Staten ter verantwoording roepen voor cyberaanvallen?

Grootschalige cyberaanvallen worden geregeld uitgevoerd door hackers die in opdracht van een buitenlandse overheid handelen. Dat stelt universitair hoofddocent IT-recht en Cyberveiligheid Evgeni Moyakine. Hij vertelt over zijn onderzoek naar de vraag hoe landen juridisch verantwoordelijk kunnen worden gehouden voor cyberaanvallen.

_{Tekst: Jelle Posthuma}

Of het oké is als het interview wordt opgenomen. Moyakine vindt het prima. ‘Maar als het getranscribeerd is, moet de opname natuurlijk wel worden verwijderd’, zegt hij met een grijns. De universitair hoofddocent kan het weten: hij is expert op het gebied van gegevensbescherming, privacy en cyberveiligheid. Dat laatste heeft zijn bijzondere interesse. ‘Ik onderzoek of we staten aansprakelijk kunnen stellen voor cyberaanvallen. Het zijn individuen of hackerscollectieven die de aanvallen uitvoeren, maar ze worden regelmatig gesteund en gefinancierd door staten.’

Grote gevolgen

Niet zelden halen cyberaanvallen het nieuws. DDoS-aanvallen, waarbij een computer of server wordt bestookt met dataverkeer, zijn een bekend voorbeeld. Ook ransomware – ofwel gijzelsoftware – is berucht. Organisaties worden gedwongen om een bedrag, vaak in Bitcoin, te betalen aan anonieme hackers om hun platgelegde diensten weer online te krijgen. De universiteiten van Eindhoven en Maastricht kregen er recent mee te maken. ‘Vroeg of laat zal het ook bij de RUG gebeuren. We worden als universiteit al dagelijks aangevallen.’

De gevolgen van cyberaanvallen kunnen enorm zijn, vervolgt Moyakine. Van deuren van gebouwen die niet meer opengaan tot betalingsverkeer dat niet meer werkt. Zelfs een aanval op een nucleaire installatie is niet uitgesloten. ‘Dat is al eens gebeurd, in Iran. Het Stuxnet-virus legde toen de Iraanse kerncentrifuges stil. Vermoedelijk zaten de VS en Israël hierachter.’ Een ander ingrijpend voorbeeld uit het recente verleden is NotPetya, ‘vernietigende malware’ die zich in 2017 voordeed als gijzelsoftware en de Rotterdamse haven platlegde. Internationale inlichtingendiensten stellen dat Rusland achter die aanval zat, vertelt de onderzoeker.

Hybride oorlogsvoering

Hoe zorg je ervoor dat niet alleen de hackers, maar ook de staten die achter hun digitale operaties schuilgaan, ter verantwoording worden geroepen? Dat is de centrale vraag voor Moyakine. ‘Ik wil de opdrachtgevers aansprakelijk kunnen stellen – de belangrijkste actoren, in mijn optiek.’ Het verantwoordelijk stellen van een staat voor een cyberaanval is echter zeer complex. ‘Er zijn binnen het internationaal recht regels waaraan landen moeten voldoen op het gebied van cyberaanvallen, maar deze zijn niet vastgelegd in een verdrag. De VN heeft er lang geleden bewust van afgezien een verdrag over staatsaansprakelijkheid op te stellen dat ook van toepassing is op digitale aanvallen, omdat zo’n verdragstekst snel zou verouderen. De huidige regels vallen daarom onder het internationale gewoonterecht, ofwel de ongeschreven regels.’

Uitspraken uit het verleden zijn vaak sterk verouderd en weinig passend, weet Moyakine. Deze uitspraken zijn gewezen in de jaren 80 en 90 en hebben bovendien betrekking op militaire operaties, terwijl het bij cyberaanvallen vaak om hybride oorlogsvoering gaat: een grijs gebied waarin het lastig is om van een echte oorlogsdaad te spreken.

Internationale gevoeligheid

Moyakine noemt het toerekenen van een cyberoperatie aan een staat de ‘attributie’. Hij maakt een onderscheid tussen technische, politieke en juridische attributie. Bij technische attributie wordt aan de hand van technische analyse vastgesteld welke actor een cyberaanval heeft uitgevoerd. In het geval van politieke attributie zeggen bijvoorbeeld diplomaten van de VS dat Noord-Korea achter een bepaalde aanval zit.

Juridische attributie van digitale aanvallen is een beduidend complexer vraagstuk, vervolgt de universitair hoofddocent. Staten zijn als ‘soevereine entiteiten’ onafhankelijk van elkaar. Dat is de kern van internationaal recht: je hebt geen mandaat in de landen van waaruit de aanval heeft plaatsgevonden. ‘Als Rusland zegt: 'Wij leveren onze burgers niet uit', kun je vrijwel niets doen.’

Maatregelen die verder gaan, liggen internationaal buitengewoon gevoelig, stelt Moyakine. Veel landen zien het niet zitten, zegt hij. ‘Je kunt ervan uitgaan dat de VS en diverse andere westerse landen over offensieve cybercapaciteiten beschikken en cyberoperaties uitvoeren, maar ze willen natuurlijk niet dat ze zelf aansprakelijk worden gesteld.'

Terugslaan

Desondanks denkt de universitair hoofddocent dat er juridische mogelijkheden zijn. ‘Het is erg moeilijk te bewijzen, maar het is niet onmogelijk. Ik wil een controletest of -theorie ontwikkelen waardoor we de huidige manier van digitale oorlogsvoering wél kunnen toerekenen aan staten.’ Binnen het internationaal recht zijn er mogelijkheden om de schade te vereffenen, legt de onderzoeker uit.

Ook is er de mogelijkheid om terug te slaan. ‘Stel, Nederland wordt aangevallen door Russische hackers en we kunnen dit bewijzen, dan mag ons land in principe terugslaan met dezelfde middelen.’ Zo’n tegenaanval is volgens Moyakine juridisch te verantwoorden binnen het internationaal recht, zolang je met gelijke munt betaalt en niet verder gaat dan nodig is om de aanvallende staat ertoe te bewegen zijn internationale verplichtingen na te komen.

Kans én bedreiging

De razendsnelle ontwikkelingen maken zijn vakgebied – IT-recht en cybersecurity – enorm dynamisch, weet de onderzoeker. Hij noemt als voorbeeld kunstmatige intelligentie (AI). Volgens Moyakine biedt AI zowel kansen als nieuwe bedreigingen. ‘Het mes snijdt aan twee kanten: het kan hackers helpen, maar AI kan ook helpen om de cybersecurity te verbeteren. Statelijke actoren maken er inmiddels dankbaar gebruik van. Je kunt met AI erg effectief en ongemerkt toeslaan.’

Moyakine werkt samen met onderzoekers van de Faculteit Science and Engineering (FSE) en andere universiteiten aan manieren waarop AI kan worden ingezet om de cyberveiligheid te vergroten. AI-agents, die worden getraind om zelf beslissingen te nemen en opdrachten uit te voeren, zijn veelbelovend, stelt hij. Tegelijkertijd geldt ook hier de regel van het mes dat aan twee kanten snijdt: uit recente aanvallen met op hol geslagen AI-agents komen ook de grote risico’s naar voren.

De samenwerking met onderzoekers uit andere disciplines past bij zijn rol als JTS Scholar. Naast de samenwerking tussen disciplines werkt hij ook samen met maatschappelijke partners, zoals de politie. ‘Zo’n samenwerking is uitdagend, maar juist daarom interessant. We spreken vaak niet dezelfde taal. Als ik een beetje generaliseer, draait het voor politieagenten om het vervolgen van criminelen. Als jurist blijf ik wijzen op de grondrechten, fundamentele vrijheden en waarborgen: het gaat niet alleen om de data van criminelen, maar ook om die van hun familieleden, kinderen vaak nog. Hun persoonsgegevens moeten we blijven beschermen. Het is aan mij om dit verhaal goed uit te leggen.’

Meer informatie

• Evgeni Moyakine
• Moyakine is als ‘JTS Scholar’ verbonden aan de Jantina Tammes School van de Rijksuniversiteit Groningen. De Jantina Tammes School brengt onderzoekers bijeen op het gebied van digitalisering, digitale technologieën en kunstmatige intelligentie.
  
  Lees ook de andere interviews met Jantina Tammes-onderzoekers op de overzichtspagina.