In België worden dagelijks twintig computers gekraakt

17/01/'08

17 JANUARI 2008 - In België worden dagelijks twintig computers gekraakt en jaarlijks telt ons land zelfs duizend politieke hackings, meestal gepleegd door Turken die het gemunt hebben op de websites van het leger of de politie. Grote staten zoals India kraken steeds meer computers van andere landen en grote bedrijven.

Deze twee opvallende vaststellingen konden woensdag 16 januari worden genoteerd tijdens de eerste hoorzittingen over de beveiliging van onze ICT-systemen. De hearings in de Kamercommisse Infrastructuur kwamen er op initiatief van Kamerlid Roel Deseyn, de christendemocratische specialist in informatica. Die zamelt bij de deskundigen ook voorstellen in om de wet aan te passen.

Wat bleek gisteren uit de eerste hoorzittingen?

- Computercriminaliteit wordt niet meer bedreven door populaire figuren à la Red-Attack of door gefrustreerde pubers die voor de lol de website van de Navo kraken, maar door de georganiseerde misdaad die grof geld wil verdienen. ”Nieuw is vooral dat steeds meer staten hele scenario’s ontwikkelen en ambtenaren in dienst nemen om binnen te dringen in het computernetwerk van andere landen en van hun grote bedrijven om ze zo te kunnen overheersen”, zei Luc Beirens van de Federal Computer Crime Unit FCCU woensdag in de Kamer. Niet alleen Noord-Korea, China en Rusland proberen dat, maar ook het democratische India, dat hierover een hele doctrine heeft ontwikkeld. En dat is niet zonder gevaar voor onze (diamant)industrie. Recentelijk deden staten aanvallen op de overheidsinformatica van de VS, Groot-Brittanië en Duitsland.

- Het wordt voor de misdaadbestrijders almaar moeilijker om de daders achter een bepaalde vorm van informaticacriminaliteit te vinden. Eerst en vooral omdat je al voor 1.000 dollar per dag een botnet kan huren waarmee je de grootste providers van een land gewoon kan platleggen. Bij een botnet besmet één computer zo'n 1.000 andere computers (de slaves of zombies), zonder dat de eigenaar dat weet. Die slaves sturen dan op eenzelfde moment samen een bericht naar dezelfde andere computer, waardoor deze laatste crasht. Dat gebeurde o.a. met de computer van president Bush tijdens de voorbije verkiezingen. En recentelijk viel in Estland alles uit door een georchestreerde aanval. Estland zag zich zelfs verplicht om alle informaticaverkeer vanuit het buitenland tijdelijk te stoppen: banken vielen stil, maar ook bepaalde operaties kwamen in de problemen.

Volgens Luc Beirens is België bijzonder kwetsbaar "omdat de netwerken hier heel sterk geïntegreerd zijn, en verder omdat er een massa operatoren zijn en omdat tientallen groepen prepaid-cards verkopen, waardoor het voor de speurders onmogelijk wordt om te achterhalen wie een aansluiting op een netwerk heeft gemaakt. Botnets worden bovendien zo ingewikkeld en sterk dat de speurders gewoon de identiteit van de daders niet meer kunnen achterhalen.

- "Per jaar breken hackers alleen om politieke redenen binnen in ongeveer 1.000 Belgische websites. Vooral Turken doen dit en de slachtoffers zijn de politiediensten en het leger", zo legde Len Lavens uit. Lavens werkt bij de Belgian Scurity Bloggers, een internationaal netwerk dat meer veiligheid op het internet nastreeft. Lavens telt in ons land bovendien 50 gevallen van phishing per maand. Bij phishing sturen criminelen jou een e-mail. Die bevat zogenaamd een link naar een website van een bank. Deze site lijkt perfect op jouw bestaande bank, maar hij is nep. Op de site worden dan jouw codes en jouw kaartnummers opgevraagd. Daarna wordt je rekening gepluimd. Volgens Lavens worden in België per dag 20 computers gehackt. Overigens zegde Luc Beirens dan weeer dat internetbankieren in België ”vrij veilig is in vergelijking met andere landen”.

Wat moet zeker veranderen?

- Beirens: "Er moet één centraal orgaan komen dat alle informatie inzamelt over de bedreigingen van ons computernetwerk, waar dan ook in België. Zo'n orgaan bestaat nu niet en de bedrijven melden ook zelden dat in hun informatica is ingebroken omdat ze vrezen dat de concurrentie dat aan de weet komt en dat ze hierdoor een commercieel nadeel zullen lijden of andere gevaren zullen lopen. Melden moet verplicht worden". Lavens ging daarmee akkoord en wilde het niet-melden van hackings zelfs strafbaar maken. Het centrale orgaan zou soortgelijke taken hebben als het OCAD, dat alle informatie over terrorisme inzamelt, analyseert en beleidsadviezen formuleert.

- België moet ook een inventaris maken van zijn kritische ICT-infrastructuur. Welke computers van welke diensten moeten speciaal worden beschermd? Dat is nooit in kaart gebracht en het moet dringend gebeuren, zodat de eigenaars van die informatica ook verplicht kunnen worden om een reeks veiligheidsmaatregelen te nemen.

- Er moeten er bij alle parketten referentiemagistraten komen. Dat zijn substituten die zich alleen met ICT-veiligheid bezighouden. Nu bestaat dit soort magistraten nog maar voor sommige misdrijven: racisme, echtelijk geweld, maar niet voor bedreigingen van ICT.

- Op strafrechtelijk vlak moeten een boel dingen worden gewijzigd. Een aantal onwettelijke feiten, zoals identiteitsdiefstal (waarbij iemand jouw identiteit valselijk gebruikt om bv. aankopen voor hemzelf te doen), zijn momenteel geen misdrijven. Bovendien dateert onze hele strafprocedure uit de negentiende eeuw, ze is log en duurt tergend lang. Vooraleer een huiszoekingsbevel is aangevraagd is een oplichterswebsite al van het net gehaald door de daders zelf en in een andere staat weer opgebouwd onder een andere naam, en zo kan je als speurder niets meer vaststellen. Bovendien is er geen regeling waardoor de agenten undercover aan een chatsessie kunnen deelnemen: ze moeten zich altijd voorstellen en zo kan je natuurlijk de criminelen met kinderporno of racistische praat niet vatten.

- "De vzw die de domeinnamen (d.i. de naam van een site, zoals bv. www.gva.be) toekent heeft te weinig oog voor kleine website-eigenaren en gewone consumenten. Haar strategie is vooral commercieel", meende Lavens. Volgens hem moet ze minstens jaarlijks een externe audit laten doen, een ethischer politiek voeren en geïntegreerd worden in het centrale controle-orgaan dat alle bedreigingen van de informatica in kaart moet brengen. De vzw zou ook jaarlijks moeten rapporteren aan het parlement.

- Beirens beklemtoonde dat de termijn waarbinnen de providers e-mails en telefonie via het internet moeten bewaren best op 12 maanden blijft. "Zes maanden is absoluut te weinig. Je mag niet vergeten dat een strafrechtelijk onderzoek ons al gauw in meerdere landen brengt en omdat de gerechtelijke procedures zeker op internationaal vlak nogal traag zijn, is 12 maanden beslist niet te lang. De vraag rijst of 12 maanden in de strijd tegen het terrorisme niet te kort is. In Italië moeten de providers de data overigens 4 jaar lang bewaren". Beirens beklemtoonde dat er alleen maar een bewaarplicht is voor e-mails en telefonie over het internet. "Al de rest moeten wij via observatie of interceptie vaststellen en de procedures om dat te doen zijn ook niet makkelijk".

- Er is nog steeds personeelstekort. Beirens zegde nog dat de FCCU nu 156 mensen in dienst heeft, maar hij heeft er nog eens 160 bijgevraagd tegen 2011. Er zijn er nu onvoldoende. Daardoor lopen de wachttijden bij niet-dringende gerechtelijke onderzoeken in de grote steden op tot 12 maanden. Echt te lang.

Over de investeringsmiddelen was Beirens wel tevreden: "In 2007 kreeg ik daarvoor 783.000 euro, een werkbaar budget. Ik reken per persoon 5.000 euro per jaar en dan nog eens 9.000 euro gemeenschappelijke kosten in onze kleine afdelingen en 30.000 euro in onze grote afdelingen. Ons materiaal wordt in drie jaar tijd afgeschreven: in informaticatermen is dat lang, maar bovendien is het dan ook echt versleten omdat de toestellen dag en nacht werken."

- Lavens meende dat België veel te kwistig allerlei geheime informatie op het internet gooit. Zo staat een volledige analyse van 122 pagina's van alle mankementen in onze kerncentrales open en bloot op het internet, terwijl dat voor niets nodig is, betoogde hij.

Hij stelde voorts dat het hoog tijd is om de Belgische Telecomwet ook echt uit te voeren. Die wet verplicht alle providers om hun klanten gratis veiligheidssoftware (antispam en antivirusprogramma's) aan te bieden. Dat is volkomen logisch omdat je toch ook de remmen van je wagen apart moet kopen naast de auto zelf. Maar deze verplichting wordt in de praktijk niet uitgevoerd, zei Lavens. "Daardoor komen veel te veel virussen en spam op gewone individuele pc's terecht. Daardoor is er ook geen informatieuitwisseling over beveiliging tussen de verschillende providers en daardoor ook zijn er geen gemeenschappelijke veiligheidsindicatoren, omdat men immers niet weet welke virussen en spam zeker de verplichte gratis filters kunnen omzeilen."

Lees ook:

Belgische websites derde slechtst beveiligde ter wereld