Rusland volgt NAVO-wapens via IP-camera's

Een goedkope beveiligingscamera aan de muur van een Europees magazijn, nog altijd beveiligd met het fabriekswachtwoord, werd stilletjes overgenomen door Russische staatshackers. Daarna werd hij onderdeel van een surveillancenetwerk dat wapentransporten naar Oekraïne volgde. De eigenaar van de camera merkt het mogelijk nooit. Nederlandse inlichtingendiensten maakten de operatie eerder deze maand bekend en beschreven hoe IP-camera's in NAVO-landen langs militaire logistieke routes waren gecompromitteerd (AIVD, DW). Dat beeld vat samen wat Europese regeringen inmiddels hardop zeggen: Russische cyberoperaties tegen civiele infrastructuur zijn geen incidenten meer. Ze lopen door.

Finse autoriteiten noemen het "arkipäivää", alledaagse werkelijkheid, een permanente achtergrondconditie (Yle). Ook de NAVO gebruikte op 13 juli, bij de veroordeling van Ruslands "aanhoudende kwaadaardige cyberactiviteiten", taal die in dezelfde richting wijst (NATO). Dit is geen enkele inbraak die kan worden onderzocht en afgesloten. Het is een voortdurende operatie waarmee Europese landen moeten leren omgaan.

Alle sleutels van het gebouw kopiëren

Het oude beeld van een cyberaanval is dat van een inbraak: iemand komt binnen, neemt iets mee en vertrekt weer. Wat meerdere Europese diensten nu beschrijven, lijkt eerder op iemand die alle sleutels van een gebouw kopieert, het rooster van de beveiliging leert kennen, leveringsroutes in kaart brengt en af en toe een brandalarm laat afgaan om de responstijd te meten.

De toegangspoort is vaak weinig spectaculair: een oude router, een zwak wachtwoord, een apparaat dat al jaren geen update heeft gehad. De Finse veiligheidsdienst Supo zegt dat het 16e Centrum van de Russische FSB precies zulke openingen gebruikt om energiebedrijven en defensiebedrijven te bespioneren (Supo). Daar zijn geen exotische middelen voor nodig.

Strategisch ernstig wordt het door wat er na binnenkomst gebeurt. Aanvallers stelen inloggegevens, de gekopieerde sleutels, en gebruiken die vervolgens om van het ene systeem naar het andere te bewegen: van de lobby naar het magazijn, daarna naar de controlekamer. Ze lezen interne communicatie mee, brengen in kaart hoe een organisatie werkt en houden maanden of zelfs jaren toegang. Spionage tekent het terrein uit. Golven rommelverkeer die websites platleggen creëren ruis. Destructieve malware blijft slapend aanwezig, klaar voor gebruik als escalatie gewenst is (ENISA).

Andere landen, dezelfde campagne

Elk land ziet de dreiging door zijn eigen kwetsbaarheid. In Finland gaat het vooral om de randen van netwerken: energiebedrijven en andere vitale sectoren zijn doelwit van langdurige spionage. Minister van Buitenlandse Zaken Valtonen veroordeelde de activiteit en ontbood de Russische ambassadeur (MTV Uutiset). In Polen draait het om de logistieke corridor. Als belangrijke doorvoerroute voor steun aan Oekraïne krijgt het land te maken met cyberoperaties naast fysieke sabotage. Minister van Buitenlandse Zaken Sikorski waarschuwde voor geloofwaardige inlichtingen dat Rusland verdere acties voorbereidde en noemde brandstichting, aanvallen op spoorwegen en verkenning van infrastructuur in één adem met digitale intrusies (RMF24, Rzeczpospolita).

Dat zijn geen tegenstrijdige lezingen. Het zijn verschillende raakvlakken van dezelfde campagne: toegang stelen, netwerken observeren, afhankelijkheden in kaart brengen, selectief verstoren en kosten opleggen aan staten die Oekraïne steunen.

Daar hoort wel een kanttekening bij. Sommige waarschuwingen rusten op geheime inlichtingen die regeringen niet openbaar kunnen maken. Toeschrijving is dan een officiële beoordeling, geen bewijsvoering in een openbare rechtszaal. Het Poolse ministerie van Buitenlandse Zaken verwees naar een EU-positie die destructieve operaties koppelt aan het 16e Centrum van de FSB (WP). Dat is aannemelijk en institutioneel gedragen, maar niet volledig controleerbaar.

De wetten zijn klaar, de routers niet

Europa heeft juridisch snel gereageerd. Achter de twee belangrijkste instrumenten, de NIS2-richtlijn en de Cyber Resilience Act, zit dezelfde gedachte: verantwoordelijkheid moet omhoog, weg van de overbelaste IT-afdeling en naar bestuurders en apparaatfabrikanten (NIS2 Directive). NIS2 maakt het hoogste management juridisch verantwoordelijk voor cybersecurity en scherpt de meldplicht voor incidenten in meer sectoren aan. De Cyber Resilience Act pakt de bron van het camera- en routerprobleem directer aan: fabrikanten moeten producten leveren met behoorlijke standaardbeveiliging in plaats van fabriekswachtwoorden (EUR-Lex CRA).

De zwakke plek zit in de uitvoering. Een richtlijn kan niet in één keer elke oude router patchen of elk standaardwachtwoord vervangen. De omzetting van NIS2 verschilt bovendien nog per lidstaat. De architectuur klopt. De bedrading is nog niet af.

Voor Europese burgers is de verschuiving evenzeer conceptueel als technisch. Cybersecurity is niet langer het opruimen na een spectaculaire inbraak. Het is infrastructuuronderhoud: voortdurend detecteren, patchen, leveranciers controleren en incidenten afhandelen. Minder dramatisch dan één grote aanval in de koppen, maar moeilijker vol te houden. De volgende test is niet of Europa de juiste wetten op papier heeft staan. De vraag is of oude camera's, ongepatchte routers en onvoldoende getrainde bestuurders daadwerkelijk zijn veranderd voordat Rusland de toegang gebruikt die het al heeft opgebouwd.