Dit artikel verscheen in de september 2020 editie van National Geographic Magazine.
De Vries is in zijn marineblauwe Tesla op weg naar Rotterdam als zijn iPhone oplicht. Een appje van een collega. De 56-jarige havenmeester rijdt naar het World Port Center, zenuwcentrum van het Havenbedrijf Rotterdam.
Er zijn problemen bij APM Terminals, leest hij in het bericht op zijn telefoon. De Vries kan het niet meteen plaatsen. Natuurlijk kent hij APM, een bedrijf met een omzet van vier miljard euro per jaar. Zowel op de Eerste als op de Tweede Maasvlakte heeft het een eigen terminal, een aanlegplek waar de grootste containerschepen ter wereld aanmeren. APM zorgt er met gigantische blauwe kranen voor dat de containers van het schip naar de juiste vrachtwagens gaan.
Amper een minuut na het appje gaat De Vries’ telefoon. Een medewerker van Maersk, eigenaar van APM. ‘Niets doet het meer,’ zegt de man. ‘Camera’s, kranen, slagbomen: alles is out of order.’ De Vries laat de boodschap op zich inwerken terwijl hij de parkeergarage van het World Port Center binnenrijdt, naast de Erasmusbrug. Hij schiet de lift in en drukt op de knop voor de negentiende verdieping. Daar bevindt zich, met uitzicht over Rotterdam, de ‘incidentenkamer’.
De manager vertelt De Vries dat hij geen schepen meer kan toelaten omdat beide APM-terminals platliggen. Vanuit het havengebouw zijn ze, veertig kilometer verderop, amper te zien. Op de computerschermen is het duidelijker: er is geen scheepsverkeer mogelijk in de Europahaven. Bij Hoek van Holland vult de zee zich met stippen – elke stip is een wachtend schip.
De Vries kijkt om zich heen. Een kantoorruimte vol schermen, telefoons en laptops waar vijftien mensen druk aan het bellen zijn. Wat is er aan de hand en wat kan hij doen?
Een patrouilleboot van het Havenbedrijf haast zich naar de Maasvlakte. Ook de douane gaat kijken. Op de wal staat voor miljarden euro’s aan ladingen die nergens heen kunnen. Het wordt snel drukker op de N15, de belangrijkste toegangsweg naar de haven. Tientallen vrachtwagens komen vast te staan: ze kunnen het haventerrein niet op. In de incidentenkamer zien ze dat inmiddels drie van de vijf Rotterdamse terminals volledig stilliggen.
Is het een stroomstoring? schiet door het hoofd van De Vries. Of is dit een aanval?
‘Gaat er straks geplunderd worden?’ vraagt een van de aanwezigen zich vertwijfeld af. De Vries denkt vooral aan de containers die nergens naartoe kunnen. De zomercollectie van een winkel kan erin zitten. Nieuwe telefoons of laptops. Of erger: bederfelijke waar als groente en fruit. De meeste spullen moeten verder Europa in.
René de Vries is een ervaren politieman. Hij heeft allerlei soorten incidenten meegemaakt. Steekpartijen, op heterdaad betrapte dieven en bedreigingen. Maar op dinsdag 27 juni 2017 heeft hij geen idee wat er gebeurt. Een brand op een schip of een lek van vervuilende stoffen is overzichtelijk. Een afgebakend probleem. Maar wat de haven nu overkomt, is ongrijpbaar.
De samenleving digitaliseert in hoog tempo. We betalen met een smartphone, werken in een ‘online omgeving’, communiceren via een app. Een operatie in het ziekenhuis, stroom uit het stopcontact, een trein die op tijd is: allemaal is het mogelijk dankzij de rekenkracht en kunde van computers. Dat biedt grote voordelen. Een e-mail is zo aan de andere kant van de wereld. Een paspoort zo gescand, een vlucht zo geboekt, een medisch dossier zo ingezien. Maar het levert ook nieuwe gevaren op. Gevaren die vaak onzichtbaar blijven.
Want ook staten hebben de digitale wereld ontdekt. Ze zetten hackers in om op internet te zoeken naar persoonlijke data, bedrijfsgegevens of overheidsdocumenten. Met die gestolen informatie kunnen staten het beleid van andere overheden sturen, gedrag beïnvloeden of hun macht vergroten. Hackers zijn allang niet meer de jongens met hoody die in een kelder nachtenlang achter hun laptop zitten en online kattenkwaad uithalen. Ze maken deel uit van het leger, een criminele organisatie, de inlichtingendienst. Of ze werken als ‘ethisch hacker’ bij een bank of beveiligingsfirma om het netwerk te testen. Spionnen hoeven niet meer het vliegtuig te nemen en mensen te rekruteren om in verre landen ingewikkelde operaties op te tuigen. Criminelen verleggen hun werkterrein buiten de plek waar ze zich fysiek bevinden of contacten hebben.
In China zitten hackers in legeruniform in flats achter de computer. Rijen dik, naar schatting meer dan honderdduizend. Elke dag speuren zij naar bedrijfsgeheimen in intellectueel eigendom in bijvoorbeeld Noord-Brabant. Ze proberen voortdurend ASML binnen te komen, of Philips. Rusland stuurt hackers naar de Olympische Spelen om de wifi in het hotel van de bobo’s te hacken en hun gegevens te stelen. Dankzij glasvezelkabels kunnen ze anoniem informatie opzoeken en wegsluizen.
Om te begrijpen waarom digitalisering het voor hackers makkelijker maakt om bij gevoelige data te komen, volstaat een simpel voorbeeld: het medische dossier. Vroeger lag dat dossier in papieren vorm bij de huisarts om de hoek. Dat was niet zo veilig. Je had alleen een standaardsleutel van de huisartsenkamer nodig om bij de stapel papieren dossiers te komen. Verder was het lastig om zo’n medisch dossier te delen met andere huisartsen of ziekenhuizen. Inscannen, doorfaxen. Dat schoot niet op.
Daarom is het elektronische medische dossier een logische stap. Het is makkelijker om zo’n elektronisch bestand te beveiligen dan een stapel documenten in een bureaula bij een huisarts. Huisartsen kun je vragen om eerst een wachtwoord en een unieke code in te voeren. Niet langer gebruiken ze een eenvoudige sleutel die in de broekzak zit of ergens op een bureau rondslingert. Ook is het digitale dossier sneller deelbaar. Huisartsen en ziekenhuizen door het hele land kunnen via een landelijk systeem gegevens opvragen. De behandelend arts ziet die aanvragen, en als de patiënt toestemming heeft gegeven voor het delen van informatie, is het zo gepiept.
Veiliger, makkelijker deelbaar. Maar er loert een nieuw gevaar, zo blijkt in 2018. Wanneer realityster Samantha de Jong na een zelfmoordpoging in het HagaZiekenhuis in Den Haag belandt, zien 85 mensen haar medische dossier in: ziekenhuismedewerkers die geen ‘behandel- of zorgrelatie’ met Barbie hebben. Ze kijken uit nieuwsgierigheid en kunnen dankzij het digitale systeem snel bij haar vertrouwelijke dossier komen. Hadden deze 85 medewerkers vroeger het papieren dossier willen bekijken, dan hadden ze allemaal de juiste kamer moeten zoeken, de juiste map en het juiste dossier. Een stuk complexer.
Dus terwijl de beveiliging van het digitale dossier aan de voorkant is verbeterd, is er aan de achterzijde een nieuw risico ontstaan: als er een lek is, hebben veel meer mensen toegang tot de vertrouwelijke informatie. En hackers kunnen op zoek gaan naar zo’n lek. Studenten met een bijbaan in het Amsterdamse ziekenhuis OLVG konden jarenlang grasduinen in de medische dossiers van álle patiënten. Duizenden dossiers van kwetsbare kinderen die bij Bureau Jeugdzorg Utrecht hulp kregen, kwamen door een fout op straat te liggen.
Deze toename van kwetsbare digitale data heeft begin deze eeuw een wapenwedloop tussen de geheime diensten in gang gezet.
De beste hackers zoeken naar de gevoeligste gegevens. Glasvezelkabels worden afgetapt, satellietcommunicatie afgevangen, computersystemen binnengedrongen, laptops en mobiele telefoons gehackt.
Hoe vernuftig staatshackers daarbij te werk gaan, blijkt in 2013. In een glimmend gebouw naast station Brussel-Noord vinden technisch onderzoekers sporen van malware, kwaadaardige software. Als ze verder rechercheren, zijn ze stomverbaasd. Een Belgische politieonderzoeker: ‘Het was zó ingenieus allemaal.’ Een Nederlandse beveiligingsexpert: ‘Dit was veruit het beste wat ik ooit had gezien.’
Belgacom, de belangrijkste telecomprovider van België – sinds 2015 Proximus geheten –, blijkt te zijn geïnfiltreerd door een zeer professionele tegenstander. Het kost de onderzoekers maanden om de software te ontrafelen en de 26.000 IT-systemen te bekijken. Voorzichtig krijgen ze een beeld. Ze zien dat de aanvaller boobytraps in de systemen heeft achtergelaten: kleine bestandjes die als ze worden ontdekt, de aanvaller alarmeren. En dat het aanvalswapen zich als een veelkoppige slang door de netwerken van Belgacom beweegt. Het past zich aan de omgeving aan en laat her en der eitjes achter. Het is in staat zichzelf te installeren op computers die uitstaan en net zo lang te wachten tot zo’n computer weer wordt opgestart, om vervolgens ongezien documenten of andere data van die computer te versturen. Ook kan het screenshots maken, wachtwoorden kopiëren en gewiste onderdelen op de computer herstellen.
Deze malware lijkt echt alles te kunnen. De onderzoekers zien dat de ‘slang’ het actiefst is rond BICS, een zeer winstgevend onderdeel van Belgacom. BICS biedt wereldwijd een enorm datanetwerk aan waarop honderden telecombedrijven zijn aangesloten en koppelingen met elkaar maken. Door BICS te infiltreren, kan de aanvaller in één keer bij het telefoon- en dataverkeer van 1100 bedrijven, waaronder vijfhonderd mobiele ‘operators’ zoals KPN en T-Mobile. En bij telefoonverkeer van de NAVO, de Europese Commissie en het Europees Parlement.
Het onderzoek duurt meer dan vijf jaar. De specialisten vallen van de ene verbazing in de andere. Wanneer ze de malware willen opruimen, blijkt die zichzelf op een dag ineens te gaan wissen. Alsof de aanvaller weet dat-ie is ontdekt.
De onderzoekers achterhalen dat gestolen data overdag het netwerk van Belgacom verlaten en naar plekken over de hele wereld gaan. Een computerserver in India. Of naar Roemenië of Indonesië. Van daaruit gaan de pakketjes waarschijnlijk naar de aanvaller. Sommige servers blijken gehuurd met creditkaarten uit Engeland. Maar als de politie die nader bekijkt, blijkt het te gaan om prepaidkaarten die anoniem zijn gekocht. Ook vindt de politie IP-adressen die naar Groot-Brittannië leiden. Londen wil echter niet meewerken aan het onderzoek.
De Belgacom-hack is het werk van de beste hackdiensten ter wereld: de Britse afluisterdienst GCHQ en de Amerikaanse NSA. Meer dan twee jaar lang zitten ze ongezien in het telecomnetwerk. En zodra ze worden ontdekt, vernietigen ze razendsnel het bewijs. Na jaren rechercheren weet de Belgische politie dat Britse hackers in het netwerk zaten, maar ze kan niets beginnen. De sporen naar Groot-Brittannië zijn vakkundig weggepoetst. Als de Britten en Amerikanen ergens willen toeslaan, doen ze dat. Geen landsgrens of firewall houdt ze tegen.
Sinds enkele jaren is er nog een andere ontwikkeling gaande in de digitale wereld. En die is op 27 juni 2017 ook merkbaar in de Rotterdamse haven. Wanneer havenmeester Renéde Vries laat in de avond weer in zijn tesla stapt, ligt alles er stil en verlaten bij. Drie van de vijf terminals van Europa’s grootste zeehaven doen het niet. De Vries weet nog steeds niet wat de oorzaak is, en dat beangstigt hem. In de volgende dagen wordt langzaam duidelijk waarom containerschepen niet kunnen aanleggen en ladingen onaangeroerd blijven.
De oorzaak is een computervirus. Russische hackers zijn een Oekraïens bedrijf binnengedrongen en hebben vlak voor de nationale feestdag een verwoestend virus in Oekraïne verspreid. Mediabedrijven, ministeries, postbedrijven, de kerncentrale in Tsjernobyl en het vliegveld in Kiev worden geraakt. Het virus stopt alleen niet bij de grenzen. Het Deense Maersk raakt ook besmet, waarna het virus razendsnel door zijn netwerken trekt en ook dochterbedrijf APM Terminals in de Rotterdamse haven treft.
Computers die besmet zijn, gaan meteen op zwart. Werknemers zien hele afdelingen uitvallen. Wie nog een netwerkkabel uit een pc wil trekken is te laat: is het virus eenmaal binnen, dan is er geen houden meer aan. Een paar uur nadat in Oekraïne het openbare leven stilvalt, komen ook de blauwe kranen van APM tot stilstand. Containers staan roerloos aan wal. Op de N15 richting de haven staan vrachtwagens in een file voor een dichte slagboom.
De chaos in de Rotterdamse haven is niet veroorzaakt door hackers die op zoek zijn naar informatie, maar die iets doelbewust kapot willen maken, met glasvezelkabels als wapen. Professionele criminele groepen zetten hen in om bedrijven te gijzelen. De Universiteit Maastricht, een groot logistiek bedrijf in Noord-Brabant en Royal Reesink uit Apeldoorn, distributeur van onder meer landbouwmachines, betaalden elk honderdduizenden euro’s om hun systemen terug te krijgen. Hackers hadden het netwerk zo goed versleuteld dat er geen andere optie was.
Staten zetten hackers in om op een strategisch moment de stroom te kunnen uitschakelen, het vliegverkeer te ontregelen, betalingen te saboteren. Om e-mails te stelen, verkiezingen te beïnvloeden, valse berichten te verspreiden of een nucleaire installatie binnen te komen met de dreiging de werking ervan te beïnvloeden.
‘Mogelijke digitale verstoring en sabotage van de vitale infrastructuur is een van de grootste cyberdreigingen voor Nederland en zijn bondgenoten,’ schrijft de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) in haar jaarverslag over 2019. ‘Meerdere staten hebben bewezen de capaciteiten en de bereidheid te hebben om digitale sabotage in te zetten om hun geopolitieke doelstellingen te bereiken.’ De Verenigde Staten nestelen zich in het Russische elektriciteitsnetwerk, Iran neemt in New York de besturing van een dammetje over, Noord-Korea laat een virus los dat computers vergrendelt, waarna in Engeland ziekenhuizen worden lamgelegd en operaties moeten worden uitgesteld.
Westerse overheden en ook media noemen Rusland, China, Noord-Korea en Iran als belangrijkste boosdoeners bij deze militarisering van het internet. Het zijn hun hackers die massaal aanvallen. De Russen proberen op geniepige wijze documenten te stelen en op een strategisch moment online te zetten – kijk maar naar de Amerikaanse presidentsverkiezingen van 2016, toen ze het bestuur van de Democratische Partij binnendrongen en documenten lekten. Iran valt met krachtige malware een Saoedisch oliebedrijf aan en legt dat plat of zet drones in om olie-installaties te saboteren.
Maar dat is slechts een deel van het verhaal. Want het Westen, waaronder Nederland, is niet alleen slachtoffer, het is net zo goed dader. De AIVD is online zeer actief. Als een van de eerste westerse veiligheidsdiensten onderkent zij de dreiging en het potentieel van internet. Eind jaren negentig neemt de AIVD de eerste hacker in dienst. Rond 2000 wordt begonnen met het ‘afschrapen’ van het internet en het inzetten van virtuele identiteiten: bedachte personen met een fictief digitaal cv die online kunnen infiltreren. AIVD-hackers dringen rond 2000 al vanuit het hoofdkantoor in Leidschendam de defensiesystemen van Iran binnen, op zoek naar informatie over ’s lands nucleaire programma.
Dat de Nederlandse inlichtingendienst goede hackers in huis haalt, is geen toeval. Nederland is het digitale knooppunt van de wereld. Er komen meerdere grote trans-Atlantische kabels aan land die Europa verbinden met de VS. In Amsterdam ligt het internetknooppunt waar providers uit het Midden-Oosten een verbinding maken met grote Amerikaanse partijen als YouTube, Facebook en Google. Verder heeft Nederland een zeer hoge internetdichtheid en voerde het als een van de eerste landen internetbankieren in. De infrastructuur is goed, de belasting voor grote ondernemingen laag. Daarom komen Google en Amazon met hun datacentra graag naar de polder. Daarom ook staan er verdeeld over het land hoge, raamloze gebouwen waar likes, retweets en videostreams doorheen gaan. En daarom heeft Nederland, met beveiligingsbedrijf Fox-IT, de technische universiteiten en het Team High Tech Crime van de politie, in de digitale wereld een serieuze reputatie opgebouwd.
De AIVD loopt ook voorop in de kundigheid van haar hackers. De dienst is betrokken bij geruchtmakende sabotageacties en digitale aanvallen. In 2007 is het de AIVD die een Iraanse ingenieur rekruteert en hem het ondergrondse nucleaire complex in het Iraanse Natanz binnensmokkelt. De man verzamelt informatie over het interne computernetwerk en brengt in de zomer van 2007 het beruchte sabotagevirus Stuxnet naar binnen. Dat zorgt ervoor dat de kleppen van de Iraanse ultracentrifuges sluiten, waardoor er meer gas naar binnenstroomt dan de bedoeling is. De centrifuges draaien met een knal kapot. Het is voor het eerst dat een digitale aanval fysieke schade veroorzaakt.
In 2014 lukt het hackers van de AIVD om in Rusland een computernetwerk binnen te komen. Ze komen uit in een pand vlak bij het Rode Plein van waaruit Russische hackers aanvallen uitvoeren. Als het de AIVD ook nog lukt om een camera te hacken die op de ingang van de ruimte is gericht, zien ze bij welke groep ze binnen zijn. Het is Cozy Bear, een beruchte Russische hackgroep die voortdurend westerse doelen aanvalt. De AIVD kan drie jaar meekijken met de Russische hackers en waarschuwt de VS enkele keren als de groep een aanval begint.
Voor een relatief kleine organisatie levert de AIVD een indrukwekkende prestatie. Bronnen rekenen Nederland tot de top vijf van digitaal machtigste landen, samen met de VS, Groot-Brittannië, Israël en Rusland. Inzake kundigheid zou de AIVD zelfs nog beter scoren. De laatste jaren is het aantal hackers bij de dienst vertienvoudigd: van een handvol tot boven de vijftig. De Joint Sigint Cyber Unit, een gezamenlijke digitale eenheid van de AIVD en de militaire veiligheidsdienst MIVD, vormt nu de grootste tak van de Nederlandse veiligheidsdiensten.
Nu staten zich online steeds verder wapenen, ontstaan er ook dilemma’s. De online strijd is immers niet aan regels gebonden. Als landen cyberunits voor eigen gewin gebruiken, wie zal dan de digitale wapenwedloop afremmen? En kun je andere landen oproepen niet bij jou te spioneren en digitaal aan te vallen als je dat zelf elders doet?
Sinds 2010 is de wedloop in een stroomversnelling gekomen. Zo laat Rusland jonge Russen zich via sociale media voordoen als Nederlanders of Amerikanen, die zich mengen in discussies en proberen tegenstellingen te vergroten. China heeft tijdens de coronacrisis tienduizenden accounts op Twitter en Facebook ingezet om de schuld voor het ontstaan van het virus buiten China te leggen. De Wereldgezondheidsorganisatie (WHO) ligt voortdurend onder vuur van staatshackers die meer informatie over het coronavirus willen. Russische hackers proberen onderzoeksinstituten binnen te dringen die werken aan een vaccin tegen COVID-19.
Open samenlevingen zoals de Belgische en Nederlandse die zich daartegen willen beschermen, stuiten op grenzen. Om ongewenste beïnvloeding tegen te gaan, moet internetverkeer scherp in de gaten worden gehouden. Dat betekent dat de internetvrijheid afneemt. Dat mails en berichten niet meer zomaar ongezien van de ene gebruiker naar de andere gaan. Dat de staat ze gaat filteren. Kijk naar China, dat erin slaagde het hele internet in het land te censureren. Voor de Partij onwelgevallige woorden of websites, zijn niet in te typen of te bezoeken.
Een ander dilemma is hoe lang deze wapenwedloop is vol te houden. Als China en Rusland voortdurend met duizenden hackers aanvallen, moeten Nederland en België dan niet harder terugslaan? En ook meer hackers gaan inzetten? Of wakker je daarmee de wapenwedloop alleen maar aan? Uit onderzoek van Yahoo News blijkt dat de Amerikaanse CIA in 2018 geheime extra hackbevoegdheden heeft gekregen van president Donald Trump. Daarmee kan de CIA makkelijker in andere landen digitaal aanvallen en saboteren. Dit terwijl de Verenigde Staten zich publiekelijk zorgen maken over de digitale escalatie en oproepen tot ‘normen’ in het digitale domein. Normen die zij dus zelf schenden. Als geen land de eerste wil zijn die op de rem trapt, gaat de escalatie verder.
Als deze gevaren horen bij digitalisering, waarom blijven we dan enthousiast nieuwe technologieën omarmen? Waarom blijven we proberen om elektronisch te stemmen? Om online DNA-databanken te maken? Of om de hartslag en het slaapritme digitaal bij te houden? Het antwoord is misschien dat de gevaren nu eenmaal niet zo gemakkelijk zijn waar te nemen. We zien een smartphone, we zien niet het apparaatje dat ons gedrag vastlegt. We zien een slimme meter, niet de hacker die via datzelfde kastje weet of iemand thuis aan het douchen is. We zien een camera met gezichtsherkenning, maar niet de opsporingsambtenaar die registreert in welke straat iemand loopt of de hacker die de databank steelt.
De strijd om privé-informatie op de levensaders van de moderne tijd speelt zich af op onzichtbare plekken. In nietszeggende gebouwen waar rekken met computers staan en de airconditioning blaast. In kabels die onder de grond liggen of op de bodem van de oceaan. Achter de schermpjes en schermen die we elke dag weer vasthouden en bekijken. En zolang staten en criminele hackers zich vrijuit online kunnen bewegen en internet kunnen gebruiken om hun macht te vergroten, zal die strijd toenemen. Tot het moment waarop de stroom weer uitvalt.
Huib Modderkolk is onderzoeksjournalist bij de Volkskrant en auteur van Het is oorlog, maar niemand die het ziet (2019). Fotograaf Jeroen de Bakker werkte vier jaar aan deze serie. Dit is zijn eerste reportage voor National Geographic.
Dit verhaal verscheen in de september editie van National Geographic Magazine.
