Afgelopen maandag¹ legde een cyberaanval de websites van vier Nederlandse provincies plat. Terwijl die aanval nog in volle gang was, werd ze in een Telegram-groep opgeëist door de pro-Russische hackgroep NoName, blijkt na onderzoek van Investico. De DDoS-aanval, die de websites van provincies Noord-Brabant, Groningen, Noord-Holland en Overijssel goeddeels onbereikbaar maakte, zou een vergelding zijn voor nieuwe steunbeloften aan Oekraïne. ‘Terwijl Nederland vliegtuigen overdraagt aan Oekraïne, sturen wij onze ‘DDoS-groeten,’ schrijft de hackersgroep op Telegram.²

Investico verschafte zich toegang tot die Telegramgroep,³ waarin dagelijks cyberaanvallen op westerse websites worden opgeëist. Het hackerscollectief, voluit 'NoName057(16)', startte toen Rusland Oekraïne binnenviel in 2022. Naar eigen zeggen werd het opgericht om aanvallen uit te voeren op ‘Oekraïense propagandamedia’.⁴ Inmiddels verlegt het zijn acties ook naar NAVO-landen, waaronder Nederland. Dat doet de groep met zogenaamde DDoS-aanvallen: gecoördineerde acties waarbij honderden computers tegelijkertijd een website bestoken met verzoeken, zodat deze overbelast raakt en voor gewone gebruikers onbereikbaar wordt.

‘Om half acht in de ochtend merkten we dat de website eruit lag,’ vertelt woordvoerder Bob Bakker van de provincie Noord-Holland over de aanval.⁵ ‘Dit duurde tot ongeveer vijf uur ‘s middags. Onze interne systemen werkten wel, maar inwoners konden bijvoorbeeld geen subsidie aanvragen.’ Groningen laat weten dat een DDoS-aanval bijna dagelijks voorkomt, maar dat deze meestal afgeslagen wordt door haar zogenaamde ‘DDoS-wasstraat’.⁶ Dit keer kwam er echter zóveel ongewenst bezoek naar de provinciewebsite toe, dat die maatregelen niet afdoende waren. Datzelfde geldt voor Noord-Brabant, dat nu extra stappen overweegt om herhaling te voorkomen.⁷

NoName claimde afgelopen jaar 63 cyberaanvallen⁸ op essentiële dienstverleners in Nederland, blijkt uit een analyse van Investico en De Groene Amsterdammer, mede voor Trouw, van alle Telegram-berichten van NoName. Eerder belaagde het bijvoorbeeld de Belastingdienst,⁹ het vliegveld Maastricht-Aachen,¹⁰ OV-chipkaart¹¹ en verschillende Nederlandse havens.¹² De groep reageert steeds expliciet op ‘anti-Russische acties’ van het westen. Toen Nederland afgelopen zomer bekendmaakte Leopard-1-tanks voor Oekraïne aan te schaffen,¹³ werden de websites van de Rotterdamse en Amsterdamse haven aangevallen. Tijdens een bezoek van Zelensky aan Nederland, tijdens Dodenherdenking, werd de website van de Staten-Generaal platgelegd.¹⁴ Ook elders in Europa ontkwamen banken, overheidsinstanties en andere vitale organisaties niet aan DDoS-aanvallen van de hackgroep.¹⁵

De impact van DDoS-aanvallen kan heel groot zijn, met uren- tot dagenlange storingen als gevolg, terwijl de aanvallen zelf heel eenvoudig uit te voeren zijn. ‘Daar heb je geen trollenleger of steun van Poetin voor nodig,’ zegt cybersecurity-expert Bert Hubert.¹⁶ Hij noemt de hackerswereld een soort ‘spiegelpaleis’, vol fluïditeit en valse opeisingen — waarin nauwelijks te verifiëren is wie er precies achter zo’n aanval schuilgaat. ‘Die aanvallen vinden plaats via duizenden, zo niet miljoenen apparaten: computers, printers, deurbellen, die vaak gehackt zijn.’

DDoS-aanvallen hebben ingrijpende gevolgen voor organisaties, die vaak geen andere keuze hebben dan dure commerciële diensten in te schakelen die gespecialiseerd zijn in het opvangen van deze ongewenste verkeersstromen. Vanwege de kosten van vaak duizenden euro’s per maand¹⁷ zijn organisaties terughoudend om preventieve maatregelen te nemen, totdat ze daadwerkelijk doelwit worden.

Met maatregelen is het volgens VVD-Europarlementariër Bart Groothuis, voorheen hoofd cybersecurity bij Defensie, ‘kinderlijk eenvoudig’ om het merendeel van de DDoS-aanvallen te pareren.¹⁸ Hij is kritisch op de kwetsbaarheden van sommige overheidswebsites. ‘Anno 2024 moet je dit echt goed ingericht hebben.’ Groothuis werkte afgelopen jaren als rapporteur mee aan een nieuwe Europese richtlijn (NIS2)¹⁹, die erop moet toezien dat bedrijven in kritieke sectoren als energie en gezondheidszorg, evenals overheidsinstellingen hun beveiliging op orde hebben. Organisaties die daar niet in voldoende in slagen, kunnen daar vanaf oktober voor beboet worden. Hoe dat er precies uit gaat zien is nog niet duidelijk: momenteel debatteert Den Haag over hoe die richtlijn omgezet wordt in nationale wetgeving.