MIVD: overheid en bedrijven wekelijks doelwit digitale spionage

De Militaire Inlichtingen- en Veiligheidsdienst meldt in zijn jaarverslag dat er wekelijks pogingen van digitale spionage tegen Nederlandse belangen worden vastgesteld. De belangrijkste doelwitten zijn Buitenlandse Zaken en Defensie.

Uit het jaarverslag blijkt ook dat leveranciers van Defensie en het internationale bedrijfsleven populaire doelwitten zijn voor deze vorm van spionage. Er zou bovendien sprake zijn van een groeiende dreiging, doordat aanvallers agressiever en geavanceerder te werk gaan. Ook hebben zij steeds vaker succes, al noemt de MIVD geen specifieke gevallen.

De spionage wordt doorgaans uitgevoerd door 'enkele niet-westerse landen met grote militaire ambities'. Uit onderzoeken zou blijken dat het in sommige gevallen om pogingen tot diefstal van 'ongeëvenaarde grote hoeveelheden data' gaat. "Sommige staten zetten op dagelijkse basis naar schatting meer dan honderdduizend personen in ten behoeve van digitale spionage", schrijft de MIVD.

Ook zouden militaire inlichtingendiensten zich steeds verder specialiseren in het binnendringen in industriële scada-controlesystemen met het doel om de functionaliteit daarvan te beïnvloeden. Volgens de MIVD gaan deze systemen een belangrijke rol spelen in toekomstige conflicten.

Net als in het vorige jaarverslag blijkt dat het gericht inzetten van phishing, oftewel spear phishing, nog steeds een van de meest populaire manieren is om doelwitten te benaderen. Ook de zogenaamde watering holes worden nog steeds door aanvallers ingezet, waarbij websites worden voorzien van exploit kits die bezoekers infecteren met malware. Dit jaar constateerde de MIVD daarnaast ook infecties via usb en wifi.

Doelwit van spionagepogingen zijn gegevens als intellectuele eigendom, politieke informatie of technische kennis die het eigen leger of bedrijfsleven kan ondersteunen. De inlichtingendienst heeft het afgelopen jaar dan ook geïnvesteerd om het digitale inlichtingenvermogen te vergroten. De dienst benadrukt dat de bevoegdheid tot het onderscheppen van kabelgebonden communicatie, die is opgenomen in de nieuwe Wiv, een belangrijke toevoeging vormt. Deze wet is controversieel, omdat deze informatieverzameling via een sleepnet-techniek toepast.

Reacties (25)

[bartmatsko]

Ik ben altijd bang dat onze overheid bij lange na niet voldoende digitaal afweer capasiteit heeft tov veel grote landen...

[ApexAlpha]

Offensieve digitale oorlogvoering is sowieso makkelijker dan defensieve. Dus je krijgt gewoon een wapenwedloop weer. 100% beveiliging bestaat niet in het digitale domein.

Laatst werd er nog een 20 jaar oude bug in Bash ontdekt. Hoeveel van die diepgenestelde bugs zitten er nog in allerlei programma's? En hoeveel daarvan liggen ergens bij een overheid op de plank om gebruikt te worden?

Het mantra moet worden om je allerbelangrijkste infrastructuur zo veel mogelijk los te koppen. Brug of sluis open? Liever iemand langs sturen met een auto dan een aan het internet gekoppeld scada-systeem met een SSL verbinding. Kost wat, maar dan heb je echt geen risico meer dat die sluis op afstand beïnvloed wordt.

[bartmatsko]

Tuurlijk helemaal mee eens. Maar ik ben gewoon bang dat Nederland een heel stuk achterloopt.

[Iblies]

Ontdekt of bekend bij het grote publiek.

nieuws: Gerucht: hackers hielpen FBI met zero-day-lek om iPhone te kraken

Besluit ligt helaas vaak bij een oudere garde die blijkbaar niet helemaal thuis is in de materie en dan loop je sowieso achter de feiten aan. Een land als Pakistan of India kan het zich makkelijk veroorloven om 10k aan hackers/programmeurs aan de slag te zetten omdat je veel arbeid nodig hebt en dat kost daar weinig,
als daar tzt een goede structuur in komt dan heb je een probleem.

Dan kun je hier hoog of laag springen, enigste optie is overal de netwerkkabel afhalen, want blokkeren of omleiden gaat niet werken. Dan gebeurt dat alsnog via-via.

[Bux666]

Een land als Pakistan of India kan het zich makkelijk veroorloven om 10k aan hackers/programmeurs aan de slag te zetten omdat je veel arbeid nodig hebt en dat kost daar weinig, [...]

Dat is nogal kort door de bocht. De arbeid is daar goedkoop, maar men betaald ook weinig belastingen en premies. De overheid harkt dus niet net zoveel binnen als een westers land, waardoor de arbeidskrachten in verhouding wellicht even duur zijn.

[Iblies]

Een land als Pakistan gebruikt het leger ook als een soort van sociaal vangnet en ze zijn daar niet uniek in. Ipv een uitkering gaan ze het leger in.
De US doet dit bijvoorbeeld ook.

Lijkt vreemd, alleen de kosten van een basis-millitair is niet bijster veel hoger dan de kosten voor een uitkering en bijkomende lasten.

[Joolee]

Een hacker op niveau dat hij zero days kan vinden zal niet snel tevreden hoeven zijn met een flutsalarisje van de Pakistaanse of Indiaanse overheid. Die weet zelf ook wel dat er veel meer te verdienen valt als hij zijn werk privaat uitvoert. Ik denk dat écht goede Hackers die voor een habbekrats voor de overheid willen werken in de meeste landen bijzonder lastig te vinden zijn.

[Joolee]

De Iraanse uranium verrijkingscentrales waren ook airgapped toen ze in 2010 werden geïnfecteerd met het Stuxnet virus.

[nickelz]

Helaas is de zogenaamde "Air Gap" niet dé oplossing voor dit soort dingen.. Er is genoeg te vinden over de wel befaamde "Air Gap" die veel bedrijven als een "oplossing" zien en alsnog diep in de nesten kom te zitten..

[joo5ty]

De overheid zou moeten stimuleren om hackers hun systemen te testen en er prijzen aanhangen, zoals de grote IT bedrijven het ook doen?

[DigitalExorcist]

Zolang we reporters gewoon op legerbasissen rond kunnen laten lopen terwijl er nota bene 2 man bij de poorten moeten staan, kun je daar wel gevoeglijk van uit gaan ja.....

[stijn12]

Ik ben bang dat je gelijk hebt. IT en overheid zijn geen goede combinatie is in het verleden gebleken waarom zou dit anders zijn bij defensie. Je kan immers s ochtends ook zo met je auto op het terrein

[Auredium]

Dit was al langer bekend. Spear Fishing is ook enorm toegenomen en vaak wordt ook gebruik gemaakt van reeds verkregen gegevens of inbraken in bijvoorbeeld mailboxen (zakelijk of prive)
Alhoewel het nu gaat over niet-westerse overheden is dit ook het soort reden waarom ik het artikel over de Fox-IT van gisteren al aangaf dat de Nederlandse overheid veel meer hierop moet letten.

De overheid en bedrijven moeten goed hun beveiliging en omgang met gegevens in de gaten houden. Terwijl ze in de VS juist encryptie willen slopen zouden wij juist encryptie moeten toejuichen bijvoorbeeld. De gevaren van buitenstaanders zoals andere overheden (bijvoorbeeld de VS of China) is veel groter dan de gewone burger of de potentiele terrorist. Men zou zich juist op grote dreigingen zoals andere overheden en bedrijven moeten richten.

Ik denk dat dit ook de crux is; terwijl de overheden vaak een crackdown willen ddoen op hun eigen burgers wat vaak ten koste van privacy en encryptie gaat moet er eigenlijk gefocust worden op de beveiliging van overheid en bedrijven wat juist sterkere encryptie en beveiliging nodig heeft.

[Rudie_V]

Koppel je belangrijke systemen fysiek los van het internet? Maakt sommige dingen iets lastiger, maar wel veiliger.

[Cowamundo]

Dit snap ik dus ook nog steeds niet, waarom zijn er zoveel gevoelige systemen aangesloten op het internet... Als overheid zou het toch gewoon mogelijk moeten zijn een heel netwerk op te zetten dat compleet van het internet is afgesloten en daardoor de kans op hacking minimaal is.
Hierbij een streng portable storage device beleid en met bestandsoverdracht regels zou je al een heel eind moeten komen. Het enige gevaar wat je altijd zal blijven houden zijn de werknemers.
100% beveiliging is onmogelijk en totaal niet realistisch maar zo moeilijk mogelijk maken is altijd een optie, zeker met een dikke portemonnee.

[Verwijderd]

Dat ze willen aftappen begrijp ik wel, ze hebben een best wel beperkt budget. ( 85 miljoen in 2014, en het zal er niet meer op zijn geworden). Dus hoe makkelijker ze aan data kunnen komen, hoe minder ze hoeven uit te geven.

Overigens snap ik niet wat ze willen doen bij Buza, zo spectaculair zijn onze militaire ambities niet meer lijkt mij. En Scada systemen bij BUZA ? Het lijkt me eerder logisch dat ze bij een ASML proberen binnen te komen om techniek te stelen.

[Verwijderd]

Bwa, voor ASML moet je hooguit een contractor binnenkrijgen die toegang tot de clearcase krijgt voor de digitale (source code) gegevens. Dat zal waarschijnlijk toch een monorepo zijn zodat je veel te veel source code nodig hebt om wat dan ook te compilen. Da's vaak zo bij grote bedrijven. De moeilijke dingen bij ASML hebben vermoedelijk meer te maken met materialen, configuratie parameters, hardware, gebouwen die stabiel moeten staan, procedures, etc.

[Raindeer]

Soms vraag ik me dan af of de IVDs ook valse informatie introduceren in deze systemen. Om de aanvaller te stangen, alle info in discrediet te brengen en te achterhalen wie informatie tegen je wil gebruiken. BV dat we een nieuwe F-16 hebben die Mach 5 kan vliegen, Rutte met zijn nieuwe vriendin en de beveiliging van de te bouwen waterkracht centrale bij Lobith. (maar dan misschien iets subtieler)

[Khrome]

Mijn eerste reactie was "Is dit nou echt nieuws, dan wel een verrassing voor de MIVD?"

Wat me dan inviel is dat ze het gaan spinnen zodat het 'opeens een nieuw probleem is' waardoor we natuurlijk weer strengere wetgeving moeten invoeren etc.

[robvanwijk]

De dienst benadrukt dat de bevoegdheid tot het onderscheppen van kabelgebonden communicatie, die is opgenomen in de nieuwe Wiv, een belangrijke toevoeging vormt.

En waarom precies dan? Als de MIVD vindt dat bedrijf X mogelijk een interessant doelwit is dat bescherming waard is dan kunnen ze toch gewoon aan bedrijf X vragen of ze met hun verkeer mogen meeluisteren? Als ze daarvoor toestemming geven dan kan de MIVD tappen zonder die nieuwe WIV nodig te hebben.

[Verwijderd]

Niet verwonderlijk dat ze meer geld en meer mogelijkheden willen krijgen en nu dus op deze manier proberen er draagvlak voor te krijgen. Alleen schiet deze 'fear mongering' een beetje het doel voorbij want de laatste berichten over de MIVD waren niet vleiend over hun interne problemen. Dan is het zaak om maar eens aan te tonen dat je als organisatie je taken zo goed mogelijk uitvoert en laat zien waarom de extra maatregelen echt nodig zijn zonder dit soort bangmakerij.

[Verwijderd]

De Militaire Inlichtingen- en Veiligheidsdienst meldt in zijn jaarverslag dat er wekelijks pogingen van digitale spionage tegen Nederlandse belangen worden vastgesteld. De belangrijkste doelwitten zijn Buitenlandse Zaken en Defensie.

Oftewel, we moeten meer investeren in beveiliging. Ik vraag me af wat er zou gebeuren als we automatisering "met mate" toepassen. Bijvoorbeeld: zaken die niet noodzakelijkerwijs met internet verbonden hoeven te worden, gewoon offline gebruiken. Waarom zou, bij wijze van spreken, een dienstauto digitaal van achter een bureau benaderbaar moeten zijn? Is het noodzakelijk dat de dealer van de dienstauto alles op afstand in de gaten houdt om "de hoogst mogelijke service" te kunnen verlenen? Datgene wat niet op internet aangesloten is, kan ook niet vanuit een kelder in China worden gehackt. Is slechts een illustratief voorbeeld.