De Feiten over de stille oorlog via internet

we zijn naïef

Nederland is naïef wat de cyberoorlog betreft, zei minister van Defensie Ank Bijleveld zondag in WNL op Zondag. Het gesprek ging over het oppakken en uitzetten van de vier Russische geheim agenten die een hackoperatie wilden uitvoeren tegen de OPCW in Den Haag. Deze organisatie deed op dat moment onderzoek naar gifaanvallen op vader en dochter Skripal in Salisbury en gifgasaanvallen in Syrië. ‘Kunnen we stellen dat er gewoon een cyberoorlog is?’ vroeg Youri Albrecht, een van de gasten in het programma. ‘Ja. Dat is denk ik wel goed om vast te stellen’, antwoordde de minister. ‘Is cyberoorlog de juiste omschrijving?’, vroeg presentator Rick Nieman nog eens nadrukkelijk.

‘Ja, dat is het wel’, reageerde Bijleveld. ‘Men probeert op alle manieren om in onze samenleving, in ons dagelijks leven, in onze democratie invloed te hebben. Dus we moeten ook af van die naïviteit die er op dat terrein is ... Het is echt gevaarlijk wat er gebeurt.’

Minister Bijleveld staat niet alleen. Al in november 2016 nam het Europees Parlement een resolutie aan waarin wordt gesproken over ‘Russische desinformatie en propagandaoorlog tegen de EU’ en haar lidstaten. Het parlement ziet dit als deel van ‘een hybride oorlogvoering’ die niet met de bekende wapens wordt uitgevochten.

wat is een ‘cyberoorlog’?

Over de vraag wat een cyberoorlog is, bestaan duidelijke definities en een even grote onduidelijkheid. Een definitie van het veiligheidsonderzoeksbureau RAND is deze: ‘Cyberoorlog betreft de acties van een staat of een internationale organisatie om de computers en informatienetwerken van een andere staat aan te vallen en te beschadigen.’ De desinformatie- en propagandaoorlog door Rusland, waarover zowel de Nederlandse minister van Defensie Ank Bijleveld als de resoluties van het Europees Parlement spreken, valt strikt genomen niet onder deze definitie.

De NAVO presenteerde afgelopen jaar het Tallinn Handboek 2.0, een uitgebreide toepassing van de internationale wetgeving op de cyberoorlog. Daarin worden vragen beantwoord als: wanneer heeft een land in een cyberoorlog het recht op zelfverdediging, en wanneer moet de NAVO daarbij helpen?

Het handboek is een initiatief van het NAVO-cyberverdedigingscentrum in Estland. Dat land werd in 2007, drie jaar nadat het lid van de EU en de NAVO was geworden, vanuit Rusland door een grote cyberaanval lamgelegd. Overheidsdiensten, banken en media werden door de aanval wekenlang effectief uitgeschakeld.

vernietigende cyberaanvallen

Er is inmiddels een hele reeks aan zware cyberaanvallen die hoogstwaarschijnlijk vrijwel allemaal door staten zijn uitgevoerd en soms voor miljarden schade hebben veroorzaakt.

In het jongste ‘Cybersecuritybeeld Nederland’, het overzicht van dreigingen op dit gebied, wordt onder meer de NotPetya-aanval uit juni 2017 genoemd. Deze aanval wordt toegeschreven aan Rusland en richtte zich vooral op Oekraïne. Het programma ‘gijzelde’ bestanden en wiste die onherroepelijk. In Oekraïne vielen overheidsdiensten uit, reed de metro niet meer, kregen elektriciteitscentrales problemen en werd het vliegveld van Kiev getroffen. Het virus sloeg ook toe in Frankrijk, Denemarken, Engeland en Amerika. Een van de slachtoffers werd rederij Maersk, actief vanuit onder meer Rotterdam. ‘Uiteindelijk leed Maersk 300 miljoen euro schade door de aanval en moest het 45.000 computers opnieuw installeren’, aldus het rapport.

Het is maar een voorbeeld uit een inmiddels lange reeks aanvallen met soms grote gevolgen. Een van de meest bekende is die op de Iraanse kerncentrale bij Busher door de VS en Israël. Deze aanval (2010) geldt als de eerste militaire cyberaanval op het grondgebied van een andere staat. Door het Stux-virus raakten de Iraanse kerngeleerden de controle over de centrale kwijt en moesten ze deze stilleggen.

Iran nam wraak met een aanval op aartsvijand Saudi-Arabië, bondgenoot van de VS. Door een van de grootste cyberaanvallen tot nu toe werd in 2012 het computersysteem van Aramco, de grootste olieproducent ter wereld, grotendeels vernietigd. Binnen enkele uren waren 35.000 computers gewist of onherstelbaar beschadigd.

Ook Zuid-Korea is herhaaldelijk aangevallen – door Noord-Korea via China. In 2013 legde een grote aanval drie banken en enkele televisiezenders plat en in 2016 bleek het computersysteem van de Zuid-Koreaanse luchtmacht te zijn gehackt.

China zelf blijkt vooral goed in het stelen van bedrijfsgeheimen en ontwerpen voor defensiesystemen, zoals jachtvliegtuigen en marineschepen. Het Pentagon gaf enkele jaren geleden al toe dat China gegevens had weten te bemachtigen van ‘enkele tientallen uiterst belangrijke wapensystemen’. ‘China heeft meer geheimen gestolen van bedrijven en regeringen dan enig ander land’, aldus Newsweek.

verdediging

Meerdere landen, waaronder de VS, Groot-Brittannië, Canada, Australië en Nederland, hebben inmiddels een nieuw defensieonderdeel, dat in Nederland de naam Defensie Cyber Commando heet. Dit is volgens Defensie gericht op ‘verdediging, inlichtingen en aanval’. De Nederlandse cybermilitairen moeten ‘digitale systemen van tegenstanders kunnen aanvallen, manipuleren of uitschakelen’. Minister Bijleveld meldde begin deze week dat ze bij de NAVO heeft aangeboden ‘dat wij onze cybersoldaten kunnen inzetten’ om aanvallen tegen de NAVO of lidstaten daarvan tegen te gaan, desnoods via tegenaanvallen.

‘We hebben dringend helderheid nodig over de regels, zodat actie kan worden ondernomen’, schreef toenmalig minister van Buitenlandse Zaken Bert Koenders in het Tallinn Handboek. Zowel in Washington, in Den Haag als in Tallinn was Nederland betrokken bij de presentatie van het handboek.

Vrijwel gelijktijdig kwamen de ministeries van Buitenlandse Zaken, Defensie, Economische Zaken en Binnenlandse Zaken met een ‘Internationale Cyberstrategie’. ‘Nederland heeft een van de meest ICT-intensieve economieën van Europa’, staat in de aanbiedingsbrief. Ons land is daardoor extra kwetsbaar voor digitale aanvallen. ‘Staten gebruiken digitale middelen om hun belangen te bevorderen op een manier die de Nederlandse nationale veiligheid kan bedreigen’, aldus het strategiedocument. De verdediging daartegen wil Nederland vooral samen met bondgenoten uitvoeren. Hoe dat soms gebeurt, was begin deze maand te zien in de gezamenlijke presentatie van Nederland en Groot-Brittannië over het oppakken en uitzetten van vier Russische spionnen. ‘We hebben een strategie voor deze cyberoorlog’, was de boodschap.

waarschuwingen

In april dit jaar kwamen Groot-Brittannië en de VS samen met de eerste publieke waarschuwing dat Rusland cyberaanvallen uitvoert tegen regeringen en organisaties – en in sommige gevallen al jarenlang in gehackte systemen ‘meekijkt’. Volgens Washington heeft Rusland ‘proefaanvallen’ uitgevoerd op Amerikaanse en Europese nucleaire installaties en water- en elektriciteitsvoorzieningen. De Russen hebben volgens computerbeveiligingsbedrijven als Symantec en CrowdStrik in 2015 en 2016 zo al eens delen van de elektriciteitsvoorziening in Oekraïne uitgeschakeld.

In Nederland meldde de NCTV (nationaal coördinator terrorisme en veiligheid) in juni dit jaar dat ‘de omvang en ernst van de digitale dreiging in Nederland aanzienlijk zijn en zich blijven ontwikkelen’. Omdat cyberaanvallen nog steeds ‘profijtelijk, laagdrempelig en weinig riskant voor aanvallers’ zijn, verwacht de NCTV dat ‘staten digitale aanvallen blijven inzetten en mogelijk op grotere schaal toepassen’. De gevolgen daarvan kunnen ‘groot en zelfs maatschappijontwrichtend zijn’.

Oktober is de officiële Europese Maand van de Cyberveiligheid. Nederlandse burgers en bedrijven mogen daaraan wel méér doen, aldus de NCTV begin deze maand, want die hebben ‘hun eigen digitale veiligheid op een laag pitje’.