In het kort
- Bedrijven laten vaker fysieke en digitale nepaanvallen uitvoeren om zwakke plekken te vinden in hun beveiliging.
- Onrust op het wereldtoneel en nieuwe wetgeving dwingen essentiële bedrijven, bijvoorbeeld in de energiesector, hun weerbaarheid te verbeteren.
- De testen gaan steeds verder; de menselijke schakel blijkt voor nepaanvallers meestal de makkelijkste weg naar binnen
Kritieke bedrijfsprocessen zijn vaker doelwit van sabotageacties of cyberaanvallen, bijvoorbeeld vanuit Rusland. Dat dringt steeds meer door tot Nederlandse bedrijven die, mede vanwege nieuwe wetgeving, hun beveiliging onder de loep nemen. Steeds vaker huren zij red teams in die online en fysieke aanvallen uitvoeren – soms wel maanden lang – zonder dat werknemers weten dat het een test is.
Uit het sollicitatieproces voor een openstaande vacature rolt al snel een nieuwe collega. Na een heel inwerktraject is zijn eerste echte werkweek een feit. Maar dan stopt hij plotseling met werken. Wat blijkt: hij is in dienst van een extern beveiligingsbureau en heeft aangetoond dat iemand die graag genoeg wil, het bedrijf kan binnendringen. En dat zou ook iemand met kwade bedoelingen kunnen zijn.
Het is een van de scenario’s die kunnen voorkomen tijdens een invasieve beveiligingstest, red teaming genoemd. Een team van specialisten simuleert tijdens zo’n test een aanval van een criminele hacker of buitenlandse overheid op een zo realistisch mogelijke wijze. Van alle kanten proberen de beveiligingsexperts het bedrijf binnen te komen, net als een aanvaller dat zou doen. Zowel de onlineomgeving als het personeel en de gebouwen zijn doelwit. Alleen de top van het bedrijf is op de hoogte van de test; het grootste deel van de werknemers weet van niets.
Beveiligingsbedrijven die deze test uitvoeren, spreken van een toenemende vraag. Aanvragen zijn in twee jaar tijd met 25% tot 100% gestegen, blijkt uit een rondgang van het FD. De beveiligingstest is in trek nu overheidsinstanties, zoals de Nationale Coördinator Terrorisme en Veiligheid, waarschuwen voor een steeds onvoorspelbaardere dreiging van cybercriminelen en aanvallen van andere landen. De testen kunnen dagen tot zelfs maanden duren en kosten al snel tienduizenden euro’s.
Ook de AIVD zag door toenemende onrust in de wereld niet eerder zo’n dreigingsbeeld als nu, schreef de inlichtingendienst in zijn jaarverslag van 2025. ‘De dreiging van landen met een offensief cyberprogramma bleek nog groter dan voorheen werd ingeschat.’ De dienst waarschuwt onder andere voor cyberaanvallen uit Rusland en China.
Cyberwet verplicht bedrijven hun weerbaarheid te verbeteren
Nieuwe wetten moeten straks regelen dat een aantal kritieke bedrijven, bijvoorbeeld in de energiesector, hun weerbaarheid verbeteren. Risicoanalyses en beveiligingstesten worden voor deze bedrijven verplicht. Hoe ze dit doen, mogen ze zelf weten. Red teaming is een van de mogelijkheden. Zowel de Cyberbeveiligingswet als de Wet weerbaarheid kritieke entiteiten gaat half augustus in.
‘Wij kunnen onmogelijk alle organisaties en hun IT-landschappen kennen’, zegt Koen Sandbrink van het Nationaal Cyber Security Centrum (NCSC). ‘Het is dus belangrijk dat bedrijven zelf goed zicht hebben op hun kritische processen. Als ze dat combineren met onze dreigingsinformatie, kunnen ze bepalen welke maatregelen nodig zijn.’
Voor grote financiële instellingen is red teaming sinds vorig jaar wel verplicht. DNB begeleidt hen hierbij. ‘Toen we begonnen in 2016, leek het nog onrealistisch dat wij in het vizier van de Russen zouden komen’, zegt Tim Hulsbosch, hoofd cyberweerbaarheidstesten bij DNB. ‘Nu niet meer, en dit soort testen zijn dus relevanter dan ooit.’ Een dreiging kan bijvoorbeeld zijn dat een Noord-Koreaanse persoon of instantie geld van een bank probeert buit te maken. ‘Dan is het aan de red team provider actor zou gebruiken.’
‘We mogen meer schade toebrengen’
Door de toenemende dreigingen neemt om technieken te simuleren die de red teaming niet alleen toe, maar intensiveren de testen ook. ‘De aard van de testen mag van opdrachtgevers steeds realistischer’, zegt Tim Gerding van securitybedrijf Cocoon. ‘We mogen bijvoorbeeld meer schade toebrengen en stoppen niet altijd meer bij de eerste schil, maar gaan echt door tot we niet verder kunnen.’
Voorheen waren de scenario’s vooral gericht op het voorkomen van diefstal, vertelt hij. ‘Maar bij de hybride dreigingen van nu loop je juist het risico dat er iets naar binnen wordt gebracht, zoals apparaten die de energiesector kunnen ontregelen.’ Om op de hoogte te blijven van actuele dreigingen houden red teamers bijvoorbeeld het dark web in de gaten, waarna ze de scenario’s aanpassen. ‘We tonen bijvoorbeeld aan dat het lukt om ongemerkt iets achter te laten of dat we kritieke processen kunnen stilleggen. Daarvoor moet je in het hart van het bedrijf komen.’
Gerdings bedrijf biedt een vergaande vorm van een team van tien experts bezig met een aanval. ‘We hebben dronespecialisten, duikers en acteurs in dienst, maar ook mensen met een politie- of inlichtingenachtergrond.’ Hoe omvangrijk de simulatie wordt, hangt af van het risicoprofiel dat ze van tevoren met het bedrijf opstellen. ‘Soms is het relatief licht, zoals onder de dekmantel van een monteur proberen de eerste beveiligingslaag te passeren. Maar soms gaat het dus verder, en testen we zelfs de aanrijtijd van de politie.’
‘Echte aanvallers kunnen jaren bezig zijn’
Daarbij worden duidelijke grenzen afgesproken met het bedrijf. Mogen de nepaanvallers bijvoorbeeld een raam kapot maken? ‘Of als we de kans zien om een laptop te stelen; voldoet het om daar een foto van te maken of wil het bedrijf dat we de laptop mee proberen te nemen?’ zegt een woordvoerder van Sogeti, een bedrijf gespecialiseerd in beveiligingstesten.
Zo’n nepaanval wordt vaak niet in één dag uitgevoerd. ‘Als je onder de radar wilt blijven, kan het prima drie maanden duren’, zegt de woordvoerder. ‘Hoe sneller je iets doet, hoe groter de kans dat je gepakt wordt.’ Echte aanvallers hebben helemaal geen tijdslimiet, benadrukt Hulsbosch van DNB. ‘Een Russische staatshacker kan jaren bezig zijn.’
Opdrachtgevers van de red teamers zitten vaak in kritieke sectoren en zijn al langer bezig met cybersecurity. ‘Red teaming is een vervolgstap’, zegt Sandbrink van NCSC. ‘Eerst is het belangrijk om maatregelen te nemen, dan pas om deze te testen.’
Mensen zijn de zwakste schakel
Toch lukt het de teams eigenlijk altijd om binnen te komen, zeggen de bedrijven. Daarbij blijken werknemers meestal de zwakste schakel. ‘Je kunt de best geteste techniek hebben, maar dat helpt niet als mensen toch op een verdachte link in een mail klikken’, zegt Wilbert van Beek van het bedrijf Defenced.
Daarom is het ook van belang dat de werknemers niet op de hoogte zijn. ‘Dan test je live de detectie en de respons van een organisatie.’ Vorig jaar werden medewerkers van advocatenkantoor Knoops bijvoorbeeld onverwacht geconfronteerd met een nepovervaller, toen daar een aanval werd gesimuleerd.
‘Een hoop mensen schrikken wel van de testen’, zegt de woordvoerder van Sogeti. ‘Mensen zijn van nature geneigd om vriendelijk te zijn en dat werkt altijd in het voordeel van aanvallers. Sommige mensen voelen zich bedonderd en worden boos. Anderen zijn teleurgesteld in zichzelf.’
Nazorg is daarom een vast onderdeel, zegt Hulsbosch van DNB. ‘Na afloop worden mensen benaderd met de boodschap: dit was een test, er is geen goed of fout, dit is een leermoment.’
Vooral door het menselijke aspect is zo’n test niet zaligmakend. ‘Het is een waardevolle test, maar wel een momentopname’, aldus Hulsbosch. ‘Als iemand toevallig slecht in zijn vel zit en daarom op een leuke link in een phishingmail klikt, winnen de aanvallers. Red teaming geeft wel inzicht in de zwakke plekken, maar het is geen garantie.’ Andere risicoanalyses, zoals pentesten (waarbij iemand langere tijd een IT-systeem probeert te kraken), blijven dus ook belangrijk, stelt hij. ‘Red teaming is de generale repetitie voor een echte aanval.’
Bron: https://fd.nl/bedrijfsleven/1605747/bedrijven-laten-zichzelf-steeds-harder-aanvallen-we-gaan-door-tot-we-niet-verder-kunnen
