Metadata van telefoongesprekken blijkt eenvoudig te manipuleren
Telecomproviders zijn al jaren verplicht te registreren wie met wie communiceert. Opsporingsinstanties en inlichtingendiensten kunnen deze informatie gebruiken om de activiteiten van verdachten in kaart te brengen. Het blijkt echter kinderlijk eenvoudig te zijn om vervalste informatie in de databases van telecomproviders te krijgen. Dit kan er dan ook toe leiden dat inlichtingendiensten en opsporingsinstanties met foutieve informatie aan de slag gaan, waardoor onschuldige burgers in de cel kunnen belanden.
Dit blijkt uit onderzoek van NU.nl bij zeven verschillende telecomproviders. Telecomproviders zijn volgens de wet verplicht de metadata van telefoongesprekken of sms-berichten te bewaren. Deze metadata bestaat uit zowel de afzender als verzender en het tijdstip waarop het sms-bericht is verzonden of telefoongesprek plaatsvond.
Telefoongesprekken spoofen
Op internet zijn echter allerlei tools beschikbaar waarmee het mogelijk is telefoongesprekken te spoofen. De gesprekken lijken hierdoor afkomstig te zijn van een bepaald telefoonnummer, terwijl dit in werkelijkheid niet het geval is. Telecomproviders blijken echter niet te controleren of de metadata die zij in hun database opslaan correct is. De gespoofte telefoongesprekken blijken bij de zeven telecomproviders dan ook gewoon te worden opgenomen in de database.
De foutieve informatie is overigens in theorie wel op te sporen, maar dit kost veel tijd. Opsporingsinstanties en inlichtingendiensten kunnen de administratie van beide gesprekspartners naast elkaar leggen en vergelijken. Hierdoor wordt duidelijk dat het telefoongesprek niet in de administratie van de verzender staat, wat duidelijk maakt dat het om een gespooft gesprek gaat. De fout is dus alleen te ontdekken als de metadata van ieder telefoongesprek wordt gecontroleerd.
Groot probleem
De eenvoudig waarmee de metadata van telefoongesprekken kan worden gemanipuleerd is een groot probleem. Bart Nooitgedagt, voorzitter van de Vereniging van Strafrechtadvocaten (NVSA), is bezorgd over de gevolgen hiervan. Nooitgedagt stelt dat nooit zomaar kan worden uitgegaan van de juistheid van de informatie die providers hebben opgeslagen. De advocaten willen dan ook een onderzoek naar het manipuleren van de gegevens. Nooitgedagt waarschuwt dat de foutieve informatie ertoe kan leiden dat onschuldige burgers verdacht worden van criminele activiteiten en hiervoor zelfs veroordeeld kunnen worden.
Meer over
Lees ook
STL versterkt netwerkbeveiliging en vereenvoudigt beheer met Fortinet Security Fabric
Sectorinstituut Transport en Logistiek (STL) heeft onlangs succesvol de implementatie van Fortinet Security Fabric afgerond. Met deze geïntegreerde aanpak beschikt STL over een toekomstbestendig cybersecurityplatform. Dit biedt bescherming op alle niveaus; van netwerk en endpoints tot toegang tot de Azure cloudomgeving.
Orange Cyberdefense: schijnzekerheid in ketenbeveiliging grootste risico
“De zwakste schakel in je keten bepaalt uiteindelijk je risico”, stelt Van der Wel-ter Weel. “Als je die schakel negeert, of alleen aanspreekt zonder ondersteuning, vergroot je het probleem in plaats van het op te lossen. Organisaties die echt werk willen maken van ketenbeveiliging, moeten stoppen met afvinken en beginnen met faciliteren.”
Orange Cyberdefense: “Maak leveranciersbeveiliging inzichtelijk met een veiligheidscijfer”
Hoe weet je als organisatie of je leverancier zijn digitale veiligheid op orde heeft? Certificeringen zoals ISO 27001 of ISAE 3402 zijn waardevol, maar vaak kostbaar, complex en lastig te doorgronden. Orange Cyberdefense ziet ruimte voor een aanvulling: een veiligheidscijfer of label.