Zware DDoS-aanvallen: wie, wat, waar en waarom?
Zoveel data dat ze het niet aankunnen. De afgelopen 48 uur hebben ABN Amro, ING, de Rabobank, SNS, de Belastingdienst, DigiD en Rijkswaterstaat te maken gehad met DDoS-aanvallen. Het is onduidelijk of het hierbij blijft. Dit soort aanvallen zijn aan de orde van de dag, maar die van dit weekend en van vandaag zijn omvangrijker dan veel andere.
Wat is een DDoS-aanval?
Bij een DDoS-aanval (Distributed Denial of Service) worden er vanuit een netwerk van computers in een keer heel veel data naar een server gestuurd, veel meer dan normaal gesproken. Door deze vloedgolf aan informatie zijn de servers tijdelijk offline óf slecht bereikbaar. Het netwerk van computers dat de data stuurt, wordt een botnet genoemd. Dit zijn gehackte computers van onschuldige gebruikers die worden misbruikt om zulke aanvallen uit te voeren.
DDoS-aanvallen zijn niet nieuw, ze gebeuren al jaren. Wel worden ze geraffineerder en zwaarder. Een voorbeeld van zo'n zeer zware aanval is die op DNS-provider Dyn in oktober 2016. Dit bedrijf zorgt ervoor dat als je bijvoorbeeld nos.nl intikt, je naar de goede servers wordt gestuurd. De aanval op Dyn had volgens sommige berichten een kracht van 1,2 terabit per seconde, al kon de provider dat toen niet bevestigen.
De aanvallen worden niet alleen steeds groter, er wordt ook vaker gebruikgemaakt van het zogeheten 'internet der dingen'. Dit zijn apparaten als babyfoons, beveiligingscamera's, koffiezetapparaten en andere producten die zijn aangesloten op het internet. Vaak worden deze producten aangesloten zonder goede beveiliging, waardoor ze kunnen worden misbruikt. Dat gebeurde bijvoorbeeld bij de aanval op Dyn, toen ging het om het zogeheten Mirai-botnet.
Waar komt de aanval vandaan?
Dat weten we niet. Er wordt op sociale media veel gespeculeerd over een link met Rusland, vanwege de onthulling van de Volkskrant en Nieuwsuur afgelopen donderdag. Daaruit bleek dat de AIVD langere tijd in een netwerk van een Russische hackersgroep zat. Nu deze aanvallen daar zo kort op volgen, rijst al snel de vraag of het om een vergeldingsactie gaat.
Maar beveiligingsonderzoekers die de NOS vandaag heeft gesproken zeggen allemaal dat daar op dit moment geen bewijs voor is. Ook is het onduidelijk of deze aanvallen zijn opgezet door een eenling of dat er een grotere organisatie achter zit. Als later blijkt dat er wel een verband is met Rusland, dan wil dit niet zeggen dat de aanvallen door de staat worden aangestuurd. Het kan ook het werk zijn van hackers die de autoriteiten vrijwillig steunen.
Het onderzoek naar de daders bij de getroffen organisaties is in volle gang. Daarbij wordt bijvoorbeeld gekeken naar de locatie waar de aanval vandaan komt. Dat wil echter nog niet zeggen dat de dader of daders daar ook zitten. De servers zijn in principe vanaf overal ter wereld aan te sturen. Veel tijd om de aanval te onderzoeken is er niet. Na enkele uren is de server vaak alweer offline, en dan kan een deel van de belangrijke aanwijzingen alweer verdwenen zijn. Bovendien kunnen de daders zichzelf door versleuteling en vpn-netwerken (virtual private network) nagenoeg onzichtbaar maken.
Waarom wordt zo'n aanval uitgevoerd?
In eerste instantie stelen de aanvallers geen klanteninformatie van banken, al kan dat wel als bijvangst worden beschouwd. Het beoogde effect is dat websites en apps stil komen te liggen. "Vaak zijn het kwajongens die er achter zitten", zegt Dave Maasland van IT-beveiligingsbedrijf Eset. "Heel technisch hoeven ze daar niet voor te zijn, want je kunt op het internet al voor zeven euro een DDoS-aanval kopen."
Maar het kan ook een rookgordijn zijn, denkt Maasland, en onderdeel van een grotere aanval. Soms is het bijvoorbeeld een opzet voor phishingmails. Criminelen proberen dan met e-mails bij klanten gevoelige informatie en geld te ontfutselen. De mail kan bijvoorbeeld verwijzen naar de DDoS-aanval, en klanten vragen om via een link opnieuw in te loggen. Dan kom je alleen niet uit op de site van bank, maar op een frauduleuze website waar je gegevens kunnen worden gestolen als je inlogt.
Daarbij komt dat de apparaten die het botnet misbruikt mogelijk zelf niet veilig meer zijn. Ze zijn immers geïnfecteerd met een virus dat mensen van buiten toegang geeft. Waarmee er zeer waarschijnlijk ook toegang is verkregen tot de inhoud van de computer.
Heeft dit gevolgen voor mij?
Laat dit duidelijk zijn: er is dus geen sprake geweest van een hack. Je bankrekeningen bij de getroffen banken zijn gewoon veilig. Wel is het zo dat internetbankieren tijdens de aanval lastig of onmogelijk kan zijn. In het ergste geval moet je een paar uur wachten.
Daarnaast worden dus computers van gewone mensen misbruikt om DDoS-aanvallen uit te voeren. Vaak heb je dat niet door. Om een botnet op te zetten wordt gebruikgemaakt van malware, waarmee de computers centraal kunnen worden aangestuurd. Wat je in ieder geval kunt doen, is je computer goed beschermen tegen dit soort schadelijke software. Bijvoorbeeld door verdachte mailtjes te negeren. Daarnaast is het belangrijk om je software up-to-date te houden en kun je gebruikmaken van anti-virussoftware.
Zijn banken hier niet goed tegen beschermd?
Consumenten merken de gevolgen van de DDoS-aanvallen tot nu toe vooral bij hun bank. Bij die instellingen hebben ze intussen veel ervaring met dit soort incidenten. In april 2013 waren er bijvoorbeeld ook veel problemen, toen was betaalsysteem iDeal het doelwit. Een woordvoerder van ABN Amro zei vandaag tegen de NOS dat de aanvallen van dit weekend groter waren dan die in 2013.
Banken zetten speciale diensten in die hen beschermen tegen dit soort aanvallen. "Zulke contracten zijn miljoenen waard, dus er wordt een zeer zorgvuldige afweging gemaakt", zegt Michel van Eeten, hoogleraar Cybersecurity. "Dat betekent uiteraard ook: hoe meer capaciteit je nodig hebt, hoe meer je moet betalen." Van Eeten: "Banken moeten dus afwegen waar ze de digitale dijken een meter verhogen en waar niet."
