Rusland kijkt mee met wapentransporten

Een klein bedrijf in Nederland hangt een internetcamera boven de ingang. Die filmt een hek, een parkeerplaats, misschien een stuk weg. De eigenaar stelt het apparaat één keer in, laat het fabriekswachtwoord staan en kijkt er daarna niet meer naar om. Over die weg rijdt intussen wel militair materieel richting Oekraïne. En ergens in Rusland kijkt iemand mee.

De Nederlandse inlichtingendiensten AIVD en MIVD hebben bekendgemaakt dat Russische actoren een klein aantal particuliere internetcamera's langs militaire transportroutes in Nederland hebben gehackt. De camera's waren van bedrijven, konden op afstand worden bekeken en werden gecompromitteerd via de meest alledaagse zwakheden: standaardwachtwoorden, verouderde software en onveilige instellingen die jarenlang ongemoeid bleven (Security Insight). Het doel was zicht krijgen op wat Europa naar Oekraïne stuurt, en wanneer.

Eén kijkgaatje is weinig. Honderd vormen een kaart.

Dit was geen technisch hoogstandje. Het leek eerder op binnenlopen door een deur die niet op slot zat. Een internetcamera is een kleine netwerkcomputer met een lens. Hij draait software, hangt aan het internet en wordt vaak geleverd met een universeel wachtwoord als P@ssw0rd, dat miljoenen eigenaren nooit wijzigen (Tenable). Beveiligingsonderzoekers hebben camera's beschreven waarbij inloggegevens al in de streaminglink zaten verwerkt, waardoor iedereen die zo'n link vond live kon meekijken (OffSeq Radar). Overheidsadviezen noemen standaardwachtwoorden en ontbrekende inlogvereisten dan ook onder de meest voorkomende gebreken van bewakingsapparatuur (ISSSource).

Eén gehackte camera is een kijkgaatje. Veel gehackte camera's langs wegen, spoorterreinen, havens en depots worden iets anders: een goedkoop observatienetwerk, opgebouwd uit apparaten waarvan de eigenaar vergeten was dat ze online stonden. De waarde zit in de optelsom. Eén vrachtwagen zien zegt weinig. Wekenlang hetzelfde hek bekijken levert een patroon op. Zelfs onvolledige dekking kan laten zien wanneer een route drukker wordt, waar konvooien stoppen en welke locaties 's nachts actief zijn. In logistiek is ritme informatie.

Daarom is de Nederlandse melding ook buiten Nederland relevant. Troepen en wapens bewegen nog steeds door gewone omgevingen: particuliere loodsen, commerciële havens, openbare wegen, bedrijventerreinen. Een camera op een toegangspoort van een magazijn toont geen staatsgeheim document. Maar over een reeks weken toont zo'n camera wel tempo. En tempo vertelt wat een aanvoerketen doet.

Van Nederlandse wegen naar Duits spoor

Duitsland is het land waar een groot deel van Europese militaire verplaatsingen doorheen moet. In Minden vonden autoriteiten een internetcamera op een spoorwegmast, voorzien van een vals Deutsche Bahn-logo. Deutsche Bahn had die camera niet geplaatst. Een 43-jarige Litouwse man werd verdacht van spionage voor Rusland naar militaire transporten (FAZ). Veiligheidsfunctionarissen in Noordrijn-Westfalen waarschuwden voor Russische "low-level agents" die kazernes, spoorknooppunten en militaire locaties verkennen (Focus). In de Duitse defensieplanning worden rangeerterreinen, seinhuizen en energievoorziening aangemerkt als gevoelige punten voor militaire mobiliteit (Operationsplan Deutschland). De bescherming daarvan is grotendeels civiel werk, al leunt het leger er direct op.

Polen laat zien waarom juist de routes zo belangrijk zijn. De Poolse minister van Defensie heeft gezegd dat 90 procent van de hulptransporten naar Oekraïne via Poolse luchthavens, wegen en spoorlijnen loopt (Polsat News). De luchthavenhub Rzeszów-Jasionka is een van de drie pijlers onder de Poolse steun aan Oekraïne (Polish Defence Ministry). Wie die stromen kan observeren, krijgt zicht op de gezamenlijke Europese aanvoerlijn.

Het lastige deel is weten wat er online staat

De oplossingen klinken eenvoudig: wachtwoorden wijzigen, de ingebouwde software van apparaten bijwerken, cameranetwerken isoleren en apparaten zonder ondersteuning buiten gebruik stellen (Australian Home Affairs). De echte moeilijkheid is weten welke apparaten je hebt, waar ze hangen en wie ze online kan bereiken. Veel organisaties kunnen niet meer zeggen welke installateur jaren geleden welke instelling voor toegang op afstand heeft aangezet, of welke camera inmiddels uitkijkt op een route die militair gevoelig is geworden.

Er is geen openbaar bewijs voor een bewezen Russisch cameraplatform op continentale schaal, met benoemde doelwitten en toegeschreven operators. De Nederlandse zaak gaat om een klein aantal apparaten. De zaak in Minden is voor zover bekend nog een onderzoek, geen afgeronde vervolging. De dreiging is geloofwaardig, maar het openbare dossier blijft dun, waarschijnlijk om operationele redenen en vanwege privacy.

De Nederlandse melding maakt een abstract risico concreet. Een bedrijfscamera aan een stille weg, die beelden naar een tegenstander streamt omdat niemand het standaardwachtwoord heeft aangepast, is voor iedereen voorstelbaar. De militaire aanvoerlijnen van Europa lopen door civiele ruimte. Rusland hoeft geen geheim netwerk binnen te dringen om bruikbare informatie te krijgen. Het kan gewoon naar de gewone wereld eromheen kijken.