'IS gebruikt onze technologie tegen ons'
Slaat IS binnenkort toe via het internet? Mikko Hyppönen, Fins 'cybersecurity rockster' en wereldwijd gereputeerd IT-specialist, windt er geen doekjes om. 'We maken binnen afzienbare tijd kennis met cyberterreur en -oorlog, waarbij fabrieken, kerncentrales en ziekenhuizen de doelwitten zullen zijn.'
"Mag ik u vragen geen opnames of foto's te maken van mijn presentatie? Of ze op zijn minst niet online te zetten?" De presentatie van Mikko Hyppönen in Brussel begint met een beleefd verzoek. De 46-jarige Fin met paardenstaart en ronde bril is een wereldwijd gerespecteerde beveiligingsexpert, die met zijn bedrijf F-Secure naam en faam maakte door beruchte computerwormen tegen te houden. Het magazine Foreign Policy beschouwde hem enkele jaren geleden als een van de honderd belangrijkste mondiale denkers, zowel overheden in de VS als Europa maakten gebruik van zijn expertise in cybercriminaliteit.
Maar een presentatie van hem, die ziet hij liever niet online opduiken, zo zegt hij voor een volle zaal op de Belgian Internet Security Conference 2015. Waarom, vraagt die zaal zich af. "Ik kreeg onlangs bedreigingen van een Britse jihadist die zich Abu Hussein al-Britani liet noemen. Dat gebeurde nadat hij een filmpje van mij zag op YouTube, dat opgenomen was op een conferentie waar ik een lezing gaf. Daarin had ik hem als voorbeeld genomen van wat jihadi's online zoal doen.
"Hij zag de video, stuurde me boodschappen en bedreigde me. Ik kan je verzekeren: dat is niet leuk. Maar nu ben ik terug gerust: hij werd in augustus gedood bij een Amerikaanse droneaanval in Raqqa. Voor mij was dat goed nieuws. Maar laat het even tot je doordringen: een hacker van IS werd gedood door een Amerikaanse drone. Dat klinkt als een fragment uit een sciencefictionboek, maar dat is het niet."
Zijn hackers van IS zo'n grote bedreiging?
"Op dit moment staat IS nog niet zo heel ver wat cyberaanvallen betreft. Lang niet zo ver als de VS, Israël of Rusland. Ze komen niet eens in de buurt. De meeste misdaden die ze begaan, zijn inbreuken om toegang te krijgen tot computers. Daarmee publiceren ze vertrouwelijke documenten of raken ze aan kredietkaartgegevens. We hebben nog geen echte cyberterreur gezien. Maar ze raken er wel dichter bij. We hoopten dat het beter zou worden, maar het wordt helaas alleen maar erger. Ze slagen erin goed opgeleide mensen in het Westen te overtuigen met hun propaganda. Het is heel moeilijk om daar iets aan te doen.
Hoe kan een cyberaanslag eruitzien?
"Ik wil hen niet op ideeën brengen, maar in het verleden hebben we een computerprogramma gehad dat fysieke schade veroorzaakte bij industriële installaties: stuxnet. Dat werkt via software van Siemens. IS kan dat soort malware niet zelf maken: het duurt jaren om zo'n goed ontwikkeld cyberwapen te maken. Wat ze mogelijk wel kunnen, is stuxnet zelf aanpassen en het als wapen gebruiken.
"Het is niet zo moeilijk om aan stuxnet te raken, ik heb het zelf op mijn computer staan. Zij kunnen het zo aanpassen dat het willekeurige veranderingen aanbrengt in allerlei industriële installaties, van kerncentrales tot voedingsfabrieken."
Zijn overheden voorbereid op wat er op hen af komt?
"Dat hangt af van land tot land. Sommige wel, anderen niet. Het verschilt echt heel erg. België is niet slecht bezig. Jullie nemen het serieus. Al missen jullie wel bedrijven die met internetveiligheid bezig zijn."
Vallen overheden IS ook online aan?
"Jawel. Ik zag op een site van de Canadese overheid een aanbesteding voor bedrijven die het land hackingsoftware zouden bezorgen om wagens te hacken. Ze waren maar in één merk geïnteresseerd, zonder dat ze dat expliciet zeiden. Weet je welk? Toyota, omdat IS-strijders altijd in trucks van Toyota rijden. Heel goed gezien, vind ik. Ze denken out of the box."
Cyberterreur hebben we nog niet gezien, zegt u, maar op welke manier maken extremisten vandaag gebruik van het internet?
"Ze gebruiken het internet zoals elk bedrijf in het Westen dat doet: om reclame te maken voor zichzelf en mensen te rekruteren. Amper 24 uur na de aanslagen in Parijs verscheen een speciaal, 62 bladzijden tellend nummer van het online IS-magazine Dabiq, waarin de terreur werd besproken. Heel professioneel gemaakt.
"Ze gebruiken onze eigen technologie tegen ons. Daarnaast doen ze natuurlijk ook illegale dingen. Ze halen inkomsten uit onder meer cybercriminaliteit. Op 'underground' sites kopen ze malware waarmee ze aan kredietkaartgegevens raken. Ze gaan daarmee naar onlinecasino's. Niet voor hun plezier, maar om zoveel mogelijk geld te verliezen. Waarom? Aan dezelfde tafel zit nog iemand van IS, die alle winst naar zich toe haalt. Zo wassen ze geld wit dat ze hebben gestolen. Helemaal niet slecht bekeken."
Inlichtingendiensten en politici vinden dat encryptie, de technologie waarmee boodschappen kunnen worden versleuteld en afgeschermd , aan banden moet worden gelegd. Ze helpt terroristen.
"Dat slaat nergens op. Het coderen van boodschappen bestaat al enorm lang. Lang voor er sprake was van het internet. Als er een verbod komt op het gebruik van encryptie, dan zijn u en ik de enigen die dat zullen respecteren. De extremisten zullen er niet mee stoppen omdat wij het verbieden. Het zijn criminelen, die trekken zich per definitie niets aan van wetten. Het versleutelen van boodschappen is een technologie die je ten goede en ten kwade kunt gebruiken, zoals veel technologieën."