De grootste cyberaanvallen ter wereld

De grootste cyberaanvallen door Rusland, China, Iran en Noord-Korea

Historisch overzicht van bekende cyberoperaties, 2007–2024

Inleiding

Cyberaanvallen zijn uitgegroeid tot een belangrijk instrument van internationale macht. Staten en aan hen gelieerde hackersgroepen gebruiken digitale aanvallen om politieke informatie te verzamelen, overheidsinstellingen te bespioneren, infrastructuur te saboteren en geld of technologie te stelen. Rusland, China, Iran en Noord-Korea behoren tot de landen die in internationale dreigingsrapporten regelmatig worden genoemd vanwege hun statelijke cyberactiviteiten.

De doelstellingen verschillen per land. Russische operaties worden onder meer in verband gebracht met sabotage en geopolitieke beïnvloeding, Chinese operaties met omvangrijke cyberspionage, Iraanse operaties met regionale conflicten en verstoring, en Noord-Koreaanse operaties met zowel spionage als financiële diefstal. Dit zijn algemene patronen, geen vaste regels voor iedere aanval.

1. Rusland: sabotage en strategische spionage

NotPetya – 2017

NotPetya begon via besmette boekhoudsoftware in Oekraïne en verspreidde zich vervolgens internationaal. De malware vernietigde of versleutelde gegevens en legde computersystemen van internationale bedrijven plat. Onder meer de scheepvaart, industrie en gezondheidszorg werden getroffen. De Amerikaanse overheid schreef de operatie toe aan Russische militaire hackers. De aanval veroorzaakte wereldwijd grote economische schade.

Cyberaanvallen op het Oekraïense elektriciteitsnet – 2015 en 2016

Bij aanvallen op Oekraïense energiebedrijven kwamen huishoudens tijdelijk zonder stroom te zitten. De aanvallers gebruikten onder meer malware om systemen binnen te dringen en de werking van elektriciteitsnetwerken te verstoren. Amerikaanse overheidsinstanties schreven deze operaties toe aan Russische statelijk gesteunde actoren.

SolarWinds – ontdekt in 2020

Bij deze operatie werd software van IT-bedrijf SolarWinds gemanipuleerd, waardoor kwaadaardige code via reguliere software-updates bij klanten terechtkwam. Daardoor konden aanvallers onder andere overheidsorganisaties en bedrijven bespioneren. De Verenigde Staten en het Verenigd Koninkrijk schreven de operatie toe aan de Russische buitenlandse inlichtingendienst SVR.

Kenmerk: Russische cyberoperaties omvatten zowel langdurige spionage als aanvallen die systemen ontregelen of beschadigen.

2. China: grootschalige cyberspionage en gegevensdiefstal

OPM-datadiefstal – 2014–2015

Aanvallers drongen binnen bij het Amerikaanse Office of Personnel Management, dat personeelsgegevens van federale medewerkers beheert. Gegevens van ongeveer 21,5 miljoen personen uit bestanden voor veiligheidsonderzoeken werden buitgemaakt, waaronder gevoelige persoonsgegevens. Amerikaanse autoriteiten brachten de aanvallen in verband met China. De zaak liet zien hoe waardevol persoonsgegevens kunnen zijn voor inlichtingenwerk.

Microsoft Exchange – 2021

In 2021 werden kwetsbaarheden in Microsoft Exchange Server misbruikt om organisaties wereldwijd binnen te dringen. De aanvallers konden e-mailgegevens stelen en verdere toegang tot netwerken verkrijgen. Westerse overheden schreven een deel van deze activiteiten toe aan Chinese statelijk gesteunde hackers. De incidenten troffen onder meer bedrijven, overheidsinstellingen en andere organisaties.

Salt Typhoon – 2024

Deze operatie richtte zich op telecombedrijven in de Verenigde Staten en andere landen. Volgens de Amerikaanse overheid werden ten minste acht Amerikaanse telecomaanbieders getroffen. De aanvallers probeerden communicatiegegevens en andere informatie te verzamelen. De zaak onderstreepte het strategische belang van telecomnetwerken voor inlichtingendiensten.

Kenmerk: Chinese statelijk gesteunde cyberactiviteiten worden vaak in verband gebracht met langdurige toegang tot netwerken, economische en technologische spionage en het verzamelen van strategische informatie.

3. Iran: digitale sabotage en aanvallen op tegenstanders

Shamoon – 2012

Een destructieve cyberaanval trof het Saudische staatsoliebedrijf Saudi Aramco. Malware overschreef gegevens op ongeveer 30.000 computers, waardoor systemen opnieuw moesten worden opgebouwd. De aanval veroorzaakte grote operationele problemen. Het incident wordt vaak genoemd als een belangrijk voorbeeld van digitale sabotage tegen een strategisch bedrijf.

Operation Ababil – 2012–2013

Amerikaanse financiële instellingen werden getroffen door omvangrijke DDoS-aanvallen. Daarbij werden websites en online diensten overspoeld met verkeer, waardoor klanten moeilijk of tijdelijk geen toegang hadden. Amerikaanse aanklagers brachten de campagne later in verband met Iraanse hackers. De aanvallen illustreerden hoe digitale verstoring kan worden ingezet als politiek drukmiddel.

Aanvallen op kritieke infrastructuur – 2023–2024

Amerikaanse overheidsinstanties waarschuwden voor Iraanse cyberactoren die organisaties in onder meer de watersector en andere kritieke infrastructuur probeerden binnen te dringen. In sommige gevallen werden industriële controlesystemen geraakt. De activiteiten omvatten onder meer het misbruiken van zwakke wachtwoorden en het verkrijgen van toegang tot systemen.

Kenmerk: Iraanse cyberoperaties worden onder meer in verband gebracht met politieke beïnvloeding, spionage, vergeldingsacties en verstoring van organisaties die als tegenstanders worden beschouwd.

4. Noord-Korea: financiële diefstal en wereldwijde verstoring

Sony Pictures – 2014

Hackers drongen binnen bij Sony Pictures Entertainment, stalen vertrouwelijke gegevens en maakten duizenden computers onbruikbaar. Ook werden dreigementen geuit tegen medewerkers. De FBI schreef de aanval toe aan Noord-Korea en legde een verband met de film The Interview.

Bangladesh Bank – 2016

Hackers probeerden via het internationale betalingsverkeer bijna een miljard dollar weg te sluizen van de centrale bank van Bangladesh. Ongeveer 81 miljoen dollar werd daadwerkelijk overgemaakt en buitgemaakt. Amerikaanse aanklagers brachten deze diefstal in verband met Noord-Koreaanse hackers.

WannaCry – 2017

WannaCry verspreidde zich razendsnel over de wereld en trof honderdduizenden computers in meer dan 150 landen. De ransomware versleutelde gegevens en eiste losgeld. Ook ziekenhuizen, waaronder de Britse National Health Service, ondervonden ernstige verstoringen. De Verenigde Staten en verschillende bondgenoten schreven de aanval toe aan Noord-Koreaanse actoren.

Kenmerk: Noord-Koreaanse cyberoperaties combineren spionage en verstoring met het genereren van inkomsten. Bankovervallen via digitale netwerken en diefstal van cryptovaluta zijn belangrijke voorbeelden van die financiële dimensie.

Vergelijking van de vier landen

Land

Voorbeelden

Belangrijkste waargenomen doelen

Rusland

NotPetya, SolarWinds, Oekraïens elektriciteitsnet

Sabotage, spionage, geopolitieke beïnvloeding

China

OPM, Microsoft Exchange, Salt Typhoon

Inlichtingen, gegevensdiefstal, strategische spionage

Iran

Shamoon, Operation Ababil

Sabotage, verstoring, vergelding

Noord-Korea

Sony Pictures, Bangladesh Bank, WannaCry

Financiële diefstal, spionage, verstoring

Deze vergelijking is kwalitatief: de voorbeelden zijn niet voldoende om vast te stellen welk land de meeste cyberaanvallen uitvoert of de meeste schade veroorzaakt.

Conclusie

De geschiedenis van cyberaanvallen laat zien dat digitale operaties verschillende strategische functies hebben. Rusland heeft onder meer laten zien dat cyberaanvallen fysieke infrastructuur en internationale bedrijven kunnen ontregelen. China wordt veelvuldig in verband gebracht met omvangrijke inlichtingenoperaties. Iran heeft digitale sabotage en verstoring ingezet tegen tegenstanders. Noord-Korea heeft daarnaast aangetoond dat cybercriminaliteit kan worden gebruikt om aanzienlijke financiële middelen te verwerven.

Voor een statistisch onderzoek is het belangrijk om onderscheid te maken tussen het aantal aanvallen, de ernst ervan, de financiële schade en het doel van de operatie. Bovendien is toeschrijving niet altijd met zekerheid vast te stellen.

Bronnen voor verder onderzoek

• CSIS – Significant Cyber Incidents⁠: een chronologische databank met belangrijke cyberincidenten vanaf 2006.
• Council on Foreign Relations – Cyber Operations Tracker⁠: een databank van publiek bekende, vermoedelijk door staten gesponsorde cyberoperaties vanaf 2005. De tracker biedt filters voor onder meer daderland, doelwit en type operatie.
• CISA – Cybersecurity Advisories⁠: technische en historische rapporten van Amerikaanse overheidsinstanties over statelijk gesteunde cyberactiviteiten.

Deze bronnen vormen een bruikbare basis om een eigen dataset en statistieken op te bouwen.