Het is oorlog maar niemand die het ziet

by Huib Modderkolk

  Ik leg Pluijmers alle details voor die ik van Robin heb gekregen. Ook hij denkt meteen aan een geheime dienst en heel specifiek aan de Britse. ‘De Britse GCHQ tapt tientallen glasvezelkabels en heeft sinds 1981 ervaring met spraakherkenning,’ vertelt hij. ‘Zij hebben bovendien een groot belang om gesprekken en data geautomatiseerd te identificeren. Aan Appen kunnen ze getapte gesprekken geven om de software te verbeteren.’ Het klinkt logisch: door een Australisch bedrijf te kiezen in plaats van een Brits, is er op het oog minder reden tot wantrouwen.

  Daarna bel ik met Vodafone, de provider van de ex-vriend van Robin. De woordvoerder is stellig: ‘Vodafone Nederland werkt niet samen met het bedrijf Appen, ook hebben we in het verleden niet met ze samengewerkt.’ Appen zegt evenmin samen te werken met ‘telecombedrijven’, maar wil niet reageren op de vraag of dat ook geldt voor opsporingsdiensten. ‘We kunnen geen details geven van het werk dat we voor onze klanten doen.’ Appen zegt dat als het bedrijf data verzamelt, dat gebeurt met instemming van ‘deelnemers’. ‘Alles wordt gedaan met hun toestemming.’ Maar de ex-vriend van Robin heeft nooit toestemming gegeven voor het delen van zijn gesprekken.

  Zoals vaak blijven er ook nu vragen onbeantwoord. De deskundigen denken allemaal hetzelfde maar bewijzen kunnen ze het niet. Dichterbij kan ik niet komen: als dit het werk van de Britse geheime dienst is, zal de bevestiging waarschijnlijk nooit komen.

  Toch levert de informatie een nieuw inzicht op. Dankzij techniek is het aftappen van communicatie wereldwijd makkelijker geworden. De Britse afluisterdienst GCHQ behoort tot de beste en machtigste diensten. Er gaan nóg meer data door hun systemen dan bij de NSA: dagelijks ontvangt GCHQ in 2011 het ongelooflijke aantal van 50 miljard stuks internet-metadata. Daar komen 600 miljoen stuks telefoon-metadata per dag bij. Oftewel de gegevens van bijna 100 miljoen telefoongesprekken. Op drie plekken tapt GCHQ structureel twintig belangrijke glasvezelkabels af.

  Dat betekent dat als datapakketjes Nederland verlaten er een grote kans is dat ze door de zeef van de Britse geheime dienst gaan. Internet houdt zich niet aan grenzen of Kamermoties. Ook al mogen buitenlandse diensten in Nederland geen privécommunicatie onderscheppen, als Vodafone voicemailcommunicatie en telefoongesprekken via een datacenter in Engeland laat lopen, kan niemand verhinderen dat GCHQ meekijkt. Zelfs kan de Britse dienst naar Vodafone stappen en Nederlandse communicatie opvragen. Er is geen Nederlandse wet die dat verhindert.

  Dát is een belangrijk gevolg van digitalisering: we zijn de controle over persoonlijke informatie kwijt. Een gebeurtenis in België maakt duidelijk waarom dat zorgwekkend is.

  6

  Een veelkoppige slang

  Enigszins aangeschoten bel ik vanuit de Thalys mijn chef bij de Volkskrant. ‘Het is rond. Het laatste puzzelstukje is gevonden.’ Met een Belgische bron heb ik urenlang in een Brusselse kroeg gezeten terwijl de ene na de andere La Chouffe op tafel kwam. Bij elk nieuw glas werd de bron loslippiger en uiteindelijk vertelde hij over de spionage bij Belgacom.

  Belgacom is het Watergate van de spionnenwereld: Britse en Amerikaanse geheime diensten die op heterdaad worden betrapt in het hart van Europa. Meer dan vier jaar houdt de zaak me bezig, ik schrijf er twee grote reconstructies over. Telkens komen nieuwe vragen op. Hoe kwamen de Britse en Amerikaanse spionnen eigenlijk binnen? Wat deed de Belgische overheid toen ze erachter kwam dat bondgenoten Groot-Brittannië en de Verenigde Staten het kleine België hadden aangevallen? En waarom nou juist Belgacom? Waarom is dat Belgische telecombedrijf zo cruciaal?

  Niet eerder heb ik van zo dichtbij de gevolgen van digitalisering aanschouwd. De Britten en Amerikanen blijken diep in een Belgisch kroonjuweel te zitten. Jarenlang hebben ze toegang tot de grootste Belgische telecomprovider en daarmee ook tot alle klanten van het bedrijf: wereldwijd regelt Belgacom het telefoon- en dataverkeer voor 1100 bedrijven, waaronder maar liefst 500 mobiele ‘operators’ zoals KPN en T-Mobile. De spionnen kunnen overal bij: zelfs bij het telefoonverkeer van de NAVO, de Europese Commissie en het Europees Parlement.

  Maar het is vooral de ingenieuze wijze waarop ze het doen, die kenners versteld doet staan. De mensen die het met eigen ogen zien, noemen het nog steeds het knapste wat ze ooit zijn tegengekomen. Zo verfijnd, zo moeilijk te vinden, zo goed. Jaren voor de grote aanval knutselen de beste technisch experts van de Amerikaanse NSA en het Britse GCHQ al aan het aanvalswapen. Teams van beide diensten discussiëren urenlang over het aanvalsplan. Niets wordt aan het toeval overgelaten. Dit mag niet mislukken en het gaat ook niet mis: eind 2010 sluipen Britse en Amerikaanse digitale spionnen ongezien Belgacom binnen.

  Eén ding kunnen ze niet voorzien: dat NSA-medewerker Edward Snowden alle details over de staatsgeheime operatie op een usb-stick zet en die aan journalisten doorspeelt. In het najaar van 2013 komen ze ook terecht bij de Schotse onderzoeksjournalist Ryan Gallagher. De bedeesde dertiger schrijft voor Britse en Amerikaanse media over nationale veiligheid en privacy als de NSA-discussie oplaait. Hij maakt al snel internationaal furore en voegt zich bij Glenn Greenwald, de journalist die van Snowden de NSA-documenten krijgt, en gaat schrijven voor diens onderzoekssite The Intercept. Ryan Gallagher behoort wereldwijd tot het handjevol journalisten dat toegang krijgt tot de honderdduizenden geheime documenten.

  Ik ontmoet Ryan voor het eerst in Brazilië, tijdens een bezoek aan Greenwald. Belgacom heeft meteen onze interesse: het is de digitale roof van de eeuw en er is tastbaar bewijs van. In de Snowden-documenten staan prachtige details. Hoe de Britten bijvoorbeeld een systeembeheerder van Belgacom selecteren en via hem hun geavanceerde aanvalswapen het bedrijf binnen krijgen. Maar we weten allebei dat er meer nodig is: bronnen die bereid zijn te praten. Die de technische informatie van context en duiding willen voorzien.

  Het reconstrueren van een inlichtingenoperatie van de machtigste diensten kan ik niet alleen. Met wat geluk zou ik misschien een Nederlandse bron kunnen vinden die iets over Belgacom kan vertellen, een Belgische bron is al een stuk ingewikkelder, laat staan een Britse of Amerikaanse. Dat kost jaren. Ryan heeft hetzelfde probleem: hij heeft toegang tot de documenten maar zal niet zomaar een bron in Nederland of België kunnen vinden. We geven elkaar een hand en spreken uit dat we zullen samenwerken.

  Geheime diensten brengen onderscheid in informatie aan om de toegang zo veel mogelijk te beperken. Ze hanteren drie categorieën: confidential (vertrouwelijk) secret (geheim) en top secret (zeer geheim). Britse en Amerikaanse diensten rangschikken hun informatie nog hoger. De Britten doen dit door een zogeheten strap-niveau toe te voegen: strap 1, 2 of 3, waarbij 3 het meest gevoelig is en informatie van aftapsystemen of locaties bevat. De Belgacom-operatie is geclassificeerd als top secret strap 2, het op één na hoogste veiligheidsniveau dus. Op het onthullen ervan staat een jarenlange gevangenisstraf.

  Ryan en ik sturen elkaar updates via goed beveiligde mails. De Belgische journalist Nikolas Vanhecke van De Standaard voegt zich later ook bij ons. Via korte chatsessies informeren we elkaar. Om documenten veilig uit te wisselen, nemen we bizarre voorzorgsmaatregelen. Ryan stuurt via een versleuteld chatkanaal een document dat beveiligd is met een lang wachtwoord. Op een later moment verstuurt hij een vercijferde mail met daarin een hint hoe het wachtwoord te vinden, bijvoorbeeld: hoofdstuk 3, eerste zin derde alinea. Via weer een ander versleuteld kanaal stuurt hij daarna de titel van het betreffende boek. Alleen als iemand al die communicatiekanalen aftapt en ook nog eens de versleuteling weet te kraken, kan hij bij het document komen. Het document zelf is slechts een week met het wachtwoord te openen, daarna is het voorgoed ontoegankelijk.

  Na ruim een jaar publiceren we in 2014 gedrieën ons eerste verhaal: ‘De Britten hadden de sleutel’. We denken dan dat het ons definitieve verhaal over Belgacom is. Maar het spionageschandaal blijft terugkeren in gesprekken. Telkens zijn er nieuwe details en daarmee nieuwe vragen. Waarom zegt Belgacom elke keer iets anders op de vraag wat er gebeurd is? Waarom houdt de Belgische overheid zich van de domme? En waarom blijven bronnen uit zichzelf op de zaak terugkomen? Ryan heeft hetzelfde ervaren, zo blijkt als we na drie jaar weer contact hebben. We spreken
af er nog één keer in te duiken.

  *

  Ze zijn niet te missen: de twee pompeuze glazen torens van Belgacom pal naast station Brussel-Noord. Daarin bevindt zich het hoofdkantoor van een trots bedrijf met 13.000 werknemers en een winst van ruim 500 miljoen euro.

  Maar begin juli 2013 heerst er op de 25ste verdieping — waar de glimmende torens middels een luchtbrug contact maken met elkaar — nervositeit bij de top van Belgacom. Al een tijdje zijn er hardnekkige problemen met een interne mailserver. Mails tussen werknemers komen niet aan of met veel vertraging. Na een update van Microsoft zijn de storingen verergerd. Microsoft, om hulp gevraagd door Belgacom, kan de oorzaak niet vinden.

  Ivo Cools, chief technology officer van het telecombedrijf, heeft daarop FOX-IT-directeur Ronald Prins gebeld en gevraagd of hij naar het hoofdkantoor in Brussel wil komen. ‘Goed,’ antwoordde hij, ‘maar is het oké als ik in korte broek kom?’ Prins is voor een familieweekend in het Belgische Spa en heeft geen werkkleding bij zich. Cools: ‘Geen probleem.’

  Naast de bestuurskamer hebben onderzoekers van FOX-IT hun intrek genomen. Prins heeft zijn beste mensen naar Brussel gestuurd. Zelf rijdt hij regelmatig in een grijskleurige Maserati op en neer naar de Koning Albert II-laan voor overleg met Cools en CEO Didier Bellens.

  Die gesprekken verlopen steeds grimmiger. Anders dan Microsoft, zien de specialisten van FOX-IT wél dat er iets mis is met de mailserver: ze vinden een bestand dat van Windows lijkt te zijn maar dat niet is. Zorgvuldig lopen de onderzoekers daarna systemen af op zoek naar meer sporen van een mogelijke indringer.

  Cools en Bellens vinden dat te lang duren. Ze willen de besmette systemen opschonen en verdergaan. De kosten lopen op, dit heeft geen zin, zeggen ze tegen de Nederlander. Prins werpt tegen dat goed onderzoek nu eenmaal tijd kost. Hoe ingewikkelder het onderzoek, hoe groter het mogelijke probleem. Nu stoppen is bovendien niet zonder risico, zegt Prins. Kijk wat er gebeurde met Vodafone in Griekenland, houdt hij de bestuurders voor.

  De Griekse casus is berucht. Ten tijde van de Olympische Spelen in 2004 bleken honderd Griekse politici te zijn afgeluisterd, inclusief de Griekse premier. Het afluisteren was mogelijk doordat legale tapsoftware bij Vodafone Griekenland onzichtbaar was gemanipuleerd. De manipulatie kwam aan het licht na een update van de tapsoftware, waarna sms-berichten niet goed aankwamen. Vodafone deed onderzoek, ontdekte de infiltratie en verwijderde onmiddellijk alle sporen. De Griekse opsporingsdiensten konden daardoor geen onderzoek meer doen naar de daders.

  Kort daarop pleegde een netwerkmanager van Vodafone zelfmoord. Volgens Griekse onderzoekers hield dat direct verband met het afluisterschandaal. De man zou onder hoge druk hebben gestaan om het afluisteren te verzwijgen. Het ‘Griekse Watergate’, zo bleek later, was het werk van de Amerikaanse NSA. Vodafone kreeg van de Griekse privacywaakhond een boete van 76 miljoen euro vanwege nalatigheid in het beschermen van klantgegevens en het frustreren van het onderzoek.

  Cools en Bellens stemmen morrend in: FOX-IT mag nog even doorgaan. Voorzichtig gaan de Nederlanders verder. In de systemen van Belgacom zijn boobytraps geplaatst: kleine bestandjes die, als ze worden geopend, de opdrachtgever alarmeren. Die weet dan dat ze ontdekt zijn. Hoe verder de onderzoekers komen, hoe groter het mysterie lijkt te zijn. Maar na twee weken weten ze één ding zeker: dit zit zo ingewikkeld in elkaar dat dit het werk van een buitenlandse staat moet zijn. Alleen zeer kundige specialisten kunnen zo diep binnendringen, net doen alsof ze Microsoft zijn, boobytraps plaatsen en zich vervolgens verstoppen.

  Belgacom informeert meteen alle noodzakelijke instanties: de federale politie, cyberexperts en de Belgische geheime diensten. Allemaal snellen ze halverwege juli 2013 naar de glazen torens aan de Koning Albert II-laan. De gemanipuleerde software zit zo goed in elkaar dat de Nederlandse en Belgische specialisten het met de grootse zorgvuldigheid bestuderen. Onderzoekers kijken er met open mond naar. Frank Groenewegen van FOX-IT: ‘Dit was veruit het beste wat ik ooit had gezien.’ Een Belgische politieonderzoeker: ‘Het was zó ingenieus allemaal.’

  Anders dan bij de hack van DigiNotar of de KPN-hack, hebben de onderzoekers met een zeer professionele tegenstander te maken. Het aanvalswapen is zogeheten ‘modulaire malware’: het beweegt zich als een veelkoppige slang door de 26.000 IT-systemen van Belgacom, past zich aan de omgeving aan en laat her en der eitjes achter. Het is in staat zichzelf op computers te installeren die uitstaan en niet met internet verbonden zijn en net zo lang te wachten tot zo’n computer weer opgestart wordt, om dan ongezien documenten of andere data van die computer te versturen. Ook kan het screenshots maken, wachtwoorden kopiëren en gewiste onderdelen op de computer herstellen. De meeste malware heeft een paar unieke kwaliteiten, deze malware lijkt werkelijk alles te kunnen.

  Na een paar dagen komt het doelwit in zicht: ze zien dat de ‘slang’ het actiefst is rond BICS, een zeer winstgevend onderdeel van Belgacom. BICS zorgt ervoor dat data tussen telecombedrijven worden verzonden. Het biedt wereldwijd een gigantisch datanetwerk aan waar honderden telecombedrijven op zijn aangesloten en koppelingen met elkaar maken. Wat het Amsterdamse internetknooppunt AMS-IX is voor internet, is BICS voor telefonie.

  Telecombedrijven uit met name Afrika en het Midden-Oosten laten hun data via BICS lopen. Ook regelt BICS de dataroaming voor telefoonbedrijven. Als iemand vanuit het buitenland belt, gaat de verbinding via een andere provider dan in eigen land. 1,2 miljard telefoongebruikers bellen, appen en sturen sms’jes via het netwerk van BICS. Wie toegang tot BICS weet te krijgen, heeft in één klap toegang tot de wereld.

  De specialisten zien dat de slang bij BICS informatie steelt. Hij stuurt tijdens kantooruren kleine brokjes informatie in diverse pakketjes naar ip-adressen over de hele wereld. Zo vallen ze niet op in de grote datastromen die dagelijks van en naar Belgacom gaan.

  De onderzoekers denken beet te hebben, maar als ze de bestanden nader inspecteren, zien ze onbegrijpelijke reeksen cijfers en letters. De pakketjes zijn zo goed versleuteld dat ze er met geen mogelijkheid in kunnen. Ook de bestemmingen waar de pakketjes heen gaan, geven niets prijs: het zijn gehuurde computerservers in India, Roemenië, Indonesië en Nederland.

  *

  Waarom willen de Britse en Amerikaanse spionnen per se in Belgacom zitten? En waarom werken de twee landen nauw samen?

  De antwoorden zijn te vinden op een geheime SDC-conferentie in 2009. Van 1 tot 5 juni — het is onbekend waar — komen de beste afluisterspecialisten van de Britse, Canadese en Amerikaanse geheime diensten samen. Deze drie diensten vormen samen met de Australische en Nieuw-Zeelandse geheime diensten een verbond, de Five Eyes. Een gezelschap dat tijdens de Tweede Wereldoorlog werd opgericht toen Engeland en de Verenigde Staten informatie uitwisselden over gekraakte Duitse en Japanse communicatie.

  Daarna deelden ze satellietcommunicatie. Het probleem daarbij is dat het satellietbereik geografisch beperkt is: een grondstation in de Verenigde Staten kan geen satellietverkeer in het Midden-Oosten onderscheppen. Daarom zochten de Amerikanen meerdere bondgenoten en zo ontstond de Five Eyes: die vijf landen hadden samen genoeg bereik om de hele wereld af te luisteren. Het bondgenootschap bestaat nog steeds en is de machtigste inlichtingenclub ter wereld. Eens per jaar steekt men de koppen bij elkaar om nieuwe afluistertechnieken te bespreken. 2009 is een cruciaal jaar: de Five Eyes blijken steeds minder succesvol bij het afluisteren. Hun afluistertechnieken volstaan niet meer. Er moet iets veranderen.

  Wat is er aan de hand?

  Internet is enorm aan het groeien. Steeds meer landen sluiten zich aan op het wereldwijde verkeersnetwerk. Daardoor komen er ook steeds meer internetverbindingen en wordt het lastiger te voorspellen waar datapakketjes langsgaan: die kiezen graag de snelste en goedkoopste route. Hoe meer beschikbare routes, hoe onvoorspelbaarder het internetverkeer.

  Een tweede ontwikkeling is dat telecombedrijven de datapakketjes zijn gaan versleutelen. Ze gebruiken een virtueel particulier netwerk (VPN) om de communicatie van hun klanten van A naar B te sturen. Geheime diensten die de datapakketjes ergens onderscheppen, kunnen ze door die versleuteling niet lang
er openen en lezen. Daarvoor hebben ze eerst een sleutel nodig van de telecomprovider.

  Over deze ontwikkelingen gaat het op de conferentie in juni 2009. Hoe kunnen de geheime diensten de datapakketjes onderscheppen en openen? De Britse specialisten van afluisterdienst GCHQ hebben erover nagedacht en presenteren een plan.

  Niet alleen de Five Eyes kampen met dit probleem, ook andere geheime diensten lopen tegen grenzen op. Nederlandse bronnen vermoeden dat Israël daarom een geheim wapen in stelling heeft gebracht. Het valt ze op dat oud-werknemers van de geheime Israëlische afluisterdienst Unit 8200 vanaf de jaren negentig tientallen hightechbedrijven oprichten die spionagesoftware leveren. Is dat omdat ze hun opgedane kennis inzetten om geld te verdienen of omdat ze daarmee op de perfecte plek zitten om af te luisteren? De bedrijven vestigen zich vaak buiten Israël omdat niet alle landen willen zakendoen met een Israëlisch bedrijf.

  De bedrijven worden wereldwijd marktleider in het leveren van spionagesoftware. Zelfs de Amerikaanse NSA gebruikt de afluisterapparatuur van Israël. Ook Nederland maakt graag gebruik van Israëlische spullen. De MIVD gebruikt afluistersoftware van het Israëlische bedrijf NICE Systems, de nationale politie van Cellebrite en de tapkamers van de landelijke politie gebruiken afluisterapparatuur van het Israëlische Comverse (tot 2018). KPN vertrouwt op Verint – net als de Amerikaanse NSA.

  Twee Nederlandse inlichtingenbronnen claimen dat de Israëlische bedrijven zo succesvol zijn omdat ze onder de marktprijs gaan zitten. Dat zou mogelijk zijn door financiële steun van de Israëlische overheid. Daardoor krijgen de bedrijven de ene na de andere aanbesteding. Eenmaal binnen zitten ze op de ideale plek om af te luisteren: voordat informatie versleuteld het internet opgaat. Of en hoe vaak ‘Israël’ die toegang gebruikt voor spionage, weten de Nederlandse bronnen niet. Nederland beschouwt Israël als bondgenoot en doet geen uitvoerig onderzoek naar Israëlische spionage.