Wat is het Darknet?
Het Darknet is het deel van het internet dat alleen bereikbaar is via speciale anonimiseringssoftware zoals Tor of I2P, waarbij de identiteit en locatie van zowel bezoekers als websites verborgen blijven. Gewone browsers en zoekmachines kunnen deze sites niet vinden of openen. Het darknet heeft legitieme toepassingen, zoals anoniem nieuws lezen in landen met censuur en veilig contact met journalisten, maar is vooral bekend als marktplaats voor gestolen inloggegevens, malware, toegang tot bedrijfsnetwerken en uitgelekte data. Voor security in IT en OT is het daarom een belangrijke bron van threat intelligence.
🌐 Wat is het verschil tussen surface web, deep web en darknet?
De drie termen worden vaak door elkaar gebruikt, maar beschrijven verschillende dingen. Het verschil zit in de vraag of inhoud wordt geïndexeerd en of er speciale software nodig is.
| Laag | Beschrijving | Voorbeelden | Toegang |
|---|---|---|---|
| Surface web | Publiek, door zoekmachines geïndexeerd | Bedrijfswebsites, Wikipedia, nieuwssites | Elke browser |
| Deep web | Niet geïndexeerd, vaak achter een login | Webmail, intranet, betaalmuren, het webportaal van een SCADA-leverancier | Elke browser, met account |
| Darknet | Verborgen diensten in een overlay-netwerk | .onion-sites, I2P-sites, leksites van ransomwaregroepen | Tor Browser, I2P-client |
Het deep web is verreweg het grootste deel en grotendeels onschuldig: uw eigen mailbox hoort erbij. Het darknet is een klein deel daarvan. Berichtendiensten als Telegram zijn strikt genomen geen darknet, maar een groot deel van de criminele handel is de laatste jaren wel naar zulke kanalen verschoven.
Let op een tweede betekenis: in netwerkbeveiliging is een darknet of network telescope ook een stuk ongebruikte IP-adresruimte waarop onderzoekers al het binnenkomende verkeer vastleggen. Omdat daar niets legitiems hoort te komen, laat zo’n darknet scanactiviteit, wormen en DDoS-terugslag zien. Dit artikel gaat over de eerste betekenis.
🔧 Hoe werkt het darknet technisch?
Het bekendste darknet draait op Tor (The Onion Router). Het principe van onion routing werd vanaf 1995 ontwikkeld bij het Amerikaanse Naval Research Laboratory; het Tor-netwerk ging in oktober 2002 in gebruik en sinds 2006 wordt het beheerd door de non-profit The Tor Project. De Tor Browser wordt sinds 2008 ontwikkeld.
- Gelaagde versleuteling - een bericht wordt in meerdere lagen versleuteld, als een ui; elke relay pelt er één laag af en kent alleen de vorige en volgende schakel
- Drie relays per circuit - voor gewoon webverkeer loopt een verbinding via een guard-, middle- en exit-relay, zodat geen enkele relay zowel afzender als bestemming kent
- Onion services - een .onion-site verbergt ook de locatie van de server; client en dienst bouwen elk drie hops op naar een ontmoetingspunt, zes relays in totaal
- v3-adressen - een .onion-adres bestaat uit 56 tekens en is afgeleid van de publieke sleutel van de dienst, niet geregistreerd bij een DNS-registrar
Naast Tor bestaan I2P (Invisible Internet Project, een netwerk dat vooral voor diensten binnen het eigen netwerk is ontworpen) en Freenet, een peer-to-peer opslagnetwerk uit 2000. De term “darknet” zelf werd breed bekend door een paper van Microsoft-onderzoekers uit 2002 over het delen van auteursrechtelijk beschermde bestanden.
🧠 Waarom is het darknet relevant voor OT-security?
Aanvallers op industriële omgevingen en industriële besturingssystemen ontwikkelen zelden alles zelf. Ze kopen onderdelen in op het darknet en in criminele kanalen. De belangrijkste producten zijn:
| Product | Wat er wordt verhandeld | Gevolg voor OT |
|---|---|---|
| Inloggegevens | Combinaties van gebruikersnaam en wachtwoord uit datalekken en infostealers | Inloggen op VPN, RDP of portalen voor remote access |
| Initial access | Bestaande toegang tot een bedrijfsnetwerk, verkocht door zogenoemde access brokers | Startpunt voor ransomware die IT en indirect de productie stillegt |
| Sessiecookies | Browsergegevens van besmette pc’s, waarmee MFA soms kan worden omzeild | Overname van cloud- en leveranciersaccounts |
| Exploits | Werkende aanvalscode, soms voor een zero-day | Misbruik van kwetsbare firewalls, VPN-gateways of HMI-software |
| Gelekte bestanden | Data die ransomwaregroepen op leksites publiceren | Netwerktekeningen, PLC-programma’s, firmware-details en wachtwoordlijsten op straat |
| Ransomware-as-a-Service | Ransomware die aan affiliates wordt verhuurd | Lagere drempel voor aanvallen op productiebedrijven |
Bij OT-incidenten is de directe besturing zelden het eerste doelwit. Veel incidenten beginnen in de IT-omgeving, met een uitgelekt wachtwoord of gekochte toegang, en raken de productie omdat IT en OT verbonden zijn of omdat het bedrijf uit voorzorg stopt. Darknet-informatie ondersteunt zo vooral de eerste stappen van de cyber kill chain: verkenning en eerste toegang.
🧩 Welke incidenten laten de rol van het darknet zien?
| Incident | Jaar | Darknet-component |
|---|---|---|
| Hansa en AlphaBay | 2017 | De Nederlandse politie nam op 20 juni 2017 darknetmarkt Hansa over en draaide die ongeveer een maand ongemerkt; AlphaBay ging op 4 juli 2017 offline |
| Colonial Pipeline | 2021 | Het wachtwoord van een ongebruikt VPN-account zonder MFA werd later teruggevonden in een verzameling gelekte wachtwoorden op het darkweb |
| Genesis Market | 2023 | Markt voor gestolen browsergegevens van ruim twee miljoen mensen, op 5 april 2023 uit de lucht gehaald onder leiding van de FBI en de Nederlandse politie |
| LockBit | 2024 | De leksite op Tor werd in februari 2024 overgenomen tijdens Operation Cronos, geleid door het Britse NCA met deelname van de Nederlandse politie |
Bij Colonial Pipeline is niet met zekerheid vastgesteld dat de aanvallers het wachtwoord uit die lijst haalden. Het voorbeeld laat wel zien waarom hergebruik van wachtwoorden en ontbrekende 2FA gevaarlijk zijn.
🔎 Hoe monitort u het darknet?
Darknet-monitoring is het gericht zoeken naar gegevens over uw organisatie in criminele bronnen. Weinig organisaties doen dit zelf: het vraagt toegang tot gesloten fora, en dat brengt juridische en operationele risico’s mee. Meestal gebeurt het via een dienstverlener of een threat intelligence-platform.
| Middel | Doel |
|---|---|
| Darknet-monitoringdienst | Alarm bij gelekte credentials, e-maildomeinen, IP-adressen of documenten van uw organisatie |
| Threat intelligence-platform | Koppeling van darknetvondsten aan indicators of compromise en bekende aanvalsgroepen |
| SOC en SIEM | Correlatie van gelekte accounts met inlogpogingen in uw eigen logging |
| Anomaliedetectie | Herkenning van misbruik van gelekte gegevens, zoals inloggen op ongebruikelijke tijden |
| Threat hunting | Gericht zoeken naar sporen van een aanvaller nadat toegang te koop bleek |
Stappenplan voor een OT-organisatie
- Bepaal wat u zoekt - e-maildomeinen, VPN-hostnamen, publieke IP-adressen, namen van installaties en leveranciers met remote access
- Kies een bron - een commerciële dienst, uw MSSP of sectorinformatie via het NCSC en sectorale ISAC’s
- Leg de opvolging vast - wie reset een wachtwoord, wie controleert de logging en wanneer wordt het een incident volgens uw incidentresponsplan
- Sluit de oorzaak af - een gevonden credential betekent: account blokkeren of resetten, MFA afdwingen en ongebruikte accounts verwijderen
- Evalueer periodiek - hoeveel vondsten waren er, hoe snel was de opvolging en welke leveranciers kwamen terug
🔐 Hoe beperkt u de schade van darknet-informatie?
U kunt niet voorkomen dat gegevens ergens uitlekken, maar wel dat ze bruikbaar zijn:
- MFA op alle externe toegang - een gelekt wachtwoord alleen is dan niet genoeg; gebruik bij voorkeur phishingbestendige methoden
- Geen directe toegang tot OT - laat leveranciers via een jump server werken, met netwerksegmentatie tussen IT en OT
- Least Privilege en toegangsbeheer - accounts krijgen alleen de rechten die nodig zijn, en ongebruikte accounts verdwijnen
- Zero Trust - elke verbinding wordt opnieuw beoordeeld, ook vanaf een bekend account
- Patch randapparatuur snel - exploits voor VPN-gateways en firewalls worden snel na publicatie verhandeld; zie kwetsbaarheidsbeheer
- Security Awareness - medewerkers herkennen spear phishing die gebruikmaakt van gelekte persoonsgegevens
Wat zegt de wet?
Het darknet bezoeken is in Nederland niet strafbaar. Het kopen, bezitten of doorverkopen van gestolen gegevens wel: artikel 139g Wetboek van Strafrecht stelt sinds 1 maart 2019 (Wet computercriminaliteit III) heling van niet-openbare gegevens strafbaar, met maximaal een jaar gevangenisstraf. Koop daarom nooit zelf gelekte data terug. Organisaties onder NIS2 en de Cyberbeveiligingswet moeten bovendien hun cyberrisico’s beheersen; ISO 27001:2022 vraagt met beheersmaatregel 5.7 expliciet om threat intelligence.
❓ Veelgestelde vragen
Is het darknet illegaal?
Het darknet zelf is niet illegaal: Tor en I2P zijn legale software, en het bezoeken van .onion-sites is in Nederland toegestaan. Wat u er doet kan wel strafbaar zijn, zoals het kopen van drugs, malware of gestolen gegevens. Heling van niet-openbare gegevens is sinds 2019 strafbaar volgens artikel 139g Sr.
Wat is het verschil tussen het darknet en het dark web?
Darknet is de verzamelnaam voor de anonieme overlay-netwerken, zoals Tor en I2P. Dark web verwijst meestal naar de websites die op die netwerken draaien. In de praktijk gebruiken beveiligers beide termen als synoniemen.
Hoe weet ik of mijn bedrijfsgegevens op het darknet staan?
Dat ontdekt u met darknet-monitoring via een threat intelligence-dienst of uw MSSP, die alarm geeft bij vondsten van uw domeinen of accounts. De Nederlandse politie biedt na takedowns soms een controlemogelijkheid aan, zoals de Check your Hack-pagina bij Genesis Market. Ga nooit zelf op zoek op criminele fora en koop nooit gegevens terug.
Worden er ook OT-specifieke zaken op het darknet verkocht?
Ja, maar minder vaak dan algemene IT-toegang. Er wordt toegang tot VPN- en remote access-omgevingen van industriële bedrijven aangeboden, en leksites van ransomwaregroepen bevatten soms netwerktekeningen en PLC-documentatie. De meeste schade aan OT ontstaat indirect, via ransomware in de IT-omgeving.
Helpt MFA tegen gelekte wachtwoorden van het darknet?
Ja, MFA is de belangrijkste maatregel tegen misbruik van gelekte wachtwoorden, omdat het wachtwoord alleen dan niet genoeg is. Gestolen sessiecookies kunnen MFA wel omzeilen, daarom zijn phishingbestendige MFA en korte sessieduur aan te raden. Bij Colonial Pipeline had MFA op het VPN-account de aanval waarschijnlijk voorkomen.
Wat is Tor?
Tor (The Onion Router) is open-source software die internetverkeer via drie relays van vrijwilligers met gelaagde versleuteling stuurt, zodat de bestemming het IP-adres van de gebruiker niet ziet. Tor maakt ook onion services mogelijk, websites waarvan de serverlocatie verborgen blijft. Het netwerk is sinds 2002 actief en wordt beheerd door The Tor Project.
📌 Samengevat
Het darknet is een verborgen deel van het internet waar aanvallers inloggegevens, netwerktoegang, exploits en gelekte data verhandelen, en daarmee vaak het startpunt van aanvallen die ook OT raken. Monitor gericht op uw eigen gegevens, maak gelekte wachtwoorden waardeloos met MFA en segmentatie, en leg vast hoe u opvolgt wanneer uw organisatie in een darknetbron opduikt.