FSB dringt Slowaakse defensienetwerken binnen

Neem de router die op kantoor staat te knipperen, of de VPN waarmee medewerkers van buitenaf inloggen. Het zijn weinig spectaculaire apparaten, maar ze vormen wel de voordeur van moderne infrastructuur. In Slowakije lijken Russische staatshackers precies die deuren te hebben getest rond systemen die verbonden zijn met energienetwerken, wapenproductie en ministeries.

Het Slowaakse ministerie van Buitenlandse Zaken bevestigde dat het land doelwit was van cyberoperaties die worden gelinkt aan de Russische inlichtingendienst FSB (Topky/TASR). Het ministerie van Investeringen specificeerde dat de activiteit was gericht op kritieke infrastructuur, de wapenindustrie en de energiesector (TA3). Er viel geen elektriciteitscentrale uit. Er kwamen geen treinen stil te staan. Juist dat verschil is hier bepalend.

De inbreker die de televisie laat staan

Achter deze operatie zit Turla, geen ransomwarebende die snel geld wil verdienen. De groep wordt toegeschreven aan Centrum 16 van de FSB en is gebouwd voor iets anders: stil binnendringen, verborgen blijven en maanden of jaren inlichtingen verzamelen (CISA). Denk aan een inbreker die de televisie laat staan, maar wel de meterkast fotografeert, de camera's noteert en van elke sleutel een afdruk maakt.

De toegangspunten zijn opvallend alledaags. Een gezamenlijke waarschuwing van CISA en de FBI beschrijft hoe actoren van Centrum 16 misbruik maken van slecht ingestelde routers, zwakke netwerkbeheerinstellingen en verouderde VPN-gateways: precies de apparaten op de grens tussen een organisatie en het internet (CISA AA26-194A, FBI/IC3). Een VPN-gateway fungeert bijvoorbeeld als bezoekersregister en plattegrond tegelijk. Hij laat zien wie verbinding maakt, vanaf welke locatie en welke interne systemen daarna worden bereikt. Configuratiebestanden kunnen bovendien vertrouwde verbindingen en routes dieper het netwerk in blootleggen (AttackIQ).

Voor een ministerie of energiebedrijf betekent dit dat een aanvaller zwakke plekken kan leren kennen zonder direct alarm te veroorzaken. Op basis van wat publiek bekend is, ging het om verkenning voor later drukmiddel, niet om bewijs voor ophanden zijnde sabotage.

Waarom buurlanden meekijken

Moderne Europese infrastructuur lijkt minder op een rij losse huizen dan op een flatgebouw met gedeelde bedrading. Slowakije en Oostenrijk delen een gastransmissienetwerk en een drukke spoorcorridor tussen Wenen en Bratislava (Gas Connect Austria, ÖBB). Tsjechië deelt kanalen voor defensiegegevens en systemen in grensregio's (Novinky). Dat betekent niet dat die systemen zijn gekraakt. Het verklaart wel waarom regeringen een Slowaakse intrusie behandelen als een gezamenlijke kwetsbaarheid.

Geen enkel buurland heeft gemeld dat het door dit incident daadwerkelijk is gecompromitteerd. De zorg zit elders: gestolen configuraties, inloggegevens van leveranciers of kennis van zwakke plekken kunnen aanvallers helpen om later gekoppelde systemen aan te pakken. Oostenrijk ontbood de Russische ambassadeur vanwege verwante cyberaanvallen. De EU en het VK legden hun eerste gezamenlijke sancties op tegen Centrum 16 en de Turla-operatie (Sabr Cyber & Tech News, formiche.net). Daarmee zeggen regeringen eigenlijk dat zij het risico als grensoverschrijdend zien, ook zonder bewijs van grensoverschrijdende schade.

Een bouwbesluit repareert geen router

Voor dit scenario is NIS2 gemaakt. De richtlijn is in wezen een bouwbesluit voor essentiële digitale diensten: beheerders van kritieke infrastructuur moeten cyberrisico's managen, incidenten snel melden en hun toeleveringsketens beveiligen (EUR-Lex). De Slowaakse omgang met de zaak test precies die logica. Media meldden dat de regering de aanvallen pas bevestigde nadat journalisten ernaar vroegen (TA3); oppositiepolitici verweten de regering gevaarlijke passiviteit (Aktuality).

Een bouwbesluit kan nooduitgangen en rookmelders verplicht stellen. Het voorkomt niet dat iemand de deur open laat staan. NIS2 kan meldtermijnen en risicoanalyses afdwingen. De richtlijn repareert geen oude router en vervangt ook geen gelekte VPN-sleutel.

Wat in Slowakije gebeurde, laat op basis van de publieke informatie niet zien dat Rusland Europese infrastructuur zomaar kan verlammen. Het laat wel zien dat aan Rusland gelinkte actoren systemen zoeken waarmee zij kritieke diensten kunnen begrijpen, in kaart brengen en later onder druk zetten. De toegang is stil, de aanwezigheid geduldig, de inzet langdurig. De vraag is of Europa stille toegang even serieus behandelt als zichtbare verstoring.