Cybercriminaliteit te lijf
‘Kom maar op met die aangiftes’ Roermond • Dansers van dansgroep Benito uit Brunssum die tijdens keiharde hiphop beats hun maskers afwerpen. Symbool voor de ontmaskering van internetcriminelen? Wie schuilt er achter die misdadigers? Of hoe herken je een boeventronie? Het is maar welke betekenis je er aan wenst te geven. Het is in ieder geval de creatieve opmaat naar een boeiende namiddag over cybercrime. Wat is internetcriminaliteit? Hoe voorkom je het en hoe ga je om met de gevolgen? Of, zoals dagvoorzitter Wim Weijnen het formuleert: “aanwezigen die er nog niet van overtuigd zijn dat ze een probleem hebben, of er mogelijkerwijs tegen gaan oplopen die zullen als ze deze zaal hebben verlaten daar beslist anders over denken.” De toon is gezet. De ruim tweehonderdvijftig Limburgse ondernemers, verzameld in de Roermondse Oranjerie, gaan er op het jaarcongres van de LWV eens goed voor zitten. En ze worden niet teleurgesteld. Integendeel. Cybercrime is criminaliteit met computertechnologie als middel en doelwit. Eén op de acht mensen is wel eens slachtoffer geworden van cybercrime. Dit blijkt uit cijfers van het CBS. Deze vorm van misdaad treft vooral het bedrijfsleven. Driekwart van de jaarlijkse schade (8,8 miljard euro) wordt geleden door ondernemingen. Puur economisch gezien wordt het bedrijfsleven het zwaarst getroffen door internetboeven. ‘Dat overkomt mij toch niet, bij ons is niets te halen’ is allang een achterhaald cliché, ook bij Limburgse MKB bedrijven. Bijna een derde van alle MKB bedrijven heeft op een of andere wijze wel eens te maken gehad met cybercriminelen. Ofwel, cybercrime is geen ‘ver van mijn bed show’ meer voor Limburgse bedrijven. Vier cybercrime deskundigen geven deze middag acte de présence. Ieder vanuit hun eigen aandachtsgebied laten ze hun licht schijnen over criminaliteit via internet. Voormalig hacker Stan Hegt is sinds zeven jaar manager Information Protection Services bij KPMG. Christian Prickaerts is principal forensisch IT expert bij Fox-IT en dagelijks betrokken bij complexe security incidenten bij grote organisaties. Yolanda van Setten fungeert als cybercrime officier bij het Openbaar Ministerie en Godfried Klerkx is tactisch projectleider cybercrime bij de politie-eenheid Limburg. Stan Hegt -door Wim Weijnen aangekondigd als de ethische hacker- is vanaf zijn tiende levensjaar actief geweest als hacker. Hij kwam er op tijd achter dat hacken misschien toch niet de meest verstandige keuze zou zijn op zijn levenspad en besloot van zijn hobby zijn beroep te maken. “Ik wil hackers van u maken”, opent hij zijn betoog. “Ofwel zet die bril op van de cybercrimineel. Kijk door die bril naar je eigen onderneming. En stel je dan de vraag wat valt er eigenlijk te halen, waarom zou ik bij die organisatie digitaal inbreken.” Als ballen in een flipperkast schieten de antwoorden uit de zaal alle kanten op. Bedrijfsinformatie, klantgegevens, onderzoeksgegevens, geld, schade berokkenen, fun omdat het leuk is. “Allemaal legitieme redenen om te hacken”, constateert Hegt kwajongensachtig. De zaal lacht. “Sorry”, verontschuldigt Hegt zich. Niet legitiem natuurlijk, maar crimineel.” Om vervolgens antwoord te geven op de vraag wie is dat eigenlijk dat cybercrimegespuis? Hegt onderscheidt vier typen: scriptkiddies, de pubers die het ‘vak’ onder meer leren via YouTube. De digitale georganiseerde misdaad, aanvankelijk voornamelijk gesitueerd in Oost-Europa, maar door de olievlekwerking steeds dichter bij huis, de hacktivisten, activisten die hun doelstellingen willen realiseren via cybercrime en de national states hackers, digitale spionage waar een land achter zit. “Die laatste groep is voor ondernemers minder interessant. Dan wordt het een soort James Bond verhaal. “Daar gaan jullie maar voor naar de bioscoop.”
Nee, wat Hegt voor ogen heeft is om de aanwezigen te laten denken in risico’s. En dan komt de grootste dreiging uit de groep digitale georganiseerde misdaad, die louter uit is op geld. Uit zijn eigen praktijk als voormalig hacker schetst hij hoe eenvoudig het is -relatief gesproken- om op technische wijze een geldautomaat te kraken. Of, in een ander praktijkvoorbeeld, door misleiding van de mens -social engineering- je doel te bereiken. De boodschap achter zijn voorbeelden is zonneklaar. De praktijk van cybercrime is bijna altijd een combinatie van techniek en social engineering. Een cybercrime aanval verloopt theoretisch gezien in drie stappen: eerste stap is het binnendringen in het systeem van het potentiële slachtoffer. Stap twee is om bij de gevoelige informatie te geraken die interessant is voor de hacker. Stap drie: wegsluizen van de gevoelige informatie. Cybercriminelen maken onder meer gebruik van Leakedin. Een website die datalekken bijhoudt ofwel creditcards- en wachtwoordgegevens, etc. opspoort. Hegt opent een website met een paar honderd e-mail adressen en wachtwoorden. “Datalekken zijn aan de orde van de dag”, legt hij uit. “Als je op zestig tot zeventig websites een account gebruikt met naam en wachtwoord is de kans groot dat het bij een van die websites een keer mis gaat en je gegevens op straat komen te liggen. Reden genoeg dus om wachtwoorden te veranderen. Hergebruik kan heel gevaarlijk zijn.” Ook het gebruik maken van phishing wordt toegepast door cybercriminelen. Waarbij vaak wordt ingespeeld op de hebzucht van de slachtoffers. Hegt staaft dat wederom met een voorbeeld uit de praktijk. “Geef ze een prijs, houd ze een worst voor.” Via een phishingmail, voorzien van een prijsvraag waarbij een Ipad te winnen viel, voerde zijn bedrijf voor klanten een test uit naar veiligheidsbewustzijn. Veertig procent van de benaderden trapt er in en laat gebruikersnaam en wachtwoord achter. “Beveiligingsbewustzijn is uitermate belangrijk”, aldus Hegt, “als je constateert dat bij onze beste klant toch nog 1 op 7 medewerkers zijn wachtwoord en gebruikersnaam achter laat.” Hij vervolgt met de constatering dat drive by download een belangrijk wapen is in vaak voorkomende aanvallen op internet. Het heeft allemaal te maken met reguliere software die op je computer staat. Hackers lokken je naar een website waar een kwaadaardige code op staat. Die code haalt een lek naar boven, waardoor op afstand je besturingssysteem kan worden overgenomen en malware op je computer kan worden geplaatst. Uw pc is gehackt en besmet met malafide software. “U voelt zich als Alice in Wonderland”, zegt Hegt poëtisch. “U heeft geen idee meer wat fictie is en realiteit.” Die realiteit is vaak dat criminelen u op die wijze uw zuurverdiende geld afhandig maken. Ransomware is een chantagemethode op internet door middel van malware. Letterlijk vertaald betekent ransom: losgeld. Ransomware is een programma dat een computer blokkeert en vervolgens van de gebruiker geld vraagt om de computer weer vrij te maken. U betaalt dan zogenaamd via een politie pc card –zeg maar een digitale cadeaubon- aan het politieapparaat. In werkelijkheid gaan de cyber gladjanussen er met uw geld vandoor. Een verbluffend staaltje van hoe kwetsbaar uw gegevens kunnen zijn toont Hegt aan op een website die gehackte gegevens verkoopt. “Als er iemand in de zaal aanwezig is met een creditcard Geleen 6161 CZ met alle gegevens inclusief vervaldatum, beveiligingscode en adresgegevens, dan kunt u zich bij mij melden. Uw creditcardgegevens staan voor twee dollar te koop.” Verbijsterend. Hegt wil de aanwezigen niet bang maken, maar vooral aansporen meer attent, oplettend te zijn. Daarbij is het in zijn visie belangrijk dat ondernemers investeren in een uitgebreid beschermingspakket. “Een standaard antiviruspakket doet niet zo veel. Daarnaast verdient het tijdig installeren van updates superprioriteit. “Van de helft van de Nederlanders is de pc lek omdat die niet tijdig is geüpdate.” Hij verwijst naar de campagne veiligzakelijkinternetten.nl
die ondernemers de kans biedt de veiligheid van hun digitale bedrijfsomgeving op de proef te stellen. “Ik ben begonnen met jullie hackers te maken. Op het moment dat je snapt wat de bedreiging is, heb je ook de eerste stap gezet om te snappen wat je er tegen kunt doen”, besluit Hegt. Een klaterend applaus is zijn deel. Maar als het dan toch mis gaat, als een cyberprobleem de organisatie binnendringt, is het zaak snel te handelen. Christian Prickaerts: “Computer security is gebaat bij een snelle respons. Anders is het huis al afgebrand voordat we kunnen blussen. Cybersecurity incidenten bij u als ondernemer zijn voor ons een feestje.” Waarmee hij maar wil aantonen hoe gedreven zijn medewerkers zijn om de cyberproblematiek op te lossen. Zoals gezegd, bij cyberincidenten is de factor tijd leidinggevend. “Houd er rekening mee als u een week te laat bent, dan is het ook echt te laat”, houdt Prickaerts zijn gehoor voor. Het reageren op incidenten is in de ogen van Prickaerts geen reguliere IT taak. “Er is een duidelijk verschil tussen mensen die weten hoe het systeem werkt en mensen die ervaring hebben met hoe ze onderzoek moeten doen. Medewerkers die weten hoe het systeem werkt zijn bij een incident snel geneigd de fout à la minute te herstellen. Logisch vanuit hun oogpunt, dat begrijp ik ook wel want de focus ligt op de organisatie, dus snel weer aan de slag. Maar door die stap te zetten vernietig je misschien belangrijke sporen die ons kunnen helpen om vast te stellen hoe een en ander heeft kunnen gebeuren en wat u moet doen aan preventie. Maar ook als u besluit gerechtelijke stappen te ondernemen is het belangrijk middelen aan te reiken om criminelen op te sporen.” Het opsporen van cybercrime begint met een digitale reconstructie. “Wat we dan vaak zien, is dat we bij klanten een bepaald incident onderzoeken waarbij we sporen aantreffen van andere incidenten waarvan de opdrachtgever geen weet heeft. Vanzelfsprekend eigenlijk, want de cybercrimineel wil niet hebben dat u ontdekt dat hij in uw netwerk actief is. Het is van belang dat u weet wat er in uw netwerk gebeurt, dat u er zicht op heeft. Dat is beduidend, want bij een incident zijn dat vragen die wij ook aan u stellen. Weet dus wat er in uw digitale omgeving gebeurt. Bewaar die informatie ook enige tijd. Wanneer vindt een incident plaats en wanneer wordt het gedetecteerd? De praktijk wijst uit dat het gemiddelde ligt op een aantal weken. De cybercrimineel is binnen een dag klaar.” Prickaerts ervaart dat bij cybercrime incidenten conflicterende bedrijfsbelangen kunnen ontstaan binnen afdelingen van een organisatie. In de ogen van Prickaerts is ‘een incident nooit zo groot als het lijkt, het is groter.’ Waarmee hij maar wil zeggen dat een dergelijk incident een moment moet zijn om een fundamentele verandering te bewerkstelligen binnen de organisatie. “Wij leggen een vergrootglas op uw infrastructuur en zien het probleem waardoor het incident is ontstaan. In de loop van ons onderzoek komen we vaak nog andere problemen tegen die een risicofactor met zich meedragen. Regelmatig betreft dat een vorm van achterstallig onderhoud. Denk daar over na, laat dat checken door professionals. Een incident is vaak het begin van een traject dat wat langer gaat duren. Een spaarzaam moment waarin de onderneming in staat is om fundamentele veranderingen door te voeren in de eigen organisatie. Cybersecurity is tegenwoordig part of the business. Het is geen optie om het niet te doen. Sterker nog, vanaf 1 januari 2016 treedt de wetswijziging ‘Meldplicht van datalekken en uitbreiding bestuurlijke boetebevoegdheid College Bescherming Persoonsgegevens (CBP) in werking en moet een datalek worden gemeld bij het CBP en bij de betrokkenen indien het lek nadelige gevolgen kan hebben voor hun persoonlijke levenssfeer. Wie een datalek niet vermeldt riskeert een boete die kan oplopen tot maximaal € 810.000,- Overigens, het ligt in de lijn van verwachtingen dat het CBP richtsnoeren opstelt die meer duidelijkheid geven over de daadwerkelijke handhaving van deze wetswijziging. Neemt niet weg dat het van groot belang is een duidelijk actieplan achter de hand te hebben hoe te handelen bij cybercrime. Je kunt er maar beter goed op zijn voorbereid.”
LWV werkt intensief samen met andere werkgeversorganisaties in Limburg. Bijvoorbeeld in het Regionaal Platform Criminaliteitsbestrijding (RPC). Daaruit is ook een nauwe samenwerking ontstaan met zowel het openbaar ministerie als met de politie eenheid Limburg. “Nou denkt u natuurlijk mevrouw de officier is er, het komt allemaal goed. Toch?” introduceert Yolanda van Setten zichzelf. Ze is ontegenzeggelijk een topper in haar vakgebied, gezien ook het gezag dat ze uitstraalde in de serie ‘De beste in zijn vak’ in het tijdschrift Vrij Nederland waarin Coen Verbraak haar portretteerde. Ze windt er geen doekjes om. “Als u alles op orde heeft, kunnen wij, openbaar ministerie en politie aan de slag gaan. Maar heel veel mensen en bedrijven hebben hun cyberzaken niet in orde. Wat zie ik als officier en wat bespeuren mijn politieagenten? Nou, we zien de kwajongens achter hun laptopje in de woonkamer. Terwijl pa geen idee heeft wat ze aan het doen zijn leggen ze op een ochtend even de website van de ABN bank plat. Natuurlijk zien we ook de criminele groeperingen, niet alleen uit Nederland, maar ook uit Afrika, Wit-Rusland, Oekraïne, China. Een internationaal gezelschap dus en dat vraagt om een internationale samenwerking. Cybercrime is grensoverschrijdend, mijn bevoegdheden helaas niet. Krijgt u een beetje een beeld van hoe ik moet werken? Wat hebben we nou nog meer? De hacktivisten natuurlijk en de ouderwetse oplichter die vroeger nog wel aan de deur kwam maar nu warm en droog achter zijn computer met een sigaretje en een biertje u een loer probeert te draaien, bijvoorbeeld op Marktplaats.nl. Dat zijn de groeperingen die we zien en waar we ons mee bezig houden. Bij bedrijven is er vooral sprake van hacken en defacing, DDos aanvallen, phishing en malware. Stel uw telefooncentrale is gehackt en u vraagt of ik onderzoek wil doen, dan ben ik over een half jaar tot een jaar nog niet klaar. Als ik niet de eerste IP heb waarmee gehackt is, kom ik helemaal nergens uit. Dus vanaf vandaag: verander altijd uw standaard pincode. Het lijkt zo eenvoudig, maar het gebeurt heel veel en we spreken bij deze praktijken over grof geld. U kunt sinds vanmiddag ook hacken. Ik ook. Het staat allemaal op internet, ik kan ook uw website aanpassen. Zo simpel is het soms. Mijn advies: vertrouw helemaal niets meer. Kijk goed naar uw mail. Waar komt hij vandaan? Is ie wel betrouwbaar? Zeker als er veel geld mee is gemoeid is mijn aanbeveling: bel even. Gewoon even checken. Heel veel websites worden platgelegd door overvraging van een dienst waardoor die dienst niet meer functioneert. Dat gaat vaak in combinatie met afpersing. Kinderlijk eenvoudig, het wordt u uitgelegd op YouTube. De boodschap van vandaag is ook, ondanks vaak onze beperkte mogelijkheden, dat als we eenmaal aangiftes hebben en we kunnen die matchen met andere aangiftes dan hebben we soms heel veel data bij elkaar waarmee we uit de voeten kunnen. En ook boeven maken fouten. Vaak leiden hun fouten uit het verleden tot goede resultaten in de toekomst. En bent u helaas daadwerkelijk slachtoffer van cyberboeven dan komt u terecht bij mijn politie.” “Inderdaad”, beaamt Godfried Klerkx. Als politie concentreren we ons op drie zaken: intake, informatiepositie en opsporing. Wat kunt u doen als u bent aangevallen door cybercriminelen? U kunt de schade herstellen, de beveiliging aanscherpen. Vanuit de overheid is een campagne opgestart, Alert Online, doe er uw voordeel mee. U kunt aangifte doen, een strafrechtelijke procedure starten. Dat vraagt van onze kant om samenwerking met u. Wij willen graag weten wat er speelt in uw onderneming als het gaat over cybercrime waarbij samenwerking met u evident is. Meld cybercrime op www. politie.nl en deel het met uw collega’s. Als u een keuze maakt voor een opsporingsverzoek, beslist het openbaar ministerie over daadwerkelijke opsporing en vervolging.” In de zuidelijke provincies spreken we dan over meer dan drieduizend aangiftes per jaar. Opsporing in de cybercrime is vaak een kwestie van lange adem. Stroperige procedures in
verre landen zijn daar mede debet aan. Van de andere kant vallen ook internationale rechtshulpverzoeken bij van Setten op het bureau en vervolgens op het bordje van de politie. Als het gaat om het straffen van daders pleit van Setten voor ontneming en schadevergoeding. Want waar draait het om zegt ze met stemverheffing: geld! “Dat geld wil ik hebben, daar zetten we nadrukkelijk op in als openbaar ministerie als ik in de rechtbank sta.” Gedecideerd: “Kom maar op met die aangiftes. Ik ga ze niet allemaal oplossen, dat gaat me niet lukken. Maar alle informatie gezamenlijk geeft mij wel voldoende beeld om internationaal weer verder te kunnen opereren.” Wim Weijnen sluit de avond af met de mededeling dat ondernemers die de kans willen grijpen hun cybersecurity gratis te verbeteren terecht kunnen in de naast de Oranjerie geparkeerde KPN bus van Veilig Zakelijk Internetten, een initiatief van MKB Nederland. Maar eerst is het tijd voor een hapje en een drankje. En, verkondigt Weijnen als uitsmijter niet zonder trots aan, “vandaag lanceren we ook onze LWV app, boordevol informatie.” Ongetwijfeld hackersproof.
Frans Hermans
