Let op wat je bespreekt, zegt MIVD: telefoon in snoeppot bij geheim overleg
Het is tijdens een vergadering de normaalste zaak van de wereld om je telefoon, tablet of laptop op tafel te hebben liggen. Maar een raad van bestuur van een groot bedrijf doet er goed aan dit niet te doen als bedrijfsgeheimen worden besproken, waarschuwt de baas van de Militaire Inlichtingen en Veiligheidsdienst (MIVD).
Over wat de dienst op dit vlak ziet gebeuren, kan generaal-majoor Jan Swillens niet zoveel zeggen. "Er zijn concrete voorbeelden, anders komen we niet met zo'n bericht", zegt hij tegen de NOS, zonder details te willen geven. Volgens de generaal-majoor is de boodschap bedoeld voor bedrijven die werken aan zogeheten dual-use-goederen.
Een voorbeeld daarvan zijn computerchips. "Die kun je uitstekend gebruiken voor civiele toepassingen, maar kunnen ook in nucleaire raketten worden geïnstalleerd", zegt Swillens. Volgens hem moeten hoogwaardige kennisbedrijven in Nederland er "ernstig rekening mee houden" dat "tegenstanders" interesse hebben in wat zij ontwikkelen.
Apparatuur thuislaten bij zakenreis China
Dat de top van Nederlandse bedrijven een interessant doelwit is voor bijvoorbeeld inlichtingendiensten, is al langer bekend. "Bij grote bedrijven wordt vaak het advies meegegeven om op reis naar China niet je werk- of privé-telefoon mee te nemen", zegt beveiligingsonderzoeker Sijmen Ruwhof. "Als je die bij de douane ook maar een paar minuten kwijt bent, kan daarmee worden gerommeld."
Bij welke Nederlandse topbestuurders dit gebeurt? Daar is niks publiekelijk over bekend.
Desondanks ziet Ruwhof dat dit gevaar bij bedrijven niet altijd even hoog op de agenda staat. "Ik voel me vrij ongemakkelijk als ik met een multinational aan tafel zit om een beveiligingsincident te bespreken waarvan de oorzaak nog niet bekend is, terwijl er allerlei telefoons op tafel liggen."
Ook Frank Groenewegen, chief security expert bij Fox-IT, herkent het gevaar. "Dit gebeurt, duizend procent. Bij welke Nederlandse topbestuurders? Daar is niks publiekelijk over bekend."
Volgens hem gaat het enerzijds om bedrijven in de high-techsector die interessant zijn. "Maar ik zou het breder willen trekken, wat denk je van de partijen die nu aan een coronavaccin werken? Als je het over de samenstelling daarvan hebt, kun je maar beter op voorhand heel voorzichtig zijn en daar dus niet openlijk over praten met je telefoon of laptop op tafel."
Groenewegen denkt dat zulke informatie heel interessant kan zijn voor bijvoorbeeld Rusland of China. "Zij zullen ook niet schuwen om in te zetten wat nodig is om bij deze informatie te komen, zoals een zero day." Dit zijn lekken in software die nog niet bekend zijn en dus kunnen worden gebruikt om bijvoorbeeld telefoons te kraken. Die kosten voor mobiele besturingssystemen Android of iOS al gauw 2 miljoen dollar, zegt Groenewegen.
Smartphones in de snoeppot
Groenewegen heeft op zijn bureau lege snoeppotten staan. "Als wij het over heel gevoelige dingen gaan hebben, gaan de smartphones in de snoeppot die vacuüm trekt. Dan is de kans toch weer een stuk kleiner dat een partij iets hoort."
De vraag is overigens of het meeluisteren met een vergadering de meest voor de hand liggende methode is om af te luisteren. "Als je toegang hebt tot een apparaat, weet je waarschijnlijk veel meer dan wat er in een boardroom wordt besproken", zegt hoogleraar cybersecurity Michel van Eeten van de TU Delft.
Ze kijken eerst of ze met phishing binnen kunnen komen, voordat ze dure diensten gaan inzetten.
Hij denkt dat de optie om een vergadering af te luisteren niet bovenaan de lijst staat. "Een mailbox van een bestuurder is al gauw interessanter. Ervan uitgaande dat je als bedrijf doelwit bent, zullen ze eerst kijken of ze met phishing binnen komen, om te kijken wat er te halen valt, voordat ze dure middelen gaan inzetten."
Geen boeman, vooral afwegen
MIVD-baas Swillens wil daarnaast niet alles over één kam scheren. "Het is niet zo dat ik nu zeg, geen telefoons meer. Zo werkt het natuurlijk niet." Volgens hem begint het ook bij bewustzijn. Het betekent ook dat je als bedrijf nog best kunt videovergaderen, want in de huidige tijd is fysiek bij elkaar komen vaak lastig.
Voor zijn eigen organisatie betekent het dat er geen telefoons en tablets op tafel liggen als er wordt gesproken over zaken die 'geheim' of 'zeer geheim' zijn.
