Weggewerkt in de wand: een cameramodule van nog geen tientje

Maar hoe ziet spionage er in de praktijk dan uit? Soms is het gewoon een cameramodule van nog geen tientje achter een thermostaat, soms een geheimzinnige implant van duizenden euro’s. Afgelopen maart ontdekte een Oekraïense dronefabrikant zulke observatiemiddelen in het kantoor van hun hoofdingenieur.

De foto’s in de slider laten zien wat achter een wandthermostaat was ingebouwd: een cameramodule van nog geen tientje. De printplaat is met een schroef en een lijmpistool vastgezet. Prima voor een installatie die snel en mechanisch stabiel moet zijn. Er is een losse microfoon aangesloten en voeding en netwerk. Regulier verkrijgbare elektronica dus, maar wel op een plek waar je doorgaans niet zoekt.

Waarop de camera was gericht is niet bekendgemaakt. Waarmee de aangesloten netwerkkabel verbond ook niet, mogelijk was het netwerkverkeer dus minder heimelijk dan de plaatsing. De operatie wordt in de berichtgeving als een afluisteroperatie beschreven. Gelet op de bijgeplaatste microfoon kan audio meer belang hebben gehad dan beeld.

Het uitfrezen van zo’n holte verloopt niet bepaald geruisloos. Dat de plaatsing is gebeurd tijdens legitieme werkzaamheden zoals het plaatsen van een airco (en de wandthermostaat) ligt daarom voor de hand. Dat is een agentoperatie: iemand met legitieme toegang, gerekruteerd en aangestuurd door een inlichtingendienst, klaart de klus. In de berichtgeving wordt de operatie toegeschreven aan Russische inlichtingendiensten. Dat ligt voor de hand maar wordt niet empirisch ondersteund.

TechEx toont als target flink wat zelfreflectie. Op Facebook stellen ze het pijnlijk te vinden om als oud-militairen te moeten erkennen dat ‘oude KGB-methoden’ succesvol op hen zijn toegepast. Ondanks beveiliging in meerdere schillen en voortdurende aandacht voor het onderwerp schoten ze tekort in bewustzijn over contraspionage, zo stellen ze. Je tegenstander hoeft dus niet een geavanceerde grootmacht te zijn en plaatst ook dan lang niet altijd geavanceerde middelen. Soms volstaat de juiste toegang.

De Oekraïense diensten lieten het ding na ontdekking overigens enige tijd ongemoeid. In plaats van het weg te halen, werd er bewust misleidende informatie gevoerd.

Voor Nederlandse organisaties is dit een mooie illustratie van waarom fysieke en digitale beveiliging niet los van elkaar staan. De ABRO brengt fysieke en digitale beveiliging bewust samen in eisen die de weerbaarheid van leveranciers bij Rijksoverheidsopdrachten moeten vergroten. Want een netwerk kan uitstekend beveiligd zijn terwijl de route naar informatie gewoon achter een thermostaat zit.

Meer weten over het vergroten van je eigen weerbaarheid? Neem contact op over de diensten van GreyOps.