Na een waarschuwing van de Amerikaanse Cybersecurity and Infrastructure Security Agency over mogelijke verstoringen door Iraanse cyberacteurs, bereidt de VS zich voor op een grote cyberaanval op kritieke infrastructuur. Volgens officials en cybersecurity-experts is de dreiging echter minder een spectaculaire, grootschalige aanval en meer een reeks gerichte, opportunistische inbraken die groter lijken dan ze zijn.

Tijdens de Asness Summit over moderne conflicten en opkomende dreigingen in Nashville gaven voormalig NSA-directeur Tim Haugh en Kevin Mandia, een ervaren cyber first responder en oprichter van een nieuw AI-cybersecuritybedrijf, aan dat Iran vooral gebruikmaakt van het misbruiken van basisbeveiligingslekken en het vergroten van de impact daarvan, in plaats van geavanceerde technieken.

Haugh vergelijkt de Iraanse cybercapaciteiten met die van een criminele actor. Ze richten zich op gerichte opportunistische aanvallen en proberen die vervolgens te koppelen aan informatieoperaties om ze groter te doen lijken. Dit patroon – eerst toegang verkrijgen, daarna het narratief bepalen – is kenmerkend voor de waargenomen activiteiten tot nu toe.

Een recent voorbeeld is de aanval op het medische technologiebedrijf Stryker, waarbij hackers duizenden apparaten uitschakelden. Hoewel dit veel media-aandacht kreeg, was er geen sprake van geavanceerde malware of onbekende kwetsbaarheden. De aanval begon met social engineering, waarbij een persoon werd misleid om legitieme inloggegevens te gebruiken. Met deze toegangsrechten werden vervolgens toegestane acties uitgevoerd, zoals het verwijderen van data.

Deze aanval werd breed beschreven als destructief, maar weerspiegelt volgens Haugh en Mandia vooral het bekende probleem van aanvallers die met geldige credentials schade van binnenuit aanrichten. Mandia benadrukt dat organisaties vooral moeten letten op het beveiligen van identiteiten, omdat aanvallers vaak gestolen credentials van de dark web-markt kopen. Hij adviseert het inzetten van diensten die inlogpogingen monitoren en het verplichten van multi-factor authenticatie op alle toegangspunten.

De timing van aanvallen kan ook de indruk wekken dat ze geavanceerder zijn dan in werkelijkheid. Aanvallers claimen vaak publiekelijk een doelwit pas nadat ze succesvol zijn binnengekomen, wat snelheid en precisie suggereert. In een conflictsituatie wordt deze perceptie versterkt. Mandia vergelijkt het cyberdomein met een gevaarlijke buurt waar de inzet en intensiteit omhoog gaan vanwege de oorlogssituatie.

De focus van Iran ligt waarschijnlijk op specifieke organisaties met banden naar Israël of de VS, waarbij elke inbraak wordt gecombineerd met een informatiecampagne. Volgens Mandia zijn grootschalige, disruptieve aanvallen op kritieke infrastructuur minder waarschijnlijk dan het misbruiken van identiteitsgegevens. Zelfs als de spanningen afnemen, blijft deze werkwijze waarschijnlijk bestaan, omdat hackers dagelijks actief zijn.