De 10 grootste hacks
We zijn tegenwoordig haast murw gebeukt door de nieuwsstroom over digitale inbraken en gecompromitteerde gegevens. Toch moeten we de impact niet onderschatten. Bovendien lopen de hackmethodes uiteen van bijzonder inventief tot verbluffend simpel. We zetten tien grootste hacks op een rij.
Hack op banken: SWIFT
Banken zijn een logisch doelwit voor hacks door criminelen. Zij gaan voor geld en waar valt daarvan meer te vinden? Alleen hebben die doelwitten dit ook wel door en beschermen ze de financiën in stevige kluizen. Maar digitalisering brengt meer gemak en mogelijkheden: voor zowel banken en hun klanten als voor bankrovers. Moderne netwerken en beveiligde verbindingen geven niet alleen consumenten het voordeel van internetbankieren.
Banken zijn via een beveiligd interbancair systeem verbonden waardoor ze makkelijker onderling tegoeden kunnen overschrijven. Digitale bankrovers beseffen dit ook en hebben begin 2016 succesvol aangehaakt op dit zogeheten SWIFT-netwerk (Society for Worldwide Interbank Telecommunication). In plaats van de digitale voordeur te bestormen en een vergrendelde kluis te lijf te gaan, hebben criminelen zich naar binnen gewurmd bij een kleinere, slecht beveiligde bank. Vervolgens zijn ze massale overboekingen en wegsluisoperaties gaan plegen, op naam van anderen.
De binnendringing was dermate goed (en SWIFT werd dusdanig vertrouwd door de banken) dat de dieven ongezien hun werk konden doen. Totdat ze een tikfout maakten. Een tussenliggende bank, Deutsche Bank, viel het ineens op dat een forse overschrijving werd gedaan naar de non-profit stichting ‘Shalika Fandation’, in plaats van natuurlijk ‘Foundation’. De centrale bank in Bangladesh werd om opheldering gevraagd en zo kwam de lopende bankroof aan het licht. Klaarstaande overboekingen voor een totaal van ongeveer 1 miljard dollar werden gelijk geblokkeerd. Ondertussen was er al wel zo’n 80 miljoen dollar buitgemaakt.
Vervolgens bleek uit onderzoek naar deze hack dat meerdere banken waren gecompromitteerd, waarbij er meer malafide SWIFT-transacties op stapel stonden. De daders zijn nooit officieel geïdentificeerd of achterhaald, maar een deel van de miljoenen is wel getraceerd. Het geld is via-via uitgekomen bij een casino in de Filippijnen waar het werd witgewassen. Forensische analyse van de gebruikte malware heeft de verdenking op Noord-Korea gelegd, dat vanwege internationale sancties niet aan geld of goederen kan komen. Een waar(gebeurd) James Bond-verhaal.
Stuxnet
Het doel heiligt de middelen is een oud gezegde dat ook in moderne cybertijden geldt. De Islamitische Republiek Iran wordt er al jaren van verdacht stiekem zelf aan kernwapenontwikkeling te doen. Onder het mom van uraniumverrijking voor energievoorziening zou het regime aan middelen voor nucleaire wapens werken. Dit complexe en topgeheime kernwapenprogramma heeft een flinke tegenslag gekregen. Een klap die is toegediend door een cyberwapen.
We hebben het (natuurlijk) over het beruchte Stuxnet. Deze cybersaboteur is in 2010 ontdekt, deels door toeval. Het bleek een zeer vernuftig staaltje malware te zijn, dat maar liefst vier voorheen onbekende beveiligingsgaten (zero-days) inzette om zichzelf via usb-sticks te verspreiden. Zo kon het ook de beveiliging van zogeheten air gaps overbruggen. Dit is het qua netwerk geheel gescheiden houden van belangrijke computers met gevoelige gegevens of kritieke toegang tot andere systemen.
In het geval van Stuxnet was het doelwit de computers waarop machine-aansturingssoftware draait van de industriële gigant Siemens. Die systemen zorgden in een energie-installatie in het Iraanse stadje Natanz voor de operatie van centrifuges. In die snel ronddraaiende machines wordt uranium verrijkt zodat het materiaal dienst kan doen voor nucleair gebruik.
Stuxnet was ingesteld om de centrifuges te slopen door ze ongemerkt sneller of op telkens wisselende snelheden te laten draaien. Officieel zijn de makers van Stuxnet niet bekend, maar diverse anonieme bronnen hebben aan gerespecteerde media gemeld dat het een gezamenlijke cyberoperatie was van de Verenigde Staten en Israël.
Half-Life 2 hack
Een hack van een heel ander kaliber is de broncodediefstal van een ooit langverwachte game. Terwijl pc-gamers de hoop op Half-Life 3 inmiddels wel hebben opgegeven, is er begin deze eeuw met smart gewacht op het tweede deel in deze gameserie. Na het baanbrekende Half-Life uit 1998 heeft gamemaker Valve vele jaren gewerkt aan Half-Life 2.
Dat ontwikkelwerk heeft zo lang geduurd dat sommige gamers het echt niet meer uithielden. Zoals de Duitser Axel Gembe die in mei 2004 ‘s ochtends vroeg van zijn bed werd gelicht door een arrestatieteam. Hij wist wel waar ze voor kwamen. Gembe had op zijn beurt ruim een half jaar eerder Valve-grondlegger Gabe Newell met een schok wakker gemaakt. “Dit was niet één van de beste dagen voor mij of voor Valve. Ja, de broncode die online is gepost, is de Half-Life 2 broncode”, meldde Newell in oktober 2003 in een forumpost.
Hij reageerde op softwarecode die plots online was opgedoken. Was dit de game waar Valve al vijf jaar aan werkte en die volgens planning een jaar geleden af had moeten zijn? Ja dus. De bestolen ontwikkelaar vroeg de gamergemeenschap te helpen om de dief op te sporen. Uiteindelijk heeft Gembe zichzelf bij Valve ‘aangegeven’, omdat hij spijt had. Hij had zelf de broncode niet online gezet, maar zijn buit wel gedeeld met anderen om op te scheppen over zijn hackskills. Alleen is het dus geen spelletje, maar een serieuze zaak net zoals de miljardenindustrie van games.
©PXimport
Diginotar
Bepaald geen spielerei is het altijd actuele onderwerp van digitale communicatie en aftappen. Dit is een heet hangijzer voor Justitie, criminelen en terroristen plus voor regimes, spionnen en dissidenten. Het door Stuxnet gehackte Iran is zelf als hacker gelinkt aan een Nederlandse zaak, met wereldwijde impact. We hebben het over de DigiNotar-hack van 2011. Een open deur, die echter door zijn impact niet in dit lijstje mag ontbreken.
DigiNotar was een Nederlands bedrijf dat als notaris digitale certificaten uitgaf om beveiliging te controleren op echtheid. Is een gedownload programma wel echt gemaakt door Microsoft? Is de site waarmee je browser nu een veilige verbinding legt wel echt Gmail.com? Misschien is de software stiekem voorzien van spyware, of loopt de verbinding met Gmail via een afluisterende derde partij. Digitale certificaten moeten dit aantonen.
Een vals certificaat kan dit verhullen, maar een vals afgegeven écht certificaat werkt veel beter. De inbraak bij DigiNotar diende hiertoe: de hacker heeft daarop vele valse certificaten aangemaakt. De systemen waarop dit wordt gedaan, waren officieel streng beveiligd en middels audits gecontroleerd. In de praktijk bleek de beveiliging totaal niet op orde, zo was de website van DigiNotar al sinds 2009 meermaals gehackt en nooit hersteld. En de audits bestreken alleen beperkte checklists.
Ondertussen was er digitale afluistering gepleegd op dissidenten in Iran die onderlinge contacten onderhielden via Gmail (en de chatfunctie daarin). De onderschepping van hun beveiligde communicatie is gedaan met een zogeheten man-in-the-middle aanval waarbij een vals certificaat de betrokken systemen voorloog. In totaal zijn er toen meer dan 500 valse certificaten uitgegeven, voor onder meer domeinen van Google, Yahoo!, WordPress, Firefox-maker Mozilla en anonimiseringssoftware Tor.
Hack op RSA
Wat is er beter dan het hacken van een maker van echtheidscertificaten? Het kraken van een sloten- en sleutelmaker. In lijn met de hack van DigiNotar ligt de diepgaande inbraak bij encryptiebedrijf RSA. Deze Amerikaanse firma is onder meer bekend van zijn kleine hardware-tokens (genaamd SecureID) voor beveiligd inloggen. Deze plastic sleutelhangers met lcd-schermpje geven codes die een derde factor zijn bij multifactor-authenticatie. Dit is qua idee vergelijkbaar met identifiers voor internetbankieren: naast gebruikersnaam en wachtwoord is nog een ander element nodig voor inloggen.
Wereldwijd gebruiken miljoenen bedrijven de SecureID-tokens van RSA om vele miljoenen mensen beveiligde toegang te geven tot gevoelige gegevens en kritieke systemen. Toegang tot de sleutels van SecureID geven dan toegang tot alle digitale sloten die daarmee zijn beveiligd. Natuurlijk openen ze niet al die sloten in één keer, maar de moeilijkste factor van multifactor is daarmee wel genomen. Gebruikersnamen zijn immers vaak af te leiden en wachtwoorden vallen te raden of op slinkse wijze te achterhalen.
Dat laatste is namelijk precies de manier waarop hackers bij RSA zelf zijn binnengekomen. Gerichte phishingmails bezorgden een malware-dragend Excel-bestand dat een zero-day in Adobe Flash benutte. De computer van gebruiker die de bijlage opende kreeg zo een backdoor waarna de hackers zichzelf verdere computertoegang verschaften. De diefstal van RSA-geheimen is wel ontdekt tijdens de roof, maar toen waren er al gevoelige gegevens de deur uit.
Kaspersky-hack
Hoe krijgt de wereld toch te horen over complexe hacks en wie daar mogelijk achter zit? Door het harde werk van security-experts die malware analyseren, online-sporen volgen en hackgroepen in kaart brengen. De meeste leveranciers van securitysoftware hebben teams van zulke hackerjagers, die met hun werk ook de beveiligingsproducten van hun werkgevers weer beter laten werken. Dus wat wil een topgeheime tophackorganisatie? Daar inbreken om de opsporing goed in de gaten te kunnen houden. Cyberspionage 2.0.
In 2015 geopenbaard bleek dit al harde praktijk. Securityleverancier Kaspersky Lab maakte toen uit eigen beweging bekend dat het was gehackt. “We hebben een geavanceerde aanval op onze eigen interne netwerken ontdekt. Het was complex, heimelijk, het benutte diverse zero-day kwetsbaarheden, en we zijn er vrij zeker van dat een natiestaat achter zit”, blogde oprichter en CEO Eugene Kaspersky.
Hij stelde wel gelijk gerust dat de producten en diensten van zijn firma niet gecompromitteerd waren door de malware, die Duqu 2.0 is gedoopt. De ongekend geavanceerde hackaanval was tijdig ontdekt. Vervolgens zijn malware en methodes geanalyseerd om voortaan eerder gedetecteerd en tegengehouden te worden. Maar later bleek Duqu 2.0 slechts de eerst ontdekte te zijn van dergelijke supermalware die wereldwijd geheim hackwerk doet.
Hack op Yahoo
Het zijn heus niet alleen de sleutelmakers, banken en de hackerjagers die interessante doelwitten zijn voor hackers. Gewone gebruikers in grote aantallen zijn ook wat waard. Zeker als de massale diefstal van inloggegevens door het gehackte bedrijf jarenlang stil wordt gehouden. Dit gebeurt helaas vaker dan je zou denken en de schaalgrootte speelt geen rol voor wel of juist niet waarschuwen van de eigenlijke slachtoffers. Het net niet meer ‘levende’ bewijs hiervan is Yahoo! dat groots gehackt is, meermaals.
©PXimport
De gevallen zoekmachine en webpionier heeft vorig jaar twee records gebroken, of misschien wel drie. Eerst was er de bekendmaking in september dat er in 2014 digitaal is ingebroken waarbij de inloggegevens van wel 500 miljoen gebruikers zijn buitgemaakt. Record één: 500 miljoen! Toen volgde in december de bekendmaking dat er in 2013 ook al was ingebroken en dat daarbij de inloginformatie van 1 miljard gebruikers is buitgemaakt. Record twee: 1 miljard!
Nog schokkender dan deze recordaantallen was het feit dat Yahoo! de hacks niet bekendmaakte omdat het die toen net had ontdekt. Nee, intern waren de digitale diefstallen bij sommige topmensen al bekend, al een jaar of twee. Record drie? De bekendmaking van de hacks was dan ook in reactie op het online opduiken van die gestolen gebruikersnamen en zwak versleutelde wachtwoorden. Zwakke encryptie valt met wat tijd en moeite best te kraken. De datadieven en hun informatiehelers hebben daarmee niet alleen toegang tot Yahoo!-accounts kunnen krijgen. Veel mensen hergebruiken inloggegevens, helaas.
Operation Aurora
Naast oude en teloorgegane internetbedrijven als Yahoo! gaan ook moderne giganten voor de bijl. Zoek- en ads-reus Google is eind 2009 gehackt en heeft dat begin 2010 wereldkundig gemaakt. Operation Aurora is de naam die deze aanval heeft gekregen en Google was eigenlijk slechts één van de slachtoffers. Naast Tibetaanse activisten (die net als Iraanse dissidenten Google-diensten zoals Gmail gebruiken) waren ook softwaremaker Adobe, netwerkapparatuurmaker Juniper, cloudbedrijf Rackspace, Defensie-toeleverancier Northtrop Grumman en vele anderen doelwit.
De hackers gebruikten zero-days in Internet Explorer en werden herleid naar de Chinese overheid. Bij de digitale inbraak op Google is toen ook broncode en intellectueel eigendom gestolen, meldde Google. De zoekmachine zwoer toen niet langer censuur in China te plegen en eventueel zelfs die grote markt te zullen verlaten. De Amerikaanse overheid heeft deze hack nog op een diplomatieke rel laten uitlopen.
Target-hack
Van geheel ander kaliber is de hack op de Amerikaanse winkelketen Target. Daar hebben hackers in 2013 gewoon het betalingssysteem gecompromitteerd om bij elke betaling met een betaalpas de kaartgegevens stiekem op te slaan. Elke kassa in de 1.797 Target-winkels was zo omgetoverd in een volautomatische datadief. Deze geldgerichte hack was sluw net voor het winkelseizoen van Thanksgiving (en Black Friday) gepleegd. Zo’n 40 miljoen creditcardnummers van klanten zijn buitgemaakt, waarmee vervolgens rekeningen zijn geplunderd en aankopen elders zijn gedaan.
©PXimport
Saillant detail is dat de initiële hack-ingang een toeleverancier van Target was: een installateur die verwarming en koelingsapparatuur leverde aan de winkels. De inloggegevens van die firma voor het netwerk van Target waren gestolen waarna de hackers vrij spel hadden.
Het erge is nog wel dat er intern digitale alarmbellen zijn afgegaan dat er iets loos was, Alleen werden die signalen genegeerd, terwijl er op beveiliging werd bezuinigd. Dit heeft eerst het hoofd ICT en daarna de hoogste baas van het concern de baan gekost.
OPM
Terug naar hacken op hoog niveau, met verdergaande motieven dan slechts geld. Elke organisatie boven een bepaalde omvang heeft een personeelsafdeling. Dit geldt ook voor overheden, zoals die van de Verenigde Staten. Daar verzorgt het United States Office of Personnel Management (OPM) personeelswerving, behoud van werknemers en meer HR-zaken voor het omvangrijke overheidsapparaat.
Daar valt dus interessante en zelfs geheime informatie te halen over mensen die in dienst zijn bij de diverse onderdelen van de Amerikaanse regering. En dat is precies wat er in 2015 is gebeurd. In de aanvankelijke onthulling van deze hack werd nog gesproken van dossierroof die 4 miljoen mensen betrof.
Dat forse aantal is door de FBI later bijgesteld naar 18 miljoen en daarna nog opgehoogd naar een geschatte 21,5 miljoen overheidsmedewerkers. Daaronder bevinden zich onder meer hoge ambtenaren en militairen. De impact van de OPM-hack bleek nog groter toen bekend werd dat er in de gestolen dossiers ook vingerafdrukken zaten van 5,6 miljoen overheidswerknemers. Daaronder ook geheim agenten die dus ontmaskerd konden worden. Wachtwoorden vallen na een hack wel te veranderen, maar vingerafdrukken niet.
