Spionage via de weg van de minste weerstand: apparaten die niemand als computer behandelt
Het is april 2019. Microsoft ziet een Russische actor contact maken met apparaten bij klanten. Niet met servers. Maar met een printer, een VoIP-telefoon en een videodecoder. Bij twee was het fabriekswachtwoord nooit aangepast, de derde was lang niet gepatcht. Vanaf daar bewoog de actor verder door het bedrijfsnetwerk. De aanvallen werden toegeschreven aan Fancy Bear: GRU-eenheid 26165.
Dezelfde eenheid had een jaar eerder nog inlichtingenofficieren naar Den Haag gestuurd voor een close-accessoperatie. Nu kwam ze binnen via kantoorapparatuur. Als het fabriekswachtwoord voldoende is, gebruikt ook een geavanceerde actor de simpele route naar binnen. Dat patroon blijft terugkeren.
In januari 2024 ontmantelde de FBI een botnet, opgebouwd uit duizenden thuisrouters, dat de eenheid gebruikte als spionageplatform. Klein detail: de GRU had die routers niet eens als eerste gehackt. Criminelen hadden met publiek bekende standaardwachtwoorden een botnet geïnstalleerd. De GRU kaapte het botnet en maakte er eigen infrastructuur van.
In mei 2025 waarschuwden de NSA en MIVD opnieuw voor Unit 26165. De eenheid zocht toegang tot IP-camera’s bij grensovergangen, spoorlocaties en militaire installaties om transporten richting Oekraïne te volgen. De analyse bracht meer dan 10.000 camera’s naar voren. Ook Nederland was doelwit. De GRU hoeft geen camera te plaatsen als er al één hangt.
Afgelopen juli waarschuwde de NSA met partnerdiensten weer voor dit patroon, maar nu door de Russische FSB. Kwetsbare en slecht geconfigureerde netwerkapparatuur vormen een route naar kritieke netwerken in de defensie-industrie. De aanbevelingen zijn vrij banaal: sterke wachtwoorden, veilige configuratie en actuele firmware. Wat hebben al deze campagnes gemeen? Het zijn computers die niemand als computer behandelt.
Kijk door die bril eens naar je eigen omgeving, zeker op plekken waar gevoelige informatie wordt besproken of verwerkt. Een videobar. Een vergaderscherm. Het boekingspaneel naast de deur. Een camera. Een printer. Wat heeft een microfoon, camera, aanwezigheidssensor, netwerkverbinding of andere sensor? Wie patcht er? Wie ziet afwijkend verkeer? Wie beheert de credentials? Blijft het stil, dan heb je jouw weg van de minste weerstand gevonden.
Het antwoord “de leverancier” volstaat niet meer. De Cyberbeveiligingswet maakt beveiliging van de toeleveringsketen onderdeel van je zorgplicht. Organisaties moeten ketenrisico’s beheersen en beveiligingseisen stellen aan leveranciers, bestuurders moeten toezien op de uitvoering.
Een apparaat zonder beheerder bestaat niet. Een apparaat waarvan niemand weet wie de beheerder is wel.
Bronnen
- CERT-EU. “Corporate IoT – an intrusion path for APT groups.” Threat memo 190905-1, 5 september 2019. Bron voor de drie apparaten (VoIP-telefoon, printer, videodecoder), voor de ongewijzigde fabriekswachtwoorden en het ontbrekende beveiligingsupdate, voor het verder bewegen door het netwerk op zoek naar accounts met meer rechten, en voor de toeschrijving aan APT28, ook bekend als Fancy Bear en Strontium. De memo gaat terug op de publicatie van het Microsoft Security Response Center, waarin de waarneming in april 2019 wordt gedateerd.
- Ministerie van Defensie. “Russian cyber operation.” 4 oktober 2018. Bron voor de close-accessoperatie van Unit 26165 in Den Haag, een jaar voor de waarneming van Microsoft.
- U.S. Department of Justice. “Justice Department Conducts Court-Authorized Disruption of Botnet Controlled by the Russian Federation’s Main Intelligence Directorate of the General Staff (GRU).” 15 februari 2024. Bron voor de operatie in januari 2024, voor Unit 26165, en voor het gegeven dat niet de GRU maar criminelen de Moobot-malware installeerden op Ubiquiti EdgeOS-routers met publiek bekende standaardwachtwoorden, waarna de GRU het botnet overnam.
- NSA, MIVD e.a. “Russian GRU Targeting Western Logistics Entities and Technology Companies” (AA25-141A). 21 mei 2025. Bron voor de hernieuwde waarschuwing over Unit 26165, voor de steekproef van ruim 10.000 camera’s bij grensovergangen, militaire installaties en spoorlocaties, en voor Nederland als een van de landen met getroffen entiteiten. De MIVD is medeondertekenaar.
- NSA e.a. “Improve Router Hygiene to Protect Against Russian State-Sponsored Targeting” (AA26-194A). 13 juli 2026. Bron voor de waarschuwing over FSB Center 16, voor slecht geconfigureerde netwerkapparatuur als route naar onder meer de defensie-industrie, en voor de aanbevelingen over configuratie en firmware.
- NCSC. Infosheet zorgplicht Cyberbeveiligingswet. Bron voor beveiliging van de toeleveringsketen als onderdeel van de zorgplicht (artikel 21, tweede lid, onder d, Cbw) en voor het goedkeuren van de maatregelen en het toezien op de uitvoering door het bestuur. Uitgewerkt bij ABRO en Cbw.
De CERT-EU-memo schrijft de campagne toe aan APT28 en noemt de aanduiding GRU-eenheid 26165 niet; die volgt uit de latere publicaties hieronder. Over het aantal routers lopen de cijfers uiteen. Het persbericht van het Department of Justice spreekt van een netwerk van honderden SOHO-routers; de FBI Boston noemt in hetzelfde bericht ruim duizend geremedieerde routers wereldwijd.
Lees meer over onze EVO- en TSCM-sweeps.