Nederlandse routers getroffen door Russische hackers

Het afgelopen jaar zijn er meerdere incidenten geweest waarin Nederlandse routers zijn gehackt door Russische hackersgroepen. Deze aanvallen maken deel uit van grotere cybercampagnes die wereldwijd worden uitgevoerd en die gericht zijn op zowel particulieren als bedrijven. In dit artikel wordt een overzicht gegeven van de verschillende gevallen die in Nederland zijn opgetreden, inclusief de betrokken hackersgroepen, de impact van de aanvallen en de maatregelen die genomen zijn om het probleem te bestrijden.

Russische hackers en het aanvalsnetwerk

In meerdere meldingen is melding gemaakt van het feit dat Russische hackersgroepen routers in Nederland hebben gekraakt en deze hebben ingezet als onderdeel van een wereldwijd aanvalsnetwerk. De MIVD (Militaire Inlichtingendienst) heeft in meerdere gevallen aan de hand van hun onderzoek duidelijk gemaakt dat dit niet enkel een kwestie is van individuele systemen, maar dat het om een strategische inzet gaat om cyberoperaties te faciliteren.

De betrokken hackersgroepen zijn onder andere:

• Sandworm (of BlackEnergy): een eenheid van de Russische militaire inlichtingendienst GROe, die bekend staat om geavanceerde cyberaanvallen en staatshackingen.
• NoName05716: een pro-Russische hackersgroep die zichzelf verantwoordelijk heeft gesteld voor verschillende aanvallen op Nederlandse overheidswebsites en andere systemen.
• LockBit: een criminele organisatie die zich specialiseert in ransomware-aanvallen en datalekken.

Deze groepen maken gebruik van botnets, oftewel netwerken van gehackte apparaten, waaronder routers, om cyberaanvallen uit te voeren. Deze apparaten kunnen gebruikt worden voor DDoS-aanvallen (Distributed Denial of Service), waarbij servers worden overbelast, maar ook voor spionage, sabotage en beïnvloeding.

Betrokken merken

In de beschikbare informatie is melding gemaakt van het feit dat routers van het merk WatchGuard zijn gehackt. Deze routers zijn vaak gebruikt in kleine en middelgrote bedrijven en zijn relatief makkelijk te hacken als de standaardinstellingen worden overgenomen of simpel wachtwoordbeleid wordt gebruikt.

Gebruik van routers in aanvallen

De gehackte routers kunnen gecentraliseerd worden aangestuurd en gebruikt worden voor verschillende vormen van cyberaanvallen. Dit kan bijvoorbeeld zijn:

• Het lamleggen van systemen van overheid of bedrijven.
• Het stelen van gevoelige informatie.
• Het uiten van propaganda of beïnvloeding via digitale kanaalen.

In het geval van de MIVD-gevallen zijn er tientallen routers in Nederland betrokken, maar vooralsnog zijn er geen directe connecties gelegd met vitale sectoren, zoals Defensie of de rijksoverheid.

Aanvallen op Nederlandse overheidswebsites

Een andere vorm van cyberaanval die in Nederland is opgetreden, betreft DDoS-aanvallen op overheidswebsites. In augustus 2023 zijn meerdere websites van Nederlandse instellingen, waaronder OV-NL en Maastricht Aachen Airport, getroffen. De aanslag is toegeschreven aan de pro-Russische hackersgroep NoName05716, die zich verantwoordelijk heeft gesteld voor de aanval als vergelding voor de levering van marineschepen aan Oekraïne.

Deze groep heeft in het verleden ook aanvallen uitgevoerd op andere bondgenoten van Oekraïne, zoals de Eerste Kamer en diverse Nederlandse havens. Ondanks de aanval konden de dagelijkse activiteiten van de betrokken instellingen doorgaan zonder directe operationele gevolgen, maar de beschikbaarheid van de websites was tijdelijk aangetast.

Aanvallen op Nederlandse politie

Een ander incident betreft de Nederlandse politie, die in 2024 is gehackt door Russische staatshackers. Deze aanval resulteerde in het buitmaken van gevoelige gegevens van 63.000 medewerkers. De inbraak begon toen een politievrijwilliger op een malwarelink klikte, wat de deur opende voor verdere infiltratie in het systeem.

De hackers hadden toegang tot Outlook en mogelijk ook Microsoft Teams, wat aantoont dat de aanval gericht was op communicatie- en beheersystemen. Hoewel de volledige omvang van de schade niet openbaar is gemaakt, benadrukt dit incident de kwetsbaarheid van overheidsinstellingen voor geavanceerde cyberaanvallen door staatshackers.

Impact en risico's

De aangebrachte incidenten tonen aan dat ook kleine systemen, zoals routers van particulieren of kleine bedrijven, kunnen worden ingezet voor grootschalige cyberaanvallen. Deze apparaten zijn vaak niet goed beveiligd en worden makkelijk gehackt, vooral als gebruikers standaardinstellingen behouden of zwakke wachtwoorden gebruiken.

De risico’s die hierbij verbonden zijn, zijn omvangrijk:

• Cyberspionage: het stelen van gevoelige informatie van bedrijven of instellingen.
• Sabotage: het lamleggen van essentiële systemen, zoals energienetwerken of communicatieplatforms.
• Beïnvloeding: het verspreiden van propaganda of het beïnvloeden van maatschappelijke discussies via digitale kanaalen.
• Dienstverleningsverstoring: het lamleggen van websites of systemen via DDoS-aanvallen, wat leidt tot verlies van toegang tot informatie of diensten.

Maatregelen en oplossingen

In reaktie op deze incidenten zijn er meerdere maatregelen genomen om het risico op verdere aanvallen te beperken. De MIVD heeft bijvoorbeeld enkele gebruikers gevraagd hun routers voor onderzoek af te staan, zodat deze kunnen worden geanalyseerd en hersteld. Daarnaast is er een sterke nadruk gelegd op cybersecurity-educatie, zowel voor particulieren als voor bedrijven.

Voor particulieren zijn enkele maatregelen van betekenis:

• Gebruik van sterkere wachtwoorden en regelmatig wachtwoorden veranderen.
• Overschakelen van standaardinstellingen naar aangepaste instellingen, zoals een eigen SSID en beveiligingscode.
• Regelmatige software-updates uitvoeren om kwetsbaarheden te sluiten.
• Het gebruik van firewall- of antivirussoftware om eventuele inbraken te detecteren en tegen te gaan.

Voor bedrijven en overheidsinstellingen zijn de maatregelen complexer, maar even belangrijk. Hier geldt:

• Cybersecurity-training voor medewerkers om hen bewust te maken van de risico’s van phishing en malware.
• Implementatie van Advanced Persistent Threat (APT) detectie en beveiligingsmaatregelen.
• Cybersecurity-scans om kwetsbaarheden in het netwerk te detecteren.
• Samenwerking met cyberbeveiligingsdiensten en overheid om mogelijke dreigingen te anticiperen en te bestrijden.

Conclusie

De afgelopen jaren zijn er verschillende gevallen geweest waarin Nederlandse routers zijn gehackt door Russische hackersgroepen. Deze aanvallen maken deel uit van grotere cybercampagnes en kunnen worden ingezet voor cyberespionage, sabotage of beïnvloeding. De betrokken groepen zijn vaak goed georganiseerd en gebruiken geavanceerde technologieën om hun doelen te bereiken.

Hoewel de meeste aanvallen op particuliere routers of kleine bedrijven gericht zijn, zijn er ook incidenten geweest waarin overheidsinstellingen, zoals de politie en OV-NL, zijn getroffen. Dit benadrukt de belangrijkheid van cyberbeveiliging, zowel voor individuen als voor organisaties.

De MIVD en andere overheidspartijen werken samen met bedrijven en particulieren om de dreigingen tegen te gaan en maatregelen te nemen. De nadruk ligt hierbij op educatie, beveiligingssoftware en samenwerking met cyberbeveiligingsdiensten.

Bronnen

1. MIVD: tientallen Nederlandse routers door Russische hackersgroep gekraakt
2. Russische militaire inlichtingendienst hackt Nederlanders
3. MIVD ontdekt Russische spionnen in Nederlandse routers
4. Weekly Update 3
5. Overzicht alle cyber-incidenten
6. Websites Nederlandse provincies aangevallen door pro-Russische hackers