De Nederlandse geheime dienst loopt voorop in de digitale wapenwedloop

In mei 2011 betrad ik een donker hol in Berlijn. Er stond een flipperkast, een versleten bank en uit de frisdrankautomaat kwamen gekke gele flesjes.

Ik was op bezoek bij de Chaos Computer Club, een club Duitse hackers met het hart op de juiste plek. Niet van die gasten die banken leegroven of systemen platleggen, maar types die graag praten over privacy en met digitaal kattenkwaad hun idealisme tonen. In 2008, bijvoorbeeld, zette de club vingerafdrukken online van de minister van Binnenlandse Zaken, als protest tegen biometrische paspoorten.

Ik was daar voor een net ontdekte computerworm waar computerwormkenners nogal opgewonden van werden. Stuxnet was de naam en Stuxnet kende allerlei nog nooit vertoonde trucjes om heftige beveiligingssystemen te omzeilen. De worm bleek in staat de regie over specifieke industriële controlesystemen over te nemen. Er waren al sporen van Stuxnet gevonden in energiecentrales en olieraffinaderijen.

‘Dat zo’n gerichte, efficiënte, professionele, precies op een specifiek probleem toegesneden worm kon bestaan, werd door geen expert voor mogelijk gehouden’, vertelde Frank Rieger van de Chaos Computer Club in die Berlijnse kelder. Rieger was een van die opgewonden computerwormkenners en de reden van mijn bezoek.

Deze Duitse hacker had ontdekt wat Stuxnets doelwit was: de nucleaire fabriek in het Iraanse Natanz. Rieger vergeleek de activiteit van Stuxnet met cijfers van het Internationaal Atoomenergieagentschap en zag dat de productie van verrijkt uranium in Natanz exact afnam op de momenten dat Stuxnet actief was.

‘De ontwikkeling van Stuxnet moet miljoenen hebben gekost’, zei Rieger. ‘En de makers wisten wat ze deden, ze waren zo gedetailleerd op de hoogte van het aangevallen systeem dat ze waarschijnlijk de schoenmaat van de operateur kenden. Dat vereist een machtige inlichtingendienst.’

Die machtige geheime dienst was... de AIVD

Het was op dat moment totaal onvoorstelbaar dat deze machtige inlichtingendienst de Nederlandse AIVD uit Zoetermeer kon zijn. Toch is het waar. Dat onthult de Nederlandse onderzoeksjournalist Huib Modderkolk in zijn vandaag verschenen Het is oorlog maar niemand die het ziet. De diensten van de VS en Israël bouwden Stuxnet en Modderkolk ontdekte dat het de Nederlandse geheime dienst was die de computerworm de opwerkingsfabriek in Iran binnenkreeg.

Hoe? Een bron van de AIVD, een Iraanse ingenieur, verzamelde in Natanz voor de Nederlanders informatie die nodig is om Stuxnet optimaal te laten werken. En het was diezelfde mol die er uiteindelijk voor zorgde dat Stuxnet zich via een besmette USB-stick in de fabriek nestelde.

Stuxnet zou de boeken ingaan als het eerste serieuze cyberwapen, hét bewijs dat een digitale oorlog – een cyberwar – geen speculatie meer is. ‘Een gamechanger’ in de woorden van Frank Rieger. Gebouwd om de Iraanse kernwapenwens te saboteren. De worm nam de aansturing van de uraniumcentrifuges over, zorgde ervoor dat ze harder gingen draaien en uiteindelijk ontploften.

Stuxnet is óók zonder enige twijfel de best gedocumenteerde cyberoperatie ooit. In ieder boek, ieder artikel of iedere documentaire over cyberwar of digitale spionage speelt Stuxnet een rol. In 2014 publiceerde een van de beste Amerikaanse onderzoeksjournalisten die dit onderwerp volgt, Kim Zetter, het fenomenale Countdown to Zero Day. Alles was toen wel over die worm gezegd, dachten we.

Een ongekende digitale wapenwedloop

Modderkolk beschrijft in zijn boek hoe Stuxnet ‘een ongekende digitale wapendwedloop’ in gang zette. In 2011 was de geavanceerde worm nog een exotisch verhaal, een blik op een mogelijke toekomst waarin staten elkaar digitaal bespioneren, saboteren en bestrijden. Acht jaar later weten we dat het spel tussen staten definitief anders wordt gespeeld.

In Het is oorlog maar niemand die het ziet neemt Volkskrant-journalist Modderkolk zijn lezers mee op zijn eigen zoektocht die in 2013 begon. Langzaam maar zeker dringt hij door tot een ondoordringbare wereld, waarin staten elkaar bestoken met nieuwe wapens en nieuwe legers.

Het is de wereld waar Edward Snowden in 2013 een tipje van de sluier van oplichtte. Deze Amerikaanse ex-spion liet zien dat de NSA en de Britse dienst GCHQ technisch in staat zijn om grote delen van het mondiale digitale communicatienetwerk af te tappen. Het is ook de wereld van de succesvolle digitale operaties die de Russische geheime dienst uitvoerde in aanloop naar de Amerikaanse verkiezingen van 2016.

Huib Modderkolk is de perfecte gids van deze nieuwe wereld. Er zijn weinigen met zulke goede bronnen bij de inlichtingendiensten

Huib Modderkolk is de perfecte gids in deze nieuwe wereld. Er zijn weinig journalisten te vinden met zulke goede bronnen binnen de inlichtingendiensten. De Nederlandse rol bij Stuxnet is slechts een van de vele scoops die Modderkolk aaneenrijgt in Het is oorlog maar niemand die het ziet. Een deel ervan verscheen al eerder in NRC, waar hij tot 2015 voor werkte, en de Volkskrant, zijn huidige werkgever.

Hij spreekt Edward Snowden en legt een samenwerking tussen de NSA en de MIVD bloot. Hij doet verslag van een hightech infiltratie door de Britse diensten bij de Belgische telecomprovider Belgacom. Hij reconstrueert een hack van het KPN-netwerk en is de Nederlandse journalist die verhaal na verhaal weet te maken over de Snowden-onthullingen.

Een van mijn favoriete verhalen gaat over Appen, een Australisch technologiebedrijf. Modderkolk beschrijft smakelijk hoe een oud-medewerker van dit bedrijf hem vertelt dat zij fragmenten van telefoongesprekken moest transcriberen.

Op een dag hoort deze Nederlandse, die in Groot-Brittannië woonde, haar ex-vriend op een van de opnamen praten. Ze neemt contact op met Modderkolk en de journalist gaat op onderzoek uit. Hij ontdekt dat duizenden privégesprekken van Nederlanders bij Appen terecht zijn gekomen zonder dat iemand dat wist, laat staan daar toestemming voor had gegeven.

Hoe dan? Hoogstwaarschijnlijk gaf de Britse dienst GCHQ hier de opdracht toe. De reden? Om hun software te verbeteren die spraakopnamen automatisch omzet naar tekst.

Juist, duizenden Nederlanders die als laboratoriumrat dienden voor buitenlandse geheime diensten.

Al dat gehack en gespioneer raakt ons allemaal

Het zijn dit soort onthullingen die duidelijk maken dat al dat gehack en hightech gespioneer niet alleen over nucleaire fabrieken of de telefoon van Angela Merkel hoeft te gaan, maar dat dit ons allemaal kan raken.

Zo tekent Modderkolk ook een mooi menselijk verhaal op over burgerslachtoffers van door data berekende droneaanvallen en laat hij indringend zien wat het betekent als een deel van een land lam wordt gelegd door een computervirus van een vijandige geheime dienst.

Dat maakt dit boek ook hoogst relevant: Modderkolk schakelt moeiteloos tussen AIVD-operaties waar bijna niemand iets van merkt en in-je-gezicht-verhalen over de consequenties van digitale spionage en strijd.

Nederland is 'het Zwitserland' van de geheime diensten

De grootste onthulling van het boek is evenwel geen scoop maar een inzicht, namelijk over de rol van de Nederlandse geheime diensten. De relatief kleine AIVD en de MIVD zijn grote spelers in de internationale spionagewereld, voorlopers in de digitale wapenwedloop.

‘Het Zwitserland onder de geheime diensten’, noemt Modderkolk ze. Een geliefde partner voor grote westerse landen. Klein, inventief, geen al te grote machtsfactor en daardoor in staat om onder de radar te opereren. ‘Bronnen schatten dat Nederland in de top vijf van digitaal machtigste landen staat, samen met de Verenigde Staten, Groot-Brittannië, Israël en Rusland’, schrijft Modderkolk.

Dat bleek ook wel uit een van de spectaculairste verhalen uit Modderkolks carrière. In januari vorig jaar onthulde hij, samen met Nieuwsuur-journalist Eelco Bosch van Rosenthal, dat de AIVD had ontdekt dat hackers van de Russische geheime dienst de computers van het Amerikaanse Witte Huis, het ministerie van Buitenlandse Zaken en de Democratische Partij waren binnengedrongen.

Is er wel sprake van oorlog?

Dit is een goede plek voor een disclaimer: Huib Modderkolk en ik kennen elkaar goed, op professioneel niveau. We spreken elkaar met enige regelmaat en ik heb hem ook weleens om raad gevraagd toen ik aan een ingewikkeld onderzoeksproject werkte. Het afgelopen jaar, toen Huib aan zijn boek werkte, belden we een paar keer over de kunst van het boekenschrijven.

Dat gezegd hebbende: ik vind dit boek in onderzoeksjournalistiek opzicht tot de absolute wereldtop behoren.

Toen ik in 2011 over Stuxnet schreef, was ik sceptisch. Sceptisch over de omvang en wijdverbreidheid van deze nieuwe digitale dreiging. In Vrij Nederland schreef ik dat er nauwelijks bewijzen voor bestonden. Waar hadden we het nou eigenlijk over?

Ondertussen werd er wel ongelooflijk veel geld door landen uitgegeven om die dreiging te kunnen weerstaan. Waren we niet een beetje aan het overdrijven? Was Stuxnet niet de uitzondering? Werd niet vooral de veiligheidsindustrie hier beter van?

Die scepsis is nu niet meer vol te houden. De dreiging is realiteit geworden. Huib Modderkolk was erbij, zag het en schreef het voorbeeldig op.

Tegelijkertijd blijft er iets wringen na Het is oorlog maar niemand die het ziet. Dat zit ’m in het woord ‘oorlog’. In essentie schrijft Modderkolk over moderne spionage. Hoe tappen staten elkaar af? Hoe krijgen zij toegang tot informatie? Daarnaast laat hij zien wat de consequenties kunnen zijn van al die infiltraties en dat gehack. Het kan tot grote schade en ontwrichting van een maatschappij leiden, er kunnen zelfs slachtoffers vallen.

Maar is dat ‘oorlog’? Modderkolk suggereert van wel, door amper op deze vraag in te gaan. Maar gebruikt hij het woord niet te lichtzinnig? Waar eindigt spionage en begint oorlog? En wat voor type oorlog hebben we het eigenlijk over? Een warme, een koude, een nieuwe?

Dit is geen semantisch geneuzel, woorden doen ertoe

Dit is geen semantisch geneuzel, woorden doen ertoe. Als de Britse dienst een Belgische telecomprovider hackt, is dat dan een oorlogsverklaring? Was Stuxnet een oorlogshandeling? Voeren we nu dan oorlog met Iran? Wat betekent het als de Nederlandse minister van Defensie zegt dat we in oorlog zijn met Rusland? Treedt dan het oorlogsrecht in werking? Is Ank Bijleveld nu onze minister van Oorlog?

En, abstracter: als alle landen elkaar continu bestoken, heeft het dan nog wel zin om deze status quo oorlog te noemen? En als het dan nu oorlog is, hoe wordt het dan weer vrede? Of is vrede onmogelijk te bereiken in een oorlog die niemand ziet?

Huib Modderkolk ontsluit op voorbeeldige wijze een voor iedereen hoogst relevante wereld. Ik hoop dat hij in zijn volgende boek óók de vragen te lijf gaat die zijn voortreffelijke journalistieke werk oproept.

Meer lezen?