Nearest Neighbor Attack: je netwerk houdt niet op bij de gevel

In 2018 kwam de Russische inlichtingendienst GRU naar Den Haag. Toen nog wel. Vier inlichtingenofficieren in een gehuurde Citroën op een parkeerterrein naast de OPCW, wifi-interceptie verstopt onder een jas. De MIVD verijdelde de close access-operatie.

Vier jaar later was de auto overbodig. In februari 2022 ontdekte Volexity bij een organisatie in Washington geslaagde inlogpogingen door de GRU op een bedrijfs-wifi. De inloggegevens, bemachtigd met password spraying, waren niet bruikbaar om het bedrijf te hacken via de thuiswerkvoorziening of andere internetdiensten, want MFA stond aan. Maar voor wifi volstond een geldige gebruikersnaam en wachtwoord. Het bijzondere: de actor zat duizenden kilometers verderop.

De GRU compromitteerde organisaties in omliggende gebouwen, net zolang totdat ze een systeem aantrof dat zowel bekabeld als draadloos was aangesloten, en logde vanaf daar in op de wifi van het target. De logs lieten zien dat de verbinding liep via access points bij een vergaderruimte aan de straatzijde. Deze aanval staat bekend als de Nearest Neighbor Attack, want dat is het precies: een close access-operatie vanuit je buren.

De kwetsbaarheid zat niet in het apparaat of het wachtwoordbeleid, maar in de elektromagnetische uitstraling en de aanname dat dit signaal buiten de beveiligde zone geen risico vormde. Het netwerk van het target reikte verder dan de muren van het pand, en het bedrijf aan de overkant werd ongewild een schakel in de aanvalsketen.

Sinds kort is dat in Nederland niet meer zomaar een technische kleinigheid. Op 15 augustus is de Cyberbeveiligingswet in werking getreden en ruim achtduizend organisaties vallen eronder. De zorgplicht verplicht hen de cyberrisico’s in kaart te brengen en passende maatregelen te treffen. Ook bovenstaande en onbekende of onbeheerde access points, gastnetwerken, 4G-routers en alles met een camera en microfoon vallen hieronder. Het toezicht hierop is een bestuursverantwoordelijkheid.

Een casus als Nearest Neighbor maakt één ding duidelijk: je kan beveiligingsmaatregelen niet goed beoordelen zonder de feitelijke perimeter te kennen. Toch hebben veel organisaties beperkt zicht op het draadloze landschap rond hun pand: welke bekende en onbekende signalen daar aanwezig zijn en welke kwetsbaarheden dat oplevert. Laat staan rond ruimtes waar vertrouwelijk wordt gesproken. Als je je netwerk laat pentesten, waarom dan niet ook je belangrijkste ruimtes?