De datadraaikolk

Blog

Digitale sabotage: wie zit er aan de knoppen?

6 min lezen

Een reusachtige hand richt een afstandsbediening op een Nederlands stadje. Rode lijnen lopen van de knop naar een supermarkt, een auto, een reclamebord, een station en een watertoren.
Controle

In de nacht van 1 op 2 november warmen onbekenden op afstand de koelingen van tientallen winkels op. In België treft het minstens veertig Delhaize-winkels. Bij een Proxy Delhaize in Hoepertingen loopt de vriezer op tot 15 graden, terwijl die op -22 hoort te staan. Ook in Zweden, Estland en Luxemburg is het raak. En in Nederland bij minstens zeventien bedrijven, waaronder slagerijen, buurtwinkels en een vrieshuis. In één vriezer gaat de thermostaat van -20 naar -10 graden.

En het bleef niet bij winkels. In Frankrijk werden ook de vriezers van drie opslaglocaties van de nationale bloedbank EFS aangevallen. Daar ligt bloedplasma voor transfusies en medicijnen opgeslagen bij -30 graden. Volgens Franse media zetten de hackers de temperatuur op 110 graden. Dit keer gingen de alarmen op tijd af en kon het personeel het plasma in veiligheid brengen. Er ging niets verloren.

Het is niet de eerste keer deze herfst. In de nacht van 11 op 12 oktober gebeurt in Frankrijk ook iets vreemds. In honderden supermarkten van Intermarché, Leclerc, Netto en andere ketens springen de koelingen op afstand op ontdooistand.

En op zondag 11 oktober gaan bij Albert Heijn de systemen op slot. Distributiecentra vallen stil, verse producten raken op en de elektronische prijskaartjes tonen nog de aanbiedingen van vorige week. Bijna twee weken kun je geen boodschappen online bestellen.

Jouw eigen Truman Show

In The Truman Show regisseert Christof alles in Seahaven, tot het weer aan toe. Wil Truman weg, dan staat er ineens een file, breekt er een storm los of gaat er een kerncentrale “lekken”. Truman ziet geen regisseur. Hij ziet alleen een werkelijkheid die net niet meewerkt. Digitale sabotage heeft eigenlijk dezelfde uitwerking: het bepaalt jouw realiteit. Jouw Truman Show.

Stel je een gewone dag voor. Je krijgt bericht van je gemeente dat je zuinig moet zijn met leidingwater, en daarom wil je wat flessen water in huis halen. Bij het online boodschappen bestellen kom je erachter dat de website en de app eruit liggen. Dan maar met de auto, maar die wil niet starten. Daarom loop je door de regen naar de supermarkt. Onderweg laat een digitaal reclamebord beelden zien die daar nooit hadden mogen verschijnen. Eenmaal in de winkel is het schap met verse producten leeg. De prijskaartjes tonen nog de aanbiedingen van vorige week. In de vriezer is alles zacht. Bij de kassa werkt je bonuskaart niet, dus naar je persoonlijke korting kun je fluiten. Op weg naar huis kom je zeulend met je zware boodschappen langs het station. Op het scherm staat dat het station niet veilig is, waardoor je moet omlopen. Uit de omroepinstallatie klinken ondertussen politieke leuzen in plaats van vertrektijden.

Je ervaart de gevolgen, maar weet niet wie erachter zit of waarom. Je werkelijkheid wordt letterlijk gestalte gegeven door iemand die je nooit zult zien, en die waarschijnlijk niemand ooit vindt.

Dit scenario is niet verzonnen. Elk onderdeel is het afgelopen jaar echt gebeurd, alleen niet in dezelfde straat.

Terug naar de supermarkt

Wat zat er eigenlijk achter de warme vriezers en lege schappen uit het begin van dit blog? Albert Heijn houdt het op een “digitaal veiligheidsincident”. Beveiligers trokken de stekker eruit zodra ze indringers zagen. Klantgegevens lijken niet gestolen, maar het decor was flink beschadigd: lege schappen, geen bezorging, geen bonus.

Bij de koelingen gingen de aanvallers een stap verder: zij grepen rechtstreeks in de fysieke wereld in. In Frankrijk zetten ze de koelingen op ontdooien, met 50 graden als streeftemperatuur. Urenlang warmden de vriezers op in plaats van te koelen, waarna alles zo de vuilcontainer in kon. De aanvallers kwamen binnen via verouderde software op de koelapparatuur. De schade loopt in de miljoenen. De Belgische en Nederlandse vriezers van 1 op 2 november zijn op een vergelijkbare manier opgewarmd, maar een verband met Frankrijk is nog niet aangetoond.

En dan is er nog Egypte. Op donderdag 29 oktober zien automobilisten op een van de belangrijkste snelwegen van het land een digitaal reclamebord pornobeelden vertonen. Het bord is niet zelf gehackt. Een internationale leverancier van advertenties is gekraakt, en dezelfde beelden verschijnen tegelijk op schermen in andere landen.

Het stationsscherm hing in Israël: daar meldden gekaapte schermen op stations in Herzliya en Tel Aviv in maart dat Iraanse raketten de stations zouden treffen en dat iedereen direct moest evacueren. De politieke leuzen klonken in oktober 2025 over de omroep van luchthavens in Canada en de VS. En in het Amerikaanse stadje Braham legde een cyberaanval in juli 2026 de waterzuivering stil. De auto die niet wilde starten stond in Rusland. Daar weigerden eind 2025 honderden Porsches dienst, omdat hun satellietalarm de verbinding kwijt was en de motor blokkeerde. Was het een hack, een storing of een bewust uitgezette server? Niemand weet het, maar sabotage is niet uitgesloten.

Deze incidenten hebben waarschijnlijk niets met elkaar te maken. Toch vertellen ze samen één verhaal.

Een decor met afstandsbediening

Al deze incidenten kunnen gebeuren omdat ons decor steeds vaker op afstand wordt bediend. De koeling, het reclamebord, de voorraad en de kassa hangen allemaal aan het netwerk. Wat de eigenaar op afstand kan regelen, kan een indringer ook regelen. De knoppen die bedoeld zijn voor gemak, zijn voor iedereen die ze vindt.

Eerlijk is eerlijk: dit is niet helemaal de datadraaikolk. In mijn boek beschrijf ik een spiraal van twee delen. Je datadubbelganger is het profiel dat uit jouw data wordt opgebouwd. Je datarealiteit is de werkelijkheid die op basis van dat profiel om je heen wordt ingericht. Christof kent Truman door en door en stemt elke scène af op zijn angsten en verlangens. Dat maakt hem zo effectief.

De saboteurs van deze herfst kennen jou niet. Ze weten niet wat je koopt of waar je woont. Iedereen die in Egypte langs dat bord kwam, kreeg dezelfde beelden te zien. Wie in Hoepertingen diepvriespizza wilde, stond voor dezelfde ontdooide vriezer. Dit is schieten met hagel, niet het werk van een scherpschutter.

Toch valt dit wel binnen een pijler uit het model: controle. In het boek noem ik die laag de infrasfeer: de digitale infrastructuur die bepaalt waar je naartoe kunt, wat je kunt kopen en wat je kunt doen. Een laag die onze fysieke realiteit gestalte geeft.

Een decor dat op afstand te bedienen is, heeft geen voorkeur voor wie er aan de knoppen zit. Een bedrijf, een overheid, een criminele bende of een verveelde hacker: het systeem luistert naar wie het juiste wachtwoord heeft. Of geen wachtwoord, want volgens Danfoss hingen de gehackte Nederlandse koelingen onbeveiligd aan het internet, met het standaardwachtwoord.

Wat het extra pijnlijk maakt, is de concentratie. Eén merk koelregelaar zit in honderden winkels door heel Europa. Eén advertentieplatform bedient schermen in meerdere landen. Eén moederbedrijf beheert de systemen van Albert Heijn, Etos, Gall & Gall en Delhaize. Wat vroeger een lokale storing was, wordt zo in één nacht een internationaal incident.

AI als brandversneller

Op 21 oktober gingen in Nederland ineens sites als DigiD, MijnOverheid en die van de Tweede Kamer op zwart. Ethische hackers hadden twee ernstige lekken gevonden in PHP, de programmeertaal waarop zo'n 70 procent van alle websites draait. De lekken zaten er al meer dan veertien jaar in. Ze werden gevonden met hulp van AI.

Dit keer kwam de vondst bij de goede kant terecht. Maar wat ethische hackers met AI kunnen, kunnen kwaadwillenden ook. Zodra de makers van PHP een update aankondigden, zochten hackers het lek zelf op en publiceerden ze de details, nog voordat de update er was. AI is daarmee, in de woorden van Imec-onderzoeker Steven Latré, “een brandversneller”. Het wordt steeds makkelijker om lekken in software te vinden, en al dat verouderde spul aan het netwerk, van koelregelaars tot reclameborden, wordt zo een steeds makkelijker doelwit. We kunnen er dus op rekenen dat hacks en digitale sabotage in de nabije toekomst alleen maar verder toenemen.

Bronnen

Omslag van De datadraaikolk

Het hele plaatje

In De datadraaikolk laat Tim Bijkerk zien hoe surveillance, psychologie, technologie, macht, informatie en controle in elkaar grijpen, en waar jouw invloed zit.

Bestel het boek

Meer uit de blog