AIVD: Russische hackers hebben het via Signal en WhatsApp op overheid NL gemunt

Russische staatshackers proberen over de hele wereld toegang te krijgen tot accounts van belangrijke personen, bijvoorbeeld militairen en ambtenaren. De hackers doen dit door zich te richten op Signal- en WhatsApp-accounts. Ook Nederlandse overheidswerknemers waren hiervan het doelwit.

Bron: NurPhoto/Getty Images

Volgens de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) proberen Russische hackers vooral Signal-accounts over te nemen. Hiervoor moeten zij verificatiecodes van gebruikers ontfutselen, wat bijvoorbeeld met zogenaamde supportchatbots gebeurt. Deze accounts sturen doelwitten gericht een bericht en proberen via deze socialengineeringtruc de codes van slachtoffers te stelen.

Die codes kunnen worden gebruikt om accounts over te nemen. Dat zei de AIVD enkele weken geleden ook al, maar toen was nog niet duidelijk om welke chatdiensten het ging en dat het om een wereldwijd fenomeen ging.

Stiekem apparaten of accounts koppelen

Ook zouden de criminelen proberen om apparaten te koppelen aan bestaande Signal- en WhatsApp-accounts. Op deze manier hebben slachtoffers volgens de AIVD vaak niet door dat er mensen met hun berichten kunnen meelezen. De inlichtingendienst schrijft: "De Russische hackers hebben met deze campagne waarschijnlijk de beschikking gekregen over gevoelige informatie."

Daarnaast waarschuwt de organisatie in het document Cyberadvies voor valse QR-codes, waarbij externe accounts aan groepsgesprekken kunnen worden toegevoegd. De AIVD raadt gebruikers aan om waakzaam te zijn voor leden van groepsgesprekken die ze niet herkennen. Ook kopiëren criminelen soms bestaande accounts om niet op te vallen. Als een persoon dubbel in een groepschat lijkt te zitten, zou dit op een kwaadwillende kunnen wijzen.

Gerichte aanvallen, vooral via Signal

Het is volgens de AIVD opvallend dat de hackers geen gebruikmaken van exploits of andere kwetsbaarheden in Signal en WhatsApp. "In plaats daarvan maken de aanvallers misbruik van legitieme beveiligingsfuncties van de applicaties."

Vooral Signal zou het doelwit van de Russen zijn. Die chatdienst staat bekend als een veilig alternatief voor WhatsApp. De dienst biedt onder meer standaard end-to-endencryptie, overigens net zoals WhatsApp. De inlichtingendienst waarschuwt dat de chatdiensten ondanks de versleuteloptie van berichten niet bedoeld zijn voor communicatie over gevoelige informatie.

Bron: AIVD

Reacties (76)

[jmb66]

Verbazingwekkend dat ogenschijnlijk zeer belangrijke ambtenaren gebruik mogen maken van whatsapp en Signal voor gevoelige informatie.

Wat kost het de overheid om een eigen PGP-app te ontwikkelen?

Ambtenaren die het over koetjes en kalfjes hebben, kunnen dat gewoon doen op WhatsApp of Signal, maar geheime informatie dat doe je in een eigen beveiligde omgeving.

[Commendatore]

Veel mensen hebben verbazend veel moeite met bedenken wat wel in zo'n chat thuis hoort en wat niet. Verschillende chatdiensten door elkaar heen gebruiken is dus altijd een risico.

[bazs2000]

Het wordt niet voor gevoelige informatie gebruikt. Daar zijn andere systemen/applicaties voor.
Edit: Toevoeging, de Jan en Annies van deze wereld krijgen, wanneer blijkt dat zij dit doen, daar echt wel iets van te horen. Het delen van gevoelige informatie via een medium dat daar niet voor is aangewezen is een doodzonde. Er zijn niet veel mensen die bereid zijn om dat risico te nemen en er wordt actief op gestuurd.

Wie dat dan toch doet, tja. De leidinggevende wil graag met deze mensen in gesprek.

[Reactie gewijzigd door bazs2000 op 9 maart 2026 12:06]

[jmb66]

In de melding van AIVD en MIVD wordt gesuggereerd dat het soms wel gevoelige informatie kan bevatten. Dit is ernstig. Voorkomen is beter dan genezen, wat heb je aan een achteraf gesprek met een leidinggevende? Ik maak me oprecht zorgen om deze manier van werken onder de ambtenaren.

[bazs2000]

Er is veel aandacht voor, geloof mij. Als ik alleen al kijk naar UWV dan wordt daar veel aan bewustwording gedaan en de regels rondom do's en dont's komen vaak voorbij op de startpagina van het intranet. En deze startpagina zie je elke keer wanneer je de browser opent.

Wie dit dan toch doet, doet dit moedwillig en neemt een risico. Er zijn niet veel ambtenaren te vinden die dat risico voor lief nemen wetende wat de gevolgen kunnen zijn. Het is echt geen manier van werken, dit is een uitzondering.

Vind ik erg jammer, maarja. Dat heb je wel vaker met rotte appels, die gaan soepeler om met regels. Jij en ik zouden het niet doen bijvoorbeeld.

[Bedge85]

Is het mogelijk dat de berichten die jij benoemt veel terugkomt op plekken waar voornamelijk normale werknemers er mee worden geconfronteerd. En het (hogere) management niet? Management kan bijvoorbeeld in een (email) bubbel leven en veel zaken uitbesteden waardoor ze wellicht nauwelijks zelf op het intranet komen.

[jmb66]

Ik heb ooit twee jaar gewerkt aan een project op het ministerie van SZW, maar de meeste medewerkers, begrijpen wat in het eigen discipline speelt. Maar van IT hebben ze geen kaas gegeten. Fijn dat het bij het UWV nu wel goed geregeld is. Tien jaar geleden was dat toch echt heel anders, maar dat was toen. Jullie hebben nu de zaakjes op orde, dan is geruststellend.

[bazs2000]

Zaakjes op orde is misschien wat veel. Het is echter een onderwerp dat de laatste jaren steeds vaker aandacht krijgt. Tegenwoordig heeft vrijwel iedere medewerker dan ook een zakelijke mobiel waar dit voorheen bij een functie moest horen. Communicatie is daardoor veel meer in eigen beheer gekomen waardoor er beter op kan worden gestuurd.

De gemiddelde medewerker weet nog steeds niet veel van IT hoor.

[rob12424]

Assumption is the mother of all fuck ups.

Het gebeurt maar al te vaak dat iemand gemakzuchtig is of toch een fout maakt/afhankelijkheid heeft.

Er vanuit gaan dat de leiding er van af weet is er ook zo eentje.

De DJI is pas ook al gehacked.

Aan de andere kant. Dat je info hebt. Wil nog niet zeggen dat die info klopt.

Zo heeft een Spaanse Spion Garbo er voor de Duitsers een behoorlijke bende van gemaakt tijdens de tweede wereldoorlog.

[pdidi]

Ik vraag me echt af of er sinds 2020 veel is veranderd.
Rekenkamer: thuiswerkende ambtenaren communiceren vaak via onveilige tools
Merendeel bewindspersonen gebruikt privémail en WhatsApp voor werk

[jazzozo]

Die is er bij bepaalde diensten wel. Alleen werken bij diensten ook Jan en Annie’s die Whatsapp/Signal “makkelijker” vinden, want dat kennen ze van hun privé telefoon.

[jmb66]

Maar Jan en Annie hebben wel een belangrijke positie. Dit is best wel ernstig. Hoogwaardigheidsbekleders, hoge ambtenaren, militairen, blijken allemaal een Jan en Annie te zijn. Ik maak me serieus zorgen.

[William_H]

Zo werkt het dus niet bij de overheid en belangrijke functies. Jan en Annie's moeten ook gewoon conformeren aan het kantoorbeleid aangaande IT. Dus als er niet met Whatsapp gewerkt mag worden, wordt er ook niet met Whatsapp gewerkt. Meestal hebben deze mensen ook gewoon een werktelefoon en dan kan je prima apps verbieden. Als daar Whatsapp onder valt, dan kan je die gewoon niet gebruiken.
Jan en Annie hebben zich dus gewoon aan te passen en geen inspraak in welke middelen er gebruikt worden of wat zij kennen of "prettiger" vinden.

[jazzozo]

In een ideale wereld…

Helaas is mijn ervaring toch anders.

[RobbieT]

Dat is de theorie.

Hoe zat het ook alweer met Mark Rutte die via SMS op een oude Nokia communiceerde en (tegen de regels in) zelf bepaalde welke berichten er bewaard werden en welke niet?

Onder het mom van ruimtegebrek.

Als iemand zo hoog in de boom zich al niks aantrekt van de regels, verwacht je dan dat het lager in de organisatie wel allemaal goed gaat?

Het lekken van informatie in de zaak Khadija Arib waar informatie naar privé adressen is verstuurd om het daarna met journalisten te delen?

Het komt op mij nogal naief over om te denken dat de overheid en haar medewerkers zich altijd aan de eigen regels houden.

[RayMort]

In theorie werkt het inderdaad zo, maar in de praktijk vaak niet. Ik werk zelf niet bij de overheid, maar wel op de ICT‑afdeling van een middelgroot bedrijf met behoorlijk strikte regels over welke apparaten en software gebruikt mogen worden. Toch zijn er altijd mensen die blijven communiceren via hun privé‑email of telefoon omdat dat is wat ze kennen. Ook zijn er altijd medewerkers die bijvoorbeeld vinden dat ze met hun privé‑laptop gewoon in de werkomgeving moeten kunnen.

Officieel mag dat allemaal natuurlijk niet, maar er wordt vaak niet moeilijk over gedaan omdat men denkt dat het geen kwaad kan. In 99% van de gevallen zal dat ook wel kloppen (zeker bij een bedrijf dat geen bijzonder interessant doelwit is), maar het laat wel zien hoe veel mensen over dit soort security‑issues denken ondanks dat de regels duidelijk zijn.

[protected22]

Dit herken ik ook van mijn ICTafdeling. Zoveel strakke regels maar gebruikers doen alsnog wat zij zelf willen. Bijvoorbeeld door een prive-laptop te gebruiken ipv werklaptop "vanwege dat ze die al gewend zijn of de werklaptop niet mooi vinden", waarvan ik die tweede reden echt gewoon dom vind. En vaak betrappen we mensen er op dat ze hun wachtwoord gewoon op papier ergens geschreven hadden, desondanks dat we altijd melden dat dit totaal niet toegestaan is. Zelfs recent nog iemand die dat deed en later (dezelfde dag nog) zijn werktas kwijt was geraakt incl de papiertjes waar zijn volledige login op geschreven stond, die was meteen op staande voet ontslagen door HR omdat hij het ook pas veel later aan het bedrijf gemeld had.

[Reactie gewijzigd door protected22 op 9 maart 2026 13:29]

[rud]

Er waren toch ook mensen die via SMS communiceerden?

[Zerokuni]

Ik vind het ook verbazingwekkend. Dit komt door het spanningsveld tussen de business (gebruikersgemak) en de IT (security, privacy, informatiebeheer en architectuur). De IT bij ons is duidelijk: WhatsApp en Signal hebben we niet in beheer en mag daarom niet gebruikt worden voor werk communicatie. Maar het mag prima gebruikt worden voor niet-gevoelige informatie zoals “12:00 lunchen?” of “waar zitten we straks”. Echter is het moeilijk om dit goed duidelijk te krijgen bij medewerkers. Op elke afdeling loopt wel iemand rond die IT-vaardig is en dan bijvoorbeeld verkondigd dat Signal super veilig is, want laatst gezien op Nieuwsuur. Iedereen op die afdeling volgt dat dan…

Vanuit de IT moet hier duidelijker op gewezen worden. Maar dat kost tijd, terwijl real overbezetting is. Het kost medewerking van de business, maar dit is voor hen bijzaak.

Uiteindelijk dekt elke afdeling zichzelf in, door werkzaamheden af te kaderen: “dit hoort niet bij ons”.

Het kan allemaal veel beter…

[Reptile209]

Ook dat soort 'onschuldige' gesprekken kunnen onbedoeld informatie vrijgeven denk ik. Stel dat je meeleest in een WA-gesprek met (willekeurig voorbeeld) een groep hooggeplaatste mensen van het ministerie van Defensie Oorlog. En dan roept er iemand iets als "Niet vergeten, we komen over 30 min bij elkaar in de crisisruimte". Dan kan je er donder op zeggen dat er 'iets' staat te gebeuren, waardoor je de mee-lezers toch al weer meer informatie geeft. Of alleen al de samenstelling, namen en nummers, van de leden van de groep: daarmee kan je ook weer gerichter gaan (spear-)phishen om je netwerk verder uit te breiden.

[locke960]

Maar het mag prima gebruikt worden voor niet-gevoelige informatie zoals “12:00 lunchen?” of “waar zitten we straks”.

Niet-gevoelig is heel erg context afhankelijk en voor een leek bijna niet in te schatten. Ik vermoed bijvoorbeeld dat Iraanse generaals dit op dit moment als heel gevoelige informatie zien.

Maar ook hoge ambtenaren die afspreken waar ze gaan lunchen kan gevoelig zijn. Met die informatie kan een tegenstander een agent of afluisterapparaat plaatsen, voor het geval de 'shoptalk' interessante informatie oplevert.

Goede opsec vereist een semi-paranoide instelling, die de meeste mensen niet hebben, en keiharde, duidelijke regels.

[Streamert]

Bijzonder dat Signal en Whatsapp hier op een hoop gegooid worden. Daarnaast, wie zegt dat het ontwikkelen van een PGP-app veiliger is? Überhaupt denk ik dat de veiligheid van deze app voor een groot deel door de gebruiker zelf bepaald wordt.

[Noxious]

Bijzonder dat Signal en Whatsapp hier op een hoop gegooid worden.

Dat valt wel mee denk ik; ze gebruiken tenslotte technisch hetzelfde protocol, en hebben beide E2EE. De apps zelf zijn niet per definitie onveilig; maar de gebruiker wordt om de tuin geleid d.m.v. social engineering/phishing.

[DwarV]

Wie bepaalt trouwens welke gesprekken koetjes of kalfjes zijn? Zou je dat willen overlaten aan je werknemers?

Ik zou stellen dat zelfs koetjes en kalfjespraat geen goed idee zijn om over deze apps te doen, gezien de steeds toenemende mate van social engineering doe wordt toegepast om toegang tot bedrijfs/overheidsnetwerken te verkrijgen.

De andere kant is natuurlijk dat het ambtenarenapparaat gigantisch is en dat het meerendeel van de communicatie niet staatsgeheim is. Ik kan me voorstellen dat het moeilijk is in die omgeving om een balans te vinden tussen veiligheid en gemak.

[hamsteg]

Dat ze er gebruik van maken voor communicatie, dat snap ik nog maar delen van bestanden? Daarvoor is toch al een eigen systeem??

[FrostyPeet]

Scenario

Manager: beste secretaresse mijn pc doet beetje raar, kan jij even de notulen doorsturen via WA/Signal/WeChat/Viber/Kik?

Secretaresse: natuurlijk beste manager. Zie de bijlage. Wat vervelend dat je pc raar doet, heb je al contact gehad met IT?

[hamsteg]

Idd, schoolvoorbeeld van by-passen van je security.

Beleidsmatig zou dit niet mogen en de enige juiste reactie zou zijn om de manager naar IT door te sturen.

[Schway]

Wat kost het de overheid om een eigen PGP-app te ontwikkelen?

Het is overheid he, je kan er donder op zeggen dat als ze zelf één gaan ontwikkelen er hier mensen lopen de zeiken waarom ze zelf 1 moeten ontwikkelen. en dat het miljoenen kost.

De overheid kan het in de ogen van de gemiddelde commenter niet goed doen. Damned if you do, damned if you don't.

[Boxman]

Waarom is het verbazingwekkend? Die diensten zijn gewoon veilig. Ik weet niet of je het bericht gelezen hebt, maar het zijn de gebruikers zelf die de mist in gaan. Er is geen enkele communicatiedienst opgewassen tegen gebruikers die vrijwillig hun beveiligingscodes afstaan als gevolg van social engineering.

[wallywally]

Beetje hetzeflde idee als dat epstein en hilary gmail gebruikten voor overheids info. Nu lijkt dit vaak gek, maar zo gek is dat niet. Ten eerste is het human psychology, dat de weg van de minste weerstand de voorkeur krijgt. "Even snel dit", "Even snel dat", en dat verandert zeer snel in "ah, t gaat altijd goed, dus doe ik het altijd wel zo".

Aan de andere kant; het is nog niet eens zo gek; want het is hidden in plain sight, en als mensen al ergens niet zoeken naar zware informatie, is het wel in plain sight.

Verder mee eens dat dit niet zou moeten kunnen, maar je kunt psyche niet niet de mens toveren. Als dat wel zo was, was de staat van de aarde nu ook behoorlijk wat beter dan wat het op t moment is. Er speelt maar 1 probleem wereldwijd, Ego heet het.

Politieke kanten doen er niet toe. Ideologien doen er niet toe. Sterke/zwakke systemen doen er niet toe. Zolang de achterliggende factor; Ego is, en dus egoic desire (individueel gewin) op 1 staat, blijft het wat het is; 1 grote bende.

Gemak dient de mens, overal, niet enkel bij "onofficiele" instanties.

[dmantione]

Ter verdediging van de overheid: Whatsapp is eind-tot-eind versleuteld en daarmee niet de meest risicovolle applicatie. Het is nog steeds niet veilig voor staatszaken, want de Amerikanen kunnen stiekem een speciale update voor jou uitrollen die wél aftapbaar is, maar er wordt in Den Haag software gebruikt die héél veel risicovoller is, dus ik zou bij het veiliger maken van de overheid niet bij Whatsapp beginnen.

[Shal-Ziar]

Ik snap de reactie, maar wat is er inherent mis met Signal?
Het is al beleid dat er geen stukken worden gedeeld op Signal, maar kort schakelen met 'he, heb je deze mail gezien, wat vind je van ...'
Er is overigens intern al gewaarschuwd voor dit soort praktijken.

offtopic:
Zou liever zien dat de overheid werk maakt van het overstappen van Microsoft naar Linux dan hier software voor te schrijven.

[magnifor]

Als men een eigen PGP-toepassing ontwikkeld dan probeert men daar toegang tot te krijgen. Het is niet dat een WA/Signal wordt gehackt maar men toegang probeert te krijgen dmv phishing/social engineering.

[PhilipsFan]

De overheid zou dat prima kunnen ontwikkelen, maar daarmee los je het probleem niet op.

Het probleem is gebruikersvriendelijkheid. Want je weet nu al dat zo'n overheidsapp allerlei idiote authenticatiemaatregelen gaat bevatten, waardoor gebruikers het niet meer gebruiken.

Mijn eigen werkgever is een goed voorbeeld. Je kunt je werkmail lezen op je prive telefoon, via zo'n baggerapp van Citrix. Dat werkte wel, maar je moest een 5-cijferige pincode bedenken EN DIE ELKE 3 MAANDEN WIJZIGEN! In vredesnaam, pincodes zijn bedoeld om nooit te wijzigen, daardoor kunnen mensen ze ook onthouden. Een pincode die je elke 3 maanden moet wijzigen is idioot. Wat er dus gebeurde: na 4 maanden wil je een keer die app gebruiken omdat je in de trein je mail even wil bekijken (normaal hoeft dat niet, want je zit immers achter je werkplek) en ja, dan is je pincode verlopen. Kun je de helpdesk bellen en de hele registratieprocedure opnieuw doen. Gevolg: mensen gebruiken gewoon weer Whatsapp.

Het is niet zo simpel als zelf even een app schrijven. Die app moet voldoen aan eisen als toegankelijkheid en moet gebruikersvriendelijk zijn (inclusief het registratieproces) anders gaat niemand het gebruiken.

[YopY]

"mogen" en "doen" zijn verschillende dingen; Rutte mocht bijvoorbeeld ook niet z'n oude Nokia dumbphone gebruiken voor z'n tekstberichten maar dat deed ie wel

[Noresponse]

ik gebruik nog steeds met mijn wereldwijde hackers en security groep BBMe en hebben ook verschillende groepen hierin van Canada, Amerika , Asia , Zuid-Amerika en Europa.

[bazs2000]

Bij ons (UWV) is het gebruik van Signal zelfs onderdeel van het beleid sinds ingang van dit jaar. Voorheen gebruikten wij WA maar werd als risico gezien.

Maar bij ons zijn vele gegevens ook via Odido gelekt, wat ons dan ook weer kwetsbaarder maakt.

[Commendatore]

Ik mag wel hopen dat er geen gegevens van clienten via deze diensten worden gedeeld.

[bazs2000]

Nee, daar mag Signal niet voor worden gebruikt. Signal is meer voor communicatie van medewerkers onderling. Denk aan agileteams bijvoorbeeld.

Neemt niet weg dat het fenomeen robocalls al langere tijd schering en inslag is. Dat was via WA maar ook via Signal.

Persoonlijk haat ik dat, je bent voor werk bezig en ondertussen heb je daar nog mee te dealen. Sinds het geintje met Odido is het ook nog eens toegenomen. Ik merk dat zowel privé als zakelijk.

[Bedge85]

Op mijn Samsung had ik echt goede bescherming tegen robocalls, kon daarvoor ergens een optie aanzetten in de dialer-app. Op mijn iPhone is deze bescherming een stuk minder.

Samsung maakt hiervoor wel gebruik van een screening dienst, dus ik denk wel dat er hierdoor wel allerlei gegevens over binnenkomende gesprekken bij die partij komt te liggen. Apple heeft in iOS 26 wel call screening functionaliteit toegevoegd. Maar de wijze waarop de Samsung het doet was gebruiksvriendelijker.

[cptbuttlick]

Hier ook overheid signal is een must sinds januari.

[William_H]

Ik neem aan dat er geen bedrijfsgegevens van medewerkers zijn gelekt, want die zaten niet in het systeem waar de hackers toegang toe hadden bij Odido.

[bazs2000]

Maar wel dat de nummers van UWV zijn. En dat maakt medewerkers van UWV weer wat vatbaarder voor social engeneering.

Edit:
Als ik een nummer heb van UWV en ik zou daar een bericht naar sturen van "Heeey Arie, heb jij voor mij het nummer van 'die en die'? Dan krijg ik een bericht terug dat de ontvanger Arie niet is.

Dan kan ik reageren met een simpele Oeps en van wie dat nummer dan wel is. Vaak krijg je dan gewoon de voor en achternaam van die persoon en eventueel de afdeling. Dit is hoe social engeneering werkt en wordt al vele jaren door scammers met wisselend succes toegepast.

Wij zijn geïnformeerd hierover maar dan nog. Nu zit het vers in het geheugen, maar volgend jaar of over twee jaar wanneer iedereen de hack bij Odido alweer is vergeten? Ik vind dat wel ernstig.

[Reactie gewijzigd door bazs2000 op 9 maart 2026 12:26]

[William_H]

Precies. Bij een veiligheidsregio die ik ken is sinds vorig jaar ook Signal boven Whatsapp gesteld. Alleen personeel van de GGD mogen nog, als dat echt nodig is, met clienten communiceren via Whatsapp Business.
Maar intern wordt er alleen met Signal gewerkt. En dat werkt prima, en is op vele vlakken veiliger dan Whatsapp.

[duckson]

Ik begrijp niet waarom grote bedrijven en overheden überhaupt toestaan dat medewerkers third party chatapps zoals WhatsApp of Signal gebruiken voor hun werk, die niet door hen worden beheerd en waar zij geen contract mee hebben. Vanuit informatiebeveiligingsperspectief lijkt mij dat mega onverantwoord.

Bij mijn bedrijf gebruiken we Slack (Enterprise). Daar zitten alle collega's op. Ik kan ze met gemak bereiken en de Slack app is gebruiksvriendelijk. Persoonlijk wil ik niet eens dat mijn werkcommunicatie via dezelfde app verloopt als ik voor mijn privéleven gebruik. Dat houd ik graag lekker gescheiden.

Ik begrijp ook wel dat iets als MS Teams niet heel gebruiksvriendelijk is, en dat WhatsApp bij iedereen is ingeburgerd. Maar als ICT-afdeling van een groot bedrijf heb je dus geen enkele grip op de informatiestromen.

[Il Duce]

Ik snap niet waarom de overheid niet zijn eigen versie van Signal host en gebruikt, waar je dan alleen met devices van de overheid bij kan.

[Kermit123]

Omdat het probleem niet bij Signal zit, maar bij de gebruiker.
Maak een eigen versie en dan wordt die gehackt dmv social engineering

[teek2]

Ja precies dit. Een beter beleid zou zijn te zorgen dat je niets meer kunt lekken (en vanuit gaande dat je een keer wordt "gehacked" of beter ge-social-engineered), bijv met verdwijnende berichten. Of Signal zou iets kunnen bieden waar je sommige gesprekken "pinned" aan 1 apparaat (dus nog eens encrypten met een apparaat-specifieke private key), bijvoorbeeld.

[Reactie gewijzigd door teek2 op 9 maart 2026 12:08]

[Il Duce]

Een eigen versie van Signal (of threema bv) die alleen werkt op managed devices van de overheid, en bv achter een vpn zit, lijkt mij iig moeilijker te kraken dan een "gewone" Signal

[-JK-]

Ik vraag me af waarom dit niet als een act of war word gezien.
Snap wel dat je duidelijkheid wil hebben en zeker moet weten dat ze bv uit Rusland komen.
Alleen als ik dit zo lees is de AIVD daar wel zeker van, wanneer word dit als een aanval bedoeld en wat voor tegenaanval zou een land/hackersgroep dan kunnen verachten?

[Pasteis]

Ik vraag me af waarom dit niet als een act of war word gezien.
Snap wel dat je duidelijkheid wil hebben en zeker moet weten dat ze bv uit Rusland komen.
Alleen als ik dit zo lees is de AIVD daar wel zeker van, wanneer word dit als een aanval bedoeld en wat voor tegenaanval zou een land/hackersgroep dan kunnen verachten?

Omdat niet elke Rus in dienst van het Kremlin kan staan? En digitale aanvallen teveel grijs gebied is, omdat je sneller misleidt kan worden?

En gelukkig maar, want de wereld wordt niet beter van als ie bij de minste geringste gebeurtenis oorlog verklaart.

[Bundin]

Omdat je niks opschiet met openlijk escaleren en omdat er niks te winnen valt. Wat ga je doen? Daarnaast wil je je eigen capabilities niet op tafel gooien wanneer dat te vermijden is.

Wat er buiten ons zicht gebeurt zal waarschijnlijk meer zijn dan helemaal niets.

[FrostyPeet]

De vraag stellen is hem beantwoorden.

Is het een groep zelfstandige criminelen? Wordt er door die overheid actief op gejaagd? Heeft die overheid hun zwarte zaakjes uitgesteed aan die groep criminelen? Laten ze het oogluikend toe? Komen ze wel uit dat land of gebruiken ze een proxy?

[downtime]

Ik vraag me af waarom dit niet als een act of war word gezien.

Je wil het als oorlogsdaad behandelen en raketten op Rusland afvuren? De realiteit is dat we wel wat “overlast” willen accepteren om oorlog te vermijden.

En, laten we eerlijk zijn, de kans is groot dat AIVD en MIVD dit zelf ook doen. Maar daar hebben wij geen last van en daarom horen we daar nooit wat over.

[chantalcoolsma]

AIVD: "Signal staat bekend als een betrouwbaar en onafhankelijk communicatiemiddel en biedt de optie om end-to-end encrypted berichten te versturen."

Dit is geen optie. Dit is standaard.

[vlaaing peerd]

Semantisch gezien houdt het stand omdat het niet expliciet benadrukt wat optioneel is. Je hebt namelijk ook de optie om niet een bericht te versturen met Signal.

[Vink Mooi]

Interessant en zorgwekkend bericht. Belangrijk om te benadrukken wat de AIVD zelf zegt: het gaat hier niet om een kwetsbaarheid in Signal of WhatsApp zelf, maar om gerichte credential-stealing technieken. Dat maakt het anders dan veel mensen denken.

De implicaties zijn wel serieus:

Topambtenaren en militairen waren doelwit

De aanval duurde waarschijnlijk maanden

Het gaat om georganiseerde staatsactoren

Dit onderstreept hoe belangrijk end-to-end encryptie blijft, maar ook dat de zwakste schakel vaak het menselijke element is. Twee-factor authenticatie, wachtwoordbeheer en security awareness training worden nog belangrijker.

Voor de meeste gebruikers is dit geen reden om paniek te slaan, maar voor organisaties met gevoelige informatie is dit een duidelijke wake-up call. Interessant om te zien welke maatregelen de Nederlandse overheid nu neemt.

[Geerbeer94]

Mijn vriendin werkt bij de rechtbank, en daar gebruiken ze al een hele tijd Signal. Maar in die gesprekken gaat het niet over dossiers en werkgerelateerde informatie, wel of en wie wanneer afwezig is. Randzaken voornamelijk.

[yinx84]

Off-topic maar zeer zorgelijk... ik zie in de comments van Nu.nl schokkend veel commentaren als "bewijs maar dat het Rusland is", "het is een false-flag om noodpakketten te slijten en oorlogssentiment aan te wakkeren". Zijn dit bots? Ik heb juist het idee dat met dit soort commentaren men de boel probeert te bagataliseren en twijfel te zaaien.

[Polderviking]

Nujij is volgens mij altijd een soort afvoerputje geweest.
Ik zou daar precies niets aan ontrekken.

[teek2]

Ik denk dat het een aantal bots zijn, samen met een aantal mensen die er in mee gaan.

Tegelijkertijd zijn er bij CIA leaks ook wel tools gevonden die specifiek sporen van bepaalde landen kunnen toevoegen bij "hacks". Het is dus geen vreemde gedachte om te hebben. Je kunt nooit iets met 100% zekerheid zeggen, maar wel met 95 oid? Geen idee natuurlijk.

Feit is dat als het Rusland is, is ze baat hebben bij de twijfel die wordt gezaaid.

[Reactie gewijzigd door teek2 op 9 maart 2026 12:11]

[jurgen1976]

Inderdaad zorgelijk, omdat ik het gevoel heb dat veel mensen dergelijke berichten niet herkennen. Zijn het bots, ik kan mij bijna niet voorstellen dat dit niet zo is. Ik kom zeer regelmatig dit soort berichten tegen op diverse media welke qua context een op een uit de Russische propaganda machine komen rollen, met een mening of informatie die hier ver afstaat van de algemene opvattingen en algemeen bekende informatie. Dat kan uiteraard, maar voor mijn gevoel zie ik deze veel te vaak.

Dus ik ben bang dat je gelijk hebt en dit bot accounts zijn

[Crisium]

Dan vraag ik mij af of je wel eens in een bruin café, een voetbalkantine buiten de grote steden, of op bijv. een staalwerkplaats komt. Er zijn zat mensen die argwanend zijn bij het horen van dit soort berichten.

[downtime]

Ja, voor een deel bots, maar ook voor een deel Nederlanders die denken dat dit “kritisch nadenken” is. Niet uniek voor nu.nl, die reacties zie je hier ook dagelijks in de comments.

[Crisium]

De suggestie dat het zou zijn om noodpaketten te slijten lijkt mij wat vergezocht. Maar de teneur begrijp ik wel.

Misschien weet je het al niet meer, maar toenmalig minister Ollongren en (velen met haar) hadden in 2018 en de jaren daaraan voorafgaand, hoog van de toren geblazen over m.n. Russische beïnvloeding online. Dat was in de aanloop naar het Sleepwetreferendum waarin de inlichtingendiensten meer bevoegdheden wensten om ongericht burgers te bespioneren (en daarmee hun privacy te schenden).

Het beruchte rapport waaruit Russische beïnvloeding zou moeten blijken liet echter maar op zich wachten en werd "toevallig" pas een week na het referendum en met bijzonder weinig ruchtbaarheid gepubliceerd. Wat bleek: van die beïnvloeding was niet of nauwelijks sprake en ook nog eens weinig effectief. De minister die zelf de mond vol had van "nepnieuws" en "misinformatie", had zich er dus in feite zelf aan bezondigd.

Ook was er de zaak waar EUvsDisinfo die (zoals ze later zelf ook erkenden) meerdere Nederlandse website ten onrechte beschuldigde van disinformatie (ten gunste van Rusland).

Daarnaast wordt er de laatste tijd hard op de oorlogstrom geslagen door figuren als Rutte. Alsof er van land dat met moeite in 1 jaar tijd, 1% terreinwinst heeft geboekt op Oekraïne (die laatste daarbij slechts halfslachtig gesteund door westerste landen) een oorlogsdreiging uit zou gaan voor andere Europese landen.

Mensen zijn skeptisch geworden doordat ze zo bespeeld worden en dat valt wel te begrijpen.

[danieldk]

Daarnaast wordt er de laatste tijd hard op de oorlogstrom geslagen door figuren als Rutte. Alsof er van land dat met moeite in 1 jaar tijd, 1% terreinwinst heeft geboekt op Oekraïne (die laatste daarbij slechts halfslachtig gesteund door westerste landen) een oorlogsdreiging uit zou gaan voor andere Europese landen.

Ja en nee. Rusland komt amper verder in Oekraïne, maar ze zijn in de jaren sinds 2022 wel op een oorlogseconomie overgegaan, hebben inmiddels een enorme wapenproductie, recruiteren vooralsnog voornamelijk uit minderheden en het platteland, etc.

Oekraïne houdt niet alleen stand dankzij westerse wapens, maar is met Rusland mee-geëvolueerd wat betreft drone-oorlogvoering en is ook goed ingegraven. Die ontwikkelingen missen wij grotendeels, ook al leren we nu ook van Oekraïne.

Mocht het tot een bestand (of verlies) komen en Rusland the baltische staten aanvallen, dan is er nog maar de vraag wat er gebeurt. De baltische staten zijn lastig te verdedigen door hun ligging; vnl. in het oosten van de baltische staten wonen etnische Russen; Europese NAVO landen vallen grotendeels nog onder Amerikaanse command & control, dus als de Amerikanen het nalaten is het chaos; Rusland zal in eerste instantie veel meer drones en munitie hebben door hun huidige productieniveau; en het valt nog te bezien of Nederland, Frankrijk, of Spanje grootschalig grondtroepen willen sturen (hoe groot is onze solidariteit zodra er mensen gaan sneuvelen?).

Dus er zijn wel degelijk redenen om ons zorgen te maken. Anders gezegd, hoe gevaarlijker we eruit zien, hoe minder groot de kans dat Rusland experimenten uit gaat voeren. Waarschijnlijk zou het in eerste instantie geen volledige invasie zijn, maar het claimen van gebieden met veel etnische russen, dat is tot dusver een beproefde strategie geweest om het westen te testen.

[Reactie gewijzigd door danieldk op 9 maart 2026 13:29]

[eheijnen]

Is het wellicht beter om de overheid in zijn geheel te "air-gappen"... ?

[Llopigat]

Hoe moeten ze dan communiceren met burgers en bedrijven?

[eheijnen]

De aanzet is wat stijf maar gewoon een aftrap om eens te kijken wat men denkt.

Je zou dan (grofweg) een publieke layer en een interne layer hebben....

[Llopigat]

Maar dan is het geen airgap meer. Je wil niet hele documenten over moeten tikken tussen een publiek en een intern systeem. Dus die twee kunnen eigenlijk niet losgekoppeld zijn.

Airgapping is gewoon een heel strakke maatregel die maar zelden gebruikt kan worden. Je zit ook met veel gedoe rondom updates bijvoorbeeld.

Voor iets als een defensie netwerk of een kritiek scada systeem is het iets waar je het in de praktijk wel ziet maar niet bij instanties die veel met de buitenwereld communiceren. En zelfs dan is het geen waterdichte oplossing, zie de cyberaanval op de Iraanse fabriek in natanz (stuxnet)

Onderdelen van de overheid hebben het al wel natuurlijk.

[bazs2000]

Ik snap niet waarom jij een "0" beoordeling kreeg. Technisch gezien is het niet helemaal mogelijk maar airgappen kan voor een groot deel wel. Het vereist wel een hele andere opzet.

Office 356 inlc. Teams, Atlassian houden dit nu een beetje tegen (er zal meer zijn dat het tegen houdt). Ik ben een vervent voorstander van het in eigen beheer houden van alles.

[eheijnen]

Waren er maar twee die tegen waren...

[laurxp]

Tsja, dit zie je natuurlijk nóóit aankomen...

Frankrijk heeft al jarenlang eigen overheids-chatapps, en het is daar dan ook verboden om Whatsapp en Signal te gebruiken. Wij kúnnen als land ook prima zelf iets opzetten dat precies voldoet aan onze wensen, zoals bijvoorbeeld veilig inloggen via de Rijkspas en automatische archivering voor de Wet Open Overheid.

Maar ja, dan moet daar natuurlijk wel de politieke wil voor zijn...