Spyware

Wat is Spyware?

Spyware is een vorm van malware die heimelijk op een systeem wordt geïnstalleerd om zonder medeweten of toestemming van de gebruiker of organisatie informatie te verzamelen en naar een aanvaller door te sturen. Het doel is meestal het bespioneren van gebruikersactiviteiten, het stelen van gevoelige gegevens zoals wachtwoorden en documenten, of het monitoren van gedrag voor commerciële, criminele of statelijke doeleinden. Anders dan ransomware wil spyware juist niet opvallen: hoe langer de besmetting onopgemerkt blijft, hoe meer informatie de aanvaller binnenhaalt. In industriële omgevingen gaat het daarbij niet alleen om persoonsgegevens, maar ook om procesdata, recepturen, PLC-programma’s en netwerktekeningen die een latere aanval op de productie mogelijk maken.

🧠 Wat doet spyware precies?

Spyware kan onder andere:

• Toetsaanslagen registreren (keylogging) - wachtwoorden, berichten en zoekopdrachten worden letter voor letter vastgelegd
• Inloggegevens en financiële gegevens verzamelen - opgeslagen browserwachtwoorden, sessiecookies, creditcardgegevens en VPN-profielen
• Bezoekgedrag en browsergeschiedenis bijhouden - vaak voor advertentie- of profileringsdoeleinden
• Schermafbeeldingen maken of de microfoon en webcam inschakelen
• Bestanden doorzoeken en wegsluizen - documenten, e-mails en projectbestanden
• In industriële omgevingen informatie over processen en apparaten doorsturen - bijvoorbeeld een overzicht van OPC-servers en tags, of een kopie van de besturingslogica

De Amerikaanse standaardenorganisatie NIST omschrijft spyware als software die heimelijk op een systeem wordt geïnstalleerd om informatie over personen of organisaties te verzamelen zonder dat zij het weten, en rekent het uitdrukkelijk tot kwaadaardige code.

🔧 Welke soorten spyware zijn er?

Spyware is geen enkel programma maar een familie van technieken. Vaak combineert één besmetting meerdere vormen.

Commerciële spyware zoals Pegasus van NSO Group heeft in Europa tot politieke ophef geleid. Een enquêtecommissie van het Europees Parlement (PEGA) stelde op 8 mei 2023 haar eindrapport vast over misbruik van dit soort software in meerdere lidstaten.

🛠️ Hoe komt spyware op een systeem?

• Via geïnfecteerde downloads of software-installaties
• Door malafide e-mailbijlagen of links, zie phishing
• Verpakt als “gratis” tools of apps die ongemerkt data verzamelen
• Via externe media zoals USB-sticks, zie USB Control
• Via gemanipuleerde software of updates van leveranciers, een vorm van supply chain-risico
• In combinatie met andere malware, zoals een trojan of virus die de spyware nadien binnenhaalt

🏭 Welke risico’s loopt een industriële (OT-)omgeving?

In omgevingen met PLC’s, SCADA, RTU’s en andere industriële componenten kan spyware:

• Procesinformatie en recepturen lekken naar concurrenten of statelijke actoren
• Onopgemerkt configuratiegegevens, PLC-programma’s of setpoints kopiëren
• Wachtwoorden van een engineering station of historian buitmaken
• Als voorloper fungeren van gerichte aanvallen zoals sabotage of ransomware
• De vertrouwelijkheid en integriteit van productiegegevens aantasten

Het MITRE ATT&CK for ICS-raamwerk beschrijft dit als de tactiek Collection (TA0100): aanvallers verzamelen kennis over de installatie om hun aanval voor te bereiden. Technieken zijn onder meer Program Upload (T0845, de besturingslogica uit een controller lezen), Screen Capture (T0852), Point & Tag Identification (T0861) en Data from Information Repositories (T0811), bijvoorbeeld het leeghalen van een documentatieserver.

🕰️ Welke bekende spionagecampagnes troffen de industrie?

Spionage gaat vaak vooraf aan sabotage. De volgende campagnes laten zien hoe spyware in industriële omgevingen werkt:

De Havex-module kon geen apparatuur aansturen, maar het Amerikaanse ICS-CERT zag in tests dat het scannen OPC-servers soms liet vastlopen. Ook “alleen kijken” kan in OT dus storingen veroorzaken.

🔍 Hoe herkent u spyware?

Gerichte spyware vertoont zelden zichtbare symptomen; detectie gebeurt vooral in het netwerk. Mogelijke signalen:

Vergelijk aangetroffen bestandshashes, domeinen en IP-adressen met bekende indicators of compromise uit dreigingsinformatie van bijvoorbeeld het NCSC.

🔐 Hoe beschermt u zich tegen spyware?

• Endpointbescherming - gebruik antivirus/anti-malware met realtime detectie of EDR; op OT-systemen waar dat niet kan is application whitelisting vaak geschikter
• Installeer alleen vertrouwde software - controleer handtekeningen en hashes van leverancierssoftware voordat u die in OT installeert
• Updates en patches - voer ze regelmatig uit volgens een patchmanagementproces
• Beperk internettoegang op kritieke systemen en blokkeer uitgaand verkeer standaard
• Segmenteer - implementeer netwerksegmentatie en het Zone and Conduits-model uit IEC 62443, zodat een besmette kantoorwerkplek de OT-zone niet bereikt
• Beperk rechten van gebruikers en services tot het minimum volgens least privilege
• Train medewerkers via security awareness in het herkennen van phishing

🇳🇱 Wat moet u doen bij een besmetting in Nederland?

Een praktische aanpak bij een vermoedelijke spywarebesmetting:

1. Isoleer het systeem van het netwerk, maar zet het niet direct uit: geheugen en logs zijn waardevol voor forensisch onderzoek
2. Bepaal de reikwijdte - welke accounts, wachtwoorden en bestanden waren op het systeem bereikbaar, en sprak het met andere systemen?
3. Wijzig wachtwoorden vanaf een schoon systeem, te beginnen met beheerders- en engineeringaccounts, en zet MFA aan waar mogelijk
4. Herinstalleer het systeem uit een betrouwbare bron in plaats van alleen op te schonen
5. Meld het incident: valt uw organisatie onder de Cyberbeveiligingswet (van kracht sinds 15 augustus 2026), dan geldt de meldplicht van 24 uur, 72 uur en een maand. Zijn persoonsgegevens buitgemaakt, dan meldt u het datalek op grond van de AVG binnen 72 uur bij de Autoriteit Persoonsgegevens
6. Leer - verwerk de bevindingen in uw incident response-plan

❓ Veelgestelde vragen

Is spyware hetzelfde als een virus?

Nee, spyware en virussen zijn allebei vormen van malware, maar met een ander doel. Een virus verspreidt zich door zich aan bestanden te hechten, terwijl spyware ongemerkt informatie verzamelt. Spyware kan wel door een virus of trojan worden binnengebracht.

Kan spyware een PLC besmetten?

Spyware draait vrijwel altijd op Windows-systemen zoals engineering stations, HMI’s en historians, niet op de PLC zelf. Vanaf zo’n systeem kan spyware wel de PLC-programma’s, tags en setpoints uitlezen. Daarom is het beschermen van engineering stations net zo belangrijk als het beschermen van de controller.

Waarom is spyware gevaarlijk als er niets kapotgaat?

Spyware levert aanvallers de kennis voor een latere, gerichte aanval: wachtwoorden, netwerktekeningen en besturingslogica. Campagnes als Duqu en Havex verzamelden precies die informatie. Daarnaast kan diefstal van recepturen en procesdata leiden tot verlies van concurrentievoordeel.

Helpt antivirus voldoende tegen spyware?

Antivirus vangt bekende spyware goed af, maar gerichte spyware is vaak nieuw en blijft dan onopgemerkt. Combineer daarom endpointbescherming met netwerkmonitoring, segmentatie en beperking van uitgaand verkeer. In OT-omgevingen is application whitelisting vaak effectiever dan klassieke antivirus.

Hoe lang blijft spyware meestal onopgemerkt?

Spyware is ontworpen om zo lang mogelijk onzichtbaar te blijven, en gerichte spionagecampagnes lopen vaak maanden tot jaren. De groep achter Havex (Dragonfly) was al sinds ten minste 2011 actief, terwijl de op ICS gerichte Havex-module pas in juni 2014 publiek werd beschreven. Continue netwerkmonitoring verkort die periode sterk.

Moet ik een spywarebesmetting melden?

Valt uw organisatie onder de Cyberbeveiligingswet en is het incident significant, dan geldt een meldplicht bij het CSIRT met een eerste waarschuwing binnen 24 uur. Zijn persoonsgegevens gelekt, dan meldt u dat datalek binnen 72 uur bij de Autoriteit Persoonsgegevens. Ook zonder plicht kunt u het NCSC informeren.

📌 Samengevat

Spyware is een stille bedreiging die gevoelige gegevens onderschept zonder dat gebruikers het merken, en in industriële omgevingen vaak de verkenningsfase vormt van een latere aanval.

In zowel IT- als OT-systemen kan spyware een ernstige impact hebben op privacy, beveiliging en bedrijfscontinuïteit. Endpointbescherming alleen is niet genoeg: segmentatie, beperkt uitgaand verkeer, netwerkmonitoring en een geoefend incident response-proces maken het verschil.