Statelijke actor

Een statelijke actor is een aanvaller die opereert in opdracht van, of met steun van, een nationale overheid. Deze door de staat gesponsorde hackers voeren cyberoperaties uit met doelen als spionage, sabotage, intellectuele eigendomsdiefstal of geopolitieke beinvloeding. In tegenstelling tot gewone cybercriminelen beschikken statelijke actoren over aanzienlijke middelen, geavanceerde tools en vaak juridische bescherming vanuit hun eigen land. De Advanced Persistent Threat (APT)-groepen die aan landen worden toegeschreven, behoren tot de meest capabele en hardnekkige dreigingen in het cyberlandschap. Het MITRE ATT&CK framework documenteert tientallen specifieke technieken die aan statelijke actoren worden toegeschreven, wat de omvang en diversiteit van hun aanvalsmethoden illustreert.

Voor Nederland vormen statelijke actoren een serieuze bedreiging. Volgens het Cybersecuritybeeld Nederland 2025 van het NCSC zijn cyberaanvallen door statelijke actoren een van de grootste risico's voor de nationale veiligheid. De AIVD en MIVD hebben herhaaldelijk gewaarschuwd dat landen als Rusland en China actief digitale aanvallen uitvoeren op de Nederlandse overheid, vitale sectoren en bedrijven. Statelijke cyberspionagecampagnes richten zich steeds vaker op kwetsbare edge devices zoals VPN-servers en firewalls als toegangspunt tot netwerken. Nederlandse organisaties in sectoren zoals defensie, energie, telecom, waterbeheer en hightech industrie lopen het grootste risico.

Hoe werkt een aanval door een statelijke actor?

Statelijke actoren opereren met een langetermijnperspectief en gebruiken geavanceerde technieken die vaak maanden of jaren onopgemerkt blijven. Een typische campagne begint met uitgebreide verkenning van het doelwit: welke systemen worden gebruikt, welke medewerkers toegang hebben tot waardevolle informatie, en welke kwetsbaarheden bestaan er in de digitale infrastructuur.

Voor initieel toegang maken statelijke actoren gebruik van zero-day kwetsbaarheden die nog niet publiek bekend zijn, gerichte spear phishing-campagnes op specifieke medewerkers, of supply chain attacks waarbij software van leveranciers wordt gecompromitteerd. Zodra ze toegang hebben, installeren ze geavanceerde backdoors en bewegen ze lateraal door het netwerk, vaak met behulp van legitieme beheerstools om detectie te vermijden. Ze wissen hun sporen, passen hun malware aan om antivirusdetectie te omzeilen, en communiceren via versleutelde kanalen die opgaan in normaal netwerkverkeer.

Het uiteindelijke doel varieert per land en campagne. Chinese statelijke actoren richten zich vaak op intellectuele eigendomsdiefstal en economische spionage. Russische groepen combineren cyberspionage met sabotage en desinformatiecampagnes, zoals gebleken is sinds de oorlog in Oekraine. Noord-Koreaanse actoren focussen op financiele diefstal om het regime te financieren, terwijl Iraanse groepen zich richten op politieke tegenstanders en kritieke infrastructuur in het Midden-Oosten en daarbuiten. Deze diversiteit aan motieven en tactieken maakt het lastig om een one-size-fits-all verdediging op te zetten tegen statelijke dreigingen.

Hoe herken je een aanval door een statelijke actor?

Aanvallen door statelijke actoren zijn ontworpen om langdurig onopgemerkt te blijven, wat detectie bijzonder lastig maakt. Er zijn echter patronen die op statelijke betrokkenheid kunnen wijzen. Ongebruikelijk geavanceerde malware die specifiek voor jouw organisatie lijkt ontwikkeld, is een sterk signaal. Ook het gebruik van zero-day exploits wijst op een aanvaller met aanzienlijke middelen.

Andere indicatoren zijn langdurige en onverklaarbare netwerktoegang tot gevoelige systemen, ongebruikelijke dataexfiltratie buiten werktijden, en het gebruik van encrypted communicatiekanalen naar onbekende servers. Als de AIVD, MIVD of het NCSC contact met je opneemt over verdachte activiteiten op je netwerk, is de kans groot dat het om een statelijke actor gaat. Let ook op signalen van lateral movement: een aanvaller die zich systematisch door je netwerk beweegt richting de meest waardevolle data.

De Nederlandse inlichtingendiensten publiceren regelmatig waarschuwingen over specifieke campagnes van statelijke actoren. In 2024 waarschuwden de AIVD en MIVD voor een aanhoudende Chinese cyberspionagecampagne via kwetsbare edge devices, waarbij wereldwijd meer dan 20.000 FortiGate-systemen werden gecompromitteerd. Door dergelijke advisories te volgen, kun je je detectiecapaciteiten richten op bekende tactieken en technieken van statelijke actoren.

Hoe bescherm je je tegen een statelijke actor?

Volledige bescherming tegen statelijke actoren is voor de meeste organisaties niet realistisch gezien hun geavanceerde middelen. Wel kun je de drempel aanzienlijk verhogen en de impact van een succesvolle aanval beperken. Begin met een risicoanalyse: welke informatie is waardevol voor buitenlandse overheden? Denk aan intellectueel eigendom, overheidscontracten, defensie-gerelateerde data of persoonsgegevens van kwetsbare groepen.

Implementeer defense-in-depth met meerdere beveiligingslagen. Patch kwetsbaarheden in edge devices zoals VPN-gateways en firewalls met prioriteit, want statelijke actoren misbruiken deze als toegangspunt. Segmenteer je netwerk zodat een aanvaller niet gemakkelijk van een gecompromitteerd systeem naar je meest gevoelige data kan bewegen. Implementeer multi-factor authenticatie op alle accounts en monitor je netwerk actief op indicators of compromise die gekoppeld zijn aan bekende APT-groepen.

Werk samen met de juiste partijen. Het NCSC biedt specifieke dreigingsinformatie voor vitale organisaties. Overweeg threat intelligence feeds die indicatoren delen van bekende statelijke actoren. Voer regelmatig penetratietesten uit en overweeg red team-oefeningen die de tactieken van statelijke actoren simuleren. Train medewerkers specifiek op het herkennen van gerichte phishing, omdat dit nog steeds een van de meest gebruikte initiiele toegangsvectoren is voor statelijke actoren.

Veelgestelde vragen over statelijke actoren

Welke landen voeren cyberaanvallen uit op Nederland?

Volgens de AIVD en MIVD vormen vooral Rusland en China de grootste cyberdreiging voor Nederland. Daarnaast zijn Iran en Noord-Korea actief met cyberoperaties die ook Nederlandse belangen kunnen raken. Elk land heeft eigen motieven en specialisaties in hun cyberoperaties.

Is mijn mkb-organisatie een doelwit voor statelijke actoren?

Mogelijk wel. Statelijke actoren richten zich niet alleen op grote bedrijven of de overheid. MKB-bedrijven in de toeleveringsketen van defensie, hightech of vitale sectoren zijn interessante doelwitten. Ook organisaties met unieke technologie of intellectueel eigendom kunnen op de radar staan.

Wat is het verschil tussen een statelijke actor en een cybercrimineel?

Cybercriminelen zijn primair financieel gemotiveerd en opereren voor eigen gewin. Statelijke actoren werken in opdracht van een overheid met geopolitieke doelen zoals spionage of sabotage. Statelijke actoren beschikken over meer middelen, geavanceerdere tools en zijn bereid om jarenlang in een netwerk aanwezig te blijven.

Moet ik een aanval door een statelijke actor melden?

Ja, meld verdachte activiteiten die op statelijke betrokkenheid wijzen bij het NCSC en eventueel bij de AIVD of MIVD. Voor vitale aanbieders geldt een wettelijke meldplicht onder de NIS2-richtlijn. Het NCSC kan specifieke ondersteuning bieden bij incidenten met statelijke actoren.

Kan een statelijke actor mijn encryptie breken?

Statelijke actoren beschikken over significante rekenkracht, maar gangbare encryptiestandaarden zoals AES-256 worden als veilig beschouwd tegen huidige mogelijkheden. Het risico zit eerder in de implementatie, supply chain compromittering, of het stelen van encryptiesleutels via andere aanvalsvectoren.

Hoe verschilt de aanpak van statelijke actoren van ransomware-groepen?

Ransomware-groepen willen snel geld verdienen en maken zich bekend via losgeld-eisen. Statelijke actoren opereren juist zo stil mogelijk en willen langdurig toegang behouden tot netwerken zonder ontdekt te worden. Ze gebruiken custom malware in plaats van commercieel beschikbare tools en investeren maanden in verkenning voordat ze toeslaan. Hun doelen zijn informatie en invloed, niet direct financieel gewin.

Versterk je cyberweerbaarheid. Vergelijk Pentesting aanbieders op IBgidsNL.