konden het niet aan. Ze gingen langzamer rijden. Toen crashten ze. Het doel was niet om gegevens te stelen. Het was om de site onzichtbaar te maken.
Voor de gemiddelde gebruiker was de ervaring eenvoudig: time-out voor de verbinding. Fout 503. Pagina niet gevonden. Maar voor de Estse regering was het chaos.
Was dit een cyberoorlog?
De Estse regering vergeleek de cyberaanvallen met een terroristische aanslag. De verstoring was reëel. De economische en overheidsfuncties stonden onder druk. Aanvankelijk gingen veel waarnemers ervan uit dat de Russische staat aan de touwtjes trok. Experts bestempelden de gebeurtenissen als de eerste ‘cyberoorlog’.
Het bleek ingewikkelder. Er zijn nu aanwijzingen dat de Russische regering de aanvallen niet rechtstreeks heeft georkestreerd. In plaats daarvan voedde het hen met boze retoriek. De hackers zelf waren waarschijnlijk verontwaardigde burgers, die reageerden op de verwijdering van het standbeeld en de toon van het Kremlin.
Dit onderscheid is van belang. Een door de staat gesponsorde aanval impliceert strategie. Een door burgers geleide aanval impliceert chaos. Beide kunnen schade veroorzaken, maar de toeschrijving verandert alles.
Waarom de ervaring van Estland ertoe deed
De cyberaanvallen in Estland waren niet de grootste in termen van overgedragen ruwe gegevens. Andere DDoS-aanvallen waren groter. Maar deze waren uniek in hun impact. Wekenlang trokken de cyberaanvallen de aandacht van een hele regering. Ze trokken de blik van de wereld.
Vóór Estland mondden politieke grieven vaak uit in hackervetes. Indiase en Pakistaanse hackers hebben een spervuur van virussen en DDoS-aanvallen gelanceerd vanwege langdurige spanningen. Israëlische en Palestijnse hackers hebben elkaars sites onleesbaar gemaakt als wraakactie. Dit waren schermutselingen.
Estland was een strijd. De aanvallen bewezen hoe kwetsbaar zelfs een ‘bekabelde’ natie kon zijn. Estland wordt beschouwd als een van de digitaal meest geavanceerde landen ter wereld. De overheid functioneert grotendeels online. De banken zijn digitaal. De burgers verwachten naadloze connectiviteit. Toen de lichten uitgingen, werd een kritieke zwakte blootgelegd.
De overheid heeft geen enkele kerninfrastructuur verloren. Er zijn geen databases gewist. Er zijn geen geheimen gestolen. Maar de kosten voor het bestrijden van de aanvallen waren hoog. Het was tijdrovend. Het was duur. Het was een wake-upcall.
Het Amerikaanse cyberveiligheidsvraagstuk
Estland heeft de storm doorstaan. Er was sprake van economische ontwrichting. Er was sprake van regeringsfrictie. Maar er was geen sprake van langdurige schade. Het land herstelde zich.
Het roept een huiveringwekkende vraag op. Hoe zouden de Verenigde Staten het in een dergelijke situatie doen? De VS zijn zelfs nog afhankelijker van digitale infrastructuur dan Estland. Zijn kracht
De opschudding gebeurde niet in een vacuüm. Het begon met een stille bekentenis in april 2007. Een subcommissie van het Congres voor opkomende bedreigingen, cyberveiligheid, wetenschap en technologie ontdekte dat er in 2006 inbreuk was gepleegd op de ministeries van Handel en Buitenlandse Zaken. Die onthulling zette Scott Charbo, het hoofdinformatiebureau van het ministerie van Binnenlandse Veiligheid, onder vuur. Zijn baan stond op het spel.
Waarom? Vanwege 844 veiligheidsgerelateerde incidenten in slechts twee jaar tijd.
De lijst met mislukkingen bij het DHS was beschamend. Geclassificeerde e-mails reisden via onbeveiligde netwerken. Persoonlijke laptops werden aangesloten op overheidssystemen. Niet-goedgekeurde software is binnengeslopen. Er zijn geheime gegevens gelekt. Virussen verspreiden zich. Firewalls stonden open. De afdeling behaalde een “D” op het jaarlijkse computerbeveiligingsrapport. Het was een verbetering ten opzichte van de slechte cijfers van 2003 tot en met 2006, maar het was nog steeds slecht. De hele federale overheid scoorde een C-min, vergeleken met een D-plus het jaar daarvoor.
De regering kon de gaten niet meer negeren.
Nieuwe rollen en grootschalige oorlogsspellen
Reactie kwam snel. DHS creëerde een nieuwe functie: adjunct-secretaris voor cyberbeveiliging en telecommunicatie. Greg Garcia nam de rol op zich. De focus verschoof van schadebeheersing naar proactieve verdediging.
Dit ging niet alleen over het repareren van kapotte firewalls. Het ging om het simuleren van het worstcasescenario. Begin februari 2006 sloot de Amerikaanse regering zich aan bij 115 partners in vijf landen voor Cyber Storm. Dit was een enorm cyberoorlogsspel. Grote bedrijven, overheidsinstanties en particuliere beveiligingsorganisaties namen allemaal deel.
Het doel? Kijk wat er gebeurt als kritieke infrastructuur wordt getroffen.
De simulatie was brutaal. Valse aanvallen veroorzaakten stroomuitval in tien staten. Commerciële software raakte besmet met virussen. Netwerken voor online bankieren faalden. De oefening testte meer dan alleen de technische verdediging. Er werd gekeken naar hoe agentschappen zouden omgaan met desinformatie die door aanvallers werd verspreid. Het was een stresstest voor de nationale veerkracht.
Cyber Storm II stond gepland voor 2008. Ondertussen ging het echte werk ter plaatse door. Op de luchtmachtbasis Barksdale in Louisiana werkten 25.000 militairen aan elektronische oorlogsvoering. Ze concentreerden zich op netwerkbeveiliging en het verdedigen van de internetinfrastructuur van het land.
Eerstehulpverleners in het digitale tijdperk
Als een enorme cyberaanval de VS treft, wie treedt dan als eerste op?
Inlichtingendiensten komen tussenbeide. Het ministerie van Defensie mobiliseert. Het leger wordt ingezet. Dat geldt ook voor de eenheid in Barksdale. Maar er is één specifieke groep die belast is met het beschermen van de internetinfrastructuur en het verdedigen tegen cyberaanvallen: US-CERT, het Computer Emergency Readiness Team van de Verenigde Staten.
US-CERT, opgericht in 2003, speelt een belangrijke rol in de responsketen. Ze houden bedreigingen in de gaten. Zij stemmen dit af met partners. Ze helpen de schade te beperken voordat deze zich uitbreidt.
De infrastructuur is kwetsbaar. De responsteams zijn klaar. Maar zijn ze genoeg?
Cyberaanvallen in de Verenigde Staten
De Verenigde Staten hebben structurele zwakheden in hun digitale ruggengraat. De inspanningen van de overheid om deze gaten te dichten zijn aan de gang, maar ze hebben het risico niet geëlimineerd. Toch is het doemscenario van fysieke vernietiging door cyberoorlogvoering grotendeels een mythe. Er zijn geen gegevens dat er iemand omkomt door een cyberaanval. Bij de aanslagen in Estland is niemand omgekomen. Er is nog nooit iemand vermoord omdat een computer werd gehackt.
De echte dreiging is financieel, niet fysiek
Terroristische groeperingen praten groots over het lanceren van internetaanvallen. Maar de werkelijke dreiging komt van verschillende kanten. Criminele bendes willen geld. Ze persen bedrijven af voor losgeld. Boze hackers willen een statement maken. Estland was een goed voorbeeld van dit soort digitaal protest.
De voornaamste zorg is niet de dood. Het is economische schade. Als hackers de stroomvoorziening afsluiten, een grote bank infiltreren of de aandelenmarkt laten crashen, zijn de financiële gevolgen reëel. Maar zelfs dan is de schade in fysieke zin zelden catastrofaal.
Waarom uw ICBM’s veilig zijn
Het is vrijwel onmogelijk dat cyberaanvallen op grote schaal fysieke slachtoffers veroorzaken. Waarom? Omdat beveiliging, redundantiesystemen, monitoringsoftware en menselijk toezicht een enorme barrière vormen. Militaire systemen zijn bijzonder veilig. Een 11-jarige in Peking lanceert geen ICBM’s. Kernwapens zijn niet verbonden met het internet. Kritieke of geclassificeerde systemen hebben een luchtopening. Ze zijn losgekoppeld.
Hackers kunnen gemakkelijk toegang krijgen tot een systeem. Toegang krijgen is één ding. Daadwerkelijke schade aanrichten terwijl je binnen bent, is iets anders. Goed opgeleid personeel bij nutsvoorzieningen en vitale systemen kan problemen snel opsporen. Eigen systemen hebben vaak handmatige overschrijvingen. De mens zit nog steeds in de knoop.
De miljardenrealiteit van malware
De gevaren blijven tastbaar. Wormen, virussen en Trojaanse paarden maken elke dag misbruik van beveiligingsfouten. Deze bedreigingen veroorzaken jaarlijks miljarden dollars aan verliezen voor de particuliere industrie. De kosten zijn hoog, maar de gevolgen zijn financieel en niet fysiek.
Veelgestelde vragen
Zijn de VS ooit gehackt?
Ja. De Verenigde Staten hebben door de jaren heen te maken gehad met vele soorten hackaanvallen. Twee opmerkelijke voorbeelden springen in het oog. De Office of Personnel Management-hack uit 2015 stal ruim 21 miljoen persoonlijke records. De Sony Pictures-hack uit 2014 heeft meer dan 100 miljoen klantgegevens blootgelegd. Deze incidenten benadrukken de omvang van de kwetsbaarheid van gegevens, zelfs als ze niet tot fysieke schade hebben geleid.
Gerelateerde bronnen
Voor degenen die dieper willen duiken in de werking van deze systemen, zijn er verschillende technische storingen beschikbaar:
- Hoe internetinfrastructuur werkt
- Hoe webservers werken
- Hoe phishing werkt
- Hoe spam werkt
- Hoe computervirussen werken
- Hoe identiteitsdiefstal werkt
- Hoe firewalls werken
- Hoe codering werkt
- Hoe biometrie werkt
Verder lezen en officiële bronnen
Als u fraude wilt melden of inzicht wilt krijgen in het huidige dreigingslandschap, zijn deze bronnen essentieel:
- Aanvallen van hackers – Mirroring Security Blog
- Het melden van computerhacking, fraude en andere internetgerelateerde misdaden
- Computer Emergency Readiness-team van de Verenigde Staten
Het gesprek rond cyberveiligheid blijft evolueren. De NAVO heeft de aanpak van cyberaanvallen urgent genoemd. China probeert de VS als leidende cybermacht te onttronen. De dreiging verschuift. Het gevaar groeit. Maar de Apocalyps? Dat is nog steeds fictie.
