Wenen ontbiedt Rusland om FSB-hack

Op 14 juli ontbood het Oostenrijkse ministerie van Buitenlandse Zaken de Russische ambassadeur in Wenen. De klacht ging niet over handel, energie of de VN. Het ging om een digitale inbraak die plaatsvond rond de jaarwisseling van 2019 op 2020 (Kurier/APA). Tussen de inbraak en de publieke beschuldiging zat vijf jaar. Dat is geen ambtelijke traagheid. Zo lang kan het duren voordat regeringen bewijs hebben gecontroleerd, dat via geheime kanalen met bondgenoten hebben gedeeld en gezamenlijk besluiten dat het noemen van de dader de diplomatieke schade waard is.

Een ministerie van Buitenlandse Zaken is niet zomaar een kantoornetwerk. Er liggen diplomatieke telegrammen, onderhandelingsinstructies, analyses van de bedoelingen van andere regeringen en contactennetwerken. Een inlichtingendienst die stil kan meekijken in zulke informatiestromen, leert niet alleen wat een regering heeft besloten, maar ook hoe zij denkt en waar de interne scheidslijnen lopen. Door de ambassadeur te ontbieden, maakte Wenen van een verborgen netwerkinbraak een officiële beschuldiging van staat tot staat.

De inbrekers die je sleutels kopiëren

De aanval wordt nu publiek toegeschreven aan Turla, een groep die door onafhankelijke dreigingsonderzoekers en meerdere regeringen in verband wordt gebracht met Centrum 16 van de Russische FSB (GovCERT Austria). Turla werkt niet als een ransomwarebende die bestanden versleutelt en Bitcoin eist. Het lijkt eerder op een professionele inbrekersploeg in dienst van een inlichtingendienst: geen ingeslagen ruit om de kassa mee te nemen, maar stil de sleutels kopiëren, geregeld terugkomen, dossiers lezen, notitieboeken fotograferen en zo weinig mogelijk sporen achterlaten. Onderzoek van Google Threat Intelligence beschrijft Turla als een ecosysteem voor inlichtingenvergaring dat precies is gebouwd voor dit soort geduldige toegang tot strategische doelwitten (Google Threat Intelligence).

Oostenrijk handelde overigens niet alleen. Het ontbieden van de ambassadeur maakte deel uit van een gecoördineerd Europees pakket van attributie en sancties, waarin de EU, het Verenigd Koninkrijk en afzonderlijke lidstaten dezelfde aan de Russische staat gelieerde cybergroepen publiekelijk aanwezen (CyberScoop). Frankrijk was ongewoon expliciet. Parijs meldde dat de nationale cybersecuritydienst ANSSI, de inlichtingendiensten en militaire cybereenheden de inbraken gezamenlijk hadden onderzocht en de spionagecampagne koppelden aan FSB Centrum 16, ook bekend als Eenheid 61240 (French Foreign Ministry). Dat niveau van institutioneel detail is zeldzaam. Frankrijk liet feitelijk zien welke keten van expertise achter het oordeel zat. Duitsland ontbood de Russische ambassadeur om wat Berlijn "destabiliserende cybercampagnes" noemde (Tagesschau). Rusland wees alle beschuldigingen van de hand als ongefundeerd.

Vingerafdrukken vergelijken, geen rokend pistool vinden

Geen enkel gepubliceerd document bewijst de zaak op zichzelf. Wat het publieke dossier wel laat zien, is convergentie: meerdere regeringen en onafhankelijke onderzoekers komen langs verschillende routes uit bij dezelfde actor. Het werkt als een strafrechtelijk onderzoek dat zijn zaak opbouwt uit overlappend bewijs, niet uit één bekentenis. Verdedigers vergelijken malware-"vingerafdrukken", zoals terugkerende codepatronen die kenmerkend zijn voor een groep, controleren of dezelfde servers en domeinnamen in verschillende operaties zijn hergebruikt, en kijken naar de momenten waarop aanvallers actief waren. De werktijden van Turla vielen bijvoorbeeld al langer samen met Moskouse kantooruren. Regeringen leggen daar vervolgens geheime inlichtingen bovenop, zoals onderschepte communicatie (Google Threat Intelligence, GovCERT Austria).

De nuchtere kanttekening is wel dat er geen Oostenrijks forensisch rapport, geen malwareketen en geen kaart van de gebruikte infrastructuur openbaar is gemaakt. Buitenstaanders kunnen het bewijs dus niet zelfstandig reconstrueren. Dat is gebruikelijk bij attributie die op inlichtingenwerk steunt, maar het betekent dat vertrouwen in het oordeel vooral rust op de geloofwaardigheid van instituties, niet op publiek verifieerbaar bewijs.

Langzaam opgevoerde druk

De juridische reactie van de EU is Besluit (GBVB) 2026/1713 van de Raad, een update van een cybersanctiekader dat in 2019 voor het eerst werd opgezet (EUR-Lex). In de praktijk krijgen personen op de lijst te maken met reisverboden en bevriezing van tegoeden binnen de EU-rechtsmacht. EU-burgers en bedrijven mogen hun bovendien geen geld of economische middelen ter beschikking stellen. Hoge Vertegenwoordiger Kaja Kallas bevestigde dat de EU en het VK sancties oplegden aan het bredere Russische cyberecosysteem en dat ook een Russische vertegenwoordiger bij de EU zou worden ontboden (EEAS).

Deze instrumenten laten Turla niet verdwijnen. Ze zijn bedoeld om deelname aan het ecosysteem duurder en zichtbaarder te maken. De Europese Commissie plaatst de bredere aanpak onder de noemer "cyberdiplomatie": een combinatie van diplomatieke dialoog, preventieve maatregelen en financiële strafmaatregelen (European Commission).

De Nederlandse zaak laat zien waarom dit verder gaat dan ministeries. Nederlandse inlichtingendiensten waarschuwden in juli dat Russische staatsactoren internetcamera's in Europa hadden gecompromitteerd voor militaire doeleinden (AIVD). Een gehackte camera langs een gevoelige route werkt als een verborgen verrekijker langs een aanvoerweg. De zaak rond het Oostenrijkse ministerie van Buitenlandse Zaken volgt dezelfde logica, maar dan voor diplomatieke informatie: de aanvaller kijkt mee, leert en gebruikt later wat hij heeft gevonden.

Veranderd is niet de dreiging zelf. Veranderd is de bereidheid van Europa om de aanvaller publiek te noemen, de diplomatieke kosten te accepteren en daar een sanctiearchitectuur omheen te bouwen. De vraag is of Europese regeringen vaak genoeg kunnen blijven toeschrijven, coördineren en sanctioneren om Russische operators en hun opdrachtgevers een zichtbare prijs te laten betalen. Afschrikking op basis van geheim bewijs zal publiek altijd lastig te bewijzen zijn. Maar gevolgen stapelen, één ontboden ambassadeur en één bevroren tegoed tegelijk, is wel een andere houding dan zwijgen.