Van Wie is de Mol? tot hackers: de lessen van SHIFT Benelux

Hoe ontmasker je een Mol? Wat is ethisch hacken? Wat gebeurt er tijdens een hack? Hoe communiceer je met een cybercrimineel? En hoe herstel je zo snel mogelijk na een cyberaanval? Het waren allemaal vragen die tijdens het jaarlijkse evenement van Commvault, SHIFT Benelux, voorbijkwamen. Dat cybercrime niet langer een kwestie is van opportunistische aanvallen was overduidelijk, zowel bij de sprekers als bij de bezoekers. Field CTO bij Commvault, Mark Molyneux, stelde onomwonden: “Het is georganiseerd, geïndustrialiseerd en uiterst winstgevend. En wanneer iets zó winstgevend is, wordt het niet kleiner. Het krijgt meer financiële middelen, wordt geavanceerder en wordt steeds moeilijker te stoppen.”

Een privacyscreen verraadde de Mol

Die veranderlijke cyberwereld stond ook centraal tijdens de sessie van Daniël Verlaan. De onderzoeksjournalist, winnaar van De Tegel én van Wie is de Mol?, gaf de bezoekers een inkijkje in de hoofden van cybercriminelen en wat er achter de schermen allemaal plaatsvindt. Hij onthulde waarom het winnen van het realityspel eigenlijk een koud kunstje was, én alles te maken heeft met zijn expertise. Verlaan wist al wie de Mol was, nog voordat hij voet zette op de draailocatie in Zuid-Afrika. In het vliegtuig zat hij namelijk naast presentator Jurre Geluk, die in de finale werd onthuld als de Mol van het 23e seizoen. Jurre had een privacyscreen op zijn mobiele telefoon. Een gloednieuw scherm. Een scherm dat volgens Verlaan net voor de reis naar Zuid-Afrika op zijn telefoon was gezet. Terwijl Geluk beweerde dat hij die al een hele tijd had om zijn privacy te beschermen. Betrapt. En Verlaan? Die speelde het spelletje de hele tijd mee, ging er uiteindelijk met de winst vandoor en doneerde een deel aan de Vereniging van Onderzoeksjournalisten.

Menselijke fouten

Maar het ging ook over de hacks die hij deed, zoals het kraken van het lichtsysteem van de Erasmusbrug en die vervolgens roze liet kleuren. En over zijn ‘deelname’ aan een geheim overleg tussen de Europese ministers van Defensie, waar hij natuurlijk nooit bij had mogen zijn. Net zoals bij Wie is de Mol? waren het telkens menselijke fouten die tot de inbreuken leidden. In een korte terugblik op de eerste ransomware-aanval in 1989 en de opkomst van cryptovaluta, kwam hij ook uit bij WannaCry. Deze ransomware werd expliciet ontwikkeld voor Windows-systemen en vormde een kantelpunt in de bewustwording rond ransomware. Verlaan: “Ze dachten toen al ‘ransomware, dat gaat nog eens heel groot worden’”.

Affiliatenetwerken en access brokers

Verlaan ziet twee vernieuwingen in cybercrime: affiliates en access brokers. Criminele organisaties zijn inmiddels dusdanig goed georganiseerd dat ze vaak uit meer dan honderd personen bestaan en wereldwijd opereren. De ontwikkelaars van ransomware richten zich op het bouwen van de meest effectieve gijzelsoftware. Vervolgens werven recruiters binnen de organisatie online mensen om daadwerkelijk de hack uit te voeren en bedrijven af te persen. De access brokers daarentegen stelen inloggegevens of toegangsmethoden en verkopen ze aan cybercriminelen.

Ook besteedde Verlaan aandacht aan LockBit, die hij als een van ’s werelds meest beruchte hackersgroepen bestempelde. Ze versleutelen niet alleen de systemen van slachtoffers, maar stelen ook gevoelige data en dreigen deze openbaar te maken als er niet betaald wordt. Verlaan heeft er, met alles wat hij op het Darkweb ziet, begrip voor dat bedrijven soms betalen. Uit onderzoek van Commvault onder Britse bedrijven blijkt dat 96 procent ransomwarebetalingen in principe wil verbieden, maar ook dat 75 procent toch zou betalen als dat de enige manier is om hun bedrijf te redden. Ook als het illegaal is en tot een boete kan leiden. Verlaan interviewde Dmitry Khoroshev, het meesterbrein achter LockBit, en diverse andere cybercriminelen. Op een vraag van Verlaan of ze iets te zeggen hebben tegen slachtoffers in Nederland, antwoordde een van hen: ‘Klik niet op de link en kies sterkere wachtwoorden’. Een advies dat ook terugkomt in de sessie van ethisch hacker Inti De Ceukelaire.

Waarom AI geen wachtwoorden moet verzinnen

De Ceukelaire had een ontnuchterend voorbeeld paraat: “Een van de slechtste toepassingen die ik ooit heb gezien, was een bedrijf dat AI gebruikte om wachtwoorden voor medewerkers te genereren. De redenering was: ‘Volledig willekeurige wachtwoorden onthouden mensen niet. Dan schrijven ze de wachtwoorden op een Post-it. Dus laten we ChatGPT wachtwoorden bedenken die mensen wel kunnen onthouden.’ Dat bleek een ramp. Wanneer je AI vraagt om wachtwoorden te genereren, krijg je opvallend vaak varianten zoals: Password123!, Secret123! en Welcome123!”

Ongeveer 16 procent van de voorgestelde wachtwoorden volgt dat patroon (123 en een uitroepteken) omdat AI niet echt willekeurig is. Het voorspelt wat waarschijnlijk is op basis van trainingsdata. Omdat miljoenen gelekte wachtwoorden in datasets voorkomen, denkt AI dat zulke wachtwoorden normaal zijn.

Voorbereiding als beste verdediging

Op het eerste gezicht nam Jurre Geluk zijn rol als de Mol serieus en leek zich goed voor te bereiden. Toch was het een detail dat hem uiteindelijk verraadde: een nieuw privacyscreen op zijn telefoon.

Het is precies de boodschap waarmee Mark Molyneux de dag opende. Want hoe goed organisaties hun systemen ook beveiligen, geen enkele beveiliging is waterdicht. Cybercriminelen worden professioneler en beschikken over steeds meer middelen. Juist daarom draait cyberweerbaarheid vooral om hoe snel organisaties kunnen herstellen na een aanval.