Cyberhelden 84 - Een superspion voor je deur

Welkom bij alweer een nieuwe aflevering van Cyberhelden. De podcast waarin we op een luchtige en soms ook wat serieuze manier een dag serieus in gesprek gaan over de digitale dreiging. Mijn naam is Ronald Prins en vandaag zit ik weer

aan tafel met mijn vaste co-host Marco Kuipaar en Jella van Haaster. Hallo, goedemiddag, morgen of avond. Ja, ik denk toch uit de statieke blijkt. De Dubai Denk aan de Truman Show. Good morning and kiss I don't see you anymore. Good afternoon, good evening and good night. Ja. Hey, en we hebben haast vandaag jongens, we moeten allemaal weg. Dus we gaan het op 1,2 opnemen. Ze kunnen de luisteraars het gewoon weer vertragen als het moet. Lekker. NICE. Nog leuke dingen gedaan afgelopen week jongens?

Nee, standaard dingen. Ik heb tenminste, ik heb niet zoveel meer, ja gewoon lekker onderwijs, appjes, geen tv-ai. Dus eigenlijk het standaard verhaal van de afgelopen 30 episodes die we hebben opgenomen denk ik. Niet een nieuw modelletje geïnstalleerd of zo? Ja, nee we hebben wel hertik modellen ergens op de infrastructuur. Marco ziet daar als het ook een beetje jaloers naar te kijken, maar dat we een keer zonder guardrails iets loslaten op, dat kunnen we dus. Een paar API's maar. Stiekem een 2000 trust packages uploaden. Nee, zou ik niet doen. Ik ben geen open AI.

Of was het geen open AI? Dat was open AI. Ja, dat was het. Marco, ik zie dat je je mond vol hebt, dus jij mag. Ja, oh lekker. Goede timing. Ik ben dus bezig met mijn AI command and control ding en ik loop de hete tegen mijn open AI token limits aan. Dus ik ben bijna geübgegeet naar Pro. Je doet er niet van die bijzondere dingen. Je kan ook wel een modelletje eronder. Of is het zo van als je weet dat er een beter model is dan moet je die ook hebben ook? Dat is een exacte gedachte in mijn hoofd.

Inderdaad, als je dan inderdaad een iteratie extra nodig hebt dat je denkt van ja maar ik kan ook GPT-6 Astra aanklikken zeg maar. Ja en ik merk vooral als ik met gedachtengang bezig ben. Een architectuur en hoe moet het eruit komen te zien. Dan is Astra echt miles ahead. Of van zon zeg maar. Dus ja dat werkt wel lekker. Maar goed dat gaat ook heel hard. Dus ik kan 25 minuten kunnen runnen en dan moet ik weer drie uur wachten. Maar het is veel gezonder. Sociale leven krijg je ook door joh. En dan kan je weer goed tegen drinken bij vrouw op de bank. Vanavond 11 uur mag ik weer. We gaan nu slapen want straks kan u weer. En jij Ronald? Ja, niks veel technisch

Ik ben net even de tafelberg opgelopen, gewandeld. Ik ben met mijn zon en twee training bezig. Fetjes. Oh nice. Hard lopen gaat niet want dan ga je te snel in 3-4. Ik loop nu op heuvels, ik zoek ze van bergen van 10 graden. Klaut rekent het allemaal voor mij uit netjes. Oké, ik moet lopen. Kom ik boven op de tafelberg en dan dacht ik en ik wil niet naar beneden lopen, dat is op mijn leeftijd echt slecht voor je knieën. Ik ga lekker met de cable car terug. Maar ja, toen dacht ik,

gaat hij wel? Want het was ijs koud boven, gure wind, 14 graden. Dus nou ja, toen kon ik, je kan daar niet bellen, je kan er niet op je telefoon afgoed. Maar ik heb natuurlijk een radio'tje bij me, dus ik kon wel mensen oproepen. En die hebben voor mij verkeerd en hij ging niet, dus toen moest ik toch weer achterom het omdraaien. Ik ben onderkoeld, ik heb een uur net onder de douche gestaan. Het is diepst koud. Daarvoor ga je niet naar Afrika he? Nee precies. En de Fox Hunt? Fox Hunt, oh ja. Ik ben derde geworden in dezelfde minuut als de andere geëindigd. En degene die

gewonnen had, die had, oh ja dat is een goeie vraag, alleen maar een radio'tje. Dat doet me aan oude scannertijden denken, toen ik achter de observatieteam ging, dan had ik ook alleen maar een radio'tje en dat werkt eigenlijk goed, je hoort dat het signaal beter wordt, dat is slechter. Maar ik had allemaal van die magneet antennetjes op ijzeren plaatjes geplakt op mijn sunroof, maar die plakkers waren er na twee minuten al af. Dus ik kon het helemaal niet gebruiken, dus ik heb in feite ook gewoon op de ouderwetse manier er naartoe gereden. Maar je had een backup dus? Een backup ja, gewoon een radio'tje waar ik op kom. Anders ga je heel hard op een snelweg rijden

en dan zie je hem op gaan en dan loopt hij weer naar beneden en dan moet je dus met je knieën moet je sturen en de andere hand gebruik je aan je radio te bedienen. Ja, fijn dat mijn vrouw niet naar die podcast luistert ook. Marco, ik zag dat jij even in de Navier Stokes toestanden gedoken. Ja. En ze gaat even lekker onze wiskundigheid ophalen, vertel eens wat. Wat heb jij in de krant gelezen? Ja, ja, daar stond het bij in de krant. Ja, feest. Ik heb eigenlijk geen idee. Ja, wel. Maar goed, ja, oké, cool. Kijk, het is niet echt cybersecurity, maar ik vond het gewoon zo

ontzettend vet. Navier Stokes, een Millennium Price Problem. Er zijn zeven problemen in de wereld, getefineerde zeven Millennium Price Problems en op de oplossing staat één miljoen dollar. Die kun je dan dus winnen als je de oplossing hebt. Dat zijn vrij lastige wiskundige zaken. Ja, wat beschrijft die vergelijking nou? Dat is eigenlijk een formule, of eigenlijk een wiskundig vergelijking die we gebruiken om te beschrijven hoe vloeistoffen en gassen bewegen. Dus denk aan lucht rondom een vliegtuigvleugel, water rond een schip. Eigenlijk is de uitdrukking heel simpel

uitgedrukt als ik weet waar een vloeistof nu is, hoe hard die beweegt en wat de druk is en hoe stroopricht die is. Wat gebeurt er dan daarna? Het gaat een beetje over voorspellen over wat vloeistof aangast. De vraag is dan, en dat is dus de kern van het probleem, blijft de wiskunde altijd correct? Dus klopt het eigenlijk deze formule onder alle omstandigheden in de wereld? De wiskunde blijft per definitie altijd correct. Oké, oké, vergenaf blijft deze vergelijking correct. De vraag is meer klopt de vergelijking door? Klopt de vergelijking, ja dat is een hele goede,

dank je wel Ronald. Goede correctie. Stel je begint met een hele normale vloeistof, kan er dan een situatie of een draaikel komt staan waarbij uiteindelijk dat ding zichzelf, zeg maar dat de snelheid zo hoog wordt, zeg maar richting oneindig gaat binnen een bepaald tijdsbestek, niet in een oneindig tijd. En zo'n situatie noem je dan singulariteit. En OpenAI zegt nu, ja we hebben met OpenAI interne modellen bewijs geconstrueerd dat er een vortex kan zijn waarbij uiteindelijk dus de vergelijking niet meer juist is. Maar goed, dat is een vrij, om het maar even zo te zeggen, specifiek

geval. Dus het is niet alsof morgen een keer vliegtuigen uit de lucht vallen of zo. Dus de vergelijking blijft werken. Maar er is dus nu wel bewijs dat de vergelijking niet altijd stand houdt. Ze hebben nou die miljoenen opgehaald. Nou, de miljoenen hebben ze nog niet opgehaald, want het moet nog gevalideerd worden door externe instanties. Dus het bewijs moet in feite nog gecontroleerd worden en dan moet dus die prijs officieel uitgekeerd worden. Nou, OpenAI claimt zelf dat ze het niet doen voor het geld, maar meer voor de prestige en het oplossen zelf. Het is ook

wel vet, want ze hebben dus een interne model gebruikt. Ze hebben echt tientallen agents erop losgelaten. Ik geloof dat ze 130 miljard output tokens hebben gegeneerdeerd met ontzettend veel miljoenen berichten tussen al die agents. Dat heeft ongeveer 88 uur gedraaid en toen lag het antwoord daar, zeg maar, met nog 17 uur verificatie. Het is wel vet als je dan de cost benefit hiervan bereikt. En daar gaat het niet om natuurlijk, maar dat je dus veel miljoenen tokens verstokt om het probleem van de miljoen op te lossen is wel... Ik snap dat je het voor de science of het doet, maar... Ja, precies, commercially doesn't make any sense. Maar ja, je krijgt heel veel aandacht. Ja, dat is wel

het. Ja, dus ik vond het gewoon heel vet, omdat het uiteindelijk ook heel veel te weegbrengt in de wetenschap en de science, de science.org, die website, die kopte dus met OpenAI Breakthrough Triggers Existential Crisis in Math. En dat gaat er dus eigenlijk over dat we hebben nu een vet modellering eigenlijk van waar die vergelijking dus niet standhoudt. Maar ja, snappen we dan ook echt wat erachter zit en in welke situaties dat probleem optreedt. En gaan we dus ook naar een situatie waarin AI eigenlijk sneller antwoorden op onze wetenschap formuleert

dan wij ze nog kunnen interpreteren. Het is wel een interessant vraagstuk. En dat laat gewoon zien wat de kracht is, want we gaan nu in plaats van kan AI, zeg maar, leuk chatten en bestaande kennis reproduceren naar een nieuwe, ontzettend oud probleem oplossen, zeg maar. Ik heb nog wel een verzoekje gehoord, net dat jij hele dikke machines hebt staan Jelle. Zou jij snel factorisatie alge-grip met je kunnen gaan produceren? Gewoon heel simpel, twee grote getallen die met elkaar even medevuldig zijn om dan weer te vinden. En je krijgt alleen maar het resultaat. Wat waren de twee

factoren waar dat bestaat? Simpel toch? Klink complex. Dit klinkt bijna als pki en dat breken en zo. Dit klinkt wel een beetje complex. We weten nog steeds niet zeker of het niet snel te doen is. Je hangt de publieke crypto vast. Het zou zo mooi zijn als iemand wel aan kan komen zetten. Nou, het is eigenlijk niet mooi, dat is eigenlijk erger. Dan kan je gewoon ook echt alles doen. Dan kun je alles kraken wat je wilt. Het is wel vet, want inderdaad, hier wordt vaak dan quantum aangehaald.

Als quantum dan hebben we hier een issue. Maar wat nu als er gewoon een creatieve oplossing is, doordat je zeven miljoen, of wat is het een miljard tokens verbrand, dat er iets heel doms uitkomt, van je kunt het ook zo doen of zo. Niemand heeft nog kunnen bewijzen dat we zeker weten dat het een hard probleem is, dat het een moeilijk probleem is. Super fascinerend, zelfde als Traveling Salesman. Maar als we dit fixen, dan komen onze namen op hier op te staan, toch? Dan hebben we het Prins Kuipers Haaster Theorama. Ik zag gisteren opeens een waarschuwing van

de AIVD voorbij komen. Ik denk, dit is van heel bijzonder, zoiets doen ze niet op deze manier. Meestal de MIVD. Ook dat. Het was een beetje knullig geschreven, moet ik eerlijk zeggen. Als ze ook een haast hadden. Maar ja, ook de Briten, de NCC van de Briten, dus GCC, QNFIT en de FBI, gingen ook naar buiten. En het ging over een mal weer, dat heette Chosen Brick. En dat richt zich op mensen die de Iran als vijand ziet. Dus allerlei dissidenten, activisten

en journalisten in het westen. Die hebben hier blijkbaar last van gehad. En in Nederland zijn daar ook slachtoffers. En die zijn allemaal al ingelicht. Maar de AIVD wil niet zeggen hoeveel er zijn. We hebben natuurlijk historisch wat meer activiteiten van de Iran gezien. Ik was een mannetje in Haarlem. Ja, zo publiek. Dit is in de krant gestaan. Maar wat de Iran doet, die schiet gewoon echt mensen dood waar ze last van hebben in andere landen. Op motorfiets en zo. In België is het ook gebeurd. In een ander land nog. En dit is dan wel de manier hoe ze contact zoeken blijkbaar. Uiteindelijk

met Chosen Brick. Zetten ze op Windows computers om mee te kijken bij die mensen. En dat is helemaal geen spectroleren techniek dat ze loslaten. Dat zijn geen zero days of hele complexe exploit chains. Gewoon Windows malware en feite een rad wat je zelf gaat installeren. Hoe ze dat voor elkaar krijgen is heel simpel. Ze spreken mensen aan via WhatsApp of Telegram. En dan doen ze zich voor als een bekende of als een helpdesk. Ze zijn echt soms dagenlang bezig om een rapport te bouwen. En opeens krijg je dan een bestand. Een executable of installer. En dat is vermond als iets dat hoort

bij dat gesprek. Dus of een Telegram installer is voorbij gekomen. Kipas, Noorton of iemand had ook een nep MRI scans binnen gekregen. Blijkbaar hadden ze er al over dat hij naar het ziekenhuis was gegaan en dat er foto's waren gemaakt. En dan kreeg hij opeens... Ze moeten iets voor context hebben van de slachtoffer. Zo. En op de Engelse NCC site staan ook dan die MRI foto's. Waarom zet je dat dan in je... Maar goed, in ieder geval, dat zit er ook wel bij. Ze willen nu individuen bereiken die

hier aan als dreiging... En normaal is het heel vaak dat als er threat intel is, dan is het toch wat naar bedrijven moet gaan. En die hebben wel hun kanalen om indicators for compromises binnen te krijgen. Maar nu moeten ze gewoon individuen zien te bereiken en te waarschuwen. Dus dat is anders. Entzettend. Wow. Nou ja, en veel werk. Is dat nog interessant verder? Ja, het is gewoon... Uiteindelijk krijg je gewoon een tooltje wat draait en dat kijkt mee. De FBI durft nog wel hardop te zeggen dat het de MOIS is, het Iraanse ministerie van Inlichtingen. Ja, en in die diensten zeggen dan ook

letterlijk dat die gestolen data uiteindelijk een pattern of life oplevert. Dus waar woont iemand, met wie spreekt hij, wat is zijn dagrhytme. En dat is precies de informatie die je nodig hebt als je iemand wil intimideren of... Maar ja, dat is het eigenlijk niet. Intimideren is op een motorfiets voorbij rijden met een automatisch wapen. Dus meer liquideren eigenlijk. Wat wel interessant vindt is dat bijvoorbeeld... Zij is boven, maar de NCSC publiceert veel meer ook technisch gegevens eigenlijk over dingen. Ja, maar ik zat daar ook over naar te kijken. Ik denk ook die verschillen zijn ook

wel eens interessant om te zien waarom rapporteert zeker zo'n samenwerking de ene club meer dan de ander. Maar het gaat er nu ook alleen maar om dat er ook een berichtje in de krant wordt en dat mensen met Iraanse banden weten van oh, ik kan ook getarget worden, laat ik vooral niet zomaar wat installeren. En om nou IOC's of zo een individuur te geven, is dat niet heel veel nut denk ik. Ja, dat gaan jullie ermee doen, zeker. In mijn hele sokstekkenhuis toevoegen... Maar blijkbaar hebben ze wel, omdat ze slachtoffers hebben gewaarschuwd. Kijk, wat ik nog wel enig, wat ik

fascinerend vond is dat er dus, via Telegram, wordt die motor aangestuurd en wordt er de extractie gedaan. Ze hebben meerdere slachtoffers weten te vinden, maar wat heel nadrukkelijk in staat is dat elke slachtoffer praat met een apart Telegram bot. Dus ook niet dat ze die ene Telegram bot hebben overgenomen en daardoor weten wie er nog meer slachtoffers zijn. Ze hebben een ander iets gevonden. Fascinerend, hè? Ja. Ja, leuk. Jelle? Ja, ik, van Iran, Iranese, Iraniers, iets mensen uit Iran en de moois naar Chinese. Ik heb alleen maar over Chinese in deze uitzending,

dus ik ben niet boos op alle Chinese. En Babi Panda is nog steeds lekker. Ja, zeker. Maar wat we hebben is over Chinese type software, dat heet Sogu. En dan heb je een Windows versie, waarmee je, zeg maar, over je eigen QWERTY-toetsenbord, dus je normale toetsenbord, dat je een soort laag overheen kan doen, een appje kunt installeren dat die Chinese tekenstiept. Want normaal kan dat niet op je toetsenbord. Je kunt wel zo'n velletje kopen dat je Chinese tekensten naast hebt, maar dat werkt eigenlijk allemaal niet. Dus je typt bijvoorbeeld Nihao, dus dat is Hallo,

en dan krijg je een balkje met mogelijke Chinese tekens om dat in het Chinese, dus eigenlijk van westerse tekens naar Chinese tekenst te doen. En dat vindt sommige mensen dus super super fijn. Nou, en Sogu is van Tencent. Die kennen we. Ja, precies. Het is een beetje de grootste softwareleverancier in China, denk ik. Ze hebben WeChat. WeChat, de vervanger of het alternatief voor WhatsApp in heel veel Afrikaanse en Aziatische landen. Een CTI-bedrijfje heeft hierna gekeken, Thread Labs, en dat is weer een security-onderzoeksdien van een bedrijf. Het bedrijf ook

achter Norton en Avast, dus antivirusproducten. En op 10 september publiceerde ze deze Sogu-aanval, dus Sogu is die software waarmee je Chinese tekens kunt typen. En wat ze dus hebben gedaan, de aanvaller, is via een linkje, en ze vertellen niet hoe dat linkje bij het slachtoffer kwam, maar het kan gewoon Mail, Chat of webpagina zijn natuurlijk. Ze hebben het niet vastgesteld. Via dat linkje openden je dingen. Dus je kwam bijvoorbeeld, als je het opende, dan opende in je Sogu-app, ging je naar de themawinkel van Sogu, dus waar je die Chinese tekens kon doen. En dan

kon je skins downloaden en weet ik veel wat. Die app Sogu controleerde dus dat webadres niet, en dus vervolgens kon de aanvaller met die linkjes mensen duidelijk sturen naar bepaalde dingen. Wat hij dan deed is een Chromium browsers. Daar had hij een browser Vulnerability gevonden uit 2021, waarmee ze bepaalde malware-familie konden installeren, Grey Rabbit, die vervolgens alle rechten had van de gebruiker. Heel even hoor, want de bekendste Chromium browser is natuurlijk gewoon Chrome voor Google. Ja, Chrome Edge. Daar kan je toch geen oude versie van hebben?

Je updatet zichzelf elke dag opnieuw. Ja, maar je hebt ook de in-browser. Dat is wel een dingetje. Dus vaak heb je bijvoorbeeld OpenAI ook, je chat-app en ik weet niet wat Anthropic gebruikt, maar dat zijn Chromium-based browsers. Dus achter Chrome zit eigenlijk een heel open source stack van Chromium. Chrome en Google beheren dat deels, maar je kunt ook allerlei eigen instances bouwen van Chromium. Dus ook in-app browsers bijvoorbeeld, als ik die gebruik, dat is vaak ook een Chromium-based ding die ik natuurlijk heel netjes update. Maar als je dit in je app hebt zitten, dan vergeet je dat ook

wel eens. Dus als Sogu een in-app browser niet tegeeft, dan kun je dus met een versie en een kwetsbereid zitten die nog steeds werkt uit 2020. Wat je hier dus hebt in deze aanval, dus je hebt Chinese software. Dat is dus interessante targeting. Wie target nou dit soort type software? Vaak zie je Chinezen die allerlei westerse shit hacken. Dit is de Sogu software voor mensen die geïnteresseerd zijn in Chinese tekentietypen en daar een aanval op om dat binnen te dringen. En er wordt gelinkt aan Unk, een unknown groep 3569, zegt niks, maar het is ook een China gelinkte hackgroep die overheden en

technologiebedrijven aanvallen. En dit, nu weet ik het weer, was waarom ik het zo interessant vind. Een Chinese techgroep die Chinese software doet en die snap ik ook misschien wel weer, de hele how done it van. Oke, ze zijn dus geïnteresseerd in andere mensen die geïnteresseerd zijn in China en daar willen binnendringen. Dus een beetje misschien ook de dissidenten of de anonymisten die dat gebruiken. De hacker die China hackt die Sogu installeert om China te kunnen hacken. Als het een Chinese overheidachtige groep is, dan hebben ze gewoon de achterdeuren in WeChat gebruiken en alles om mee te kijken. Hoef je dit toch niet voor te doen? Ja precies, of het is inderdaad dissidenten

of inderdaad meer westerse georienteerde mensen die niet de standaard software gebruiken. Maar ja, ook als het tensent is dan heb je nog volgens mij honderd manieren om interceptie te doen om dit soort kanalen. Nou fascinerend, goede vraag. Als je Luistert, vertel dit alsjeblieft. Wie hackt dit nou? Ja ik vond het een heerlijk rapport van Anthropic, kwam ik tegen. En het is blijkbaar onze vierde, ik moet er een, twee en drie nog gaan lezen. Maar wat die doen is al het misbruik wat zij zelf detecteren waarbij klot wordt ingezet. Dat zit dus heel netjes te analyseren waar dan vooral

die mensen te stoppen. Maar ze schrijven ook keurig op wat ze zijn tegenkomen. En ze hebben het laatste rapport, het vierde, dat gaat over acht maanden misbruik van december tot afgelopen augustus. En dan keurig ook uitgesplitst in zeven categorieën. En ik vind het echt wel bijzonder dat ze dit doen. Een AI bedrijf dat gewoon publiekelijk opschrijft hoe zijn eigen product wordt misbruikt. En ook helemaal met de billen bloot gaat met de namen van de groepen, IP-addressen, domeinen. Zelfs Telegram bot-ID's zie je in de IOC-listen voorbijkomen. Keurig als CSV'tje te downloaden. Vaak,

het lijkt een beetje wat een monument die een Microsoft doet als een threat intel-rapport, maar niet de fabrikant zelf die nu gewoon los gaat. Ze zeggen zelf ook wel eerlijk dat het geen repressief beeld is. Dit zijn de opvallendste zaken die ze zijn tegengekomen, niet het gemiddelde. Maar goed, dat maakt mij ook niet uit. Die vind ik ook het interessant om te lezen. En ik werd ook wel geïnspireerd, moet ik zeggen, over REC. Dat had ik nooit bedacht. Zo kan je inderdaad lekker gaan hacken. Zitten wij er ook in? Nee, want wij waren toch niet zo schikbarend blijkbaar. Of wij bleven

goed onder de radar. Rapport nummer vijf. Nee, want ik merk nu met Fable 5, wordt ik veel te vaak teruggefloten en dan valt hij terug naar zonnet. Zelfs simpele vragen die helemaal niet fout zijn. Hij staat heel scherp ingesteld nu vind ik de vangrails. Maar goed, waar gaat het over? Het zijn vaak aanvallen die ze tegenkomen die op zichzelf niet nieuw zijn. Dat zijn dingen als gestolen wachtwoorden, ongepatchte edge devices, reaction shit,

er bestaat ook nog steeds, allemaal phishing. Wat er wel echt interessant nieuw aan is, is wie het allemaal kan. En antropic beschrijft bijvoorbeeld een hacktivist met gestolen API keys en een paar losse criminelen en een Russische staatsoperator en die draaien alle drie campagnes tegen tientallen slachtoffers tegelijk. Dat is een interessant beeld toch? Zeker. Een jaar geleden had je daar echt een heel team voor nodig, nu zit gewoon een persoon ook iets te draaien met een stijlagency verkening doet en de exploitatie en exfiltratie. Kammerforce,

jullie ook allemaal aparte afdelingen vroeger hadden ervoor. Ja, dus zit nu gewoon een persoon datzelfde tegelijk met agents, met een batterij aan agents. Echt heerlijk. Ik neem aan dat de professionele hackergroepen zich ook anders gaan organiseren nu. Dat zou toch mooi onderzoek zijn dat je dit keer benchmarkt. Dus je gaat een inlichtingteam of een hackergroepering of CTI team benchmarken tegen een AI manager die dit allemaal gesupprogrammeerd heeft in zijn subagents. Oké, idee voor ons ook. Kan ik bij jou promoveren? Ja zo, dat zou vet zijn. Van

harte welkom. Even vier jaartjes naar Breda. Ik weet niks van wiskunde. Nee, ik ook niet meer, maar wel over andere dingen. Nou, ik heb een paar cases uitgehaald. Een Russen die ik noemde, is een groep die lijkt op Midnight Blizzard en die hebben iets gebouwd. Dat vind ik eigenlijk wat interessant. Ze lieten AI agents in de gaten houden of hun malware door antivirus of EDR werd gedetecteerd. Zodra dat gebeurde, gingen de agents zelf weer aan het werk. Ze gingen de malware aanpassen, erbouwen, testen, net zo lang tot het weer onzichtbaar was en dan weer klaarzetten op een

wegwerp-vpjarsje en weer de campagne in. Dat hele kat-en-muis-spel, dat is eigenlijk wel waar de beveiligingsindustrie op drijft, waarbij de verdediger een signature maakt en om een aanval er weer een paar weken kwijt is. Dat is nu gewoon een loop die vanzelf draait. En holy fuck, het is dus de Svr, Midnight Blizzard Svr, die internationaal bekend zijn als de meest heimelijke actoren. Ja, die zitten gewoon lekker met een 200 dollar abonnementje zitten ze nu. Fucking. Ja, zoals

Anthropic het zelf zegt, de kosten zijn toen geschooven naar de verdediger. En verder deden ze gewoon het normale spionagewerk. Het staat er dan ook zo makkelijk. Ja, het normale spionagewerk, zoals oekraïns ministeries en troonfabrikanten, ambassades. En wat ze nou ook gedaan hebben, nou dat is weer interessant, ook gezien onze wetgeving, een mooi voorbeeld. Ze hebben drie leveranciers van die hotel wifi leverd, hebben ze gehacked, de DNS overgenomen en hotelgasten lekker gevoed met allemaal malder. Ik ben toch benieuwd hoe ze dit dan allemaal koppelen vanuit

Anthropic. Want kijk, dat je die hele bouwstraat dan ziet, dat snap ik wel. Maar wordt er dan ook zoveel van hun, zeg maar, tasking via Anthropic agents, dingen gedaan? Ik denk dat ze uiteindelijk gewoon zeggen, als je daar dan binnen zit bij zo'n wifi boer, dan ga je ook gewoon, zeg maar, laat je hem rondkijken van waar kom je bij en kan je voor mij nu ook de DNS overnemen. Dat zie je ook allemaal gebeuren dan. En dan zeg je, nou ik heb hier software, zorgen voor als mensen naar deze URL gaan of als ze ergens naartoe gaan, dan ga je gewoon dit nu serveren. Even verder, we hebben niet

alleen maar spionnen, ook gewoon criminelen. De vriendjes van de Shinyhunters komen voorbij, een Franse jongen die downloaden bijna twee miljoen Android apps. Die heeft hij helemaal uit de kar getrokken. Dat is best wel duur, ik vraag me af hoe hij als het ook eens kwam. En hij heeft ze uit de kar getrokken om dan uiteindelijk API keys eruit te halen die er hard in zaten. En alles wat werkte, dat ging realtime naar een Telegram groep en met die sleutels brak hij dan weer in bij bijvoorbeeld een Saas leverancier, waar die vertrendende klanten weer 2100 Azure tokensets van 40 tenants weer

weet weg te trekken. Het exploreert hem ook. Ja, zeker. En ik zei net van, hoe komt hij aan zijn tokens? Ja, als je één keer zo weer binnen zit bij anderen, je pakt gewoon de keys van anderen om weer door te gaan. En dan ben je op zoek naar de API keys toch van een groot afnemer, dus een groot bedrijf, een consulting of een ander bedrijf, wat gewoon een API abonnementje heeft en die dat maandelijks factoreert en eigenlijk niet doorheeft waar zijn tokens naartoe verdwijnen ofzo. Ja, je hebt

het niet meer door en als je bij heel veel bedrijven doet, dan room je 10 procent af. Ja, dat gaat niemand opvallen. En op zich wel goed ook dat Anthropic natuurlijk zijn best doet om te kijken of het wel eerlijk gebruikt wordt, want anders zitten mensen echt wel heel veel geld uit te geven aan ons. En ik zeg 10 procent, misschien wel veel meer natuurlijk wat iemand soms kwijt is. Nou, nog eentje hier zo, een Franse activist. Ook is er eentje die heeft Claude gebruikt om een onbekende race condition in WordPress uit te werken. Die heeft daarmee ingebroken bij 14 Europese politieke

partijen, media en think tanks en de backups vergiftigd zodat je na herstel weer besmet bent en een dockingzoekmachine gebouwd met tientallen miljoenen records uit oude lekkers plus eigen buiten. En op een Tor site zoekbaar op naam heeft hij dat allemaal netjes neergezet. Eén gastje, gewoon 14 serieuze politieke partijen volledig overgenomen. En dan zie je ook, je bent natuurlijk naar het surveillance hoofdstuk gaan als Sikint fan. Mali, een Malinese overheid, die hebben een heel

afdappen platform gebouwd, over drie telecom providers heen met 25 miljoen simkaarten, met stemherkenning en een vlaggetje voor iedereen die VPN gebruikt. Dat is ook weer mooi dat je mee kunt kijken, dus hoe gaat zijn overheid er nou mee om als je inderdaad echt massasurveillance kan doen. Gewoon puur het gebruiken van VPN, krijg je een vlaggetje en dan wordt er apart gekeken naar je. Is toch anders dan hier in net Westerse landen dat allemaal doen. Anthropic heeft natuurlijk gestopt, maar goed de software draait waarschijnlijk nog ergens. Iraanse eenheden die bouwden een

Firefox extensie, vermoond als gebedstijden app om identiteiten weer te oogsten en analyseerden 105.000 tweets om de oppositie te vinden. Dat is een beetje aanhangend op dat AIVD-verhaal waar ik mee begon. En Chinese diensten die maken dossiers kanten klaar over Tibetaanse boeddhisten, over katholieken en Falun Gong en probeerden we Uyghuren in Syrië, wie zei dat, te recruteren met laag vertaling in het juiste dialect. Dit is een betere inkijken hoe landen bezig zijn om hun

inlichtingapparaat in te zetten. Dat is er niet. Dit moet superwaardevol zijn. De NEC moet eigenlijk gewoon permanent kunnen meekijken, zou ik denken. Soms zou je hier ook wel eens iets voorbij komen waarbij je zegt tegen Anthropic, nou laat me even doorlopen, want dit geeft ons een hele interessante informatiepositie. Als je ziet dat hiermee wordt blootgelegd. Ik ga maar gewoon verder met lezen. Ik zie in Zuid-Afrika, Kaapstad, een Nederlandse meneer die het verkeer aftapt van heel Kaapstad, blijft transcruperen. Oh nee, dat stond er nog niet in. Leuk jongens, heel leuk. Dat is een reteaming-opdracht dat mag. Dat mag van klood. Maar uiteindelijk even samenvallen en

afronden. Het is dus niet dat AI hier per se nieuwe aanvallen verzint, dat doet het nauwelijks. Je ziet bijvoorbeeld dat de economie is gekanteld. Het verkennen, exploiteren en tooling bouwen, datendoorstpitten, dat is echt altijd duur mensenwerk. En dat een staat van een eenling onderscheiden. Nu zie je gewoon eenlingen die door je klussen waar je gewoon superveel teams voor aan het werk moet zetten. En ik vind het heel mooi dat ze dit blijven sturen. Het is heel goed dat we door hebben wat je allemaal kan met AI. Maar het inspireert ook, ben ik bang. Ik denk dat mensen

alleen maar meer dit gaan inzetten. En als je als staatelijke acteur denkt van joh, ik ga stoute dingen doen. Ga je dan nog Anthropic gebruiken als ze dit publiceren? Want hier doe je een soort van herding. Je drijft actoren wel naar misschien naar een andere platform toe. Maar als andere platformers ook dit gaan doen, dat zou wel mooi zijn. Ik kan me niet voorstellen dat OpenAI niet iets vergelijkbaars doet. Die willen ook misbruik stoppen. Anders kom je weer slecht in het nieuws. Ze zijn heel erg bezig om goed in het nieuws te komen. Jelle. Jij had een leuk verhaal. De fans die je onderzoekt of slimme auto's in Nederlandse kazernen stop moeten kunnen.

Dit is best oud nieuws. Het komt uit juni-juli. Maar ik zat met collega's aan te lunchen bij Paresco, onze bedrijfskantine natuurlijk. Dus dan moet je iets doen om jezelf af te leiden van het eten wat ze serveren. Dus we hadden een discussie over de auto's. En dus dat Defensie. Iemand zei dat heeft in het AD in het paroleel gestaan. Kranten. Dus die lees ik niet heel veel. Maar dat Defensie 13 juli publiekeert. Dat Defensie aan het onderzoeken is of slimme auto's buiten de poort moeten blijven van kazernes. En ook in de straat eromheen eigenlijk geen slimme auto's meer

moeten kunnen. Omdat zo'n ding tegenwoordig natuurlijk helemaal, zelfs als je geen antennes op het dak plakt, helemaal vol hangt met sensoren, camera's, LiDAR radar. Dus dat is inderdaad Defensie aan het onderzoeken is of dit dit daadwerkelijk gestopt kan worden. En slimme auto's? Wordt het concreter gemaakt van Chinese slimme auto's? Of dat die niet mogen? Tesla's wel ofzo? Het neigt heel erg naar Chinese auto's. Maar in bredere zin is de discussie natuurlijk, dus ik wil niet alleen over Chinese auto's hebben, maar in bredere zin over auto's. En eigenlijk dus dat is het hele

idee van ja, je hoeft geen menselijke agent meer te werven op kazerne als je toch al allerlei sensoren die kazernetreinen op kan rijden met allerlei radarsystemen en weet ik voor wat. En dus als ik erachter kwam, in Europa en de Verenigde Staten en China speelt deze discussie al veel langer en worden al veel meer van dit soort wagens gewoon geweerd van terreinen. En dat is een beetje het idee van ja, zo'n auto tegenwoordig is al die sensoren. Dus je hebt die camera's voor verkeersborden parkeren, radar, allerlei systemen om je rijen gewoon fijner te maken. Maar sommigen

hebben ook LiDAR, dus gewoon lasertjes, 3D puntenwolk. Je kan gewoon gezichten nabouwen van mensen als er iemand voorbij loopt. Maar ook als je wat nu als je je je LiDAR auto weet ik wel een B4D auto parkeert naast een militair object. Ja, dan krijg je het alleen foto's. Je hebt ook gewoon bijna een hele 3D render van het hele object heb je te pakken zeg maar. En dan krijg ik nu ook alweer toch, ik ga toch even mijn OBD-stacker of zo, on-board diagnostics, nog wat. Ja, precies. Dan ga ik even een Raspberry Pi aan hangen en dan aan de klant vragen denk ik maar om eens even een rondkijntje

te maken in mijn eigen auto. Weer een red teaming opdrachtje. Ja, zeker. Dus dat is wel interessant dit hoor. Maar die auto moet wel verbinding met de buitenwereld hebben. Maar dat hebben ze allemaal, want je krijgt over de air-updates uit China. Dus dat met alle moderne auto's inderdaad, dat weten we al langer, maar er zit één simkaart, een vermerende simkaart in. Je hangt daar je CarPlay hang je daar natuurlijk tegenaan. En die boardcomputer die je hebt, die doet natuurlijk ook een soort sensorfusie. Wat een normaal, is het een heel militaire sensor wapensystemen term. Mijndaad, al die sensoren die aan boord worden ergens gefused en die worden ergens

naartoe gestuurd. Die blijven of lokaal. Of die gaan ergens de cloud in. En die cloud is dan van of een derde party, een Turkparty leverancier, of de eigenaar van de auto, van de producent. Ja, dus er zijn eigenlijk gewoon heel veel mogelijke partijen die toegang zouden kunnen hebben tot dat hele Fusion-platform met eigenlijk jouw auto. De AD noemt het Superspion, maar jouw auto als Superspion. Het is natuurlijk geen spion, even voor de puristen. Er bestaan geen spionnen. Je hebt

agenten en vervolgens heb je daar case officers boven. Dus een super agent is het eigenlijk en geen Superspion. Maar dat klinkt natuurlijk niet. Maar, ja weet je de pion klinkt. Dat klinkt leuke man. Ja, is het veel lekker. Ik denk kwijtneilig dat het de politieagent is natuurlijk. Ja, fuck, ja zeker. Als agent. Zoveel partijen erbij. Wie kan ik een berichtje sturen voor alle informatie dat ik dat krijg? Of wie moet ik hacken? Of wie gaat dat doen misschien? Maar dit komt ook weer een beetje terug op die discussie elke keer over of Huawei of dat nou achterdeurtjes heeft. De telefooncentrale

fabrikant. Ook van Tencent misschien. En ik denk wel, deze auto's worden gereverse engegeerd. Niet alleen om te kijken of er staatelijke actoren misbruik van maken, maar omdat mensen gewoon het heel irritant vinden. Ik heb altijd de Child Presence shit erin zitten. Als mijn hond in de auto zit en ik zit binnen boodschappen te doen, gaat die sirene altijd de larm af. En die kan ik alleen maar per keer uitzetten. Dan moet ik aan denken als ik uitstap. En daarna gaat de automatie weer aan. Dat soort dingen willen mensen zelf kunnen aanpassen. Dus die auto wordt gewoon uit elkaar

getrokken. Mensen gaan kijken naar die software en kijken of ze wat kunnen tweaken. En als zo'n achterdeurtje erin zit en er wordt gevonden, dan is het gewoon over met BYD. Dan verkopen ze geen auto meer. Zelfde met Huawei. Als er een achterdeurtje in zit en er wordt gevonden, dan weten ze zeker dat ze hun handel kwijt zijn. Nu zijn ze die handel nog kwijt. Dus ik vraag me altijd af, stoppen ze nou echt achterdeurtjes erin? Als je een staatelijke partij erachter hebt, die kan dwingen tot meewerking. Stel nou dat het dus gezien wordt. Ik ga inderdaad via mijn OBD stekker monitoren wat mijn auto doet. En ik zie dat de camera wordt bediend terwijl ik helemaal niet in de

auto zit. Of ik wordt gefilmd of mijn gesprekken in de auto worden opgenomen. Als dat gebeurt, dan is het dan gaat, en dat komt in de krant, dan komt er nu meer een BYD-auto. Als ik iets zou moeten organiseren, dan zou ik niet zoals met de Schubel software van Volkswagen, dit op al mijn systemen doen. Als ik toegang heb via maintenance dingen in Mainland China, zou ik zeggen van als je weet welke persoon welke auto's heeft, dan zou je dit, ook omdat je updates op afstand kunt pushen, zou je sommige mensen mijn line update serveren.

Je moet één keer voorbij lopen en dan heb je het VIN-nummer, de serienummer, staat onder de vooruitkant, je kan het zien altijd. Prachtig. Dus daarmee kun je voor die persoon targetten. Dat is het denk ik een beetje, dat je of staatelijke actoren hebt, dus of die toko meedwingen, meedwingen. Dwingen tot medewerking. Dat moet inderdaad een bedrijf zijn wat in China staat of in Amerika staat of ergens in Nederland zou staan. En dat die zeggen van fabrikant, jij wordt gedwongen om jouw telemetrie te ontsluiten of ons toegang te geven via platform. Of je doet gewoon het deboel hacken op afstand, dus dat je weet ik wel de maintenance en de beheerssoftware

van op afstand zou hacken als inlichtingendienst. En natuurlijk al die niet staatelijke actoren. Maar ook dealers die met je onderhoudsbeheer hebben die ook toegang tot een bepaalde data, maar ook verzekeraars hebben ook toegang. Dus dat is, de Future of Privacy Forum heeft het helemaal uitgewerkt met enorme exploded views van waar de data van je auto allemaal staat en naartoe gaat. Waarom heeft de machtenverzekeraar al deze toegang hebben in Nederland? Het is bepaalde toegang. Ja, het is niet alles. Dus je hebt iedereen die heeft een bepaald stukje wat dan weer gedeeld wordt. Maar zelfs die blackboxers, doet de ANWB dat niet ook in Nederland? Want

hier in ieder geval krijg je verzekeraar een doosje en krijg je korting als ze mee mogen kijken in je auto. Ja, hetzelfde met private lease, lease maatschappijen die willen weten waar hun spullen zijn enzo. Ja, weet je, dus uiteindelijk is er een aantal interventie punten op de software. Je hebt gewoon het rijden en waarnemen stuk zeg maar, dus die software, bij die software, die wordt weer gebouwd door Bosch. Ik dacht dat Bosch alleen was van... Nee joh, alles is Bosch. Wasmachines. Ja, precies. Maar dus dat hij ook allerlei telemetrie hebben en die ook willen weten van hey, werkt onze spullen allemaal. Dus daar heb je ook weer zo'n third party die ook interessant is als je datum wil hebben. En al die ingebouwde apps,

die zijn dus ook niet van alleen de fabrikant. Die ingebouwde apps op je auto worden weer door allerlei derde party, third party mensen worden die gebouwd. En natuurlijk je telefoon zelf. Ook die koppeling daarmee zeg maar, dus je CarPlay heb je ook weer een soort interventiepad op wagens en voertuigen. Ook steeds meer dat CarPlay kan interacteren met onboard informatie, dus met eigenlijk gewoon je motorbeheersysteem. Dat daar ook steeds meer apps en koppelingen komen in nieuwe auto's. En dan neem je dus eigenlijk je mobiele apparaat, wat al een hele interessante access factor is, neem je mee in je auto. Dus dan koppel je eigenlijk je access factor van je telefoon,

koppel je met het sensor en wapen communicatiesysteem van je auto zeg maar. Dus dan is het een soort integratie van de superagent. Nice. Kan ik dan nu ook raketten in mijn auto besturen vanaf mijn telefoon? Wapens moeten we eigenlijk uitlaten. Dus niet sensor wapensysteem, niet CWACO, maar CECO. Dus sensor en communicatie platform. Oké, maar we hebben het steeds over de Chinezen. Met Teslas kan je net zo goed dezelfde dingen doen toch? Ja, 100%. Duits auto's, BMW's. Ja, nee, maar het is wel, weet je, als ik dan het rijtje van de opponenten heb weet je, dus uiteindelijk

Amerikanen, ja dat is misschien het volgende probleem. En weet je, het grote probleem is inderdaad gewoon het risico van onze opponenten. Russen, Iraniers, Noord-Koreaan of Chinezen. En gelukkig bouwen van die vier alleen de Chinezen een beetje auto's die heel lekker rijden en veel moderne zijn dan heel veel Europese dingen. Ja, fantastisch. Dus ja. De AFD beschrijft ook gewoon in het jaarverslag van 2024 dat de China natuurlijk spionage doet, maar ook dus dat Chinezenbedrijven tot medewerking kunnen worden gedwongen door de staat. Wat niet anders is dan in Nederland of elke andere staat in de wereld. Maar weet je, het is dus wel de partij met de data, dus de vendor,

de verkoper van de auto. Ja, die heeft natuurlijk wel, als China die dwingt om mee te werken, hebben ze een heel interessante vector om al die auto's binnen te komen. En dan kunnen ze inderdaad zouden ze updates kunnen pushen naar de vendoren. Nou, ik zit eens te denken, je zegt de partij met de data en dat ze die kunnen voorderen. En ik vind het dan interessant dat de EU heeft dan vaak van die zaak afgedwongen als, nee, de data moet in ieder geval residency binnen de Europese economische ruimte hebben. Ik kan me nog herinneren dat, ik was ooit in smartwatches gedoken, want ja, kind smartwatch, waar doe je goed aan? En dat er een aantal merken waren die claimde dan dat de

data netjes in Europa werd opgeslagen. Maar als je dan iets verder keek, dan zag je dat eigenlijk gewoon een proxy was naar China toe. Dan ben ik ook wel eens benieuwd of dan die data van die auto's verblijft dat dan echt binnen de EU. Hebben ze dan ook hele strenge controls op dat het dan niet zomaar van Europa naar bijvoorbeeld een China kan worden getransporteerd voor waar de staat zegt, jij zult meewerken? Ja, of is dit gewoon een grote smoke and mirrors? Ik denk dat het laatste, er is bijna geen incentive, anders dan betrouwbaarheid fijn zodat het in Europa staat. Maar bedrijfseconomisch, je wil die data toch inzien, de telemetrie die wil je ergens analyseren en kan me haast niet

voorstellen dat er ergens, weet je, als je zou kunnen zeggen, oké, dan doe ze ook de telemetrie analyseren in Europa en dat houden ze lekker in Europa. Als je een groot bedrijf bent en je wil betere auto's maken, natuurlijk gaat je data dan naar mainland om daar betere auto's te ontwerpen, denk ik. Wat denk jij? Ja, ik heb dus alleen in dit geval dat smartwatch ding waar ik in getoken was, dat ik denk, ja, daar was het gewoon een proxy en sindsdien doe ik gewoon standaard de aanname dat het gewoon een proxy is. Paranoia, maar hij zegt ook, don't trust it. Maar je hebt ook het variant tussen de partij die de auto assembleert, want je hebt inderdaad gewoon Chinese merken, hoe noem je

dat, BYD, budget dreams ding, maar je hebt ook gewoon dat sommige automerken geassembleerd worden in China, dus gewoon Europese merken. Vondstwagenfabrieken of whatever. Ja, zeker, dus die dat allemaal in mainland worden die auto's in elkaar gezet en dat is ook dus een ander factor. Ook al is het infotainmentsysteem, dus je carplay en alles is in Europa gebouwd, maar vervolgens wordt in China in elkaar gezet. Ja, voor sommige landen in Europa is dat ook een reden om dat soort auto's ook te verweren en dan komen we straks denk ik bij een aantal voorbeelden. Maar je hebt ook dus bijvoorbeeld de minis, de elektrische Mini Cooper en de Aceman, die worden in China gebouwd door Spotlight

Automotive en er zitten twee bedrijven achter, BMW en het fantastische merk Great Wall Motor. De grote muur, die zitten er achter en het ligt aan hoe je dat risico accepteert of niet of hoe je de mogelijke impact daarvan doet, maar dat merkt dus wel dat in Europa steeds meer landen hier op een achterhoofd aan het krabben zijn van doen we hier nog verstandig naar. Maar het is ook heftig als je dan zo dit bekijkt, dus behoorlijke keten van risico en stijl defensie zegt dan, jij mag het

niet meer op de caserne parkeren met de auto. Het is niet heel comfortabel als je dan als gewone medewerker die heel lang gespaard heeft voor een hele mooie leuke nieuwe auto met moderne sensoren, want het is heel comfortabel rijden, dat je dan opeens in een ergens een blok van weet ik hoeveel honderd meter verder op moet gaan staan parkeren. Dit is heel a-relax voor heel veel mensen als het in daad gebeurt, want ook als je hier verder uitzoomt natuurlijk. Ik denk ook dat we zelden een Iraanse of een Noord-Koreaanse of een Russische auto toegelaten zouden hebben en dat niemand zou denken van oké ik ga in een Russische of gelukkig bouw die slechtere auto's dan Chinese

En nu met China denk ik dat we steeds maar achter komen van, hey er gaat wel een risico van uit, daar moet je wel iets mee. Zelfde dat China ook dat risico beoordeelt over het Westen, dat zij Tesla's weer van hun te rijden. En ik denk dan inderdaad ben je dan naïef dat je die auto hebt gekocht? Nou nee de wereld is veranderd, maar in 2026 is het inderdaad wel overwege waard van ja kut misschien al het risico wat hier vanuit gaat en dat daarmee defensie ook een plicht heeft naar zo'n mensen toe om die te beschermen tegen dat ze geraakt worden door spionage omdat ze toevallig

de verkeerde auto hebben gekocht. Ik denk niet dat, maar het is wel gewoon kut als je dure auto leest of gekocht hebt. Maar het is wel, we zijn dus niet de eerste hierin die hierover nadenken, dus dat rijtje en dat ik zat hier dus echt helemaal niet in, is dat in 2021 wat ik al een paar keer noem hebben ze dus dat beleid afgekondigd dat Tesla's geweerd worden bij overheidskantoren omdat de camera's in zitten en dat die ook hele hoge resolutie camera's hebben die heel veel mensen om de auto heen kunnen trekken en geautomatiseerd opnemen. In 2024 was er dan discussie in Nederland

in de Kamer over de veiligheidsrisico's van elektrische auto's. Dat ging niet per se over elektrische auto's, maar over slimme auto's met camera's en dingen die altijd aanstaan. In 2025 in de VS definitief besluit dat Chinese en Russische software voor de hardware in auto's, in smart auto's ook verboden werd en per 2027 niet meer in auto's mag zitten daar. En het Verenigd Kronenkrijk volgt dan 25 april ook dat de RAF, dus hun luchtmacht, die werd geadviseerd. Er had een aantal Chinese

dienstauto's staan en privé auto's natuurlijk van medewerkers, werd geadviseerd van heb geen gevoelige gesprekken in de auto over mogelijk defensie interessante onderwerpen. Maar Jelle, dat mag toch sowieso niet, want dat zijn geen gerubriceerde ruimtes. Dat zijn zeker geen gerubriceerde ruimtes, maar natuurlijk is in het kader van alles is een beetje inlichting. Als je een klein beetje in gesprek hoort tussen mensen, als je in een auto zit, voelt het toch als een vertrouwde ruimte, toch? Want dat is het wel. Een auto voelt als save, je belt lekker met mensen over dingen en dan gebruik je signal en dan denk je, signal is nog een beetje privacy first en een

beetje veilig en zo. Maar ja, als ondertussen je hele car kit en dingen of andere sensoren kunnen gebruikt worden om het gesprek te doen, ja het voelt veilig. Maar er is ook Polen, dus iets dichterbij en meer Europees. In 2026 februari, dus een paar maanden terug, worden dus ook Chinese auto's, in China gebouwde auto's, dus ook geassembleerd. Chinese bedrijven en geassembleerd worden dus geweerd bij militaire locaties. Want in Polen concludeerden ze, je mag geen kazerneterreinen fotograferen. Hoezo zou je dan wel met een auto met nog betere camera's en always on camera's wel

het terrein op mogen en bij de port mogen staan? Ja, dashcam, alles. Ja en ook dus ook nog een ander ding, die hele carplay factor die we noemden, die is daar ook verboden. Dus dat je dienstelefoons zou koppelen aan je infotainment. Ja en in Nederland hebben we dus wat onderzoek door TNO is er, is er gedaan. Rapport kon ik niet vinden, maar die bevestigt de mogelijke spionage en sabotage risico's. Dat was dus de aanleiding van het AD en paroleartikel om te zeggen, en Defensie ook, dat de woordvoerder daarin uitspreekt dat Defensie het aan het onderzoeken is, om inderdaad Chinese auto's te weeren van kazerneterreinen en de omliggende gebieden,

gebieden daar. Vorige maand de Belgen die hadden dus DS9 van het Franse merk DS, dus van Stellantis. Ja en die wordt dus ook geassembleerd in China en daar reden dus de hele militaire top reen rond in DS9's. Als je het dan over hebt, over waar we het eerder over hadden met Ronald natuurlijk, ja de targeting van dat deel van de DS9's dat daar de hele ambtelijke top in rijdt, ja dat is wel een heel interessant effector voor een mogelijke stafelijke actor als die toegang hebben tot de auto's. Want hier hoef je geen stoer observatie team of special forces voor in te

zetten om een baken te plakken onder een auto. Het is een rijdenbak. Ja precies, je kunt gewoon in de fabriek iets inprikken ergens heel diep in het systeem, waardoor je, ja je hebt gewoon een hele interessante access factor waar ik zelf echt veel te weinig over na heb gedacht. Je weet je, ik wil ook gewoon comfortabel rijden, dus als normale mens in de normale omgeving. En nou? Uiteindelijk weet je, dit gaat over, bij Defensie specifiek natuurlijk over het beschermen van terreinen en de buurt eromheen, militaire objecten, dus materieel, personeel. Maar ik hoef ook wel, als Defensie deze maatregelen neemt. Defensie zegt, deze auto's gaan geweerd worden

van terreinen en de buurt daaromheen. Als Defensie deze goal maakt, dan gaan andere ministeries volgen. Want waarom zou een ander ministerie een andere dreigingsding hebben? Ministerie van Economische Zaken, sanctionering, de gerechtshoven in Nederland. Natuurlijk zijn die net zo interessant voor mogelijke buitenlandse en statelijke actoren als Defensie. Dus ik denk als Defensie dit beleid gaat doen, dat andere departementen en ministeries gaan volgen. Oké, en als die dan vervolgens dingen gaan doen, hoe zit het dan met ASML? Als ik een Chinese actor was, ASML zal

ongetwijfde cybersecurity op orde hebben. Waarom zou ik dan niet gewoon dat mooie sensor- en communicatieplatform in de parkeergarage willen hebben bij de R&D afdeling van ASML? En als ik dat dan denk, van shit dan zit je al vitaal in kritiek dat dit door gaat voeren. Dus als ik hier op uitzoom en dan kijk naar de huidige geopolitieke situatie en dat hij steeds grimmiger wordt, dan zit er bijna voor al die organisaties, dus ministeries, vitale kritieke sectoren en dan denk ik steeds afbellender allerlei andere sub-organisaties, zit er gewoon geen andere

uitweg in dan dat je dit risico niet kunt accepteren dat de mogelijkheid bestaat, ook al kun je die niet bewijzen, exact waar we het net over hadden, dat het mogelijke risico bestaat dat een Chinese staatelijke of dienststaatelijke acteur toegang heeft tot bedrijfsvertrouwelijke informatie en dat fantastische sensor- en communicatieplatform en spionageplatform in je parkeergarage waar al je mensen en je top gewoon inrijden. En dan kom je bij dat hele verhaal weer over Huawei. Bij Huawei is dat risico inderdaad gebleken, je kunt het risico bijna niet accepteren in je netwerken. Hoe zou kun je dan wel accepteren dat die auto wel in je netwerk of in

je menselijke netwerk hangt en op je terrein rondrijdt? Ja weet je, dus als je het volgt, deze afweging, deze trend gaat misschien doorzetten en dan uiteindelijk is het ook van is het slogan dan koopt Europees waar? Ja en zelfs dat is uitzoekwerk, dus net zoals de Mini, de DS, BMW, allemaal deels Europees lijkende merken, maar die allemaal deelproductie doen in China. Dus je hebt hier heel veel risico's, hele supply chain en uiteindelijk gaat het, kun je eigenlijk bijna niet van de individuele gebruiker, medewerk verwacht dat die deze overweging kan maken en zul je als organisatie hier beleid op moeten gaan voeren, want anders is het gewoon niet te doen. Complex

probleem dus. We gaan afronden jongens, dank voor het harde werk wat jullie gedaan hebben om dit allemaal voor te breiden ook weer en dat was het weer voor deze week. Dank aan Marco, dank aan Jelle, heb je vragen, opmerkingen of onderwerpen die we moeten bespreken? Meen ons dan via vragen hetcybehelden.nl en oh ja al die marketing bureau's die ons benaderen, die ons willen sponsoren, het hoeft niet. We hebben genoeg koffiekoppen, we hebben alle microfoons al, allemaal niet nodig, het draait prima zo, we blijven lekker onvangelijk. Elke week kan je weer naar een nieuwe aflevering van Cybehelden luisteren, om te gesprekken met Cybehelden, kun je terug luisteren via Spotify of je eigen favoriete podcast app. Vergeet ook niet te subscriben, dan krijg je

zelf weer een notificatie als een nieuwe aflevering klaarstaat. Tegenwoordig vaak op maandag ochtend. Heel dank voor het luisteren en graag tot de volgende keer. Laters. Thanks Ronald, tot volgende. Jowoo. Jowoo. Lekker.