Statelijke actoren – de nieuwe geopolitieke dimensie van cybercrime

Terwijl cybercriminelen de ene na de andere organisatie verlammen met ransomware, speelt zich achter de digitale schermen een meer verborgen spel af waarbij de inzet een stuk hoger is. Dit is het spel van digitale spionage door zogenaamde statelijke actoren. De aanvallen van deze statelijke actoren halen het nieuws meestal niet, simpelweg omdat ze niet worden waargenomen. Af en toe vangen we een glimp op, zoals in 2018, toen de MIVD een Russische aanval op de Organisation for the Prohibition of Chemical Weapons (OPCW) in Den Haag voorkwam.

We spreken met Pim Takkenberg, expert op het gebied van digitale aanvallen door statelijke actoren en werkzaam bij securitybedrijf Northwave. Op CFO Day 2024 – “Only when the tide goes out.”: legt hij in zijn masterclass Why Panda’s like Dutch Cheese uit waarom statelijke actoren en industriële spionage ook voor uw bedrijf een kwestie van leven en dood kunnen zijn.

We vragen hem om alvast een tipje van de sluier op te lichten.

Aan welke landen moeten we denken als we het hebben over statelijke actoren?

“Er is een klein aantal landen dat zich sterk toelegt op digitale spionage. De grote vier zijn Rusland, China, Iran en Noord-Korea. Natuurlijk zijn er ook westerse landen die zich ermee bezighouden, maar die vertrouwen we in algemene zin meer gezien de relatie die we met ze hebben. Van de grote vier legt Iran de nadruk op sabotage, houdt Rusland zich daarnaast ook bezig met strategische spionage en doet Noord-Korea het voornamelijk om de impact van de economische sancties te verkleinen. China pakt de spionage het meest strategisch en planmatig aan, en focust zich daarbij sterk op economische spionage.”

Digitale aanvallen zijn dus integraal onderdeel van de Chinese totaalstrategie?

“Zeker. Maar we moeten het natuurlijk wel in context zien. De fysieke strategie van China bestaat al jaren, het digitale domein is daar naadloos aan toegevoegd. In onze masterclass zal ik dieper ingaan op het Belt en Road initiatief, China’s plannen voor de toekomst en de manier waarop daar wordt gedacht over intellectueel eigendom. En panda’s.”

Waarom panda’s?

“Het is in de securitywereld gebruikelijk om aanvalsgroepen te clusteren per land. Daarbij worden verschillende conventies gebruikt. Bij Northwave sluiten we ons aan bij het Crowdstrike systeem, waarbij dieren worden gebruikt voor de verschillende landen. Zo heeft Rusland de beer, en China dus de panda. Alle statelijke hackergroeperingen die opereren vanuit China krijgen een naam met daarin het woord panda. Zo zijn er bijvoorbeeld Override-Panda, Kryptonite-Panda, Keyhole panda, en nog tientallen meer.
Om te illustreren hoe deze Chinese aanvalsgroepen te werk gaan en welke impact dat op Nederlandse organisaties kan hebben zal ik in mijn presentatie inzoomen op de Stone Panda groep, vertellen hoe ze te werk gaan en op welke sectoren ze hun pijlen richten. Overigens was China niet de dader maar juist het slachtoffer van de allereerste industriële spionage.”

Vertel…

“In de 17de eeuw was Chinees porselein ongekend populair in Europa. Dat leidde tot verschillende pogingen om het na te maken, zoals Delfts Blauw. Maar Europa kreeg pas echt grip op het proces toen de Franse monnik Xavier d’Entrecolles naar de Chinese stad Jingdezhen werd gestuurd met de opdracht om het geheim van de vervaardiging te stelen. In de 21^e eeuw gaat het tij de andere kant op. En Nederland heeft veel interessante geheimen, van de productie van semiconductoren tot veredelingstechnieken in de landbouw. Alle reden om op de hoogte te zijn van de risico’s voor je bedrijf en te bedenken hoe je die af kan dichten.”

Wat kunnen en moeten we als CFO’s doen om onszelf te beschermen tegen de Chinese panda’s?

“Daarvoor moet je dus naar onze Masterclass komen, haha… Maar in algemene zin kan ik al vertellen dat je als CFO op twee manieren moet opereren om de strijd met statelijke actoren aan te kunnen: intel driven en risk based. Met intel driven bedoel ik een goed begrip van hoe kwaadwillenden opereren en op wie ze zich richten: Ken de dreiging. Risk based daarentegen vereist een goed inzicht in de eigen organisaties, processen, assets en zwaktes: Ken uzelve. Alleen door die twee te combineren kun je passende maatregelen nemen. Niet dat ik daarmee iets nieuws vertel. De beroemde Chinese generaal Sun Tzu zei het al eeuwen geleden: ‘Wie de vijand én zichzelf kent, hoeft niet bang te zijn voor de uitkomst van honderd veldslagen’.”

Registreer je nu voor CFO Day 2024 (30 mei) en schrijf je in voor de Northwave Masterclass! https://cfoday.nl/aanmelden/

Deelname aan CFO Day is voorbehouden aan CFO’s van organisaties met een omzet van minimaal € 200 miljoen.