Security (b)log: juli 2025

vrijdag 25 juli 2025

Kunstmatige integriteit

Afbeelding gegenereerd door AI (Copilot)

Hoogste tijd voor een zomerse blog, al komt de inspiratie daarvoor even niet uit het actuele weer. Maar gelukkig heb ik een geschikte tip van een collega gekregen.

Hij toonde me twee korte filmpjes. Op het eerste zie je hem en zijn vriendin naast elkaar zitten. Ze draaien zich naar elkaar toe en zoenen. Op het tweede filmpje zie je hem alleen op een rotsblok aan zee zitten en schuiven er vier blonde, langharige en vooral schaars geklede dames in beeld die hem, eh, liefkozen. Hijzelf heft genietend het hoofd.

Waarom deelt hij zulke beelden? We hebben geen teamcultuur waarin we opscheppen over dergelijke veroveringen. Nee, hij liet me dit zien omdat het niet echt is. Oh, het begint wel met een echte foto hoor. Gewoon een leuk vakantiekiekje. Vervolgens maakt de AI-app PixVerse er zo’n filmpje van. Je kunt kiezen uit een heleboel sjablonen, er is veel meer dan de beide genoemde voorbeelden: je kunt iemand in een privéjet laten instappen, knuffelen met een ijsbeer of tijger, in Batman veranderen, je haar explosief laten groeien, een klap in je gezicht krijgen en ga zo maar door. Bij veel filmpjes zal de kijker meteen snappen dat het nep is. Maar bij de filmpjes van die collega kom je daar niet zomaar vanzelf op.

Het is dan ook niet voor niets dat de Europese AI-wet vereist dat dingen, die door kunstmatige intelligentie gecreëerd zijn, als zodanig worden gemerkt. Want stel dat de vriendin van die collega het tweede filmpje zonder verdere uitleg onder ogen krijgt. Dat zou – afhankelijk van temperament en onderling vertrouwen – zo maar tot een heftige scène kunnen leiden. Nu is PixVerse vooral gericht op lol trappen, maar je snapt dat je dergelijke toepassingen ook voor heel andere doelen kunt gebruiken.

Om maar eens wat te noemen: afpersing. Je genereert een filmpje van iemand in een compromitterende situatie, dreigt om het te verspreiden en houdt je hand open. En zoals het een goede crimineel betaamt, zal hij zich niet per se aan de wet houden en erbij vermelden dat het een nepfilmpje is. Nou is de kwaliteit van PixVerse niet direct bedreigend: als je beter kijkt, dan kun je het heus wel zien. Vooral vingers blijven problematisch voor AI, en ogen. Maar toch, als je er niet op bedacht bent dat je voor de gek wordt gehouden, dan let je daar niet op – en je ziet het pas als je erop let. Ik zie een crimineel verdienmodel.

Het lijkt erop dat PixVerse vooral jongeren als doelgroep heeft, als ik zo naar de gratis beschikbare sjablonen kijk. De filmpjes van mijn collega zijn ook door een kind gemaakt. Maar aan de andere kant: je kunt diverse abonnementen afsluiten, in prijs variërend van € 64,99 - € 649,99 per jaar. Dat zal voor de meesten ruim boven zakgeldniveau liggen. Neem je toch zo’n abonnement, dan verdwijnt het watermerk uit je filmpjes – oftewel, er is geen hint meer dat AI in het spel is.

Een van de pijlers van informatiebeveiliging is integriteit: de juistheid en volledigheid van gegevens. Dat hebben ze ooit zo bedacht met het oog op databases en andere computerbestanden. Het is slordig als een huisnummer of een bedrag niet meer klopt of als er gegevens ontbreken. Maar je kunt dit principe gerust ook toepassen op beeld en geluid. Als je daar niet meer op kunt vertrouwen, dan is de integriteit niet meer gewaarborgd. Om nog maar te zwijgen over de (persoonlijke) integriteit van degenen die daar misbruik van maken.

Na deze blog begint mijn vakantie, en bij de voorbereiding daarvan heb ik gebruikgemaakt van AI. Bijvoorbeeld om te bepalen wat leuke overnachtingsplaatsen zijn op weg naar onze eindbestemming. Maar je moet alert blijven: ChatGPT beweerde dat de afstand tussen twee pleisterplaatsen ruim honderd kilometer minder was dan Google Maps berekende. Daarmee geconfronteerd biechtte ChatGPT op dat het de hemelsbrede afstand tussen beide plaatsen had gebruikt. Dat noem ik dan toch eerder kunstmatig dom dan intelligent.

Ik hoop dat je in jouw eigen vakantie iets tegenkomt waarvan je denkt: daar moet’ie eens een blog over schrijven. Schrijf het op of maak een foto en stuur het mij toe! Zolang het maar echt is…

De Security (b)log keert na de zomervakantie terug.

En in de grote boze buitenwereld …

vrijdag 18 juli 2025

De betrouwbare crimineel

Afbeelding via Pixabay

Heb je dat wel eens meegemaakt, dat je thuis of op het werk niet aan de slag kon omdat de computer geen sjoege gaf? Of dat de school of universiteit van je kinderen om diezelfde reden dicht moest, of dat de winkel nee moest verkopen? Welkom in de wereld van de ransomware.

Zoals we zo vaak zien in technologische ontwikkelingen, startte ook dit fenomeen verrassend lang geleden. Namelijk al in 1989, met de AIDS Trojan. Deze malware werd via diskettes verspreid onder deelnemers aan een AIDS-conferentie. Je moest $ 189 per post naar Panama sturen – maar je kreeg er niets voor terug. In de jaren nul van deze eeuw werd vervolgens wat aangerommeld met het verbergen van bestanden, maar dat was allemaal nog niet het echte werk. Dat begon in 2013 met CryptoLocker, dat via e-mailbijlagen werd verspreid, gebruikmaakte van sterke encryptie en betaling in bitcoin eiste. Dat werd zo’n beetje de marktstandaard.

In de begintijd wist je nooit zeker of je, nadat je je spaargeld bij elkaar had geschraapt, ook daadwerkelijk de sleutel in handen kreeg waarmee je je bestanden kon ontsleutelen. Wereldwijd werd dan ook door opsporingsdiensten afgeraden om losgeld te betalen. Dat had gevolgen voor de inkomsten van de criminelen. Zo ontstond de betrouwbare crimineel: steeds vaker kon je ervan op aan dat je na betaling daadwerkelijk zou worden ‘geholpen’. Volgens een inschatting van Copilot was de kans daarop in 2015 zo’n 80% (en nu nog maar 60%).

Wederom drongen opsporingsdiensten erop aan dat je niet zou betalen. Niet alleen wist je nog steeds niet zeker dat je de decryptiesleutel zou ontvangen, ook zou je met je betaling helpen om het criminele verdienmodel in stand te houden. Terwijl het juist de bedoeling was om deze handel minder lucratief te maken.

De criminelen sloegen terug met dubbele afpersing: niet alleen werden je bestanden versleuteld, ze trokken er ook nog een kopietje van voor zichzelf. Als je niet betaalde, dan zou jouw informatie gepubliceerd worden. En omdat iedereen wel wat te verbergen heeft, was dat een succesvolle extra aansporing om te betalen. In die tijd was er ook een verschuiving van particulieren naar bedrijven en overheden als doelwit, omdat daar grotere bedragen konden worden geëist. Publicatie van bijvoorbeeld klantgegevens of bedrijfsgeheimen zou niet goed uitpakken.

Los van de oproepen van opsporingsdiensten om niet te betalen, ligt ook nog een principiële kwestie op tafel: is het moreel verantwoord om te betalen? Ik neig automatisch naar ‘nee’, maar wil wel graag de nuances verkennen – want niet betalen kan ernstige gevolgen hebben die verder reiken dan het getroffen bedrijf. Denk bijvoorbeeld aan de aanval in 2021 op JBS Foods, het grootste vleesverwerkende bedrijf ter wereld. De aanval leidde tot tijdelijke sluiting van fabrieken in de VS, Canada en Australië en verstoorde de voedselvoorziening. Mede vanwege dat laatste besloot het bedrijf om maar liefst 11 miljoen dollar te betalen.

Twee jaar eerder was Jackson County in de Amerikaanse staat Georgia het slachtoffer. De politie en andere overheidsdiensten waren volledig lamgelegd. Ze legden vier ton op tafel, maar ze hebben nooit officieel bevestigd dat ze ook waar voor hun geld hebben gekregen. In datzelfde jaar, rond de kersttijd, werd de universiteit van Maastricht getroffen. De twee ton die zij betaalden bleek een goede investering te zijn: een deel ervan werd teruggevonden en was inmiddels, door de stijging van de bitcoin, vijf ton waard.

Eten is een eerste levensbehoefte, maar als je tijdelijk iets anders dan vlees kunt eten, dan is het snel op de been krijgen van die vleesverwerker misschien toch niet zo superbelangrijk. Als de lokale politie even digitaal blind is, dan kun je dat misschien ondervangen door een ander politiekorps om hulp te vragen. En een lamgelegde universiteit – dat hebben we in 1969 ook al eens overleefd, toen het Maagdenhuis werd bezet (al ging het daarbij niet om losgeld). Kortom: zoek liever alternatieven dan dat je losgeld betaalt.

Er is een collectief belang om ransomware uit te roeien, maar dan moet wel iedereen meedoen. Sommige landen werken aan een verbod op losgeldbetaling of kennen op z’n minst een meldplicht. Een verbod op verzekerings-dekking kan ook helpen om betaling tegen te gaan. Maar met deze maatregelen zijn de getroffen bedrijven nog niet geholpen. Wat wel helpt, zijn initiatieven als No More Ransom, waarin politie en bedrijfsleven samenwerken om decryptiesleutels te achterhalen en die gratis beschikbaar te stellen. Daarnaast zien we regelmatig de successen van internationale samenwerking tussen politiekorpsen. En natuurlijk moeten organisaties ook zelf hun weerbaarheid vergroten, door te investeren in voorlichting (vooral op het gebied van phishing), goede detectiemiddelen en een deugdelijke back-upstrategie. Met al deze maatregelen moet op den duur geen droog brood meer te verdienen zijn in deze criminele business. En dan kunnen die lui misschien betrouwbaar én eerlijk werk gaan doen.

En in de grote boze buitenwereld …

vrijdag 11 juli 2025

Zoals het klokje thuis tikt

Afbeelding via Pixabay

Mijn opa en oma hadden, in het diepe Zuid-Limburg, een Friese staartklok aan de muur hangen. In hetzelfde dorp hing precies dezelfde klok bij mijn schoonouders. Onlangs deed mijn vrouw een interessante onthulling over hun exemplaar.

De tijd schreed volgens die klok langzamer voort dan in werkelijkheid. Ze hadden haar al eens naar een klokkenmaker in België gebracht. Een schoonmaakbeurt bracht geen soelaas. Toen verklapte iemand hen een speciaal trucje. Hij zei dat de klok waarschijnlijk een tikkeltje scheef wilde hangen. Dat bleek inderdaad te kloppen. Maar het uit het lood brengen ervan was millimeterwerk. Er gingen weken overheen voordat de juiste stand was gevonden. Andere klokken in huis dienden daarbij als referentiebron.

Ik heb een moderne bureaulamp met ingebouwde digitale klok. Mijn natuurkundedocent legde ooit uit dat elektrische klokken altijd de juiste tijd aangeven, omdat ze – als ik het goed onthouden heb – met de frequentie van de wisselspanning (50 Hertz) meetikken. Zo niet mijn bureaulampklok. Die moet ik om de paar weken opnieuw instellen. Gewoonlijk doe ik dat als zij twee minuten voorloopt, want dan wordt het mij te gortig. Ik verbaas mij dan telkens erover dat er anno 2025 nog klokken bestaan die het niet zo nauw nemen met de tijd.

Al deze klokken, die zich minder goed van hun taak kwijten, moet je interpreteren. “Oh ja, het is die klok, dus het zal in werkelijkheid iets vroeger/later zijn.” Bij klokken in andermans huis weet je dat vaak niet. Dan denk je misschien dat je toch al te laat bent voor de trein naar huis, terwijl je die nog gewoon had kunnen halen.

Interpreteren, dat doen we ook met beveiligingsbeleid. Als security officer krijg je vaak vragen in de trant van: iemand heeft zus of zo gedaan, mag dat eigenlijk wel? Het antwoord op die vraag staat slechts zelden letterlijk in een beleidsdocument. Je moet zo’n document dan als het ware een beetje scheef houden om de juiste informatie eruit te halen. We vinden dan altijd wel een of meerdere regels die van toepassing blijken te zijn op de aangekaarte situatie. Soms moet je het ook wíllen zien. Daarvoor gebruiken we professional judgement: je bent niet voor niets security officer, en als jij zegt dat iets wel of niet kan, dan is dat ook zo – jouw oordeel is gebaseerd op je professionaliteit.

Door de jaren heen heb ik een hele stoet aan collega’s zien langskomen waar het een of andere beveiligingssysteem over gepiept had. Zo’n melding leidt tot een beoordeling. Is het de moeite waard om hiervoor in actie te komen? Is het incident ernstig genoeg? Of is het meteen al duidelijk dat het om een per-ongelukje gaat en dat de gebruiker geen kwade bedoelingen had? Vooral dat laatste vind ik interessant: als het een melding betreft over iets waar iets kwaadaardigs achter zou kúnnen zitten, dan heb je mijn aandacht en mag je een onderhoud met je leidinggevende tegemoetzien. Die kent jou beter dan ik en heeft misschien nog andere puzzelstukjes, die samen het beeld schetsen van een doorgaans voorbeeldige werknemer – of juist niet.

In al die tijd heeft nog nooit iemand het in zijn hoofd gehaald om te vragen: en waar staat dan dat dat niet mag? Nee, ze voelen zich betrapt, zeggen sorry en beloven nooit meer zoiets stoms te doen. Want ik heb gelukkig ook maar zelden meegemaakt dat iemand kwade bedoelingen had. Meestal zijn dat soort incidenten het gevolg van goedbedoelde acties die helaas in strijd zijn met het beleid. Iedereen behoort de wet te kennen, zegt de wet, maar de praktijk zit iets anders in elkaar. We helpen ze graag om weer binnen de lijntjes te kleuren.

Mijn oma had een bijzonder tijdbeleid. Ze zette de klok tien minuten vooruit. Als ze dan ergens heen moest, was er altijd de geruststelling dat ze eigenlijk al weg had moeten zijn, maar dat ze gelukkig nog wat extra tijd had. Ik vond dat altijd net zo raar als klokken die zelf besluiten om een andere dan de juiste tijd weer te geven.

En in de grote boze buitenwereld …

vrijdag 4 juli 2025

Je innerlijke ik

Afbeelding via Copilot

“De beste inspiratie komt uit jezelf.” Dat is geen uitspraak van Sun Tzu, de Chinese generaal uit de zesde eeuw voor Christus, uit wiens werk De kunst van het oorlogvoeren te pas en te onpas wordt geciteerd. Nee, dit citaat schrijven we toe aan ene Patrick Borsoi uit de twintigste eeuw ná Christus. Geen Chinees, geen generaal, maar – in alle bescheidenheid – wel bij vlagen slim.

Lezers vragen me wel eens hoe ik altijd weer aan de inspiratie voor een blog kom. Meestal antwoord ik dan dat ik goed om me heen kijk en dan vaak iets alledaags zie wat ik aan informatiebeveiliging kan linken. Of dat collega’s mij een tip geven, al dan niet uit hún dagelijks leven. Nu heb ik iets nieuws ontdekt: naar jezelf luisteren. Letterlijk.

Ik was te gast in de podcast van de KNVI, de Koninklijke Nederlandse Vereniging van Informatieprofessionals. Daar mocht ik vertellen over de Security (b)log en meer vakinhoudelijk over phishing, AI en quantum computing. Die podcast ging op 1 juli online en ik was natuurlijk een van de eersten om hem te beluisteren. Dat is trouwens best vreemd, maar dat zegt iedereen die een geluidsopname van zichzelf hoort. Waar het om gaat is dat ik mezelf iets hoorde zeggen wat ik nog nooit eerder heb gezegd en waarvan ik me ook niet meer herinner dat ik het had gezegd (de opname was anderhalve maand geleden).

Marijn Plomp is de vaste host van deze podcast en Sandra de Waart was die dag zijn sidekick. Omdat mijn blog als overkoepelend thema awareness (beveiligingsbewustzijn) heeft, vroeg Sandra mij: “Hoe maak je nou eigenlijk mensen bewust?” Want, zo voerde zij terecht aan, alleen maar zeggen “wees bewust!” helpt natuurlijk niet. Ik vergeleek dat met het verkeersbord dat een algemene waarschuwing voor gevaar geeft (driehoek met rode rand en een uitroepteken in het midden). Als je alleen dat bord ziet, dan weet je nog niets. Alleen als er een onderbord bij zit, waarop je kunt lezen wat het gevaar inhoudt, weet je wat je moet doen of laten. En nu komt het. Ik zei: “Ik probeer dat onderbord te zijn.” Door te duiden waarom iets een risico is, door het uit te leggen, maak je mensen bewust. Ze moeten het kunnen snappen, er een beleving bij hebben.

Verderop in de podcast doe ik een uitspraak die ik wel vaker bezig: “Ik word betaald om doem te denken.” Zoals er mensen zijn, die geld krijgen om de hele dag met Lego te spelen, zo mag ik me uitleven op de vraag: wat zou er zoal mis kunnen gaan? Daar waar anderen smullen van wat een systeem, een apparaat of een werkwijze allemaal kan, daar mag ik naar de donkere kant kijken. Dat is niet altijd gemakkelijk, omdat je daar nog weleens andermans enthousiasme mee tempert. Meestal wordt die blik op het foutpad toch gewaardeerd, omdat het uiteindelijke product er beter van wordt doordat er óók gekeken wordt naar aspecten waar we liever van wegkijken. In dat citaat over doemdenken zit natuurlijk een vette knipoog, maar het maakt wel kort en krachtig duidelijk dat risicoanalyses belangrijk zijn – al is het soms maar op de achterkant van een envelop.

Aan het einde van de podcast hoor ik mezelf nog zeggen dat ik de mens nodig heb als laatste verdedigingslinie. Want als de techniek er niet in slaagt om het onheil af te wenden, als bijvoorbeeld dat ene phishingmailtje toch door alle controles heen weet te komen, dan kan die medewerker, in wiens inbox het mailtje terechtkomt, het verschil maken tussen een gezonde en een kreupele organisatie. En met die laatste verdedigingslinie komen we dan toch weer een beetje uit bij Sun Tzu, die daar ongetwijfeld ook iets over heeft geschreven.

Beluister hier de KNVI-podcast.