Zelfs de opspoorders zijn gehackt

Wie werd er gehackt?

Donderdag 24 september zette het DIVD een opvallende melding op internet. Na bijna zeven jaar werd de club zelf slachtoffer van een inbraak. De club zag verdachte activiteit en onderzocht die. De conclusie was onontkoombaar.

Het DIVD is een Nederlandse club van vrijwilligers. Zij speuren gratis naar lekken in software. Vinden ze een lek, dan waarschuwen ze de eigenaar. De club werkt wereldwijd en vraagt er niets voor.

Dit keer was de club zelf aan de beurt. Het DIVD meldt het droog: de opspoorders zijn nu zelf gehackt.

Een lek in software is te vergelijken met een slecht slot. De deur lijkt dicht. Maar met een beetje wrikken gaat hij toch open.

Waarschijnlijk een aanval met AI

Wat maakt deze inbraak bijzonder? De aanval ziet er anders uit dan wat het DIVD kent. Alles wijst op een aanval met een AI-agent.

Een AI-agent is een programma dat zelfstandig dingen opzoekt en uitvoert. Het wacht niet op opdrachten van een mens. Zo’n programma houdt gewoon door: deur na deur proberen.

Het is geen meesterbrein met een boosaardig plan. Denk eerder aan een overijverige stagiair met te veel sleutels.

Het onderzoek loopt nog. Het DIVD sluit voorlopig niets uit. De club gaat voor de zekerheid uit van het slechtste scenario.

De club kiest openheid

Het DIVD besloot meteen open te zijn. Zelfs toen dat vervelend voelde, schrijft de club.

Een extern team helpt nu met het onderzoek. De toegang tot de systemen is geblokkeerd. Betrokken partijen zijn persoonlijk gewaarschuwd.

De inbraak is gemeld bij de Autoriteit Persoonsgegevens en het cybercentrum NCSC. Met de politie werd overlegd over de vervolgstappen. Maandag 28 september komt een nieuwe update.

Wat betekent dit voor jou?

Veel is nog onbekend. Het onderzoek moet uitwijzen wat er precies gebeurde.

Beveiligers zeggen altijd: hacken is geen kwestie van of, maar van wanneer. Nu bleek dat ook voor de opspoorders zelf te gelden. Wie kan er dan nog veilig zijn?

Gelukkig is er een les te trekken. Geef een AI-programma niet meer sleutels dan nodig.

Kijk op je telefoon welke apps bij je mail en foto’s mogen. Zet uit wat je niet gebruikt. Dat kost je twee minuten. En gebruik overal een ander wachtwoord.

Hoeveel apps hebben jouw sleutels? Laat het weten in een reactie.

Bronnen

• DIVD CSIRT, “It was a matter of when, not if…”, 24 september 2026. https://csirt.divd.nl/2026/09/24/when-not-if/
• DIVD, “What we do”, over de club vrijwilligers, geraadpleegd 26 september 2026. https://divd.nl/