Je hoeft geen minister of topmanager te zijn om doelwit te worden van hackers uit Rusland, China of Noord-Korea. Gewone mensen worden dagelijks geraakt door aanvallen die afkomstig zijn uit landen met actieve hackerprogramma’s. Soms ben je een tussenstap naar een groter doelwit, soms ben je gewoon pech gehad omdat je op het verkeerde moment op de verkeerde link klikte.
Het goede nieuws is dat je jezelf met een paar degelijke maatregelen een stuk moeilijker maakt als doelwit. Buitenlandse hackers werken vaak op schaal: ze gooien een breed net uit en richten zich op de mensen die het makkelijkst te kraken zijn. Als jij net iets meer moeite kost dan de persoon naast je, kiezen ze voor die ander.
In dit artikel leggen we uit hoe staatsgesponsorde hackers te werk gaan, welke technieken ze gebruiken en wat jij praktisch kunt doen om je digitale leven beter te beveiligen.
Wie zijn deze hackers eigenlijk?
Als we het hebben over buitenlandse hackers, bedoelen we meestal groepen die werken in opdracht van of met steun van overheden. Rusland heeft bekende groepen als Fancy Bear en Cozy Bear, die onder meer verantwoordelijk worden gehouden voor aanvallen op politieke partijen en overheidsinstanties wereldwijd. China heeft groepen zoals APT41, die zich richten op zowel spionage als financieel gewin.
Noord-Korea heeft de Lazarus Group, die beruchte bankovervallen en cryptodiefstal pleegt om het regime te financieren. Iran heeft zijn eigen hackersnetwerken die vooral gericht zijn op tegenstanders van het regime, maar ook op westerse bedrijven en burgers.
Deze groepen zijn goed gefinancierd, geduldig en professioneel. Ze hebben toegang tot technieken en middelen waar gewone cybercriminelen alleen maar van kunnen dromen.
Hoe raken gewone mensen erbij betrokken?
Je bent een opstapje
Een veelgebruikte techniek is het binnendringen via een zwakke schakel in een keten. Als hackers willen binnenkomen bij een groot bedrijf of overheidsinstantie, kijken ze eerst naar de medewerkers, leveranciers en familieleden van mensen die toegang hebben. Jij hoeft zelf niets belangrijks te beheersen om interessant te zijn.
Een voorbeeld: je broer werkt bij een energiebedrijf. Via jouw gecompromitteerde e-mailaccount sturen hackers hem een bericht dat er legitiem uitziet. Hij klikt op een link en de hackers zijn binnen. Jij was alleen de brug.
Massale dataverzameling
Sommige aanvallen zijn niet gericht op een specifiek persoon maar op grote hoeveelheden data. Chinese hackersgroepen staan erom bekend enorme databases met persoonsgegevens te verzamelen. Denk aan de hack op Marriott hotels in 2018, waarbij gegevens van 500 miljoen gasten werden gestolen. Die informatie wordt gebruikt voor spionage, chantage of het bouwen van profielen van mensen met toegang tot gevoelige informatie.
Financiele motieven
Noord-Koreaanse hackers zijn bijzonder actief in het stelen van cryptocurrency en het plunderen van bankrekeningen. Ze gebruiken phishing, nep-investeringsapps en kwaadaardige software om bij gewone mensen binnen te komen. Je hoeft geen miljonair te zijn om interessant te zijn: zelfs een paar honderd euro aan crypto of een bankrekening met spaargeld is de moeite waard voor een geautomatiseerde aanval.
Welke technieken gebruiken ze?
Phishing op maat
Buitenlandse hackersgroepen zijn meesters in spear phishing: gerichte e-mails die er precies uitzien alsof ze van een betrouwbare afzender komen. Ze doen vooraf onderzoek via sociale media, LinkedIn en andere bronnen om de e-mail zo geloofwaardig mogelijk te maken. Ze weten misschien dat je onlangs een pakketje hebt besteld, dat je bij een bepaalde bank zit of dat je kinderen op een bepaalde school zitten.
Het verschil met gewone phishing is de kwaliteit. Er staan geen spelfouten in, de e-mailadressen lijken kloppen en de links gaan naar nagesynchroniseerde websites die haast niet van het origineel te onderscheiden zijn.
Kwaadaardige software via legitieme kanalen
Een andere methode is het besmetten van legitieme software of updates. Dit heet een supply chain aanval. De beruchte SolarWinds-hack in 2020, uitgevoerd door Russische hackers, besmette een software-update die door duizenden bedrijven en overheden werd geinstalleerd. Jij installeert gewoon een update die je altijd installeert, en toch loop je een infectie op.
Wachtwoorden raden en stelen
Veel aanvallen beginnen simpelweg met het proberen van bekende wachtwoorden op grote schaal. Als jij hetzelfde wachtwoord gebruikt voor meerdere diensten en een van die diensten heeft een datalek gehad, kunnen hackers met die gegevens proberen in te loggen op al je andere accounts. Dit heet credential stuffing en het is volledig geautomatiseerd.
Wat kun je er praktisch aan doen?
Gebruik een wachtwoordmanager
De eenvoudigste en meest effectieve stap die je vandaag kunt zetten is het gebruiken van een wachtwoordmanager. Programmas zoals Bitwarden (gratis voor persoonlijk gebruik) of 1Password (ongeveer 3 euro per maand) genereren en bewaren unieke, sterke wachtwoorden voor elke dienst. Zo kan een datalek bij een website nooit leiden tot toegang tot je andere accounts.
Als je nu overal hetzelfde wachtwoord gebruikt, stop dan en los dit vandaag op. Het is de digitale equivalent van dezelfde sleutel gebruiken voor je huis, je auto en je kluis.
Zet tweestapsverificatie aan
Tweestapsverificatie (2FA) voegt een extra laag toe bovenop je wachtwoord. Zelfs als een hacker je wachtwoord heeft, kan hij niet inloggen zonder ook je telefoon of een speciale authenticator-app te hebben. Gebruik bij voorkeur een app zoals Google Authenticator of Authy in plaats van sms-codes, want sms is minder veilig.
Zet dit aan voor je e-mail, je bank en alle andere belangrijke diensten. E-mail is het meest kritiek: wie toegang heeft tot je e-mail, kan via wachtwoord-reset functies bij alles andere binnenkomen.
Gebruik een VPN op openbare netwerken
Een VPN versleutelt je internetverbinding en maakt het voor hackers veel moeilijker om te zien wat je doet of om je verkeer te onderscheppen. Dit is vooral belangrijk op openbare wifi-netwerken, bijvoorbeeld in een cafe, hotel of op het vliegveld.
Betrouwbare VPN-diensten zijn NordVPN (vanaf ongeveer 3,50 euro per maand bij een langetermijnabonnement), Surfshark (vanaf ongeveer 2,50 euro per maand) en Proton VPN, dat ook een gratis versie heeft voor basisbescherming. ExpressVPN en CyberGhost zijn ook degelijke keuzes, al zijn die iets duurder. Mullvad is een goede optie als privacy je prioriteit is: je hoeft er niet eens een e-mailadres voor op te geven.
Een VPN beschermt je niet tegen alles, maar het maakt gerichte onderschepping van je verbinding een stuk moeilijker.
Houd software up-to-date
Veel aanvallen maken gebruik van bekende beveiligingsgaten in software die mensen al maanden of jaren niet meer hebben bijgewerkt. Updates zijn vaak saai en komen op het verkeerde moment, maar ze dichten precies die gaten waar hackers gebruik van maken. Zet automatische updates aan voor je besturingssysteem, je browser en je apps.
Dit geldt ook voor je router thuis. Veel mensen vergeten dat die ook software draait die bijgewerkt moet worden. Controleer in het menu van je router of er firmware-updates beschikbaar zijn.
Wees voorzichtig met wat je deelt
Hackers die zich richten op een specifieke persoon doen vooraf onderzoek. Hoe meer informatie publiek beschikbaar is over jou, hoe geloofwaardiger ze hun aanval kunnen maken. Controleer je privacy-instellingen op sociale media en denk na over wat je deelt.
Je werkgever, je woonplaats, de namen van je kinderen, je reisplannen: al deze informatie kan worden gebruikt om een overtuigende phishing-e-mail te schrijven of om te weten wanneer je huis leeg staat.
Moet je echt bang zijn?
Angst is geen goede raadgever als het om beveiliging gaat. De kans dat je persoonlijk wordt geselecteerd als doelwit door een staatshacker is klein, tenzij je werkt bij een overheidsinstelling, een kritieke sector of regelmatig omgaat met gevoelige informatie. Maar de kans dat je wordt geraakt door een massale aanval of een geautomatiseerde campagne is een stuk groter.
De maatregelen die we beschrijven zijn niet alleen nuttig tegen staatshackers, ze beschermen je ook tegen gewone cybercriminelen, identiteitsdiefstal en accountovername. Het zijn praktische stappen die je digitale leven simpelweg veiliger maken, ongeacht waar de dreiging vandaan komt.
Begin met de makkelijkste stap: een wachtwoordmanager en tweestapsverificatie op je e-mail. Die twee maatregelen alleen al sluiten de deur voor het grootste deel van de geautomatiseerde aanvallen die dagelijks worden uitgevoerd. De rest kun je daarna stap voor stap aanpakken.