Nederlandse routers getroffen door Russische hackers: wat betekent dit voor het land?

In de afgelopen maanden zijn er meerdere meldingen gedaan over cyberaanvallen in het kader van de oorlog in Oekraïne. Niet alleen de digitale infrastructuur van Oekraïne wordt bedreigd, maar ook die van het Westen, waaronder Nederland. In maart 2022 maakte de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) bekend dat tientallen routers van Nederlandse particulieren zijn gehackt door Russische staatshackers. Deze apparaten zijn opgenomen in een botnet dat kan worden ingezet voor spionage, beïnvloeding en sabotage. In deze artikel worden de details van deze aanvallen, hun oorzaak en mogelijke gevolgen voor Nederland besproken.

Aanval op routers: wat is er precies gebeurd?

De aangevallen routers zijn van particuliere gebruikers en kleine tot middelgrote bedrijven in Nederland. Het gaat niet om apparaten die direct verbonden zijn met de overheid, Defensie of vitale infrastructuur, zoals energienetwerken of ziekenhuizen. Toch is het een zorgwekkende ontwikkeling, omdat deze routers onderdeel worden gemaakt van een wereldwijd botnet dat gebruikt kan worden voor verdere cyberaanvallen.

De MIVD heeft contact opgenomen met de betroffen personen en vraagt in sommige gevallen om de routers in te zenden voor onderzoek. De apparaten zijn namelijk beïnvloed door een malware die bekend staat onder de namen Sandworm of BlackEnergy. Deze malware is niet nieuw, maar wordt herkenbaar door de aanvalstechniek die in het verleden al gebruikt is in cyberaanvallen op Oekraïne.

Wat is een botnet?

Een botnet is een netwerk van geïnfecteerde apparaten, zoals routers, die op afstand bestuurd kunnen worden door hackers. Deze apparaten worden vaak gebruikt voor massale spamcampagnes, DDoS-aanvallen of andere vormen van cyberaanvallen. In dit geval kan het botnet worden ingezet voor spionage of sabotage, zoals het afhoren van communicatie of het onderbreken van bepaalde digitale diensten.

Onderliggende technologieën

De malware die gebruikt wordt in deze aanval is ook bekend onder de naam Cyclops Blink. Deze malware richt zich specifiek op Small Office Home Office (SOHO)-routers van merken zoals WatchGuard. Cyclops Blink maakt gebruik van een techniek genaamd Sandworm, waardoor hackers toegang kunnen krijgen tot een systeem en daar langdurig actief blijven, bijvoorbeeld om schade aan te richten of gegevens te stelen. Deze techniek is eerder gebruikt in aanvallen op Oekraïense energiecentrales in 2015 en 2016 en bij de NotPetya-aanval in 2017.

Wie zijn de hackers?

De hackers die verantwoordelijk worden gehouden voor de aanvallen op de Nederlandse routers zijn onderdeel van de Russische militaire inlichtingendienst GROe. Deze organisatie staat bekend om het uitvoeren van cyberaanvallen met het oog op sabotage, beïnvloeding en informatieoorlog. De MIVD zegt dat de hackersgroep ook verantwoordelijk is voor eerdere aanvallen op Oekraïne en dat het dus mogelijk om de groep Sandworm of BlackEnergy gaat.

Een bekende vorm van cyberaanval die met deze groep verband houdt is de zogenaamde ‘wiperware’, waarbij gegevens op systemen permanent worden verwijderd. Dit type malware is in de afgelopen maanden ook weer actief geworden en kan dus mogelijk ook invloed hebben op Nederlandse systemen in de toekomst.

Wat betekent dit voor Nederland?

Hoewel de aangevallen routers niet direct verbonden zijn met vitale infrastructuur, is er toch sprake van een zorgwekkende situatie. Nederland wordt namelijk op dit moment gebruikt als onderdeel van een wereldwijd aanvalsnetwerk. Dit betekent dat Nederlandse routers kunnen worden ingezet voor verdere cyberaanvallen, bijvoorbeeld tegen Oekraïne of andere landen.

Geen directe impact op Nederland

Het Nationaal Cyber Security Centrum (NCSC) heeft opgemerkt dat er tot nu toe geen concrete aanwijzingen zijn dat de aanvallen impact hebben op Nederland. Toch sluit het NCSC niet uit dat dit in de toekomst wel het geval kan zijn. Zo kan een aanval die gericht is op Oekraïne uiteindelijk ook Nederlandse organisaties raken, bijvoorbeeld via deelnetwerken of via indirecte verbindingen.

Mogelijke toekomstige gevolgen

Hoewel er tot nu toe geen directe impact op Nederland is, zijn er wel scenario's waarin cyberaanvallen wel degelijk gevolgen kunnen hebben. Zo hebben Britse en Amerikaanse ziekenhuizen eerder al geleden onder de effecten van cyberaanvallen. In 2017 werden tienduizenden apparaten in Britse ziekenhuizen vergrendeld door de gijzelsoftware WannaCry, en ziekenhuizen in de Verenigde Staten werden getroffen door NotPetya, een vermoedelijk Russische aanval. Hoewel de kans klein is dat Nederland direct wordt aangevallen, is het niet uitgesloten.

Waarschuwingen en maatregelen

Nederlandse autoriteiten actief

De MIVD heeft de aangevallen personen geïnformeerd en heeft in sommige gevallen gevraagd om de routers in te zenden voor onderzoek. Dit is een normaal onderdeel van het onderzoek in dergelijke gevallen en helpt om meer inzicht te krijgen in de aard van de aanval.

De MIVD heeft ook besloten om deze informatie openbaar te maken, wat bijzonder is aangezien dergelijke informatie meestal geheim blijft. Directeur Jan Swillens benadrukt dat de dreiging dichterbij is dan men denkt en wil Nederlanders bewust maken van de risico's. Zoals hij stelt: "Nederlandse routers, van zeg maar de bakker op de hoek, worden gebruikt door een statelijke actor."

Tips voor particulieren en bedrijven

Hoewel de aangevallen routers geen directe relatie hebben met vitale infrastructuur, is het toch belangrijk om te weten dat cyberdreigingen ook via persoonlijke apparaten kunnen worden ingezet. Hier zijn enkele tips die van toepassing zijn:

• Controleer je router regelmatig. Zorg dat de firmware van je router op de laatste versie is en dat je geen ongekende toegang hebt tot je netwerk.
• Gebruik sterke wachtwoorden. Zorg dat je wachtwoorden niet simpel zijn en dat je geen standaardwachtwoorden gebruikt.
• Laat je op de hoogte houden. Als je vermoedt dat je router is gehackt of als je een verdachte activiteit opmerkt, neem contact op met een IT-expert of de MIVD.
• Volg meldingen van de overheid. De MIVD en het NCSC publiceren regelmatig meldingen over cyberdreigingen. Het is verstandig om deze op de hoogte te blijven.

Internationale samenwerking tegen cyberaanvallen

De afgelopen jaren is er sprake van een toename van cyberaanvallen door Russische staatshackers, en ook Nederland maakt deel uit van deze trend. De MIVD werkt samen met andere westerse veiligheidsdiensten, zoals het Britse National Cyber Security Centre en het Amerikaanse Cybersecurity and Infrastructure Security Agency, om aanvallen te detecteren en te voorkomen.

Deze samenwerking is van groot belang, omdat cyberaanvallen vaak op internationaal vlak worden uitgevoerd. Door informatie te delen en actie te ondernemen op meerdere locaties, kan de impact van dergelijke aanvallen worden beperkt.

Cyberaanvallen als wapen van informatiewar

Naast de technische en operationele gevolgen van cyberaanvallen, is er ook een politieke en informatieve dimensie. Russische hackers worden niet alleen gebruikt voor cyberaanvallen op systemen, maar ook voor het verspreiden van nepnieuws en oorlogspropaganda.

Eurocommisaris Věra Jourová heeft daarom aan socialmediabedrijven gevraagd om krachtiger op te treden tegen Russische hackers en nepnieuws. Ze benadrukt dat informatie tot wapen is gemaakt en dat online platforms geen ruimte mogen bieden aan de oorlogsleugens van Rusland. Dit is een belangrijke ontwikkeling, omdat informatiewar een steeds grotere rol speelt in de huidige oorlogssituatie.

Conclusie

De aangevallen Nederlandse routers zijn een duidelijke indicatie van de toenemende cyberdreigingen in de huidige wereld. Hoewel de aangevallen apparaten vooralsnog geen directe relatie hebben met vitale infrastructuur, is het toch een zorgwekkende ontwikkeling. Nederland wordt namelijk gebruikt als onderdeel van een wereldwijd botnet dat kan worden ingezet voor verdere cyberaanvallen.

De MIVD en andere autoriteiten zijn actief in het detecteren en bestrijden van dergelijke dreigingen, en het is belangrijk dat ook particulieren en bedrijven zich bewust zijn van de risico’s. Door regelmatig te controleren op mogelijke beveiligingsproblemen en op de hoogte te blijven van de laatste ontwikkelingen, kan het risico van cyberaanvallen worden beperkt.

De situatie toont aan dat cyberoorlog een reëel en groeiend probleem is, en dat Nederland niet buiten deze ontwikkeling valt. Het is belangrijk dat we als land bewust blijven van de risico’s en actie ondernemen om de digitale infrastructuur veilig te houden.

Bronnen

1. MIVD: tientallen Nederlandse routers door Russische hackersgroep gekraakt
2. Russische spionnen ook betrapt in Nederlandse routers
3. Inmiddels is duidelijk geworden dat de oorlog in Oekraïne niet alleen in de straten wordt uitgevochten
4. Overslaande cyberaanvallen uit Rusland mogelijk
5. Komt er een cyberoorlog