Reizen in het buitenland? Inlichtingendiensten reizen met je mee
Een gemanipuleerd gastnetwerk
Een bestuurder checkt in bij een hotel, laat zijn paspoort zien en maakt verbinding met het gastnetwerk. In een aantal hotels en congreslocaties was dat gastnetwerk sinds begin mei 2026 door aanvallers gemanipuleerd, aldus Microsoft. Het bedrijf schrijft de campagne toe aan Storm-2945, een onderdeel van Midnight Blizzard. De Amerikaanse en Britse regering brengen die laatste groep in verband met de Russische buitenlandse inlichtingendienst SVR.1
De aanvallers gebruikten die netwerken op twee manieren. Bij de eerste leidden misleidende pagina's de reiziger naar een inlogprocedure, waarin hij op een echte Microsoft-pagina een door de aanvallers aangeleverde code kon invoeren. Daarmee gaf hij de aanvallers onbedoeld toegang tot zijn account, zonder dat er kwaadaardige software aan te pas kwam.2,3 Een echte inlogpagina betekent dus niet dat het verzoek betrouwbaar is.
Bij de tweede kregen gebruikers een vervalste melding om hun webbrowser of besturingssysteem bij te werken. Wie daarop inging, installeerde kwaadaardige software. Microsoft beschrijft onder meer varianten die wachtwoorden uit de webbrowser stelen of toetsaanslagen, schermbeelden en geluid via de microfoon vastleggen.4
Microsoft adviseert reizigers om gastnetwerken als onbetrouwbaar te beschouwen en geeft organisaties technische maatregelen mee.5 Voor bestuurders is daarmee het probleem nog niet opgelost: wat een overgenomen account oplevert, hangt af van de informatie waartoe de reiziger toegang heeft.
Een beproefde werkwijze
De campagne staat niet op zichzelf. In 2014 beschreef Kaspersky een spionagegroep die al minstens vier jaar actief was in luxehotels en zich richtte op bestuursvoorzitters, topbestuurders en hoofden van onderzoeks- en ontwikkelingsafdelingen.6 Gasten logden in met hun achternaam en kamernummer, waarna de aanvallers hen op het netwerk herkenden en een vervalste melding toonden om software bij te werken.7 In 2017 schreef beveiligingsbedrijf FireEye een campagne tegen hotels in minstens zeven Europese landen en één land in het Midden-Oosten met gematigde zekerheid toe aan APT28, een groep die in verband wordt gebracht met de Russische militaire inlichtingendienst. De reizigers in die hotels waren volgens FireEye het eigenlijke doelwit.8
Ook nu begint de aanval met een vertrouwde omgeving en een onschuldig ogende melding. Volgens het cyberbeveiligingsbedrijf ReliaQuest beperkt de campagne zich niet tot één sector: het bureau zag reizende medewerkers van organisaties in onder meer de financiële dienstverlening, de zorg en de energiesector via gemanipuleerde hotelnetwerken worden omgeleid.9
Voor een inlichtingendienst is het hotel om een eenvoudige reden aantrekkelijk. Het is de plek waar iemand met toegang tot strategische informatie buiten kantoor werkt, op een netwerk dat hij niet beheert. De AIVD waarschuwde in maart voor Russische aanvallen op Signal- en WhatsApp-accounts van hoogwaardigheidsbekleders, militairen en ambtenaren.10 De belangstelling gaat uit naar de informatie waartoe deze mensen toegang hebben.
Wat staat er in het reisbeleid?
ReliaQuest vond getroffen netwerken in de Verenigde Staten, India en Saudi-Arabië.11 Ook Nederlandse zakelijke medewerkers gebruiken tijdens buitenlandse reizen zulke netwerken: op vakbeurzen, bij klanten en in buitenlandse vestigingen. De AIVD schreef in zijn jaarverslag dat Russische diensten via technische en menselijke bronnen de hand proberen te leggen op strategische geheimen, kennis en technologie.12 Wie het account van een bestuurder van een netbeheerder of een toeleverancier van defensie overneemt, kan informatie inzien waartoe die bestuurder via dat account toegang heeft.
Bedrijven moeten voor dit probleem kijken naar het eigen reisbeleid. Wat is hierover geregeld? Reisgegevens komen terecht bij het secretariaat en bij externe partijen die de reis of het verblijf regelen. Is de security officer daarbij betrokken? Ook privéreizen verdienen aandacht. Een bestuurder gebruikt op vakantie eveneens gastnetwerken, mogelijk met dezelfde telefoon als tijdens het werk. Microsoft adviseert organisaties bovendien om bij boekingen en aanmeldingen op gastnetwerken niet meer gegevens over medewerkers, hun werkgever en hun reis te delen dan nodig is.13 Dat vraagt om bewuste keuzes over welke gegevens je deelt, ook bij een vakantieboeking.
Wie extra aandacht nodig heeft
De IT-afdeling beveiligt apparaten, verbindingen en accounts; Microsoft en het Nederlandse Nationaal Cybersecurity Centrum geven daarvoor concrete aanwijzingen.14,15 Het bestuur en de security officer bepalen wie op reis extra bescherming nodig heeft. Daarbij telt vooral tot welke informatie iemand toegang heeft en welke belangstelling die informatie bij een buitenlandse inlichtingendienst kan wekken.
Wat aanvallers via een hotelnetwerk proberen te bemachtigen, kan ook langs andere wegen blootliggen. Denk aan wachtwoorden die bij eerdere datalekken in omloop zijn geraakt. Daarnaast kunnen een functieprofiel, een aangekondigd congres en een vakantiefoto van een familielid samen veel vertellen over iemands werk, contacten en verblijfplaats.
Met de Online Exposure Scan onderzoekt Proximities welke informatie over een bestuurder en diens naasten in open en semi-open bronnen te vinden is, waaronder betaalde databases en het deep en dark web. Daarbij wordt ook gezocht naar gelekte wachtwoorden, die worden in de Online Exposure Scan teruggekoppeld aan de bestuurder in kwestie. Dat gebeurt altijd discreet en met passende toestemming. De uitkomsten helpen de bestuurder bepalen welke gegevens beter kunnen worden afgeschermd, welke wachtwoorden moeten worden vervangen en welke gewoonten moeten worden aangepast.
Neem die beoordeling mee in het reisbeleid. Begin bij mensen die toegang hebben tot gevoelige informatie. Bekijk vóór vertrek waar zij naartoe gaan, wat zij daar doen en welke voorzorgsmaatregelen nodig zijn. Het secretariaat en de reisorganisatie hebben gegevens nodig om de reis te regelen, maar niet iedereen hoeft het volledige reisschema te kennen. Beperk daarom wat wordt gedeeld en met wie. Bied medewerkers ook ondersteuning bij privéreizen: wie op vakantie hetzelfde apparaat of werkaccount gebruikt, kan daar eveneens bedrijfsinformatie blootstellen.
Gastnetwerken zijn niet gastvrij
Microsoft heeft de werkwijze van CaptiveCrunch beschreven en de gebruikte domeinen en adressen gepubliceerd.16 Daarmee kunnen organisaties deze campagne beter herkennen, maar de onderliggende dreiging blijft bestaan. Van luxehotels tot congreslocaties en vakbeurzen is een patroon te zien: aanvallers zoeken zakelijke reizigers op waar zij buiten kantoor werken. Organisaties moeten daarom naast de veiligheid van het netwerk ook kijken naar wie er reist, wat die persoon weet, tot welke informatie diegene toegang heeft en wie de reisplannen kent. Want of je nu zakelijk reist of privé, inlichtingendiensten reizen met je mee.
Bronnen
1. Microsoft Threat Intelligence, ‘CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft’, Microsoft Security Blog, 31 juli 2026.
2. Ibidem.
3. ReliaQuest, ‘Threat Spotlight: DNS Poisoning Tactics Expand to Hospitality Wi-Fi’, 23 juli 2026.
4. Microsoft Threat Intelligence, CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft.
5. Ibidem.
6. Kaspersky Lab, ‘Kaspersky Lab sheds light on “Darkhotel”, where business executives fall prey to an elite spying crew’, persbericht, 10 november 2014.
7. Ibidem.
8. FireEye (L. Smith en B. Read), ‘APT28 Targets Hospitality Sector, Presents Threat to Travelers’, 11 augustus 2017.
9. ReliaQuest, Threat Spotlight: DNS Poisoning Tactics Expand to Hospitality Wi-Fi.
10. AIVD, ‘Rusland voert cybercampagne uit tegen Signal- en WhatsApp-accounts’, 9 maart 2026.
11. ReliaQuest, Threat Spotlight: DNS Poisoning Tactics Expand to Hospitality Wi-Fi.
12. AIVD, Jaarverslag 2025, 23 april 2026, p. 43.
13. Microsoft Threat Intelligence, CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft.
14. Ibidem.
15. Nationaal Cyber Security Centrum, ‘Onderweg en op reis’.
16. Microsoft Threat Intelligence, CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft.
Blijf op de hoogte
abonneer je
nu
Schrijf je in op onze nieuwsbrief en ontvang
de nieuwste inzichten rechtstreeks in je inbox.