AIVD: Russische hackers hebben het via Signal en WhatsApp op overheid NL gemunt

Russische staatshackers proberen over de hele wereld toegang te krijgen tot accounts van belangrijke personen, bijvoorbeeld militairen en ambtenaren. De hackers doen dit door zich te richten op Signal- en WhatsApp-accounts. Ook Nederlandse overheidswerknemers waren hiervan het doelwit.

Bron: NurPhoto/Getty Images

Volgens de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) proberen Russische hackers vooral Signal-accounts over te nemen. Hiervoor moeten zij verificatiecodes van gebruikers ontfutselen, wat bijvoorbeeld met zogenaamde supportchatbots gebeurt. Deze accounts sturen doelwitten gericht een bericht en proberen via deze socialengineeringtruc de codes van slachtoffers te stelen.

Die codes kunnen worden gebruikt om accounts over te nemen. Dat zei de AIVD enkele weken geleden ook al, maar toen was nog niet duidelijk om welke chatdiensten het ging en dat het om een wereldwijd fenomeen ging.

Stiekem apparaten of accounts koppelen

Ook zouden de criminelen proberen om apparaten te koppelen aan bestaande Signal- en WhatsApp-accounts. Op deze manier hebben slachtoffers volgens de AIVD vaak niet door dat er mensen met hun berichten kunnen meelezen. De inlichtingendienst schrijft: "De Russische hackers hebben met deze campagne waarschijnlijk de beschikking gekregen over gevoelige informatie."

Daarnaast waarschuwt de organisatie in het document Cyberadvies voor valse QR-codes, waarbij externe accounts aan groepsgesprekken kunnen worden toegevoegd. De AIVD raadt gebruikers aan om waakzaam te zijn voor leden van groepsgesprekken die ze niet herkennen. Ook kopiëren criminelen soms bestaande accounts om niet op te vallen. Als een persoon dubbel in een groepschat lijkt te zitten, zou dit op een kwaadwillende kunnen wijzen.

Gerichte aanvallen, vooral via Signal

Het is volgens de AIVD opvallend dat de hackers geen gebruikmaken van exploits of andere kwetsbaarheden in Signal en WhatsApp. "In plaats daarvan maken de aanvallers misbruik van legitieme beveiligingsfuncties van de applicaties."

Vooral Signal zou het doelwit van de Russen zijn. Die chatdienst staat bekend als een veilig alternatief voor WhatsApp. De dienst biedt onder meer standaard end-to-endencryptie, overigens net zoals WhatsApp. De inlichtingendienst waarschuwt dat de chatdiensten ondanks de versleuteloptie van berichten niet bedoeld zijn voor communicatie over gevoelige informatie.

Bron: AIVD

Reacties (134)

[jmb66]

Verbazingwekkend dat ogenschijnlijk zeer belangrijke ambtenaren gebruik mogen maken van whatsapp en Signal voor gevoelige informatie.

Wat kost het de overheid om een eigen PGP-app te ontwikkelen?

Ambtenaren die het over koetjes en kalfjes hebben, kunnen dat gewoon doen op WhatsApp of Signal, maar geheime informatie dat doe je in een eigen beveiligde omgeving.

[Boxman]

Waarom is het verbazingwekkend? Die diensten zijn gewoon veilig. Ik weet niet of je het bericht gelezen hebt, maar het zijn de gebruikers zelf die de mist in gaan. Er is geen enkele communicatiedienst opgewassen tegen gebruikers die vrijwillig hun beveiligingscodes afstaan als gevolg van social engineering.

[MindBender]

Waarom is het verbazingwekkend?

Omdat het belangrijke informatie die de overheid toebehoort uitlevert aan derde partijen. Als het niet om spionage gaat, dan toch ten minste om verantwoordelijkheid. Alles wat een ambtenaar beroepsmatig communiceert, moet worden vastgelegd, zodat er achteraf onderzoek gedaan kan worden naar wie wat wanneer gezegd heeft as er zaken fout zijn gaan.
Als je dat niet doet, schep je de mogelijkheid dat ambtenaren en politici (ik kijk naar jullie, Mark R. en Ursula von der L.) mogelijk belastend bewijsmateriaal van hun telefoons wissen.

[Boxman]

[...]

Omdat het belangrijke informatie die de overheid toebehoort uitlevert aan derde partijen. Als het niet om spionage gaat, dan toch ten minste om verantwoordelijkheid.

Maar laten we eerlijk zijn, dat is gewoon niet zo. Als je je enigszins verdiept in het protocol, snap je dat er géén belangrijke informatie bij Signal gestald wordt. Ze kunnen er niet bij, het is versleuteld. Versleuteld is het geen 'informatie' meer.

[bazs2000]

Het wordt niet voor gevoelige informatie gebruikt. Daar zijn andere systemen/applicaties voor.
Edit: Toevoeging, de Jan en Annies van deze wereld krijgen, wanneer blijkt dat zij dit doen, daar echt wel iets van te horen. Het delen van gevoelige informatie via een medium dat daar niet voor is aangewezen is een doodzonde. Er zijn niet veel mensen die bereid zijn om dat risico te nemen en er wordt actief op gestuurd.

Wie dat dan toch doet, tja. De leidinggevende wil graag met deze mensen in gesprek.

[Reactie gewijzigd door bazs2000 op 9 maart 2026 12:06]

[jmb66]

In de melding van AIVD en MIVD wordt gesuggereerd dat het soms wel gevoelige informatie kan bevatten. Dit is ernstig. Voorkomen is beter dan genezen, wat heb je aan een achteraf gesprek met een leidinggevende? Ik maak me oprecht zorgen om deze manier van werken onder de ambtenaren.

[bazs2000]

Er is veel aandacht voor, geloof mij. Als ik alleen al kijk naar UWV dan wordt daar veel aan bewustwording gedaan en de regels rondom do's en dont's komen vaak voorbij op de startpagina van het intranet. En deze startpagina zie je elke keer wanneer je de browser opent.

Wie dit dan toch doet, doet dit moedwillig en neemt een risico. Er zijn niet veel ambtenaren te vinden die dat risico voor lief nemen wetende wat de gevolgen kunnen zijn. Het is echt geen manier van werken, dit is een uitzondering.

Vind ik erg jammer, maarja. Dat heb je wel vaker met rotte appels, die gaan soepeler om met regels. Jij en ik zouden het niet doen bijvoorbeeld.

[Bedge85]

Is het mogelijk dat de berichten die jij benoemt veel terugkomt op plekken waar voornamelijk normale werknemers er mee worden geconfronteerd. En het (hogere) management niet? Management kan bijvoorbeeld in een (email) bubbel leven en veel zaken uitbesteden waardoor ze wellicht nauwelijks zelf op het intranet komen.

[jmb66]

Ik heb ooit twee jaar gewerkt aan een project op het ministerie van SZW, maar de meeste medewerkers, begrijpen wat in het eigen discipline speelt. Maar van IT hebben ze geen kaas gegeten. Fijn dat het bij het UWV nu wel goed geregeld is. Tien jaar geleden was dat toch echt heel anders, maar dat was toen. Jullie hebben nu de zaakjes op orde, dan is geruststellend.

[bazs2000]

Zaakjes op orde is misschien wat veel. Het is echter een onderwerp dat de laatste jaren steeds vaker aandacht krijgt. Tegenwoordig heeft vrijwel iedere medewerker dan ook een zakelijke mobiel waar dit voorheen bij een functie moest horen. Communicatie is daardoor veel meer in eigen beheer gekomen waardoor er beter op kan worden gestuurd.

De gemiddelde medewerker weet nog steeds niet veel van IT hoor.

[xxs]

Je hoeft geen verstand van IT te hebben je moet gewoon de richtlijnen van je werkgever volgen. Ik heb ook geen verstand van poep maar als ze tegen mij zeggen dat het stinkt en onder je schoenen blijft plakken dan ga ik daar gewoon niet in staan.

[MalamuteOC]

UWV en 'zaakjes op orde' dat is een groot verschil.
Het is meer zo, dat het UWV een paar dikke boetes tegemoet kan zien, of gezien heeft.

Omdat ze hun IT Infra niet op orde hadden/hebben met alle gevolgen van dien.
Als er maar genoeg 'hoge' pieten op de slachtbank terechtkomen, zonder dikke ontslagvergoeding.

Gewoon bureau schoonvegen, alle laatjes leeg maken, geen gedag tegen collega's en gewoon wegwezen (zoals vroegah bij TATA/Corus Ijmuiden)
Dan worden er langzaam maar zeker wel mensen wakker.

Het is vandaag de dag een (stuk) beter geregelde boel bij het UWV als 10-15 jaar geleden.
Als er nou ook nog een boel andere overheidsinstanties en dikke bedrijven met dezelfde bezem methode worden 'schoongeveegd'

Zal het gehele IT gebeuren in NL eindelijk eens echt veranderen en doorpakken.
Geen mits en maar en boe en bah... spulletjes niet op orde? 3-6 maanden voor significante verandering.
Nogsteeds niks gedaan? hier is boete nr. 1

Na boete nummer 1 nogsteeds niks gebeurd? verdubbeling van boete 1.
Daarna nog niks gedaan? bezem door het management, spulletjes pakken en wieberen.

[pdidi]

Ik vraag me echt af of er sinds 2020 veel is veranderd.
Rekenkamer: thuiswerkende ambtenaren communiceren vaak via onveilige tools
Merendeel bewindspersonen gebruikt privémail en WhatsApp voor werk

[rob12424]

Assumption is the mother of all fuck ups.

Het gebeurt maar al te vaak dat iemand gemakzuchtig is of toch een fout maakt/afhankelijkheid heeft.

Er vanuit gaan dat de leiding er van af weet is er ook zo eentje.

De DJI is pas ook al gehacked.

Aan de andere kant. Dat je info hebt. Wil nog niet zeggen dat die info klopt.

Zo heeft een Spaanse Spion Garbo er voor de Duitsers een behoorlijke bende van gemaakt tijdens de tweede wereldoorlog.

[jazzozo]

Die is er bij bepaalde diensten wel. Alleen werken bij diensten ook Jan en Annie’s die Whatsapp/Signal “makkelijker” vinden, want dat kennen ze van hun privé telefoon.

[William_H]

Zo werkt het dus niet bij de overheid en belangrijke functies. Jan en Annie's moeten ook gewoon conformeren aan het kantoorbeleid aangaande IT. Dus als er niet met Whatsapp gewerkt mag worden, wordt er ook niet met Whatsapp gewerkt. Meestal hebben deze mensen ook gewoon een werktelefoon en dan kan je prima apps verbieden. Als daar Whatsapp onder valt, dan kan je die gewoon niet gebruiken.
Jan en Annie hebben zich dus gewoon aan te passen en geen inspraak in welke middelen er gebruikt worden of wat zij kennen of "prettiger" vinden.

[RobbieT]

Dat is de theorie.

Hoe zat het ook alweer met Mark Rutte die via SMS op een oude Nokia communiceerde en (tegen de regels in) zelf bepaalde welke berichten er bewaard werden en welke niet?

Onder het mom van ruimtegebrek.

Als iemand zo hoog in de boom zich al niks aantrekt van de regels, verwacht je dan dat het lager in de organisatie wel allemaal goed gaat?

Het lekken van informatie in de zaak Khadija Arib waar informatie naar privé adressen is verstuurd om het daarna met journalisten te delen?

Het komt op mij nogal naief over om te denken dat de overheid en haar medewerkers zich altijd aan de eigen regels houden.

[lecrab]

ik heb jarenlang als consultant binnen de rijksoverheid gewerkt in diverse rollen. Ik was de enige die zich netjes aan het beleid hield (signal voor werk, whatsapp voor niet werkgerelateerd). De rest gebruikte gewoon whatsapp, want dat is makkelijker. De bankenwereld was niet anders, tien jaar terug, daar was ook beleid, en mensen lappen het simpelweg aan de laars. Volkomen kansloos, tenzij dit beleid echt hard uitgevoerd en gemonitord wordt.

[William_H]

Wat ik schrijf is toch ook hard uitvoering geven aan het beleid?! Je staat gewoon niet toe dat Whatsapp geinstalleerd kan worden via de app store middels je MDM.
Veel plezier met je niet aan de regels houden.
En BYOD is gewoon ook niet van toepassing. Dus die route kan ook niet.

[Huppol]

Daar hebben mensen een hele simpele oplossing voor: hier heb je mijn privénummer, stuur maar een Whatsappje dat is makkelijker!

[William_H]

Tsja, als je dat doet en het komt uit kan dat dus heel simpel direct spullen pakken zijn.
Hadden we overigens ook meteen met Rutte moeten doen.

[lecrab]

Oh zo bedoelde ik het niet hoor. En idd, het kan prima door te blokkeren. En dat is denk ik de beste optie.

[Vaevictis_]

Precies dit. Er zijn genoeg digibeten of bobos die denken ik bepaal het zelf wel.

[RayMort]

In theorie werkt het inderdaad zo, maar in de praktijk vaak niet. Ik werk zelf niet bij de overheid, maar wel op de ICT‑afdeling van een middelgroot bedrijf met behoorlijk strikte regels over welke apparaten en software gebruikt mogen worden. Toch zijn er altijd mensen die blijven communiceren via hun privé‑email of telefoon omdat dat is wat ze kennen. Ook zijn er altijd medewerkers die bijvoorbeeld vinden dat ze met hun privé‑laptop gewoon in de werkomgeving moeten kunnen.

Officieel mag dat allemaal natuurlijk niet, maar er wordt vaak niet moeilijk over gedaan omdat men denkt dat het geen kwaad kan. In 99% van de gevallen zal dat ook wel kloppen (zeker bij een bedrijf dat geen bijzonder interessant doelwit is), maar het laat wel zien hoe veel mensen over dit soort security‑issues denken ondanks dat de regels duidelijk zijn.

[protected22]

Dit herken ik ook van mijn ICTafdeling. Zoveel strakke regels maar gebruikers doen alsnog wat zij zelf willen. Bijvoorbeeld door een prive-laptop te gebruiken ipv werklaptop "vanwege dat ze die al gewend zijn of de werklaptop niet mooi vinden", waarvan ik die tweede reden echt gewoon dom vind. En vaak betrappen we mensen er op dat ze hun wachtwoord gewoon op papier ergens geschreven hadden, desondanks dat we altijd melden dat dit totaal niet toegestaan is. Zelfs recent nog iemand die dat deed en later (dezelfde dag nog) zijn werktas kwijt was geraakt incl de papiertjes waar zijn volledige login op geschreven stond, die was meteen op staande voet ontslagen door HR omdat hij het ook pas veel later aan het bedrijf gemeld had.

[Reactie gewijzigd door protected22 op 9 maart 2026 13:29]

[uiltje]

Ik probeer het gebruik van eigen devices zelf zo veel mogelijk te beperken. Maar ik heb regelmatig te maken gehad met devices die echt niet geschikt waren, bijvoorbeeld voor onderweg. Zo heb ik een workstation Xeon laptop gehad die niet te tillen was en ik moest regelmatig naar het buitenland met OV / vliegtuig. En daarvoor had ik eens een gebruikte HP laptop voor de afdeling terwijl ik standaardisatie deed. Ik durfde er niet eens mee op te dagen, laat staan dat ik die stofzuiger aan durfde te zetten in de meetings. Op mijn werk computer staat dan ook nog eens vaak code die ik niet nodig heb bij die meetings. Er zijn dus redelijk veel redenen om soms een eigen apparaat te gebruiken.

Zolang ICT afdelingen het vervangen van paswords blijven vereisen en bedrijven geen bedrijfstelefoons leveren of password managers vereisen blijft het probleem van de papiertjes ook bestaan.

[protected22]

Ja dat kan ik begrijpen. Bij mijn werk zijn password managers toegstaan, zelfs aangeraden. Maar helaas gebruikt veel nog steeds papier omdat ze niet weten hoe deze password managers werken of niet naar uitleg luisteren.

[William_H]

Privélaptop kun je gewoon niet toestaan op je interne netwerk. Of omgekeerd. Alleen bedrijfslaptops toestaan op je netwerk. De rest krijgt geen toegang. Verbinding maken met interne systemen via gastnetwerken (ook gezien in het bedrijfsleven, direct toegang uitgezet toen ik daar achter kwam) kun je ook prima blokkeren.
Dus ik zie geen rede om dit te voorkomen.

[Bad_Boy]

Nou ik werk voor een van de grote overheid instanties en ik kan je vertellen dat juist de mensen op de "belangrijke functies" vaak de eerste mensen zijn die eisen dat het kantoor beleid wat voor het "gepeupel" geld vooral niet voor hun moet gelden want dat is zo vervelend en werkt zo vertragend. En dan kun je hoog en laag springen en voet bij stuk houden als IT medewerker maar dan word je vroeg of laat gewoon overruled.

[jazzozo]

In een ideale wereld…

Helaas is mijn ervaring toch anders.

[William_H]

Binnen de overheid of het bedrijfsleven?

[jmb66]

Maar Jan en Annie hebben wel een belangrijke positie. Dit is best wel ernstig. Hoogwaardigheidsbekleders, hoge ambtenaren, militairen, blijken allemaal een Jan en Annie te zijn. Ik maak me serieus zorgen.

[rud]

Er waren toch ook mensen die via SMS communiceerden?

[Streamert]

Bijzonder dat Signal en Whatsapp hier op een hoop gegooid worden. Daarnaast, wie zegt dat het ontwikkelen van een PGP-app veiliger is? Überhaupt denk ik dat de veiligheid van deze app voor een groot deel door de gebruiker zelf bepaald wordt.

[Noxious]

Bijzonder dat Signal en Whatsapp hier op een hoop gegooid worden.

Dat valt wel mee denk ik; ze gebruiken tenslotte technisch hetzelfde protocol, en hebben beide E2EE. De apps zelf zijn niet per definitie onveilig; maar de gebruiker wordt om de tuin geleid d.m.v. social engineering/phishing.

[Uchy]

Dat zou dan lastiger zijn met een beheerde tool waarbij de verificatie van de andere gebruiker wat zekerder is.
Ik probeer de laatste tijd mijn signal contacten te verifiëren, zodat ik dat in ieder geval zeker(der) weet. Maar mensen die hun verificatiecodes opgeven... tja, jemig.
Met beheerde tools kan dat ook, behalve als die alleen mogen draaien op een door de werkgever erkende machine.

[xxs]

Verificatie hoor je eigenlijk F2F te doen.

[Noxious]

Yes, ik heb voor een klant in het verleden gewerkt aan een chat app waarbij je enkel contacten kon toevoegen door F2F te meeten waar de toestellen keys uitwisselen. Leuk concept maar voor de meeste mensen toch te onpraktisch.

Het probleem met phishing natuurlijk is dat mensen prima vertrouwd kunnen zijn, maar als hun account is overgenomen / een device toegevoegd, dan heb je niets meer aan die vertrouwde status.

[xxs]

Vandaar dat Signal een notificatie geeft als de andere partij Signal op een nieuw device gebruikt.

[Uchy]

indeed. En @verificatie, dat klopt idd. Of evt via een videobel gesprek oid. Als je dan wel zeker bent dat je de ander aan de foon hebt

[Commendatore]

Veel mensen hebben verbazend veel moeite met bedenken wat wel in zo'n chat thuis hoort en wat niet. Verschillende chatdiensten door elkaar heen gebruiken is dus altijd een risico.

[DwarV]

Wie bepaalt trouwens welke gesprekken koetjes of kalfjes zijn? Zou je dat willen overlaten aan je werknemers?

Ik zou stellen dat zelfs koetjes en kalfjespraat geen goed idee zijn om over deze apps te doen, gezien de steeds toenemende mate van social engineering doe wordt toegepast om toegang tot bedrijfs/overheidsnetwerken te verkrijgen.

De andere kant is natuurlijk dat het ambtenarenapparaat gigantisch is en dat het meerendeel van de communicatie niet staatsgeheim is. Ik kan me voorstellen dat het moeilijk is in die omgeving om een balans te vinden tussen veiligheid en gemak.

[Zerokuni]

Ik vind het ook verbazingwekkend. Dit komt door het spanningsveld tussen de business (gebruikersgemak) en de IT (security, privacy, informatiebeheer en architectuur). De IT bij ons is duidelijk: WhatsApp en Signal hebben we niet in beheer en mag daarom niet gebruikt worden voor werk communicatie. Maar het mag prima gebruikt worden voor niet-gevoelige informatie zoals “12:00 lunchen?” of “waar zitten we straks”. Echter is het moeilijk om dit goed duidelijk te krijgen bij medewerkers. Op elke afdeling loopt wel iemand rond die IT-vaardig is en dan bijvoorbeeld verkondigd dat Signal super veilig is, want laatst gezien op Nieuwsuur. Iedereen op die afdeling volgt dat dan…

Vanuit de IT moet hier duidelijker op gewezen worden. Maar dat kost tijd, terwijl real overbezetting is. Het kost medewerking van de business, maar dit is voor hen bijzaak.

Uiteindelijk dekt elke afdeling zichzelf in, door werkzaamheden af te kaderen: “dit hoort niet bij ons”.

Het kan allemaal veel beter…

[Reptile209]

Ook dat soort 'onschuldige' gesprekken kunnen onbedoeld informatie vrijgeven denk ik. Stel dat je meeleest in een WA-gesprek met (willekeurig voorbeeld) een groep hooggeplaatste mensen van het ministerie van Defensie Oorlog. En dan roept er iemand iets als "Niet vergeten, we komen over 30 min bij elkaar in de crisisruimte". Dan kan je er donder op zeggen dat er 'iets' staat te gebeuren, waardoor je de mee-lezers toch al weer meer informatie geeft. Of alleen al de samenstelling, namen en nummers, van de leden van de groep: daarmee kan je ook weer gerichter gaan (spear-)phishen om je netwerk verder uit te breiden.

[Zerokuni]

Helemaal mee eens. Wij zijn een gemeente. Dus de gevoeligheid van “we zitten in ruimte x” is laag als je daar een iets gaat bespreken rondom de WMO. En we whatsapp kan alleen als webversie benaderd worden. Zouden we natuurlijk ook kunnen blokkeren. Maar ergens wil je medewerkers ook vertrouwen geven.

Momenteel gebruiken we (officieel) Teams voor interne communicatie. Maar de strategie is wel om weg te bewegen van Amerikaanse diensten.

[locke960]

Maar het mag prima gebruikt worden voor niet-gevoelige informatie zoals “12:00 lunchen?” of “waar zitten we straks”.

Niet-gevoelig is heel erg context afhankelijk en voor een leek bijna niet in te schatten. Ik vermoed bijvoorbeeld dat Iraanse generaals dit op dit moment als heel gevoelige informatie zien.

Maar ook hoge ambtenaren die afspreken waar ze gaan lunchen kan gevoelig zijn. Met die informatie kan een tegenstander een agent of afluisterapparaat plaatsen, voor het geval de 'shoptalk' interessante informatie oplevert.

Goede opsec vereist een semi-paranoide instelling, die de meeste mensen niet hebben, en keiharde, duidelijke regels.

[jmb66]

Helemaal waar wat je schrijft.

Wij van de IT kunnen er wel duidelijker op gaan wijzen, maar de complete bedrijfscultuur zou dan moeten veranderen. Wanneer ik er over nadenk, ben ik bang dat we dit niet kunnen oplossen. Of je moet een angstcultuur gaan scheppen binnen de organisatie voor het gebruik van devices en apps. Medewerkers het gevoel laten beleven dat in beide hoeken van de kantoorruimte een hongerige python zit, maar dan voor het gebruik van devices. Dit is een ingewikkelde uitdaging.

[hamsteg]

Dat ze er gebruik van maken voor communicatie, dat snap ik nog maar delen van bestanden? Daarvoor is toch al een eigen systeem??

[FrostyPeet]

Scenario

Manager: beste secretaresse mijn pc doet beetje raar, kan jij even de notulen doorsturen via WA/Signal/WeChat/Viber/Kik?

Secretaresse: natuurlijk beste manager. Zie de bijlage. Wat vervelend dat je pc raar doet, heb je al contact gehad met IT?

[hamsteg]

Idd, schoolvoorbeeld van by-passen van je security.

Beleidsmatig zou dit niet mogen en de enige juiste reactie zou zijn om de manager naar IT door te sturen.

[FrostyPeet]

Veel ambtenaren zijn behulpzame collega's die geen gedoe willen met managers, want kan schadelijk zijn voor carrière. Helemaal als die er tijdelijk werkt of een "inhuur" is, ik kan het mij wel voorstellen dat het zo kan werken.

[Schway]

Wat kost het de overheid om een eigen PGP-app te ontwikkelen?

Het is overheid he, je kan er donder op zeggen dat als ze zelf één gaan ontwikkelen er hier mensen lopen de zeiken waarom ze zelf 1 moeten ontwikkelen. en dat het miljoenen kost.

De overheid kan het in de ogen van de gemiddelde commenter niet goed doen. Damned if you do, damned if you don't.

[wallywally]

Beetje hetzeflde idee als dat epstein en hilary gmail gebruikten voor overheids info. Nu lijkt dit vaak gek, maar zo gek is dat niet. Ten eerste is het human psychology, dat de weg van de minste weerstand de voorkeur krijgt. "Even snel dit", "Even snel dat", en dat verandert zeer snel in "ah, t gaat altijd goed, dus doe ik het altijd wel zo".

Aan de andere kant; het is nog niet eens zo gek; want het is hidden in plain sight, en als mensen al ergens niet zoeken naar zware informatie, is het wel in plain sight.

Verder mee eens dat dit niet zou moeten kunnen, maar je kunt psyche niet niet de mens toveren. Als dat wel zo was, was de staat van de aarde nu ook behoorlijk wat beter dan wat het op t moment is. Er speelt maar 1 probleem wereldwijd, Ego heet het.

Politieke kanten doen er niet toe. Ideologien doen er niet toe. Sterke/zwakke systemen doen er niet toe. Zolang de achterliggende factor; Ego is, en dus egoic desire (individueel gewin) op 1 staat, blijft het wat het is; 1 grote bende.

Gemak dient de mens, overal, niet enkel bij "onofficiele" instanties.

[dmantione]

Ter verdediging van de overheid: Whatsapp is eind-tot-eind versleuteld en daarmee niet de meest risicovolle applicatie. Het is nog steeds niet veilig voor staatszaken, want de Amerikanen kunnen stiekem een speciale update voor jou uitrollen die wél aftapbaar is, maar er wordt in Den Haag software gebruikt die héél veel risicovoller is, dus ik zou bij het veiliger maken van de overheid niet bij Whatsapp beginnen.

[Shal-Ziar]

Ik snap de reactie, maar wat is er inherent mis met Signal?
Het is al beleid dat er geen stukken worden gedeeld op Signal, maar kort schakelen met 'he, heb je deze mail gezien, wat vind je van ...'
Er is overigens intern al gewaarschuwd voor dit soort praktijken.

offtopic:
Zou liever zien dat de overheid werk maakt van het overstappen van Microsoft naar Linux dan hier software voor te schrijven.

[magnifor]

Als men een eigen PGP-toepassing ontwikkeld dan probeert men daar toegang tot te krijgen. Het is niet dat een WA/Signal wordt gehackt maar men toegang probeert te krijgen dmv phishing/social engineering.

[PhilipsFan]

De overheid zou dat prima kunnen ontwikkelen, maar daarmee los je het probleem niet op.

Het probleem is gebruikersvriendelijkheid. Want je weet nu al dat zo'n overheidsapp allerlei idiote authenticatiemaatregelen gaat bevatten, waardoor gebruikers het niet meer gebruiken.

Mijn eigen werkgever is een goed voorbeeld. Je kunt je werkmail lezen op je prive telefoon, via zo'n baggerapp van Citrix. Dat werkte wel, maar je moest een 5-cijferige pincode bedenken EN DIE ELKE 3 MAANDEN WIJZIGEN! In vredesnaam, pincodes zijn bedoeld om nooit te wijzigen, daardoor kunnen mensen ze ook onthouden. Een pincode die je elke 3 maanden moet wijzigen is idioot. Wat er dus gebeurde: na 4 maanden wil je een keer die app gebruiken omdat je in de trein je mail even wil bekijken (normaal hoeft dat niet, want je zit immers achter je werkplek) en ja, dan is je pincode verlopen. Kun je de helpdesk bellen en de hele registratieprocedure opnieuw doen. Gevolg: mensen gebruiken gewoon weer Whatsapp.

Het is niet zo simpel als zelf even een app schrijven. Die app moet voldoen aan eisen als toegankelijkheid en moet gebruikersvriendelijk zijn (inclusief het registratieproces) anders gaat niemand het gebruiken.

[YopY]

"mogen" en "doen" zijn verschillende dingen; Rutte mocht bijvoorbeeld ook niet z'n oude Nokia dumbphone gebruiken voor z'n tekstberichten maar dat deed ie wel

[Noresponse]

ik gebruik nog steeds met mijn wereldwijde anti-hackers en cyber security groep BBMe en hebben ook verschillende groepen hierin van Canada, Amerika , Asia , Zuid-Amerika en Europa.


Als je een vergelijkbare app wil gebruiken moet je helaas betalen en dat is Threema, maar niemand wil betalen voor diensten en dat zag je al bij BBM voor consumenten, maar ook voor Threema krijg je niemand mee en dat zijn gewoon keuze's, maar het is rijden zonder veiligheids als je signal gebruikt en je weet hoe het te gebruiken met een vaste groep dan is het aardig veilig.

Als je kijkt naar whatsapp en telegram dan is dat een mindere keuze, maar een keuze op zich en iets wat ik niet aanraad door allerlei grijze gebieden.

[Reactie gewijzigd door Noresponse op 9 maart 2026 13:40]

[danieldk]

Verbazingwekkend dat ogenschijnlijk zeer belangrijke ambtenaren gebruik mogen maken van whatsapp en Signal voor gevoelige informatie.

Wat kost het de overheid om een eigen PGP-app te ontwikkelen?

Nou, ik mag toch hopen van niet! PGP heeft geen forward secrecy en is daarom onbruikbaar voor dit soort toepassingen, als de private key lekt kun je achteraf alle conversaties nog steeds ontsleutelen.

Signal is het probleem niet (Whatsapp overigens wel¹), het is waarschijnlijk momenteel het veiligste systeem om mee te communiceren (en desnoods koppel je het los met een overheidsfork als je niet wilt dat arbitraire personen aan groepen toegevoegd kunnen worden). Dit is een vnl. een gebrek aan alertheid bij gebruikers. Net als gebruikers in phishing trappen, laten ze zich ook verleiden extra apparaten van hackers aan hun Signal-account te koppelen of verkeerde mensen aan groepschats toevoegen.

Te oplossing hiervoor is (1) mensen beter opleiding tegen dit soort social engineering; (2) de UI/UX verbeteren, zodat het waarschijnlijker is mensen social engineering herkennen.

[1] Wat betreft WhatsApp en iMessage, deze zijn wellicht E2E encrypted, maar doen standaard geen E2E encrypted backups (bij WhatsApp moet je dat zelf aanzetten, bij iCloud zijn iCloud backups niet E2E encrypted, tenzij je ADP aan zet). En zelfs als je dat doet, tsja, grote kans dat je gesprekspartners dat niet hebben gedaan. Een paranoïde persoon zou zeggen dat het een opzettelijk PRISM-achtig achterdeurtje is, des te meer omdat Apple en Meta onderdeel waren van PRISM.

[Reactie gewijzigd door danieldk op 9 maart 2026 13:40]

[jmb66]

Ik begrijp je wel, maar je blijft apps gebruiken van derden, die iedereen kan gebruiken. Een gesloten intranet(PGP) app, maakt dit een stuk uitdagender voor derden. Ik begrijp je punt, maar iedereen kan WA, Signal, Telegram gebruiken, dat moet je niet willen gebruiken binnen een belangrijke organisatie als de BV.NL. Hoewel het niet mogelijk is om misbruik te vermijden, kun je het wel uitdagend maken voor de onbevoegden om binnen te komen.

[danieldk]

Als dat het probleem is moet je gewoon Signal forken en niet terug naar berichtencrypto die gestoeld is op thread assessments uit de jaren '90.

[Ids]

Er mag dan ook helemaal geen "geheime" informatie over dit soort systemen verstuurd worden. Alleen unclass is toegestaan.

[jmb66]

Zeker, maar ze doen het wel.

[AnonymousGerbil]

Het komt mij voor dat Russische hackers hun neus ook niet ophalen voor privé communicatie van de betreffende personen.

Weliswaar geen geheime overheidsinformatie, maar wél gevoelig vanuit het oogpunt van die mensen.

[dreadnougt]

Zie: signalgate.

Je kan zo veel beveiligde apps maken als je wilt, de gebruiker moet deze technologie daadwerkelijk ook goed toepassen en de juiste apps hanteren voor de juiste doeleindes.

Plus er wordt hier niet gesuggereerd dat er zeer gevoelige data is gelekt naar Russische hackers, maar dat Russische hackers toegang hebben gekregen tot deze applicaties, met de duidelijke implicatie dat hier wel eens gevoelige data binnen gedeeld kan worden.

[bazs2000]

Bij ons (UWV) is het gebruik van Signal zelfs onderdeel van het beleid sinds ingang van dit jaar. Voorheen gebruikten wij WA maar werd als risico gezien.

Maar bij ons zijn vele gegevens ook via Odido gelekt, wat ons dan ook weer kwetsbaarder maakt.

[Commendatore]

Ik mag wel hopen dat er geen gegevens van clienten via deze diensten worden gedeeld.

[bazs2000]

Nee, daar mag Signal niet voor worden gebruikt. Signal is meer voor communicatie van medewerkers onderling. Denk aan agileteams bijvoorbeeld.

Neemt niet weg dat het fenomeen robocalls al langere tijd schering en inslag is. Dat was via WA maar ook via Signal.

Persoonlijk haat ik dat, je bent voor werk bezig en ondertussen heb je daar nog mee te dealen. Sinds het geintje met Odido is het ook nog eens toegenomen. Ik merk dat zowel privé als zakelijk.

[Bedge85]

Op mijn Samsung had ik echt goede bescherming tegen robocalls, kon daarvoor ergens een optie aanzetten in de dialer-app. Op mijn iPhone is deze bescherming een stuk minder.

Samsung maakt hiervoor wel gebruik van een screening dienst, dus ik denk wel dat er hierdoor wel allerlei gegevens over binnenkomende gesprekken bij die partij komt te liggen. Apple heeft in iOS 26 wel call screening functionaliteit toegevoegd. Maar de wijze waarop de Samsung het doet was gebruiksvriendelijker.

[cptbuttlick]

Hier ook overheid signal is een must sinds januari.

[duckson]

Ik begrijp niet waarom grote bedrijven en overheden überhaupt toestaan dat medewerkers third party chatapps zoals WhatsApp of Signal gebruiken voor hun werk, die niet door hen worden beheerd en waar zij geen contract mee hebben. Vanuit informatiebeveiligingsperspectief lijkt mij dat mega onverantwoord.

Bij mijn bedrijf gebruiken we Slack (Enterprise). Daar zitten alle collega's op. Ik kan ze met gemak bereiken en de Slack app is gebruiksvriendelijk. Persoonlijk wil ik niet eens dat mijn werkcommunicatie via dezelfde app verloopt als ik voor mijn privéleven gebruik. Dat houd ik graag lekker gescheiden.

Ik begrijp ook wel dat iets als MS Teams niet heel gebruiksvriendelijk is, en dat WhatsApp bij iedereen is ingeburgerd. Maar als ICT-afdeling van een groot bedrijf heb je dus geen enkele grip op de informatiestromen. Je kunt niet afdwingen dat medewerkers allemaal 2FA gebruiken, enzovoort.

Communicatie via "instant messaging" is anno 2026 voor bijna alle werkvelden net zo belangrijk (zo niet belangrijker) als e-mail. En daarover zeggen bedrijven ook niet: "maak maar een Hotmail accountje aan of zo, want e-mail voor jou regelen is voor ons te duur en ingewikkeld".

[Reactie gewijzigd door duckson op 9 maart 2026 14:03]

[Uchy]

Wat maakt slack volgens jou veiliger dan signal in deze usecase? Iedereen kan toch ook slack accounts aanmaken? Zit het hem in het openbaar zijn van je telefoonnummer als die op websites wordt gepubliceerd oid? Of in het kunnen verifiëren van degene met wie je kletst?

m.i. is het allemaal afhankelijk van de aanvalsmodel (hacken van berichten en servers is bij signal prima en mogelijk beter dan bij slack, maar social engineeren van contacten is in theorie te doen bij signal en bij slack moeilijker?)

[duckson]

Wat Slack veiliger maakt is dat het een gesloten platform is. Je maakt een Slack groep (of groepen) voor een bedrijf, en alleen medewerkers kunnen daarop inloggen met hun werk SSO account. Daarop kan ook bijv. 2FA worden afgedwongen. Alle data is gehost bij Slack, maar kun je als bedrijf beheren. Je hebt moderatietools. Bij een openbaar platform zoals WhatsApp of Signal heb je simpelweg geen controle over wat jouw medewerkers daarop doen en de (bedrijfsgevoelige) data die ze daar delen.

Mijn bedrijf heeft sinds kort een ISO 27001 certificering voor informatiebeveiliging verkregen. Daarom zit dit allemaal vers in mijn geheugen, en daarom sta ik zo versteld dat grote (commerciële- of overheids)organisaties het gebruik van WhatsApp of Signal gewoon toestaan.

[Uchy]

Helder! Ik vermoedde iets dergelijks, maar het een zinnige concretisering idd.

Ik hoor in dat opzicht ook goede verhalen over Mattermost, maar zit iets minder in die ISO-certificerings-eisen.

[Reactie gewijzigd door Uchy op 10 maart 2026 14:29]

[AvanCade]

Slack en Teams staan ergens anders gehost. In ieder geval teams kun je niet intern hosten dus geef je alle veiligheid uit handen. Signal is dan zo slecht nog niet.

[duckson]

Het is waar dat je Slack en Teams niet kan selfhosten, maar de meeste bedrijven willen dat ook niet. Net zoals ze Microsoft Exchange e-mail vaak ook willen afnemen als clouddienst.

Mijn punt is dat Slack en Teams platformen zijn die zijn ontworpen voor zakelijke communicatie, en dat je als bedrijf hier goede controle over hebt. Je hebt een overeenkomst, en er wordt een dienst geleverd met bepaalde garanties. Als bedrijf kun je beveilingsmaatregelen afdwingen zoals SSO met two-factor auth. Je hebt moderatietools, etcetera. WhatsApp en Signal zijn openbare platformen waar je simpelweg geen grip op hebt. De beveiliging van Signal is heel goed, daar heb ik ook zeker geen kritiek op! Maar zoals ik zeg zijn er meer factoren die van belang zijn voor een bedrijf.

[William_H]

Ik neem aan dat er geen bedrijfsgegevens van medewerkers zijn gelekt, want die zaten niet in het systeem waar de hackers toegang toe hadden bij Odido.

[bazs2000]

Maar wel dat de nummers van UWV zijn. En dat maakt medewerkers van UWV weer wat vatbaarder voor social engeneering.

Edit:
Als ik een nummer heb van UWV en ik zou daar een bericht naar sturen van "Heeey Arie, heb jij voor mij het nummer van 'die en die'? Dan krijg ik een bericht terug dat de ontvanger Arie niet is.

Dan kan ik reageren met een simpele Oeps en van wie dat nummer dan wel is. Vaak krijg je dan gewoon de voor en achternaam van die persoon en eventueel de afdeling. Dit is hoe social engeneering werkt en wordt al vele jaren door scammers met wisselend succes toegepast.

Wij zijn geïnformeerd hierover maar dan nog. Nu zit het vers in het geheugen, maar volgend jaar of over twee jaar wanneer iedereen de hack bij Odido alweer is vergeten? Ik vind dat wel ernstig.

[Reactie gewijzigd door bazs2000 op 9 maart 2026 12:26]

[William_H]

Was het dan mogelijk om de nummerreeksen/alle telefoonnummers van het UWV op te slaan onder het record in Salesforce?

[William_H]

Precies. Bij een veiligheidsregio die ik ken is sinds vorig jaar ook Signal boven Whatsapp gesteld. Alleen personeel van de GGD mogen nog, als dat echt nodig is, met clienten communiceren via Whatsapp Business.
Maar intern wordt er alleen met Signal gewerkt. En dat werkt prima, en is op vele vlakken veiliger dan Whatsapp.

[Il Duce]

Ik snap niet waarom de overheid niet zijn eigen versie van Signal host en gebruikt, waar je dan alleen met devices van de overheid bij kan.

[Kermit123]

Omdat het probleem niet bij Signal zit, maar bij de gebruiker.
Maak een eigen versie en dan wordt die gehackt dmv social engineering

[teek2]

Ja precies dit. Een beter beleid zou zijn te zorgen dat je niets meer kunt lekken (en vanuit gaande dat je een keer wordt "gehacked" of beter ge-social-engineered), bijv met verdwijnende berichten. Of Signal zou iets kunnen bieden waar je sommige gesprekken "pinned" aan 1 apparaat (dus nog eens encrypten met een apparaat-specifieke private key), bijvoorbeeld.

[Reactie gewijzigd door teek2 op 9 maart 2026 12:08]

[Il Duce]

Een eigen versie van Signal (of threema bv) die alleen werkt op managed devices van de overheid, en bv achter een vpn zit, lijkt mij iig moeilijker te kraken dan een "gewone" Signal

[danieldk]

Het probleem zit inderdaad bij de gebruiker, maar met een overheidsfork zou je het toevoegen van gebruikers aan groepen en communicatie tussen gebruikers kunnen beperken tot overheidsnummers. Ook zou je in kunnen bouwen dat alleen apparaten van de overheid (laptops & iPads) gekoppeld kunnen worden aan een account.

Een soort Signal Enterprise zeg maar .

[chantalcoolsma]

AIVD: "Signal staat bekend als een betrouwbaar en onafhankelijk communicatiemiddel en biedt de optie om end-to-end encrypted berichten te versturen."

Dit is geen optie. Dit is standaard.

[vlaaing peerd]

Semantisch gezien houdt het stand omdat het niet expliciet benadrukt wat optioneel is. Je hebt namelijk ook de optie om niet een bericht te versturen met Signal.

[Vink Mooi]

Interessant en zorgwekkend bericht. Belangrijk om te benadrukken wat de AIVD zelf zegt: het gaat hier niet om een kwetsbaarheid in Signal of WhatsApp zelf, maar om gerichte credential-stealing technieken. Dat maakt het anders dan veel mensen denken.

De implicaties zijn wel serieus:

Topambtenaren en militairen waren doelwit

De aanval duurde waarschijnlijk maanden

Het gaat om georganiseerde staatsactoren

Dit onderstreept hoe belangrijk end-to-end encryptie blijft, maar ook dat de zwakste schakel vaak het menselijke element is. Twee-factor authenticatie, wachtwoordbeheer en security awareness training worden nog belangrijker.

Voor de meeste gebruikers is dit geen reden om paniek te slaan, maar voor organisaties met gevoelige informatie is dit een duidelijke wake-up call. Interessant om te zien welke maatregelen de Nederlandse overheid nu neemt.

[Bomb-el]

Je noemt in je laatste zin het woord interessant. ik vind het vooral zorgwekkend dat inlichtingendiensten dit weten en er blijkbaar niks aan kunnen doen. Of althans die indruk wekken. Het kan toch niet waar zijn dat deze manier van cyberoorlog voeren maar 1 kant op werkt? Misschien is dat ook niet zo, maar de berichtgevingen omtrent hacks lijken dit wel structureel te suggereren. Hoe beroerd is de westerse cyber intelligentie of paraatheid inmiddels wel niet tov vijandige entiteiten? Het lijkt wel of we ergens een boot gemist hebben en we constant achter de feiten aanlopen en alleen maar reactief bezig zijn. Dit was 20 jaar geleden ondenkbaar waarin het westen op oorlogsgebied met name informatievoorziening op alle fronten superieur was. De mossad is daarin overigens een uitzondering schat ik zo in.

Nu is het: "Jongens, weer een hack, balen zeg, niks aan te doen, behalve beter blijven opletten"

Enorm geruststellend voor de toekomst van onze kinderen.

[Vink Mooi]

Goede en terechte zorgen die je aansnijdt. Je raakt hier een complex punt dat vaak onderbelicht blijft in de publieke discussie.

Wat ik begrijp van je punt: Je maakt je zorgen over de schijnbare passiviteit van inlichtingendiensten en de vraag of het westen zijn voorsprong op cybergebied heeft verloren. Dat is een legitieme vraag.

Enkele nuances die ik wil toevoegen:

Transparantie vs. operational security: Inlichtingendiensten delen per definitie niet alles wat ze weten of doen. Het kan zijn dat er meer gebeurt dan zichtbaar is in de media.

Asymmetrische oorlogsvoering: Cyberoorlogvoering werkt nu eenmaal anders dan conventionele oorlog. Kleine groepen kunnen disproportioneel veel schade aanrichten, ongeacht de verdediging.

Offensief vs. defensief: Er is waarschijnlijk wel degelijk actief verdedigend en offensief werk gaande, maar dat wordt niet publiekelijk gedeeld.

De realiteit van moderne dreigingen: Het is niet zozeer dat we een "boot gemist" hebben, maar dat de dreigingslandschap fundamenteel veranderd is. Staatsapparaten met cybercapaciteiten zijn nu een realiteit.

Mossad als uitzondering: Je noemt Mossad terecht. Israël heeft historisch gezien sterke cybercapaciteiten, maar ook zij zijn niet immuun voor aanvallen.

Conclusie: Je hebt gelijk dat "beter blijven opletten" niet genoeg is. Er moet meer gebeuren op het gebied van proactieve verdediging, internationale samenwerking en investeringen in cybercapaciteit. Maar het beeld dat we volledig passief zijn, is waarschijnlijk ook niet helemaal juist.

Het is een complex spel waar weinig transparantie is, en dat maakt het lastig om een volledig gefundeerd oordeel te vormen.

Edit: typo

[Reactie gewijzigd door Vink Mooi op 9 maart 2026 19:57]

[Bomb-el]

Goeie reactie en ik ben op de hoogte van de punten die je noemt en ben het helemaal met je eens.

Ik chargeer het enigszins omdat ik vind dat het gevoel van veiligheid voor burgers een belangrijke waarde zou moeten zijn van dergelijke instanties. Zo niet de allerbelangrijkste. En dat zie ik, zoals jij ook aangeeft, zelden terug in discussies en berichtgeving. En ergens geeft me dat toch een onrustig gevoel in de zin dat het lijkt dat men het (totaal) niet onder controle heeft en het soms lijkt alsof we een speelbal zijn geworden van vreemde mogendheden.

[Geerbeer94]

Mijn vriendin werkt bij de rechtbank, en daar gebruiken ze al een hele tijd Signal. Maar in die gesprekken gaat het niet over dossiers en werkgerelateerde informatie, wel of en wie wanneer afwezig is. Randzaken voornamelijk.

[uiltje]

Hey, chatgpt, definieer "slippery slope".

[downtime]

Die slippery slope valt wel mee. Het is vertrouwelijk of het is niet vertrouwelijk. Daar is geen slippery slope, dat is hartstikke binair.

[yinx84]

Off-topic maar zeer zorgelijk... ik zie in de comments van Nu.nl schokkend veel commentaren als "bewijs maar dat het Rusland is", "het is een false-flag om noodpakketten te slijten en oorlogssentiment aan te wakkeren". Zijn dit bots? Ik heb juist het idee dat met dit soort commentaren men de boel probeert te bagataliseren en twijfel te zaaien.

[Polderviking]

Nujij is volgens mij altijd een soort afvoerputje geweest.
Ik zou daar precies niets aan ontrekken.

[teek2]

Ik denk dat het een aantal bots zijn, samen met een aantal mensen die er in mee gaan.

Tegelijkertijd zijn er bij CIA leaks ook wel tools gevonden die specifiek sporen van bepaalde landen kunnen toevoegen bij "hacks". Het is dus geen vreemde gedachte om te hebben. Je kunt nooit iets met 100% zekerheid zeggen, maar wel met 95 oid? Geen idee natuurlijk.

Feit is dat als het Rusland is, is ze baat hebben bij de twijfel die wordt gezaaid.

[Reactie gewijzigd door teek2 op 9 maart 2026 12:11]

[jurgen1976]

Inderdaad zorgelijk, omdat ik het gevoel heb dat veel mensen dergelijke berichten niet herkennen. Zijn het bots, ik kan mij bijna niet voorstellen dat dit niet zo is. Ik kom zeer regelmatig dit soort berichten tegen op diverse media welke qua context een op een uit de Russische propaganda machine komen rollen, met een mening of informatie die hier ver afstaat van de algemene opvattingen en algemeen bekende informatie. Dat kan uiteraard, maar voor mijn gevoel zie ik deze veel te vaak.

Dus ik ben bang dat je gelijk hebt en dit bot accounts zijn

[Crisium]

Dan vraag ik mij af of je wel eens in een bruin café, een voetbalkantine buiten de grote steden, of op bijv. een staalwerkplaats komt. Er zijn zat mensen die argwanend zijn bij het horen van dit soort berichten.

[downtime]

Ja, voor een deel bots, maar ook voor een deel Nederlanders die denken dat dit “kritisch nadenken” is. Niet uniek voor nu.nl, die reacties zie je hier ook dagelijks in de comments.

[Crisium]

De suggestie dat het zou zijn om noodpaketten te slijten lijkt mij wat vergezocht. Maar de teneur begrijp ik wel.

Misschien weet je het al niet meer, maar toenmalig minister Ollongren en (velen met haar) hadden in 2018 en de jaren daaraan voorafgaand, hoog van de toren geblazen over m.n. Russische beïnvloeding online. Dat was in de aanloop naar het Sleepwetreferendum waarin de inlichtingendiensten meer bevoegdheden wensten om ongericht burgers te bespioneren (en daarmee hun privacy te schenden).

Het beruchte rapport waaruit Russische beïnvloeding zou moeten blijken liet echter maar op zich wachten en werd "toevallig" pas een week na het referendum en met bijzonder weinig ruchtbaarheid gepubliceerd. Wat bleek: van die beïnvloeding was niet of nauwelijks sprake en ook nog eens weinig effectief. De minister die zelf de mond vol had van "nepnieuws" en "misinformatie", had zich er dus in feite zelf aan bezondigd.

Ook was er de zaak waar EUvsDisinfo die (zoals ze later zelf ook erkenden) meerdere Nederlandse website ten onrechte beschuldigde van disinformatie (ten gunste van Rusland).

Daarnaast wordt er de laatste tijd hard op de oorlogstrom geslagen door figuren als Rutte. Alsof er van land dat met moeite in 1 jaar tijd, 1% terreinwinst heeft geboekt op Oekraïne (die laatste daarbij slechts halfslachtig gesteund door westerste landen) een oorlogsdreiging uit zou gaan voor andere Europese landen.

Mensen zijn skeptisch geworden doordat ze zo bespeeld worden en dat valt wel te begrijpen.

[danieldk]

Daarnaast wordt er de laatste tijd hard op de oorlogstrom geslagen door figuren als Rutte. Alsof er van land dat met moeite in 1 jaar tijd, 1% terreinwinst heeft geboekt op Oekraïne (die laatste daarbij slechts halfslachtig gesteund door westerste landen) een oorlogsdreiging uit zou gaan voor andere Europese landen.

Ja en nee. Rusland komt amper verder in Oekraïne, maar ze zijn in de jaren sinds 2022 wel op een oorlogseconomie overgegaan, hebben inmiddels een enorme wapenproductie, recruiteren vooralsnog voornamelijk uit minderheden en het platteland, etc.

Oekraïne houdt niet alleen stand dankzij westerse wapens, maar is met Rusland mee-geëvolueerd wat betreft drone-oorlogvoering en is ook goed ingegraven. Die ontwikkelingen missen wij grotendeels, ook al leren we nu ook van Oekraïne.

Mocht het tot een bestand (of verlies) komen en Rusland the baltische staten aanvallen, dan is er nog maar de vraag wat er gebeurt. De baltische staten zijn lastig te verdedigen door hun ligging; vnl. in het oosten van de baltische staten wonen etnische Russen; Europese NAVO landen vallen grotendeels nog onder Amerikaanse command & control, dus als de Amerikanen het nalaten is het chaos; Rusland zal in eerste instantie veel meer drones en munitie hebben door hun huidige productieniveau; en het valt nog te bezien of Nederland, Frankrijk, of Spanje grootschalig grondtroepen willen sturen (hoe groot is onze solidariteit zodra er mensen gaan sneuvelen?).

Dus er zijn wel degelijk redenen om ons zorgen te maken. Anders gezegd, hoe gevaarlijker we eruit zien, hoe minder groot de kans dat Rusland experimenten uit gaat voeren. Waarschijnlijk zou het in eerste instantie geen volledige invasie zijn, maar het claimen van gebieden met veel etnische russen, dat is tot dusver een beproefde strategie geweest om het westen te testen.

[Reactie gewijzigd door danieldk op 9 maart 2026 13:29]

[Crisium]

Ik wil geen Neville Chamberlain zijn, maar ik zie het niet als een reëel risico. Alle Baltische staten zijn NAVO-leden.

Bij Oekraïne kunnen NAVO-landen zich politiek en praktisch gezien afzijdig houden zonder enige verplichting. Bij een aanval op een Baltische staat, treedt echter artikel 5 in werking, dat weet Rusland en dat weet de NAVO. Met of zonder de VS, dat zou voor Rusland een nieuw (conventioneel) front betekenen waarop de NAVO nu waarschijnlijk wel de volledige inzet zal tonen.

Dat zou een logistieke nachtmerrie zijn voor Rusland, dat toch al hard heeft ingeboet op materiaal en mankracht. Ik mag aannemen dat er op de militaire academie daar ook Sun Tzu gelezen wordt en ze begrijpen dat dit echt geen goed idee is.

[danieldk]

Laten we zeggen dat ze wel eens eerder inschattingsfouten hebben gemaakt (Oekraïne zouden ze ook in een paar dagen innemen). Ook zijn er mensen die ervoor geleerd hebben die twijfelen hoe hard de garanties van de NAVO zijn, etc. (zie bijv Carlo Masala's boek Als Rusland Wint).

Ik begrijp je perspectief, maar persoonlijk heeft dat hele scenario toch wat meer entropie dan 'de NAVO staat voor de Baltische staten en Rusland zal niet durven'. Rusland voert al vrij schaamteloos allerlei provocaties uit, zoals groeperingen in te zetten om bompakketten aan boord van DHL vliegtuigen te krijgen, drones/raketten Polen insturen, onderwaterkabels slopen, etc. Dus heel erg bang zijn ze niet.

[eheijnen]

Is het wellicht beter om de overheid in zijn geheel te "air-gappen"... ?

[Llopigat]

Hoe moeten ze dan communiceren met burgers en bedrijven?

[eheijnen]

De aanzet is wat stijf maar gewoon een aftrap om eens te kijken wat men denkt.

Je zou dan (grofweg) een publieke layer en een interne layer hebben....

[Llopigat]

Maar dan is het geen airgap meer. Je wil niet hele documenten over moeten tikken tussen een publiek en een intern systeem. Dus die twee kunnen eigenlijk niet losgekoppeld zijn.

Airgapping is gewoon een heel strakke maatregel die maar zelden gebruikt kan worden. Je zit ook met veel gedoe rondom updates bijvoorbeeld.

Voor iets als een defensie netwerk of een kritiek scada systeem is het iets waar je het in de praktijk wel ziet maar niet bij instanties die veel met de buitenwereld communiceren. En zelfs dan is het geen waterdichte oplossing, zie de cyberaanval op de Iraanse fabriek in natanz (stuxnet)

Onderdelen van de overheid hebben het al wel natuurlijk.

[bazs2000]

Ik snap niet waarom jij een "0" beoordeling kreeg. Technisch gezien is het niet helemaal mogelijk maar airgappen kan voor een groot deel wel. Het vereist wel een hele andere opzet.

Office 356 inlc. Teams, Atlassian houden dit nu een beetje tegen (er zal meer zijn dat het tegen houdt). Ik ben een vervent voorstander van het in eigen beheer houden van alles.

[eheijnen]

Waren er maar twee die tegen waren...

[uiltje]

Nu minstens drie. Maar het hele idee dat het verder alleen om Office & Atlassian gaat is natuurlijk de grootste onzin die er is. Alles is geintegreerd met alles. Was het daarvoor ook al hoor, maar toen ging het met papier, fax, telefoon etc. Ook zonder veel beveiliging.

[uiltje]

... en op Mars te plaatsen?

[-JK-]

Ik vraag me af waarom dit niet als een act of war word gezien.
Snap wel dat je duidelijkheid wil hebben en zeker moet weten dat ze bv uit Rusland komen.
Alleen als ik dit zo lees is de AIVD daar wel zeker van, wanneer word dit als een aanval bedoeld en wat voor tegenaanval zou een land/hackersgroep dan kunnen verachten?

[Pasteis]

Ik vraag me af waarom dit niet als een act of war word gezien.
Snap wel dat je duidelijkheid wil hebben en zeker moet weten dat ze bv uit Rusland komen.
Alleen als ik dit zo lees is de AIVD daar wel zeker van, wanneer word dit als een aanval bedoeld en wat voor tegenaanval zou een land/hackersgroep dan kunnen verachten?

Omdat niet elke Rus in dienst van het Kremlin kan staan? En digitale aanvallen teveel grijs gebied is, omdat je sneller misleidt kan worden?

En gelukkig maar, want de wereld wordt niet beter van als ie bij de minste geringste gebeurtenis oorlog verklaart.

[downtime]

Ik vraag me af waarom dit niet als een act of war word gezien.

Je wil het als oorlogsdaad behandelen en raketten op Rusland afvuren? De realiteit is dat we wel wat “overlast” willen accepteren om oorlog te vermijden.

En, laten we eerlijk zijn, de kans is groot dat AIVD en MIVD dit zelf ook doen. Maar daar hebben wij geen last van en daarom horen we daar nooit wat over.

[Bundin]

Omdat je niks opschiet met openlijk escaleren en omdat er niks te winnen valt. Wat ga je doen? Daarnaast wil je je eigen capabilities niet op tafel gooien wanneer dat te vermijden is.

Wat er buiten ons zicht gebeurt zal waarschijnlijk meer zijn dan helemaal niets.

[FrostyPeet]

De vraag stellen is hem beantwoorden.

Is het een groep zelfstandige criminelen? Wordt er door die overheid actief op gejaagd? Heeft die overheid hun zwarte zaakjes uitgesteed aan die groep criminelen? Laten ze het oogluikend toe? Komen ze wel uit dat land of gebruiken ze een proxy?

[laurxp]

Tsja, dit zie je natuurlijk nóóit aankomen...

Frankrijk heeft al jarenlang eigen overheids-chatapps, en het is daar dan ook verboden om Whatsapp en Signal te gebruiken. Wij kúnnen als land ook prima zelf iets opzetten dat precies voldoet aan onze wensen, zoals bijvoorbeeld veilig inloggen via de Rijkspas en automatische archivering voor de Wet Open Overheid.

Maar ja, dan moet daar natuurlijk wel de politieke wil voor zijn...

[litebyte]

Belangrijk om hierbij aan te geven, er is niets gehacked. Dit kan bij elke willekeurige communicatie app plaatsvinden. Onveilige communicatie ligt bij de gebruiker, niet bij het product.

Ik zou geen enkele (onofficele) overheids app vertrouwen (dus ook geen facebook/instadamn/whatsapp) Signal is een van de meest betrouwbare communicatie apps, dat vinden zelfs veel overheden (zoiets als de EU commissie bijv.) maar veel belangrijker: onafhankelijke veiligheidsexperts.

[Reactie gewijzigd door litebyte op 9 maart 2026 14:11]