Begin dit jaar kreeg een Odido-medewerker een telefoontje van een zogenaamde IT-collega. Eén bezoek aan een nagemaakte inlogpagina later lagen de gegevens van ruim zes miljoen mensen op straat. Eind september claimde dezelfde hackergroep de gegevens van duizenden FBI-medewerkers te hebben gestolen, via een lek in HR-software die aan internet hangt.
Twee aanvallen, twee routes. Toch draaide het nieuws vooral om de daders.
Dat is precies wat een hackersgroep wil – die zoekt publiciteit. Ze claimen aanvallen, posten hun ‘resultaten’ en kiezen bombastische namen. Dat kunnen we niet voorkomen. Maar we hoeven er niet aan mee te werken, en dat doen we volop.
Probleem dat we zelf creëren
Mijn eigen cybersecuritysector is de grootste boosdoener. Dreigingsgroepen volgen is nodig, want zo blijf je op de hoogte van nieuwe aanvalstechnieken, intenties en capaciteiten van aanvallers en kan je soms potentiële slachtoffers gericht waarschuwen. Maar veel rapporten gaan verder dan dat: hackergroepen worden in een top drie gezet, er is een ‘koploper van de maand’ of sprake van een ‘nek-aan-nekrace’. De cijfers in die ranglijsten komen bovendien vaak van de cybercriminelen zelf.
Dat heeft gevolgen. Zo leidt de bombastische taal in de rapporten af van de belangrijkste informatie: beveiligers hebben weinig aan wie deze maand bovenaan staat en moeten vooral weten via welke deur de aanvallers binnenkomen.
Zoveel deuren zijn dat namelijk niet. Achter tientallen groepsnamen komen steeds dezelfde drie routes terug. Aanvallers misbruiken systemen die rechtstreeks aan internet hangen, zoals de recruitmentsoftware op de FBI-vacaturesite. Ze bemachtigen geldige inloggegevens via phishing, diefstal of een nepbelletje, zoals bij Odido. Of ze infecteren één apparaat en bewegen van daaruit verder door het netwerk. De naam van de groep verandert niets aan de deur die openstond.
Merken en reputaties
Bovendien belonen we de daders. Zij bouwen een merk, wij geven het een podium. Neem de geclaimde FBI-hack. Wie kritieke infrastructuur of een opsporingsdienst raakt, kan rekenen op extra publieke én institutionele aandacht. Cybercriminelen weten dat ook. Daarmee is zo’n aanval vanuit crimineel perspectief bovendien opvallend roekeloos: wie een opsporingsdienst aanvalt, zoekt de aandacht van de partijen die hen opsporen. En de daders eisten geen losgeld, maar de intrekking van een eerdere FBI-waarschuwing over hun werkwijze. Het ging hun dus om hun reputatie.
Dat is des te zorgelijker nadat politie en Openbaar Ministerie begin september waarschuwden voor de snelle groei van een internationaal hackerscollectief dat kinderen vanaf elf jaar rekruteert via online games. Status is volgens de politie een belangrijk lokmiddel. Een ranglijst maakt van niemand een hacker, maar we moeten die status niet gratis uitdelen.
Terughoudendheid betrachten
Hackersgroepen volledig uit rapporten en de krant weren is niet de oplossing. Misbruikt een groep op grote schaal dezelfde kwetsbaarheid; dan helpt het bekendmaken van namen van hackergroepen om het risico te schatten. Maar de vraag moet zijn wat een organisatie ermee kan. Helpt het een bedrijf te zien waar het kwetsbaar is of wat het nu moet doen? Dan hoort het erin. Gaat het om wie de meeste slachtoffers maakt? Dat helpt vooral de dader.
Voor cybersecuritybedrijven betekent dit dat handelingsperspectief leidend moet zijn – niet de daders.
Natuurlijk heeft de identiteit van daders nieuwswaarde. Maar ook voor de media geldt: een criminele groep identificeren is iets anders dan de branding overnemen. Bij terroristische groeperingen bewaren de media ook afstand. Ze schrijven over ‘de groep die zichzelf X noemt’ en brengen aanslagen niet als prestaties.
Diezelfde terughoudendheid past ook bij berichten over hackersgroepen. Schrijf dus niet over ‘Hack door groep X’ maar over ‘Lek in software Y’. Bestudeer de aanvaller, bestrijd de aanval, maar bouw niet mee aan zijn reputatie.
