APT

Wat is een APT (Advanced Persistent Threat)?

Een APT (Advanced Persistent Threat) is een goed georganiseerde aanvaller met veel kennis en middelen, vaak een statelijke actor, die een specifieke organisatie langdurig en onopgemerkt binnendringt om te spioneren of sabotage voor te bereiden. De term verwijst zowel naar de aanvalscampagne als naar de groep erachter, zoals Sandworm of Volt Typhoon. In OT richt een APT zich op industriële processen, energienetten, waterzuivering en andere kritieke infrastructuur. Het verschil met gewone cybercriminaliteit is het doel: een APT wil niet snel geld verdienen, maar blijvende toegang en uiteindelijk invloed op het fysieke proces.

🧠 Wat maakt een aanval een APT?

De term werd in 2006 bedacht bij de Amerikaanse luchtmacht en werd breed bekend door het rapport APT1 van Mandiant uit 2013, dat een Chinese militaire eenheid in Shanghai koppelde aan jarenlange spionage bij minstens 141 organisaties. NIST omschrijft een APT als een tegenstander met geavanceerde kennis en aanzienlijke middelen, die via meerdere aanvalsroutes een positie verwerft, zich aanpast aan de verdediging en zijn doel herhaaldelijk en over langere tijd nastreeft.

De verblijfsduur (dwell time) laat zien hoe groot het verschil is. Volgens Mandiant was de mediane dwell time over alle onderzochte inbraken in 2024 elf dagen, mede omdat ransomware zich snel meldt. Bij statelijke actoren ligt dat anders: Amerikaanse en geallieerde diensten stelden in februari 2024 vast dat Volt Typhoon in sommige netwerken minstens vijf jaar aanwezig was.

🎯 Welke APT-groepen vallen OT aan?

APT-groepen hebben per beveiligingsbedrijf een andere naam. Mandiant nummert ze (APT28, APT44), Microsoft gebruikt weernamen per land (Typhoon voor China, Blizzard voor Rusland, Sandstorm voor Iran) en Dragos gebruikt mineralen. Dragos volgde begin 2026 26 OT-dreigingsgroepen, waarvan er elf in 2025 actief waren, waaronder drie nieuwe.

De methodes verschillen sterk. Bij de stroomstoring van 2015 diende BlackEnergy vooral om binnen te komen; de daadwerkelijke uitschakeling gebeurde met gestolen VPN-inloggegevens en door de SCADA-werkplekken van de operators op afstand over te nemen. Industroyer sprak in 2016 zelf de netprotocollen IEC 60870-5-104, IEC 60870-5-101, IEC 61850 en OPC DA om schakelaars te bedienen. TRITON richtte zich op Schneider Electric Triconex-veiligheidssystemen in een Saoedische petrochemische fabriek. Stuxnet besmette Windows-engineeringstations met Siemens Step 7 en verving codeblokken in de PLC’s, zodat de operators normale waarden bleven zien.

Ook FrostyGoop, dat in januari 2024 via Modbus TCP de verwarming van ruim 600 flatgebouwen in Lviv uitschakelde, laat zien dat aanvallers industriële protocollen direct misbruiken; die aanval is niet publiek aan een groep toegeschreven.

🔓 Hoe verloopt een APT-aanval op OT?

Het Cyber Kill Chain-model van Lockheed Martin beschrijft zeven stappen van verkenning tot actie. Voor industriële omgevingen publiceerden Michael Assante en Robert M. Lee in 2015 bij SANS de ICS Cyber Kill Chain met twee fases: eerst het binnendringen van het IT-netwerk, daarna het ontwikkelen en uitvoeren van een aanval op het besturingssysteem. In de praktijk ziet dat er zo uit:

1. Verkenning - informatie verzamelen over medewerkers, leveranciers, netwerken en de gebruikte besturingen.
2. Eerste toegang - via phishing, een kwetsbare VPN of firewall, of een leverancier (supply chain).
3. Vestiging - backdoors, malware of een rogue device; vaak ook gestolen accounts.
4. Laterale beweging - beheerdersrechten verkrijgen en zich verplaatsen van het kantoornetwerk naar engineering workstations, de historian en remote access-verbindingen.
5. Voorbereiding van de OT-aanval - projectbestanden, procesbeelden en protocollen bestuderen, soms maandenlang.
6. Uitvoering - besturingscode wijzigen, beveiligingen uitschakelen of operators blind maken.
7. Persistentie - achterdeuren houden, ook na herstelpogingen.

MITRE ATT&CK for ICS geeft voor elke stap concrete technieken, zoals Modify Parameter en Alarm Suppression, en is daarmee de gemeenschappelijke taal voor detectie en threat hunting.

🔐 Hoe herkent u APT-activiteit in OT?

APT’s laten weinig sporen na, maar in een stabiel OT-netwerk valt afwijkend gedrag juist op. Let vooral op deze signalen:

🏭 Hoe verdedigt u een OT-omgeving tegen APT’s?

Een APT volledig buiten houden lukt zelden. Het doel is de aanvaller zo vroeg mogelijk te zien en te zorgen dat een gecompromitteerd kantoornetwerk niet automatisch tot procesverstoring leidt. Een praktische aanpak in vijf stappen:

1. Breng uw installatie in kaart - een actuele asset-inventaris en netwerkkaart; zonder die basis valt afwijkend gedrag niet op.
2. Scheid en beperk - netwerksegmentatie volgens het Purdue Model en IEC 62443, met een jump server en MFA voor alle toegang op afstand.
3. Detecteer gedrag - passieve anomaliedetectie op OT-protocollen, gekoppeld aan een SIEM of OT SOC met actuele threat intelligence over bekende groepen.
4. Bescherm de besturing - patchmanagement waar het kan, code signing en controle op wijzigingen in PLC-programma’s, en het Zero Trust-principe: geen standaardvertrouwen binnen het netwerk.
5. Bereid herstel voor - een geoefend incident response plan, offline back-ups van PLC-projecten en een plan om het proces handmatig te bedienen.

In IEC 62443 komt een APT overeen met het dreigingsniveau van security level 3 en 4: aanvallers met geavanceerde middelen en specifieke kennis van industriële systemen. NIST SP 800-82 beschrijft de bijbehorende maatregelen voor OT, en NIST SP 800-53 Rev. 5 vraagt met maatregel RA-10 expliciet om een threat-huntingcapaciteit.

🇳🇱 Hoe groot is de APT-dreiging in Nederland?

Nederland is geen theoretisch doelwit. In februari 2024 maakten de MIVD en AIVD bekend dat Chinese statelijke hackers via een kwetsbaarheid in FortiGate-firewalls (CVE-2022-42475) waren binnengedrongen in een onderzoeksnetwerk van Defensie met minder dan vijftig gebruikers; omdat dat netwerk gescheiden was, bleef de schade beperkt. Later meldden de diensten dat dezelfde actor binnen enkele maanden in 2022 en 2023 toegang kreeg tot minstens 20.000 FortiGate-systemen wereldwijd. In augustus 2025 bevestigden de MIVD en AIVD dat de Chinese groep Salt Typhoon routers van kleinere Nederlandse internet- en hostingproviders had bereikt.

De Cyberbeveiligingswet, in werking sinds 15 augustus 2026, verplicht essentiële en belangrijke entiteiten tot passende beveiligingsmaatregelen en tot het melden van significante incidenten bij het CSIRT, voor de meeste sectoren het NCSC. Volgens de meldplicht volgen op een vroegtijdige waarschuwing binnen 24 uur een melding binnen 72 uur en een eindrapport binnen een maand. Een vermoedelijke APT-inbraak valt daar vrijwel altijd onder.

❓ Veelgestelde vragen

Wat is het verschil tussen een APT en ransomware?

Een APT wil langdurig en onopgemerkt toegang houden om te spioneren of sabotage voor te bereiden, en wordt meestal door een staat gesteund. Ransomware-groepen willen snel geld verdienen en maken zichzelf juist zichtbaar door systemen te versleutelen. Sommige statelijke actoren gebruiken wel nep-ransomware als dekmantel, zoals bij NotPetya in 2017.

Hoe lang blijft een APT onopgemerkt?

De mediane verblijfsduur van aanvallers was volgens Mandiant in 2024 elf dagen, maar dat cijfer omvat ook snelle ransomware-aanvallen. Statelijke APT-groepen blijven vaak veel langer: bij Volt Typhoon stelden Amerikaanse diensten een aanwezigheid van minstens vijf jaar vast. In OT-netwerken zonder monitoring kan een APT nog langer onopgemerkt blijven.

Waarom richten APT-groepen zich op OT?

APT-groepen richten zich op OT omdat besturingssystemen energie, water, transport en productie direct aansturen. Toegang tot OT geeft een staat een drukmiddel bij een conflict, zoals de aanvallen op het Oekraïense stroomnet in 2015 en 2016 lieten zien. Daarnaast draaien veel OT-systemen jarenlang zonder updates, wat ze een makkelijker doelwit maakt.

Kan een kleine organisatie doelwit zijn van een APT?

Ja, ook kleine organisaties kunnen doelwit zijn van een APT, vooral als leverancier, installateur of beheerder van een groter doelwit. Aanvallers gebruiken zulke partijen als opstap naar de eigenlijke installatie. Volt Typhoon werd bijvoorbeeld aangetroffen bij een klein gemeentelijk elektriciteits- en waterbedrijf in de Verenigde Staten.

Welke norm helpt tegen APT-aanvallen op OT?

IEC 62443 is de belangrijkste norm voor het beschermen van OT tegen APT’s, omdat security level 3 en 4 expliciet uitgaan van aanvallers met geavanceerde middelen en ICS-kennis. NIST SP 800-82 geeft praktische OT-maatregelen, en MITRE ATT&CK for ICS helpt detectie af te stemmen op echte aanvalstechnieken.

Moet ik een vermoedelijke APT-inbraak melden?

Valt uw organisatie onder de Cyberbeveiligingswet, dan meldt u een significant incident binnen 24 uur met een vroegtijdige waarschuwing bij het CSIRT, voor de meeste sectoren het NCSC. Een vermoedelijke APT-inbraak in OT voldoet vrijwel altijd aan die drempel. Ook zonder meldplicht kan het NCSC helpen met informatie over de aanvaller.

📌 Samengevat

Een APT is een geduldige, goed gefinancierde aanvaller die langdurig onopgemerkt in uw netwerk blijft om te spioneren of sabotage van het fysieke proces voor te bereiden. Groepen als Sandworm en Volt Typhoon tonen dat OT een strategisch doelwit is. Verdediging vraagt om zicht op uw assets, strikte segmentatie, gedragsdetectie en een geoefend herstelplan.