DIT WIL JE ÉCHT NIET WETEN

HUIB MODDERKOLK

DIT WIL JE ÉCHT
NIET WETEN

OVER DE ONVOORSTELBARE
WERELD ACHTER JE SCHERM

Uitgeverij Podium
Amsterdam

‘I think the potential of what the internet is going to do to society, both good and bad, is unimaginable. I think we’re actually on the cusp of something exhilerating and terrifying.’

– David Bowie in gesprek met Jeremy Paxman,
BBC Newsnight, 1999.

Eerste druk maart 2024

Vijfde druk april 2024

© 2024 Huib Modderkolk

Alle rechten voorbehouden

Omslagontwerp Stroomberg

Auteursfoto Frank Ruiter

Redactie Willemijn Lindhout

ISBN 9789463812177

NUR 320

www.uitgeverijpodium.nl

Deze digitale editie is gemaakt naar de vijfde druk, 2024, met
ISBN 9789463812160

Inhoud

Proloog

1 Het aparte pakketje

2 De eerste fase: hoe een Nederlander in de digitale oorlog zijn doelwitten kiest

3 Een levensgevaarlijk inlichtingenspel

4 De tweede fase: Amir raakt vermorzeld tussen geheime diensten

5 Daar is de agent van de Mossad

6 De derde fase: Bram en de voordeur

7 Wat wíl de Mossad-man nou eigenlijk?

8 De vierde fase: Jos en de zoektocht naar het grotere plan

9 Met open ogen de val in

10 De vijfde fase: een ongemakkelijke waarheid

11 Het tweesnijdend zwaard

12 Wie bewaakt de bewakers?

13 Nachtvlinders

Verantwoording

Dankwoord

Noten

Register

Proloog

Met een man van middelbare leeftijd zit ik in een café in Den Haag. Hij is al jaren een van mijn belangrijkste bronnen. De man is goed ingevoerd bij de Nederlandse veiligheidsdiensten – om die reden kan ik zijn naam niet prijsgeven.

We praten af en toe bij, veelal op mijn initiatief. Hij is iemand met vertrouwen in de overheid en maakt zich niet snel zorgen over zijn privacy. Hoewel hij zich bezighoudt met geheime informatie, deelt hij zonder schroom zijn laatste sportactiviteiten via de app Strava, plaatst persoonlijke foto’s op sociale media – net als zijn exacte verblijfslocatie. ‘Ik heb niets te vrezen,’ is zijn levenshouding.

Zijn perspectief vind ik, als journalist die vooral schrijft over de schaduwkanten van digitalisering, waardevol. Maar nu, op een dag in 2022, kijken we allebei verbaasd op onze telefoons naar PimEyes: een nieuwe krachtige online zoekmachine voor gezichtsherkenning. Voer een afbeelding van een willekeurig persoon in en de slimme software vertelt je wie het is. Ik had erover gehoord en hem de zoekmachine laten zien.

Uit nieuwsgierigheid besluiten we ter plekke een test te doen. Ongemerkt nemen we een foto van een cafébezoeker die een tafel verderop zit. Dan doet PimEyes zijn werk. Terwijl de man doorpraat en géén idee heeft wat zich op onze telefoons afspeelt, scrollen wij door foto’s die de software voor ons heeft gevonden. In slechts enkele ogenblikken hebben we een beeld van zijn leven, identiteit en werkzaamheden. ‘Ik maak me niet snel zorgen over privacy,’ zegt de veiligheidsbron terwijl hij de zoekresultaten bekijkt, ‘maar nu wel.’

*

Een paar maanden later tref ik in een Van der Valk-hotel een ander goed contact. Een kalme, aardige onderzoeker die bij een internationaal beveiligingsbedrijf werkt. Hij is een meester in het ontleden van computervirussen en het zoeken daarin naar hints van de daders. Over de hele wereld helpt hij overheden en bedrijven die zijn geraakt door een digitale aanval. Hij komt in presidentiële kantoren in Oost-Europa, bij ministeries in heel Europa en Azië, en bij oliebedrijven in het Midden-Oosten.

Tijdens zijn werk stuit hij geregeld op Iraanse en Russische geheime diensten die in een buitenlands netwerk zitten. Maar steeds vaker, zegt hij, richten die landen hun pijlen daarom op hem. In de hotellobby vertelt hij dat hij met intimidatie te maken heeft. ‘Ik ontvang dreigende telefoontjes van Russen.’

Dat baart hem zorgen. Hij heeft kleine kinderen. De man weet bovendien hoe kinderlijk eenvoudig zijn tegenstanders aan informatie over hem en zijn familie kunnen komen. Niet omdat hij daar slordig mee omspringt, maar omdat onze – en dus ook zijn – data bij tientallen en soms zelfs honderden organisaties liggen. Daar zijn ze lang niet altijd veilig, blijkt steeds vaker. Het aantal datalekken blijft toenemen. Na een digitale aanval bij parkeerapp EasyPark¹ liggen zijn persoonsgegevens en mogelijk zelfs parkeerlocaties op straat – net als die van miljoenen anderen.

Zo zijn er meer voorbeelden. De telefoondata met exacte locatiegegevens van ruim 1,5 miljard mensen zijn online te koop.² De specialist uit zijn bezorgdheid: ‘Ik realiseer me steeds meer hoe kwetsbaar ik ben.’ Ziehier de tragiek: de digitaal expert, die alles weet van beveiliging, heeft geen controle over zijn eigen gegevens.

Een poos na onze ontmoeting stuurt hij me een bericht: ‘Het gaat niet zo goed.’ Ik schrik en bel hem meteen. Hij mag geen details verstrekken maar het is duidelijk dat er maatregelen zijn getroffen hem te beschermen. ‘Er hielden zich verdachte personen op in mijn omgeving.’ Het beangstigt hem. Hij woont met zijn gezin op een afgelegen plek. ‘We willen verhuizen naar een buurt met meer sociale controle.’

*

Christiaan Beek denkt als een hacker. Dus als de digitaal specialist in 2018 in de Verenigde Staten met zijn vrouw naar het ziekenhuis gaat voor een echo van hun ongeboren kind, kijkt hij mee wat er op het computerscherm gebeurt. De vrouwelijke arts meet eerst de omvang van het hoofd en daarna de buik van de ongeboren baby en klikt op ‘opslaan’. Dan merkt Beek iets vreemds op. ‘In plaats van de melding “data opgeslagen in bestand”, zag ik de melding “data opgeslagen in foto”,’ vertelt hij telefonisch. En die foto,³ ontdekt hij bij verder onderzoek thuis, wordt binnen het ziekenhuis via allerlei systemen gedeeld.

Zo’n fotobestand bevat niet alleen een afbeelding van een echo of MRI, maar ook informatie over de patiënt. Soms zelfs de volledige naam, geboortedatum en andere persoonlijke details. Tot zijn schrik ziet Beek dat hij met gemak in de online systemen kan die de medische afbeeldingen bevatten. De foto’s met data blijken onbeveiligd. ‘Al voor de geboorte was de privacy van onze baby geschonden,’ zegt hij.

Terug in Nederland doet Beek in 2023 opnieuw onderzoek naar de beveiliging van de systemen met deze medische foto’s, die wereldwijd bij ziekenhuizen en privéklinieken in gebruik zijn. Hij scant het internet en vindt bijna tweeduizend kwetsbare servers vol afbeeldingen. Het probleem is veel groter dan hij vreesde: bij ruim 40 procent hiervan kan hij de medische foto’s met patiëntdata ongehinderd opvragen.⁴ Beek: ‘Ziekenhuizen en fabrikanten van MRI-apparatuur doen er al jarenlang niets aan. Ze voelen de noodzaak niet.’ Bij toeval stuitte hij tijdens de echo van zijn kind op iets opmerkelijks. Vijf jaar later blijkt die ontdekking symbool te staan voor de achteloze omgang met medische data.

Het is een wonderlijk mechanisme: iedereen heeft te maken met de keerzijdes van digitalisering en toch is er een constante neiging de gevaren te bagatelliseren. Mensen willen het er liever niet over hebben. ‘Het zal allemaal wel.’ Zoals het prettig is om net te doen of de klimaatcrisis een probleem is van anderen. Alleen experts of mensen die de gevolgen wel al hebben ervaren, zoals de personen in de voorbeelden hierboven, begrijpen de ernst.

In mijn eerste boek Het is oorlog maar niemand die het ziet beschreef ik hoe technologie het werk van inlichtingendiensten fundamenteel veranderde en op grote schaal spionage en beïnvloeding mogelijk maakte. Na verschijning van het boek werd mij met regelmaat gevraagd een lezing te geven. Dan vertelde ik hoe Russische hackers de stroom in Europa uitzetten, hoe Chinezen in elk denkbaar bedrijf kostbare informatie stalen en hoe Britse en Amerikaanse hackers binnendrongen bij telecomproviders, advertentiepartijen en het internationale bankverkeer. Hoe deze spionage en manipulatie van data burgers en overheden kwetsbaar maakt – en daarmee democratische rechtsstaten ondermijnt.

Mensen reageerden enthousiast op het boek en de verhalen, maar ik merkte aan hun reacties ook: dit gaat niet over mij. Die Modderkolk beschrijft een wereld die eng en gevaarlijk is, maar die buiten mijzelf staat. Het is mijn probleem niet.

Daarop besloot ik mijn verhaal aan te passen. Vanaf dat moment liet ik stap voor stap de risico’s van technologie zien. Hoe de ontzaglijke hoeveelheden persoonlijke data steeds meer tegen mensen en samenlevingen worden gebruikt. Hoe overheden, bedrijven en even onschuldige als onwetende burgers erdoor in grote problemen raken.

Bij een uitgebreide lunch in Fort Altena in het Brabantse Werkendam luisterden in 2022 een kleine honderd man uit de chemische industrie naar mijn verhaal. Halverwege voelde ik de interesse wegvloeien en bij het hoofdgerecht – er stond wild op het menu – zei een directeur die werkte met systemen voor de machinebouw: ‘Ik zal je eerlijk zeggen: ik wil het eigenlijk niet weten.’ Even was ik sprakeloos.

Maar hoe meer ik in de weken daarna over zijn opmerking nadacht, hoe beter ik die kon plaatsen. De ontwikkelingen gaan zo snel dat het amper bij te houden is. Sinds de introductie van de smartphone in 2007, de toenemende rekenkracht van computers en het online koppelen van allerlei apparaten, is de digitale revolutie in een stroomversnelling geraakt – en daar komt kunstmatige intelligentie nog eens bij.

Niet alleen inlichtingendiensten weten hoe ze technologie voor eigen gewin kunnen inzetten. Ook techreuzen, overheden, criminelen en eenlingen gebruiken de groeiende databergen om te controleren, te stelen en te manipuleren. Het probleem is daarmee fundamenteler. ‘Iedereen krijgt te maken met de gevolgen van een datalek,’ waarschuwde de Nederlandse Autoriteit Persoonsgegevens in 2023.⁵ Alleen: de consequenties daarvan voelen niet ernstig, laat staan bedreigend, omdat ze zo moeilijk tastbaar te maken zijn. En dan is het verleidelijk om de ogen ervoor te sluiten. Of nog makkelijker: te doen alsof het gevaar niet bestaat.

Net als bij het klimaatprobleem is het simpel om de digitale crisis weg te wuiven. Om ieder symptoom ervan – ‘helft kinderen telefoonverslaafd,’⁶ ‘anoniem protesteren niet meer mogelijk,’⁷ ‘medische instellingen in Nederland gehackt door China,’⁸ ‘democratieën onder druk door repressieve technologie’⁹ – af te doen als een op zichzelf staand incident.

Je gaat de bredere, zorgelijke ontwikkeling pas scherp zien als de wereld áchter de nieuwsberichten begrijpelijk wordt. Daarom wilde ik dit boek schrijven. Dat een ongewoon postpakketje in 2020 de directe aanleiding zou vormen, kon ik toen nog niet voorzien.

1

Het aparte pakketje

Is het dom om een pakketje van een geheime dienst open te maken? Met die vraag loop ik nu een aantal dagen rond.

Het pakje ligt op de redactie van de Volkskrant en is opgestuurd na een merkwaardig mailcontact. Begin december 2019 verschijnt een Engelstalig bericht in mijn postvak. Dat begint met ‘Mijnheer, Modderkolk. Ik heb belangrijke informatie voor u.’ Een formidabele openingszin om de interesse van een onderzoeksjournalist te wekken.

De mail bevat brisante informatie. ‘Een agent van de Mossad is al jaren in Nederland actief als undercover.’ Snel pel ik de informatie af. De Mossad is de beruchte buitenlandse veiligheidsdienst van Israël. ‘Zijn dekmantel is een reisbureau,’ legt de afzender uit. Daarna volgt allerlei informatie over de Mossad-agent, opgeschreven in korte, feitelijke Engelse zinnen. ‘Hij ontvangt inkomen van een Israëlisch bedrijf. Dit bedrijf bestaat niet.’

Ik lees de mail een paar keer om alle details goed in me op te nemen. De Israëlische spion, zo blijkt, is recentelijk ontmaskerd door iemand die hij probeerde te rekruteren. Ook is de computer van zijn vrouw gehackt. ‘Bent u geïnteresseerd?’ eindigt de mail.

Een aantal dingen valt me direct op. De tipgever spreekt soms in de ik-vorm en soms in de wij-vorm. ‘Wij hebben de pc van zijn vrouw gehackt en hebben bewijs gevonden.’ Hij heeft voor zijn communicatie met mij een speciaal Gmail-adres aangemaakt. Hij beheerst het jargon van geheime diensten. Zo noemt hij de Israëlische agent een non-official cover, kortweg NOC. Een NOC is een spion die niet bij een ambassade of consulaat werkt en daardoor geen diplomatieke onschendbaarheid geniet. Ook wel een ‘slapende agent’, iemand die opgaat in een samenleving en lang aan een alternatieve identiteit werkt. Geduldig wacht hij tot zijn opdrachtgever hem een klus toebedeelt. De afzender gebruikt het alias Nasir.¹ Een veelgebruikte jongensnaam in Iran, leert een snelle zoekvraag via Google.

Verder valt op dat deze Nasir weinig loslaat over wie hij is en wat zijn motieven zijn. Terwijl de informatie die hij stuurt uitgebreid en gedetailleerd is. De tipgever vermeldt bijvoorbeeld de volledige naam van de Israëlische agent. Dat zet me aan het denken. Waarom zou iemand die zulke specifieke informatie deelt dat doen via een standaardmailprogramma en zijn eigen achtergrond weglaten? Of is dat onderdeel van zijn strategie? Mij nieuwsgierig maken met opzienbarende informatie zodat ik zeker op zijn mail zal antwoorden? En wat ik me tijdens het lezen ook afvraag: waarom deelt hij de informatie over een Israëlische spion uitgerekend met mij? In de mail staat geen verklaring. ‘Ik kan u meer informatie sturen,’ eindigt hij zijn bericht.

*

De mail komt binnen tijdens een hectische periode in mijn leven. Na publicatie van het boek Het is oorlog maar niemand die het ziet, twee maanden vóór de mail, volgden talloze aanvragen voor gesprekken en lezingen. Ik ontving tips voor nieuwe verhalen en uitnodigingen om bij organisaties te komen die eerder ontoegankelijk bleken. Nog lang niet alles bleek bekend over de onzichtbare strijd die zich afspeelt op onze computers en smartphones.

Eén specifieke casus kwam steeds weer ter sprake: een verhaal dat ik samen met de Amerikaanse journalist Kim Zetter maakte. Het beschreef de actie van een Nederlandse agent die binnendrong in een nucleair complex in Iran en daar een digitaal wapen lanceerde.²

Buitenlandse journalisten wilden er meer over weten, studenten stelden er vragen over, scenarioschrijvers zagen er een film in. De lancering van dat digitale wapen markeerde het begin van de onzichtbare oorlog. Stuxnet, zoals het ingezette computervirus werd genoemd, veranderde de wereld. Het liet de ongekende potentie van cyberwapens zien: in stilte konden die fysieke schade veroorzaken op een plek ver van het eigen grondgebied. Maar ook werden de gevaren zichtbaar. Stuxnet verspreidde zich over honderdduizenden computers, raakte op drift en de aanvallers verloren de controle. Andere landen zagen de offensieve kracht van het wapen en begonnen hun eigen cyberwapens te ontwikkelen. Juridische kaders waren er niet. Als Stuxnet geoorloofd was, leek alles geoorloofd. Stuxnet zette een beweging in gang die niet meer te stoppen was.

Door de interesse van de buitenwereld begon ik weer meer over het onderwerp te denken. Zeker toen er na een praatje bij een beveiligingsbedrijf in Rotterdam een man naar mij toe kwam. Hij zei op fluistertoon dat Nederland een veel grotere rol bij Stuxnet had gespeeld dan bekend was.

Over de Nederlandse inbreng bij Stuxnet was nog veel onduidelijk. Wie was bijvoorbeeld de man die de gevaarlijke missie ondernam? Hoe was het met deze persoon afgelopen? Maar ook: wie had in Nederland toestemming gegeven voor de inzet van dit digitale wapen? Welke afweging was er in het kabinet gemaakt?

Als ik de mail van de Iraanse Nasir nog eens lees, blijft mijn blik hangen bij de eerste zin. ‘Ik heb recentelijk uw boek gelezen.’

*

Een man met een Iraanse naam die zegt dat hij een Nederlands boek heeft gelezen en die een tip stuurt over een Israëlische spion. Door de combinatie van die drie landen moet ik ogenblikkelijk aan Stuxnet denken, al begrijp ik de relatie niet direct. En hoe kan het dat hij een Nederlands boek leest dat nog niet is vertaald?

Dat iemand uit Iran weet heeft van het boek is niet zo gek. Toen de Nederlandse rol bij de sabotage van het Iraanse nucleaire programma twee maanden eerder bekend werd, was er toevallig net een Nederlandse diplomatieke delegatie in Teheran. Die werd door Iran ontboden en haar werd om opheldering gevraagd. Iran nam de zaak hoog op.³

Maar in de mail staat geen woord over Stuxnet. Nieuwsgierig geworden, vraag ik Nasir de volgende ochtend om meer informatie. Over de Israëlische spion die in een slaperig dorp in Nederland zou wonen en over hemzelf. Ik schrijf terug dat ik het gevonden ‘bewijs’ uit de hack niet wil ontvangen. Hacken is strafbaar. Voor de zekerheid wijs ik hem op de mogelijkheid een veiliger kanaal dan Gmail te gebruiken. Mails van Gmail zijn dan wel goed versleuteld waardoor ze niet te lezen zijn als ze ergens worden onderschept, maar Google heeft de sleutels en zal bij een informatieverzoek van een overheid de communicatie overhandigen.

Nog geen twee uur later volgt het antwoord.

‘Dank voor uw snelle reactie. Ik werk op een Iraanse ambassade in Europa.’ In korte zinnen die allemaal op een nieuwe regel beginnen geeft Nasir een heleboel extra informatie. Zijn Engels is behoorlijk. Hij zegt dat ‘onze’ inlichtingeneenheid de Israëlische spion heeft ontmaskerd. Iran is erachter gekomen dat de agent al decennialang actief is. Eerst in het Israëlische leger waar hij Arabieren rekruteerde, daarna vanaf eind jaren negentig voor de Israëlische veiligheidsdienst Mossad in Nederland. De agent doet alsof hij werkzaam is bij een reisbureau in Nederland. En op missie, als hij Iraniërs wil overtuigen voor hem te werken, speelt hij een Duitse of Zuid-Afrikaanse zakenman. Arabieren en Iraniërs laten zich niet zo makkelijk rekruteren door een Israëliër; een Duitse of Zuid-Afrikaanse zakenman is een stuk minder bedreigend.

Dan volgen twee zinnen die me op scherp zetten. ‘We hebben nu ook verklaringen van een Iraanse wetenschapper die door hem in het verleden is gerekruteerd.’ En: ‘De commandant van de Iraanse Revolutionaire Garde, generaal Qasem Soleimani, heeft opdracht gegeven hem gevangen te nemen of hem publiekelijk te ontmaskeren.’

De verwijzing naar de Iraanse wetenschapper doet me ogenblikkelijk weer aan Stuxnet denken. Israël probeert voortdurend bij Iraanse wetenschappers te komen die iets weten van, of betrokken zijn bij, het geheime nucleaire programma van Iran. Zou het kunnen dat de Israëlische spion in Nederland ook heeft meegedaan aan de Stuxnet-operatie?

Dat de tipgever over generaal Soleimani spreekt, is opzienbarend. Soleimani is een machtig man in Iran en verantwoordelijk voor de meest geheime militaire operaties van het land. Hij wordt gezien als de op één na belangrijkste persoon in het streng islamitische land, na de hoogste leider Ali Hosseini Khamenei.⁴ Wat wil Nasir hiermee zeggen? Loopt de Mossad-man, zoals ik hem ben gaan noemen, in Nederland gevaar? En waarom vertelt hij dat aan mij?

Soleimani wordt vier weken later bij een Amerikaanse droneaanval gedood. De aanslag op de generaal, die door de VS wordt gezien als een belangrijke terrorist vanwege de samenwerking met organisaties als Hamas en Hezbollah, zet de verhoudingen tussen de VS en Iran op scherp. Iran zweert na de liquidatie wraak en valt Amerikaanse legerbases in de regio aan.⁵

Nasir sluit af met: ‘Als we verder communiceren, zullen we andere middelen gebruiken zoals een anoniem e-mailaccount en wegwerptelefoons.’ Bij de mail zit ook een bijlage. Ik twijfel of ik die moet openen. Zou het een val zijn? Zo op het oog is het een foto. Ik laat hem nog even ongeopend staan.

Alle nieuwe informatie maakt het niet overzichtelijker. Als het klopt wat Nasir zegt, is hij iemand met een hoge functie binnen de Iraanse overheid, die ook nog eens toegang heeft tot informatie van de Iraanse inlichtingendienst. Waarom gaat zo iemand mailen met een Nederlandse journalist? Dat voelt onlogisch. Ook het soort informatie dat hij deelt, is vreemd. Niet eerder heb ik van een bron zomaar staatsgeheime informatie gekregen via de mail. Het maakt het mysterie des te groter. Wat is hier aan de hand?

‘Wat is je motivatie om dit met mij te delen? En hoe kan ik verifiëren of de informatie klopt?’ zijn enkele van de vragen die ik nog diezelfde dag terugstuur. En ook: ‘Is er een relatie met Natanz?’ Natanz is het nucleaire complex waar de Nederlandse agent Stuxnet naar binnen bracht. Het blijft in me opkomen dat de bemoeienis van deze Iraanse afzender niet op toeval berust, dus het lijkt me goed het maar gewoon op de man af te vragen. Het antwoord, de volgende ochtend, laat me schrikken.

*

De man, die zijn mails consequent blijft afsluiten met ‘Nasir’ zonder verdere groet, zegt dat hij niet langer in Iran kan leven. Hij wil asiel aanvragen in Europa. Door de informatie over de Israëlische spion met een journalist te delen hoopt hij meer kans te maken op asiel. ‘Zoals u zult begrijpen, zet ik mijn leven op het spel door u te benaderen.’ Ook het leven van de Mossad-man is in gevaar nu hij bekend is bij de Iraanse veiligheidsdienst. ‘Door de informatie over hem te publiceren, kunt u zijn leven redden,’ schrijft Nasir, wederom in kernachtige zinnen. Als publiekelijk bekend is dat er een Israëlische spion in Nederland gevaar loopt, laten de Iraniërs het wel uit hun hoofd om actie tegen hem te ondernemen, is zijn redenatie.

Vol verbazing kijk ik naar de mail. Met elke nieuwe zin wordt het belang van de zaak verder opgeschroefd. Had Nasir het in zijn eerste berichten nog over iemand die was ontdekt, nu is het een kwestie van leven en dood. Een Israëlische spion die in een Nederlands dorp woont zou in levensgevaar zijn. Tegelijkertijd blijf ik me afvragen waarom hij mij hierin betrekt. Zijn redenering is flinterdun. Als Nasir werkelijk is wie hij claimt te zijn, een hoge Iraanse overheidsmedewerker met toegang tot inlichtingeninformatie, staan alle Europese diensten met open armen te wachten om hem te ontvangen en naar hem te luisteren. Daar heeft hij geen journalist van een Nederlandse krant voor nodig.

Nasir schrijft verder dat de AIVD, de Nederlandse inlichtingendienst, op de hoogte is van de ‘verdachte activiteiten’ van de Mossadman in Nederland. ‘De AIVD heeft, voor zover wij weten, vorig jaar de spion ondervraagd.’ Het zou betekenen dat de Iraanse veiligheidsdienst goed op de hoogte is van het handelen van de AIVD in Nederland. Nasir schrijft ook dat hij ervan uitgaat dat de AIVD mijn e-mail onderschept en mijn telefoon afluistert. Daarom zal hij, voordat we elkaar fysiek kunnen ontmoeten, ‘de juiste maatregelen nemen’ om te voorkomen dat de geheime dienst hem identificeert.

Dan volgt een zin die bij mij argwaan oproept. ‘We zullen wegwerptelefoons, Tor en versleutelde communicatie gebruiken.’ Die woorden zijn letterlijk afkomstig uit een eerdere mail van mij. Toen had ik gewezen op het belang van veilige communicatie en, vrij willekeurig, drie mogelijkheden genoemd. Met simpele wegwerptelefoons maak je de kans op afluisteren kleiner. Zeker als je ze niet in de buurt van je eigen telefoon gebruikt en geregeld wisselt van simkaart. Online netwerk Tor maakt anoniem communiceren mogelijk via een browser die het IP-adres verhult. Versleutelde communicatie kan bijvoorbeeld via de chatapp Signal. Uiteraard is het ook mogelijk – en aan te bevelen – een combinatie van deze drie te gebruiken. Nasir herhaalt echter alleen deze zin en stelt niets concreets voor. Hij eindigt met: ‘Als we elkaar ontmoeten, zal ik bewijs overhandigen van mijn identiteit en werkgever.’ Mijn vraag over Natanz blijft onbeantwoord.

*

Het duizelt me. Door het mailcontact met Nasir dreig ik deelgenoot te worden van een inlichtingenspel op leven en dood. De informatie die hij geeft is spectaculair, misschien wel te mooi om waar te zijn. De tipgever onderscheidt zich in zijn mails duidelijk van andere personen die mailen door de details die hij verstrekt. Ogenschijnlijk is hij goed ingevoerd. En het curieuze is dat elke volgende mail van hem spectaculairder is dan de voorgaande. Bij veruit de meeste tipgevers werkt het andersom: die verstrekken eerst de belangrijkste informatie, na doorvragen volgen meestal nuanceringen (‘nou, ik heb het via via gehoord en ik weet niet of het nog steeds gaande is’) en mogelijke obstakels (‘ik heb geen documenten meer, maar persoon X wil die misschien wel geven’).

Tegelijkertijd ben ik op mijn hoede. Dit is duidelijk iemand die bekend is met het werk van geheime diensten. De Iraanse Revolutionaire Garde staat niet bekend om haar zachtzinnigheid. Is de man eerlijk over zijn intenties? En is het verstandig hem te ontmoeten?

Om beter te begrijpen wat er aan de hand is, bel ik met twee bronnen van de AIVD. Meer dan tien jaar schrijf ik nu over het werk van de Nederlandse geheime dienst. In dat decennium heb ik stap voor stap een netwerk opgebouwd van mensen die bij de AIVD werken of hebben gewerkt en die ik af en toe raadpleeg. Met sommige bronnen is het contact zo goed dat ze hun kennis delen. Ik kan ze op elk moment van de dag bellen. Ik weet dat deze twee personen bij de AIVD onderzoek hebben gedaan naar Iran en in hun werk te maken hebben gekregen met agenten van de Iraanse dienst. Als de eerste bron hoort waarover het gaat, stelt hij direct voor om zo snel mogelijk ergens af te spreken.

Bij een biertje in een Amsterdams café nemen we de mails door. Mijn telefoon heb ik thuisgelaten. ‘Hij moet voor een geheime dienst werken,’ zegt de bron, die het taalgebruik van de Iraniër illustratief vindt. ‘Als ik dit lees is het alsof ik zelf weer in een operatie zit.’ Wat de tipgever precies wil, is hem niet duidelijk. ‘Dat hij iets bij jou zoekt, lijkt me helder.’ Hoewel de bron het contact zou voortzetten om te zien waar het naartoe gaat, en hij zeker niet uitsluit dat de tipgever zelf in gevaar is, is hij ook voorzichtig. ‘Let de komende weken goed op. Je weet nooit waar dit soort diensten toe in staat zijn.’ Als we afscheid nemen in het donker, merk ik dat ik extra alert ben op de omgeving. Als de bron wegrijdt, check ik haast automatisch of er iemand achter hem gaat rijden.

De tweede bron heeft een duidelijk advies: het contact meteen afbreken. Ook deze bron twijfelt niet aan de identiteit van de afzender. ‘Dit moet iemand van een geheime dienst zijn.’ Omdat de tipgever zegt voor Iran te werken en Israël ook betrokken lijkt, vindt de bron dat ik er goed aan doe me terug te trekken. ‘Je gaat er nooit achter komen wat zijn bedoeling is. Dit zijn professionele en gevaarlijke diensten voor wie jij een kleine schakel bent in een groter proces.’

Die twee gesprekken zetten me nog meer scherp. Wanneer ik op een middag over een rustig fietspad fiets, zie ik verderop een fietser met capuchon over zijn hoofd onder een brug staan. Als ik hem passeer gaat hij achter mij fietsen en als ik op de rem trap, draait hij meteen weer om. Mijn paranoia neemt verder toe en de hoofdredactie van de Volkskrant stelt enkele voorzorgsmaatregelen voor, waaronder een vaste contactpersoon die altijd op de hoogte is van mijn laatste locatie. Stapsgewijs heeft de Iraniër mij in zijn greep gekregen. Op dat moment heb ik geen benul van de implicaties: dat deze zaak mij nog jaren zou bezighouden. Aan Nasir mail ik dat ik zijn beweringen zal proberen te verifiëren en dat het enige tijd kan kosten. Dat geeft me ook de ruimte om de krankzinnige mailwisseling te laten bezinken.

Twee weken is er geen mailcontact. Totdat, vlak voor kerst, er ineens een nieuwe mail is. ‘Werkt u tussen kerst en oud & nieuw? Ik wil een pakketje opsturen. Dank, Nasir.’ Meteen is de alertheid terug. Is het verstandig om te reageren? Wat voor pakketje kan dat zijn? Is het een poging te achterhalen wat mijn thuisadres is? Of de plek waar ik het vaakst werk? De Volkskrant heeft twee redacties, in Amsterdam en Den Haag. Zou er een gps-tracker in het pakketje kunnen zitten?

Pas twee weken daarna, in het nieuwe jaar, stuur ik een mail terug en geef het adres van de redactie in Den Haag. Ik kom er zelden, dat lijkt me veiliger. ‘Ik denk dat het een boekje is. Of een harde schijf. Zo voelt het. Zou dat kunnen?’ stuurt de chef van de Haagse redactie later via WhatsApp. Ik vraag hem of hij het pakketje kan doorsturen naar Amsterdam. Dat het waarschijnlijk een boek is of een harde schijf stelt me enigszins gerust.

Het is een stevige, met plakband dichtgemaakte witte envelop, zie ik op de redactie van de Volkskrant in Amsterdam. Er zit iets hards in. Ik twijfel nog steeds of ik het pakketje open kan maken. De merkwaardige mailwisseling en de waarschuwingen van bronnen maken dat ik op mijn hoede ben. Wie is deze Nasir? Handelt hij alleen of in opdracht van een dienst? En, een vraag die ook maar blijft terugkeren: hoe kwam hij bij mij terecht?

Een oud-militair in een schuur in het midden van Nederland zal me het begin van een antwoord geven.

2

De eerste fase: hoe een Nederlander in de digitale oorlog zijn doelwitten kiest

Een man van middelbare leeftijd zoekt eind maart 2022 op de zolderkamer van zijn schuur naar een geschikt Russisch doelwit. De Nederlander wil de agressor raken op een plek die pijn doet. Slechts twee mensen weten wat hij hier aan het doen is: een familielid en een vriend.

De veteraan van het Korps Commandotroepen met een opvallend litteken op zijn linkerwang, die nog altijd het postuur heeft van een oud-militair, zit op een zwarte bureaustoel. Een straalkachel zorgt voor warmte. Buiten de schuur is niets te zien of horen, maar hier woedt de oorlog tussen Oekraïne en Rusland. In de ruimte, die wordt verlicht door ledstrips op houten balken, klinkt eurodance uit de jaren negentig. La Bouche met ‘Be My Lover’.

La da da dee da da da da

La da da dee da da da da

A ha ye heyee, want to be my lover

Ik leer de man kennen in de zomer van 2022, net nadat Rusland Oekraïne is binnengevallen. Hij werkt als securityspecialist bij een internationaal IT-bedrijf. Maar belangrijker: hij laat me zien waarom er online zoveel kansen liggen om doel te treffen. En ook welke mogelijkheden een inlichtingenman als Nasir heeft om uit te komen bij een Nederlandse journalist.

Op heldere wijze vertelt de oud-militair hoe via internet geen apparaat ongezien blijft. Waarom iedere burger met een internetaansluiting een schietschijf is. Met zijn kennis is hij een onmisbare kracht in het omvangrijke digitale vrijwilligersleger van Oekraïne. Honderdduizenden nemen Russische doelen onder vuur.

Onder de naam ‘Hactic’ werkt de veteraan zich op tot kolonel in dat leger. In de schuur schrijft hij handleidingen waarin staat hoe de vrijwilligers gaan hacken, hoe ze bij hun slachtoffers uitkomen en hoe ze anoniem blijven. Hij legt uit dat ze officieel partij zijn in de oorlog. De IT Army, zoals het leger heet, valt onder het Oekraïense ministerie van Digitale Transformatie en wordt aangestuurd door de Oekraïense veiligheidsdienst.

Toen Rusland met pantservoertuigen, soldaten en artillerie Oekraine binnenviel griste hij zijn paspoort uit een la en stapte in de auto naar de Oekraïense ambassade in Den Haag. Hij wilde zich aansluiten bij het internationale vreemdelingenlegioen dat ging vechten.

‘Als de Russen over Oekraïne heen walsen, trekken ze door naar Moldavië en verder naar voormalig Joegoslavië,’ legt hij uit. ‘Ik wilde niet toekijken.’ Op de ambassade vulde hij een enorme stapel papieren in. Hij onderkende dat hij op de hoogte is van alle risico’s, verklaarde dat hij Oekraïens staatsburger zou worden en dat hij voor minimaal drie jaar zou tekenen. Geen spoor van twijfel. Hij moest iets doen.

Dat was buiten zijn tienerdochter gerekend. Ze was woest en verdrietig toen ze over het plan hoorde. Hij is een alleenstaande vader en ze was kort daarvoor bij hem komen wonen. Hoe kon hij haar zo in de steek laten, wierp ze hem voor de voeten. Hij besloot zich terug te trekken.

Diezelfde dag hoorde hij over een oproep van de Oekraïense vicepremier Mychajlo Fjodorov aan de internationale IT-gemeenschap: er wordt een hackleger opgericht, de IT Army. Naast oud-commando is de man zeer bedreven met computers. Recentelijk had hij de leiding over een grote IT-klus bij een Nederlands ministerie. Met collega-hackers deelt hij in appgroepen informatie over de digitale mogelijkheden van geheime diensten. Ze fantaseren al langer over een naderende cyberoorlog, en die lijkt nu zomaar binnen handbereik. Als hij vanwege zijn dochter niet kan afreizen naar Oekraïne, is dit een prima alternatief.

En nu, een maand na de Russische invasie, is hij zelf aan zet. Met acht gelijkgestemden van over de hele wereld, van Engeland tot de Verenigde Staten, vormt hij een eigen elitegroep binnen de IT Army. Ze noemen zichzelf The League of Cyber Gentlemen. De scherpschutters van het internationale vrijwilligersleger. Het zijn mannen met specifieke hackervaring die elkaar aanvullen. Dag en nacht zoeken ze elkaar op, naast de reguliere baan die ze hebben. Ze motiveren elkaar en maken plannen. Ze vormen een geheim genootschap. Zelfs hun naaste familieleden weten niet wat ze doen. Ze willen de Russische oorlogsmachine saboteren. Hactic, gewend om met een aanvalsgeweer vijandelijk gebied binnen te gaan, denkt nu als een hacker.

*

Deze man laat me dingen zien die ik niet voor mogelijk had gehouden. Tien jaar schrijf ik nu over de risico’s van de digitale samenleving. En toch ben ik verrast door het gemak waarmee hij bij zijn slachtoffers komt. Voor het eerst kijk ik vanaf de bron mee hoe een hacker een aanval opzet. Zijn eerste stap, legt hij uit, is het bepalen van een doelwit. Hactic wil het transport van Russisch militair materieel richting Oekraïne frustreren. De meeste Russische tanks en legervoertuigen gaan via het spoor. Maar er is al een hackgroep met de spoorwegen bezig. Daarom verlegt hij zijn aandacht naar Aeroflot. Ruslands nationale burgerluchtvaartmaatschappij wordt wel vaker ingezet voor geheime operaties en het transport van militaire goederen.¹

Informatie verzamelen over een doelwit is de eerste stap van een hack, vertelt Hactic me. Precies zoals Nasir eerder met mij moet hebben gedaan. Van alle journalisten die er op de wereld zijn, koos de Iraniër mij uit. Hij moet informatie over mij zijn gaan zoeken, een telefoonnummer, e-mailadres of woonadres, en hebben bedacht wat de beste manier is om contact te leggen. Nasir had een doel voor ogen.

Bij deze eerste fase kan ook het contact met het target zelf horen, legt Hactic uit. Misschien gebruikte Nasir de mailconversatie om data over mij te verzamelen, denk ik meteen. Testte hij hoe ik op zijn mails zou reageren. Om te zien of ik informatie zou prijsgeven.

Na deze fase volgt het kiezen van het juiste aanvalswapen. Hoe meer Nasir over mij weet, hoe groter zijn beschikbare arsenaal. Dat geldt ook voor hackers. Meer informatie vergroot de aanvalsopties. Na deze eerste twee fases volgen nog drie fases waarbij een hacker steeds dieper in het netwerk van het slachtoffer komt, vertelt Hactic. Totdat hij uiteindelijk, in de laatste fase, z’n ultieme doel bereikt: informatie stelen, een netwerk gijzelen of saboteren of een combinatie hiervan. Samenlevingen die de digitale mogelijkheden omarmen, zoals de Nederlandse, maken het hackers in alle fases makkelijk.

Hactic is nu bij de eerste fase: zo veel mogelijk informatie inwinnen over het slachtoffer. Als securityspecialist kent hij de zwakke plekken van moderne bedrijven. Die kijken naar de digitale mogelijkheden, niet naar de risico’s. Ze zetten verbindingen open naar de buitenwereld, knopen netwerken aan elkaar, zonder zich ervan bewust te zijn dat buitenstaanders hier ook bij kunnen. Op internet is ieder online apparaat te vinden. Voor een hacker is elk IP-adres een potentiële ingang.

Hactic begint met een simpel rondje om het bedrijf. Alsof hij het hoofdkantoor van Aeroflot in Rusland inspecteert op openstaande deuren. Er is niets heroïsch aan dit speurwerk. Het is geen nachtelijke missie in een gevaarlijk gebied met het gevaar te worden ontdekt. Het is logisch nadenken, puzzelen, zonder zelf gevaar te lopen. Geluidloos, met enkel de aanslagen op zijn toetsenbord.

Hij voert de website van Aeroflot in (www.aeroflot.ru) en zoekt het bijbehorende publieke IP-adres op. Hij wil weten of dat een eigen IP-adres van Aeroflot is – wat betekent dat het bedrijf eigen webservers heeft – of dat het IP-adres bij een internetprovider hoort. Die gegevens zijn voor iedereen online op te zoeken. De IP-reeks, ziet Hactic al snel, is van Aeroflot zelf.

Vervolgens wil hij weten hoe het publieke netwerk van Aeroflot eruitziet. Hij ziet na zijn inspectieronde dat het hoofdkantoor verschillende ingangen heeft. Nu wil hij weten wat er achter die toegangsdeuren gebeurt. Ook dit doet hij vanaf zijn bureaustoel. De IP-adressen die bij Aeroflot horen, gaat hij bevragen. Scannen, in hackjargon. Zo kan hij uitzoeken welke poorten er openstaan. En die poorten zeggen weer iets over de functie. Praten de IP-adressen terug? En zo ja, via welke poorten?

Een goede scan op een IP-adres kan uren duren, een vluchtige scan kan in enkele minuten het hele internet afstruinen. Hactic weet dat hij voorzichtig moet zijn. Als hij luidruchtig aan de toegangspoorten gaat rammelen, alarmeert hij de beveiliging van Aeroflot. Als hackers bekende scanners inzetten kunnen de systeembeheerders van het slachtoffer dat de volgende dag terugzien in de logbestanden. Die zullen tegenmaatregelen nemen. Dat wil hij voorkomen.

Hactic, die geregeld tot diep in de nacht op de zolderkamer op oorlogsmissie is, gebruikt syn-scanning – een populaire truc onder hackers om de systeembeheerders om de tuin te leiden. Daarmee kan hij poorten scannen zonder daadwerkelijk contact te maken. De poortscanner zet een verbinding op naar de server van het slachtoffer. ‘Hallo, ik wil met je praten.’ De server reageert op dit verzoek. ‘Wat wil je weten?’ In de volgende dertig seconden staat de poort open, wachtend op een bevestigend antwoord. Hactic stuurt dat antwoord echter niet, maar geeft een ‘Sorry, verkeerd verbonden’ terug, zodat zijn bezoek niet in de logbestanden komt.

Zo achterhaalt hij de functie van de poort zonder sporen achter te laten. Vergelijk het met het testen van een beveiligingspoort. Een inbreker heeft een toegangspas van een medewerker gestolen en wil weten bij welke beveiligde deur hij naar binnen kan. Alleen: als hij dóór de deur gaat, zien de beveiligingscamera’s hem ook. Dus legt hij de pas op de lezer, kijkt of deze reageert, om vervolgens direct weg te lopen. Dit scannen is voor hackers als een risicoloze verkenningstocht.

De Nederlandsche Bank, het ministerie van Buitenlandse Zaken, KPN, Vodafone/Ziggo en NS krijgen iedere dag met duizenden van dit soort scans te maken. Hackers proberen geautomatiseerd naar de zwakke plekken in hun systemen te zoeken, om zo te achterhalen welke organisatie haar beveiliging niet op orde heeft.

*

Hactic vindt met zijn scans tientallen servers van Aeroflot, waaronder een kwetsbare SQL-server. Een database-server die door veel organisaties wordt gebruikt. Een collega-hacker gaat ermee aan de slag en komt binnen. Dolblij vertelt hij Hactic over zijn verovering. Hij is binnen bij Ruslands grootste luchtvaartmaatschappij. Maar dan volgt de teleurstelling als blijkt wáár hij het netwerk van Aeroflot is binnengekomen: bij de facilitaire dienst. De drie databases waar hij kan rondkijken staan vol met bestellingen voor zeepjes, doekjes, spuugzakjes en plastic bestek. Hij heeft de toegangsdeur naar het magazijn geforceerd.

Hactic krijgt met zijn scans een steeds beter beeld van het gigantische netwerk van Aeroflot. In no time brengt hij het gehele bedrijf in kaart, een flatgebouw met verdiepingen en kleinere en grotere zalen. Het is zo groot – Hactic vindt 291 subdomeinen – dat hij ervoor kiest om zich te richten op het waardevolle boekingssysteem voor tickets. Hij gaat een methode inzetten die hem direct in het hart van de Russische luchtvaartmaatschappij kan brengen.

*

Halverwege mei 2022, als de Oekraïense havenstad Marioepol door de Russen met de grond gelijk is gemaakt en er naar schatting tienduizenden burgerslachtoffers zijn,² ontvangt de Volkskrant een tip. Een Nederlander zou ‘betrokken zijn bij enkele grote hacks tegen de Russische overheid’ en een hoge positie hebben bij de IT Army. Hactic is zijn internationale naam.

Meteen zoek ik in het Telegram-kanaal van de IT Army op de naam ‘Hactic’, en het ene na het andere bericht verschijnt. De man is zeer actief en geeft in het Engels tips en adviezen aan hackers uit allerlei landen. Bij een link naar een handleiding voor beginners: ‘We hebben een document opgesteld om duidelijk te maken wat we hier doen en waarom dat zin heeft.’ En: ‘Wees je ervan bewust dat aanvallen strafbaar zijn in veel landen en als je wordt gepakt, je in de gevangenis komt.’

Oekraïne is op dat moment met westerse hulp bezig met een tegenoffensief en dringt Rusland terug op het slagveld. In dagelijkse updates is te zien hoe het front zich verplaatst. De digitale strijd speelt zich veel meer af in het verborgene. De IT Army legt, met hulp van tienduizenden internationale vrijwilligers, Russische netwerken plat. Maar dat is niet hun enige activiteit. Ze identificeren gedode Russische soldaten, bellen nabestaanden van Russische slachtoffers op om hen te confronteren met de tol van de oorlog en publiceren data van gehackte bedrijven, zo staat in verklaringen in het kanaal van de IT Army op chatdienst Telegram.³

De IT Army blijft voor mij veel geheimen hebben. De organisatie en het doel zijn mij niet duidelijk. Wie bepaalt bijvoorbeeld welke Russische organisaties worden aangevallen? Hoe succesvol is de IT Army daarin? Ook hun plek in de oorlog begrijp ik niet. Trekken ze samen op met het Oekraïense leger? En hoe stemmen ze dat af?

Ik stuur Hactic in het Nederlands een privébericht. ‘Klopt het dat je nauw betrokken bent bij de IT Army?’ Een uur later antwoordt hij in het Engels. ‘We krijgen elke dag dit soort vragen, voornamelijk van Russische spionnen. Als je echt “de” Huib Modderkolk bent, weet je dat ik je vraag niet kan beantwoorden.’ Maar hij gooit de deur niet helemaal in het slot. ‘Hoe weet ik of je bent wie je zegt?’

Ik schrijf terug dat ik mezelf kan identificeren. ‘Oké,’ stuurt hij daarna. ‘Laten we eerst je identiteit vaststellen. Daarna kunnen we (misschien) praten.’

Ik heb op dat moment nog geen flauw benul wie hij is of hoe hij eruitziet. Is het een jongen van zeventien die goed is met computers en vol bravoure de digitale oorlog is binnengestapt? Of een schuchtere IT’er van rond de dertig die bij een internetprovider werkt?

‘Ben je bekend met het berucht onveilige programma Zoom?’ vraagt hij, nog steeds in het Engels. Hij stuurt een link naar Zoom met een tijd. ‘Prima,’ schrijf ik, ‘tot zo’, zonder te weten wat er gaat gebeuren. Als ik in een vergaderhok op de redactie van de Volkskrant het videogesprek open, blijft het scherm aan de andere kant zwart. ‘Hallo?’ probeer ik enkele keren. Dan zie ik een bericht via de chat. Hactic vraagt of ik een zescijferige code wil opschrijven en voor de camera wil houden.

Het is een manier om te verifiëren of de verbinding authentiek is. Als ik het papier met de opgeschreven code voor de camera houd, wordt de verbinding meteen verbroken.

‘Dank je wel voor je flexibiliteit,’ stuurt hij daarna via Telegram. Ditmaal in het Nederlands. Hij wil met me praten. ‘Ik ken je werk. Dat geeft me het vertrouwen dat je me niet in gevaar wilt brengen.’

*

Hij staat niet graag in de schijnwerpers, zegt Hactic weken later in een wegrestaurant boven de A4 waar we elkaar voor het eerst ontmoeten. Hij zit licht voorovergebogen in een fleecetrui en is ouder dan ik dacht. Hoewel hij op zijn hoede is – bang om zijn identiteit te onthullen – is hij open en vriendelijk. Hij is in een stille hoek van een bruin café gaan zitten, weg van de drukte in het nabijgelegen La Place. Al snel vertelt hij dat hij moeite heeft met de hectiek en afstandelijkheid in het Westen. ‘Mensen zijn bezig met materialisme en randzaken. Ze communiceren niet met elkaar, ze staren naar hun telefoons, staan niet open voor anderen.’ Af en toe verontschuldigt hij zich als hij lang aan het woord is. Voor Oost-Europa heeft hij een zwak. Hij heeft veel gereisd, van Polen tot Bosnië en van Bulgarije tot Oekraïne. Overal is hij hartelijk ontvangen. ‘Die gastvrijheid bestaat hier niet in Nederland. Mensen in Oost-Europa delen hun laatste voedsel met je.’