De laatste weken was er een golf van nieuws in verband met de uitbraak van de gijzelsoftware WannaCry. Het lamleggen van Britse ziekenhuizen kwam hard binnen. Wij zijn opeens getroffen door onze eigen cyberexplosieven en daar zijn we niet op voorbereid.
De WannaCry-malware maakt in de kern misbruik van bekende zwakheden in een Microsoft-protocol waardoor er toegang tot bestanden op een PC kan worden verkregen. Diverse kwaadwillenden maken misbruik van het lek en er gaan meerdere versies van de malware over de wereld. Een van de varianten, WannaCry, valt erg op doordat Britse ziekenhuizen getroffen worden en uiteindelijk honderdduizenden computers worden besmet. Goed zichtbaar zijn de vertrektijdenborden op Duitse stations en parkeerautomaten in garages die het publiek duidelijk maken dat er geld wordt afgeperst.
Het lek werd al eerder ontdekt door de Amerikaanse inlichtingendienst NSA. Die zoekt actief naar zwakheden om te gebruiken voor hun digitale wapenarsenaal, niet om de zwakheid door de softwareleverancier te laten dichten. Met als gevolg dat Microsoft de software met de fout blijft meeleveren. Iedere Windows-computer ter wereld is daarom verzwakt en alle bestanden zijn via een aanval toegankelijk. Uiteindelijk werd het lek afgelopen maart gedicht. In april trad Wikileaks naar buiten met een aanzienlijk deel van het NSA-wapenarsenaal. De hackers van de inlichtingendienst kunnen op veel manieren inbreken en spioneren via kunstig gevonden achterdeurtjes.
De wapens zijn bedoeld om te spioneren, maar in andere handen verstoren ze dagelijkse werkzaamheden, zoals kantoorfuncties of cruciale medische zorg. De uitbraak is zo ernstig dat Microsoft besluit acuut een extra update uit te brengen voor twee producten waar ze dat eigenlijk normaliter niet meer voor doen: Windows 8 en Windows XP.
Natuurlijk had de aanval nauwelijks impact gehad als iedereen zijn computersystemen had bijgewerkt. Er zijn stappen om de gevolgen zoals we die nu hebben gezien, te beperken door bijvoorbeeld goede antivirussoftware te hebben die het gedrag van de computer bewaakt, waardoor de kwaadaardige software wordt gestopt als de infectie toch slaagt. En zo is er meer mogelijk.
Het echte gevaar zit niet in Wannacry zelf. We hebben nu een patch beschikbaar en we kennen het lek nu. Een echt succesvolle aanval komt met via lek waar nog geen patch voor beschikbaar is en die niet beschreven staat in gelekte documenten. In een donker scenario houdt zo’n digitale atoombom over meerdere besturingssystemen heen een hele wereld in zijn greep.
Misschien wordt het tijd om in discussies over hackende inlichtingendiensten of politie ons te realiseren dat soms het middel erger is dan de kwaal. Laten we de kennis van overheden om lekken te vinden eens inzetten om de technologie veiliger te maken. Ik pleit voor digitale proliferatie onder het motto: make peace not war.
