Publiek bekende cases

De voorbeelden op deze pagina komen vanuit de overheid, diplomatie en het bedrijfsleven en zijn publiek gedocumenteerd. Niet iedere casus betreft een fysiek aangetroffen afluistermiddel; sommige gaan over interceptie, technische implantaten of andere capaciteiten die uit officiële bronnen, rechtszaken of onderzoeksjournalistiek bekend zijn geworden. Samen laten ze zien dat gevoelige informatie via meer kanalen kan worden gecompromitteerd dan alleen het digitale netwerk.

Waarom maar zo weinig gevallen openbaar worden

Het aantreffen van verborgen afluister- of observatiemiddelen wordt zelden openbaar gemaakt. Daar kunnen operationele belangen, lopende onderzoeken, juridische gevolgen en reputatieschade een rol bij spelen. Juist in omgevingen waar vertrouwelijkheid als vanzelfsprekend geldt, kan openbaarmaking gevoelig zijn. Een gecompromitteerde boardroom, ambassade of beveiligde werkomgeving raakt niet alleen de informatie die mogelijk is onderschept, maar ook het vertrouwen in de beveiliging zelf. De voorbeelden hieronder vormen daarom geen representatieve doorsnede van technische surveillance. Ze laten zien wat publiek bekend is.

Gedocumenteerde gevallen

• 2026

  Privékantoor, Genève

  Bij een routinematige veiligheidsinspectie van de woning van Klaus Schwab, oprichter van het World Economic Forum, werd volgens Bloomberg een verborgen afluistermiddel in zijn thuiskantoor aangetroffen.

  “WEF Founder Schwab Says He Found Secret Listening Device in Home,” Bloomberg, juli 2026.
• 2024

  Vergaderruimte Poolse ministerraad

  Voorafgaand aan een vergadering van de Poolse ministerraad in Katowice troffen veiligheidsdiensten afluisterapparatuur aan in de vergaderruimte. De ontdekking volgde uit een routinematige veiligheidscontrole.

  “Bugging devices found in Polish government meeting room,” NBC News, mei 2024.
• 2018

  OPCW, Den Haag

  De Nederlandse diensten verstoorden een Russische operatie tegen de Organisatie voor het Verbod op Chemische Wapens (OPCW). In een geparkeerde auto lag apparatuur met wifi-antennes, een laptop en mobiele connectiviteit opgesteld om toegang te verkrijgen tot het draadloze netwerk van de organisatie.

  “Russian cyber operation disrupted,” Ministerie van Defensie, oktober 2018.
• 2017–2018

  Ecuadoraanse ambassade, Londen

  In procedures rond Julian Assange werd beschreven hoe camera’s en microfoons in en rond de ambassade werden ingezet. Een microfoon zou onder meer in de voet van een brandblusser zijn verwerkt. Ook werden maatregelen beschreven die observatie via de ramen mogelijk moesten maken.

  “‘American friends’ spied on Julian Assange in Ecuadorian Embassy, court hears,” Computer Weekly, september 2020.
• 2016–2017

  Uber

  Tijdens de Uber-Waymo-rechtszaak werd een brief openbaar waarin een voormalig manager van Uber beschreef hoe een intern intelligence-team informatie over concurrenten verzamelde. Daarbij werden onder meer heimelijke observatie, digitale toegang en het opnemen van gesprekken genoemd.

  “Unsealed letter in Uber-Waymo case details how Uber employees allegedly stole trade secrets,” CNBC, december 2017.
• 2013

  Barclays, Londen

  Een aanvaller die zich voordeed als IT-monteur kreeg fysieke toegang tot een Barclays-vestiging en sloot een technisch hulpmiddel aan op een kantoorcomputer. Via een KVM-switch en mobiele verbinding kon vervolgens op afstand toegang tot het systeem worden verkregen. Uiteindelijk werd circa £1,25 miljoen buitgemaakt.

  “‘Bogus IT guys’ slurp £1.3m from Barclays: Cybercops cuff 8 blokes,” The Register, september 2013.
• 2013

  NSA ANT-catalogus

  Een openbaar geworden catalogus van de NSA beschreef een reeks gespecialiseerde technische implantaten voor onder meer monitor-, toetsenbord-, USB- en netwerkinterfaces. Sommige daarvan hadden geen eigen actieve zender nodig, maar konden van buitenaf worden aangestraald en via het gereflecteerde signaal informatie teruggeven.

  “Catalog Reveals NSA Has Back Doors for Numerous Devices,” Der Spiegel, 29 december 2013.
• 2012–2017

  Afrikaanse Unie

  Volgens berichtgeving werd in het door China gebouwde hoofdkwartier van de Afrikaanse Unie gedurende meerdere jaren ’s nachts grote hoeveelheden netwerkdata naar servers in Shanghai verstuurd. Daarnaast zouden bij technisch onderzoek microfoons in bureaus en muren zijn aangetroffen.

  “African Union Bugged by China: Cyber Espionage as Evidence of Strategic Shifts,” Council on Foreign Relations, maart 2018.
• 2003

  Justus Lipsiusgebouw, Brussel

  In het toenmalige EU-raadsgebouw werden bij verschillende delegaties technische voorzieningen in de telefonie-infrastructuur aangetroffen waarmee gesprekken konden worden onderschept. Volgens berichtgeving waren de middelen onopvallend geïntegreerd en mogelijk langere tijd actief geweest voordat zij werden ontdekt.

  “EU delegations’ offices bugged in Brussels HQ,” Statewatch, maart 2003.

Verdieping: de NSA ANT-catalogus

RAGEMASTER, SURLYSPAWN, HOWLERMONKEY, ANGRYNEIGHBOR. Stuk voor stuk namen die niet zouden misstaan op de affiche voor een metalfestival als Wacken Open Air. Maar TOP SECRET//COMINT//REL TO USA, FVEY klinkt dan weer minder zorgeloos.

Het zijn namen uit een catalogus van de National Security Agency (NSA). Negenenveertig pagina’s productbladen, opgemaakt als een bestelgids voor kantoorartikelen. Een foto van het artikel, met een beschrijving van de mogelijkheden. Heel achteloos de prijs erbij, $30 per stuk bijvoorbeeld. Alsof je schrijfwaren bestelt. De TOP SECRET-rubricering was er pas in 2032 af gegaan, ware het niet dat Der Spiegel er in 2013 over publiceerde.

De catalogus dateerde van 2008-2009 en was afkomstig van de afdeling Advanced Network Technology (ANT) binnen de unit Tailored Access Operations van de NSA. Beveiligingsonderzoeker Jacob Appelbaum presenteerde de catalogus voor een zaal vol hackers op het Chaos Communication Congress. Over de bron is nooit iets bekend geworden, wel wordt breed betwijfeld of dit onderdeel was van wat Edward Snowden naar buiten heeft gebracht. De NSA heeft dit nooit verder toegelicht (uiteraard).

Dertig dollar voor een geavanceerd aanvalsmodel

Neem RAGEMASTER. In de uitgelekte ANT-catalogus van de NSA staat een RF-retroreflector die in de ferrietkern van een VGA-kabel kon worden verborgen: het verdikte deel van de kabel waar een gebruiker doorgaans nauwelijks aandacht aan besteedt. Het implantaat tapte het rode videosignaal af. Wanneer het van buitenaf met een radiosignaal werd belicht, werd dat signaal gemoduleerd met de beeldinformatie en opnieuw uitgestraald. Aan de ontvangende kant kon een apparaat als NIGHTWATCH daaruit het beeld op het scherm reconstrueren.

Capabilities van 30 dollar

Dat bedrag is interessant omdat het een misverstand corrigeert. De technische component zelf hoeft niet het kostbare deel van een gerichte operatie te zijn. De complexiteit kan juist zitten in de operationele kans om ongezien bij de juiste kabel, computer of ruimte te komen.

RAGEMASTER stond bovendien niet op zichzelf. SURLYSPAWN paste hetzelfde principe toe op toetsenborddata en was volgens de catalogus geschikt voor USB- en PS/2-toetsenborden. Daarvoor hoefde geen software op de doelcomputer te draaien; het systeem hoefde voor plaatsing slechts eenmaal fysiek te worden benaderd. Ook SURLYSPAWN had een kostprijs van 30 dollar.

LOUDAUTO gebruikte het principe voor gesprekken in een ruimte. Een microfoon zette geluid om in een elektrisch signaal waarmee de teruggekaatste radiogolf werd gemoduleerd. Dit ontwerp was niet volledig passief maar had wel een zeer laag stroomverbruik. De prijs was opnieuw 30 dollar.

TAWDRYYARD kostte eveneens 30 dollar, maar had een andere functie. Het was een klein RF-baken waarmee eerder geplaatste RAGEMASTER-eenheden konden worden teruggevonden en geïdentificeerd. Ook dit middel werd pas zichtbaar voor het ontvangstsysteem wanneer het met het juiste radiosignaal werd belicht.

Hoe werkt een retroreflector?

Het wezenlijke verschil met een gewone verborgen zender is dat de informatie niet voortdurend zelfstandig hoeft te worden uitgezonden. Een externe bron bestraalt het doel met een radiosignaal. Het implantaat beïnvloedt de eigenschappen van de teruggekaatste golf aan de hand van de informatie die moet worden onderschept, bijvoorbeeld toetsenborddata, beeldinformatie of geluid. De ontvanger analyseert vervolgens die gemoduleerde reflectie. Daarom is de intuïtie “als er niets uitzendt, kan ik het ook niet ontvangen” hier ontoereikend. Het interessante signaal ontstaat juist wanneer de externe bron en het implantaat samen actief zijn. Onderzoekers hebben het principe na publicatie van de ANT-catalogus ook experimenteel gereproduceerd met algemeen verkrijgbare software-defined radio’s (SDR’s). Dat heeft een belangrijke consequentie voor technisch beveiligingsonderzoek: een spectrummeting op één willekeurig moment is niet hetzelfde als onderzoek naar alle denkbare technische implantaten.

De apparatuur aan de overkant van de straat

Voor het belichten van die middelen beschrijft de catalogus onder meer de CTX4000, een draagbare continuous-wave-radar voor het verzamelen van zogeheten off-net information. Het systeem werkte tussen 1 en 2 GHz en leverde intern maximaal 2 watt; met externe versterking vermeldde de specificatie vermogens tot 1 kilowatt. In 2008 naderde het systeem volgens de catalogus het einde van zijn levensduur. De geplande opvolger was PHOTOANGLO, een gezamenlijk project van NSA en GCHQ. Het systeem moest in een dunne aktetas passen, minder dan tien pond wegen en aanvankelijk tussen 1 en 2 GHz werken. De catalogus beschreef het op dat moment nog als een systeem in ontwikkeling. De aktetas is hier het interessantst. Het gaat niet noodzakelijk om een bestelbus met antennes op het dak. De apparatuur wordt ontworpen voor gerichte inzet dicht bij het doelwit.

Van luisteren naar toegang

Andere delen van de ANT-catalogus laten zien dat fysieke nabijheid niet alleen voor afluisteren werd benut. NIGHTSTAND was een actief 802.11-systeem voor het op afstand afleveren van exploits in draadloze netwerken. Volgens de catalogus waren onder ideale omstandigheden succesvolle aanvallen uitgevoerd vanaf afstanden tot acht mijl. SPARROW II was een compact WLAN-verkenningssysteem dat onder meer voor inzet vanuit een UAV (drone) was ingericht.

Nog interessanter voor het begrip air gap is de COTTONMOUTH-familie. Daarbij werd netwerkfunctionaliteit verborgen in onderdelen die eruit konden zien als gewone USB- of netwerkconnectoren. COTTONMOUTH-I moest een draadloze brug naar een doelnetwerk kunnen vormen en werd expliciet beschreven als middel voor air-gap bridging. COTTONMOUTH-II verborg een deel van de techniek in een dubbele USB-connector; COTTONMOUTH-III gebruikte een gecombineerde RJ45/USB-constructie en een RF-transceiver.

Daarmee verdwijnt de fysieke scheiding niet letterlijk. Wel kan een hardware-implantaat precies de beveiligingsaanname ondergraven waarop een air gap rust: dat er geen ongecontroleerd communicatiepad tussen beide zijden bestaat. De prijs lag hier in een heel andere orde. De catalogus noemde voor vijftig COTTONMOUTH-I-eenheden iets meer dan een miljoen dollar en voor vijftig COTTONMOUTH-III-eenheden ongeveer 1,25 miljoen dollar.

Wat deze catalogus wel en niet bewijst

Even wat context: de ANT-catalogus beschrijft technologie uit grofweg 2008 en 2009 en werd eind 2013 openbaar. Hij vertelt dus niet welke middelen in 2026 operationeel worden ingezet, door wie, of tegen welke doelwitten. Daarover valt uit deze bron geen betrouwbare conclusie te trekken. Wat de catalogus wél laat zien, is een technisch principe: een competente tegenstander hoeft niet afhankelijk te zijn van een voortdurend actieve radiozender, maar kan heel stealth opereren.

De toepassingen waren gericht. Voor een implantaat moet toegang tot een doelwit worden verkregen, rechtstreeks of via een andere vorm van fysieke of logistieke toegang. Dat maakt zulke close-access middelen niet tot een realistisch standaardscenario voor ieder kantoor. De relevantie hangt af van het dreigingsprofiel. Tegelijkertijd is de onderliggende techniek niet meer uitsluitend het domein van geheime diensten. Na publicatie van de catalogus hebben onderzoekers onderdelen van het concept met open hardware en algemeen verkrijgbare software-defined radio gereproduceerd. Een academisch onderzoek uit 2018 demonstreerde bijvoorbeeld een RF-retroreflector-aanval met commerciële apparatuur en wist in een laboratoriumopstelling toetsenborddata terug te winnen.

Dat bewijst niet dat georganiseerde criminaliteit of andere actoren deze techniek daadwerkelijk operationeel toepassen. Het laat wel zien dat de kennisbarrière lager is geworden: een principe dat in een geheime catalogus uit 2009 stond, kon enkele jaren later door onafhankelijke onderzoekers worden nagebouwd en onderzocht. Waardoor de techniek niet langer uitsluitend voorbehouden is aan actoren met eigen hoogwaardige R&D.