Hackers op uitnodiging: "Red teaming is de ultieme realitycheck voor je instelling"

Begin 2026 wisten hackers toegang te krijgen tot het netwerk van de Erasmus Universiteit Rotterdam (EUR). Wekenlang bewogen ze zich geruisloos door de systemen van de universiteit, voordat hun activiteiten werden opgemerkt. Gelukkig waren het ethische hackers die in opdracht van de EUR de cyberbeveiliging testten. Maaike van der Wal, Information Security Officer bij de EUR, was nauw betrokken bij de oefening. Ze vertelt wat het opleverde en waarom iedere instelling regelmatig zo’n oefening zou moeten doen.

Zo’n gesimuleerde cyberaanval heet red teaming. Daarbij vallen ethische hackers een organisatie aan met dezelfde methoden en technieken die echte hackers ook gebruiken. Bij advanced red teaming gaat de test nog een stap verder: dan worden ook de interne processen en de manier waarop medewerkers reageren op de proef gesteld.

Kostbare realitycheck

Slechts een kleine groep medewerkers weet vooraf dat er een red teaming-oefening plaatsvindt. Voor de rest van de organisatie lijkt het een echte cyberaanval. Dat kan behoorlijk ingrijpend zijn; het kan weken tot zelfs maanden duren en dat vraagt gedurende die periode veel tijd en inzet van de betrokken medewerkers. Bovendien hangt er een flink prijskaartje aan. Naast de kosten voor externe specialisten en interne begeleiding brengt de oefening vaak kwetsbaarheden aan het licht die vervolgens moeten worden aangepakt. Ook dat kost geld. Waarom zou je daar als onderwijsinstelling, met toch al beperkte financiële middelen, in investeren?

Gecontroleerde crisis

Voor de oefening bij de EUR maakte de universiteit gebruik van het Advanced Red Teaming Raamwerk van SURF (ART-SURF). Een geselecteerde groep medewerkers, de zogenoemde control group, bepaalt vooraf samen met SURF en de uitvoerende redteaming-partij welke systemen aangevallen mogen worden en bewaakt het verloop van de oefening. Ook Maaike maakte deel uit van deze groep. Buiten het red team, de aanvallende partij, heb je ook het blue team, het verdedigende team van de aangevallen partij en reageren op het incident.

“Het grootste deel van de organisatie weet niet dat dit gaat gebeuren, maar specifieke personen moet je natuurlijk wel betrekken,” vertelt ze. “Je wilt namelijk niet dat iedereen meteen in crisismodus gaat richting de buitenwereld.” Vooraf vindt daarom altijd afstemming plaats met de eindverantwoordelijke binnen de organisatie en worden de benodigde toestemmingen en vrijwaringen geregeld. Zo kunnen de ethische hackers binnen de afgesproken kaders aan de slag, terwijl de control group het verloop van de oefening bewaakt. Daarnaast krijgt de control group wekelijks updates van de hackers over hun vorderingen. “Dat was best spannend,” zegt Maaike, “want bij ons duurde het vrij lang voordat de verdachte activiteiten werden opgemerkt.”

Lang onder de radar

Tijdens de oefening bleek dat verschillende beveiligingsmaatregelen van de EUR goed functioneerden. Zo konden de hackers niet zomaar malware installeren op een werklaptop en liepen ze herhaaldelijk vast op de toegangsbeveiliging en netwerksegmentatie, waardoor ze niet zomaar van het ene naar het andere systeem konden bewegen. Toch duurde het behoorlijk lang voordat hun activiteiten werden gedetecteerd. Pas toen ze vanaf een ander werkstation nadrukkelijker probeerden het netwerk binnen te dringen, kwam het incidentresponseproces op gang.

“Daarvoor moesten de hackers wel eerst vrij brutaal worden,” vertelt Maaike. “Je zou kunnen zeggen dat ze eerst op meerdere kleine deurtjes hebben geklopt zonder dat iemand dat doorhad. Pas toen ze hard begonnen te bonzen werd er een melding gemaakt bij ons CERT en kwam de response op gang. Toen wisten we dus meteen dat de snelheid van de detectie op subtiele aanvalspogingen een aandachtspunt is.”

Wachtwoorden in tekstbestand

De oefening bracht ook een andere kwetsbaarheid aan het licht: de hackers ontdekten wachtwoorden die als leesbare tekst in een bestand op een server waren opgeslagen. “Dat mag natuurlijk gewoon niet gebeuren,” zegt Maaike. “Dat bestandje stond intern wel op een beveiligde plek waar je van buitenaf of vanaf een ander account niet zomaar bij kunt komen, maar ja… dat zijn precies de plekken waar hackers zich op richten.”

De belangrijkste verbeterpunten voor de EUR liggen dan ook op het gebied van cyberhygiëne en het sneller detecteren van subtiele aanvallen. “Als iemand zich een weg naar binnen probeert te werken via bijvoorbeeld bruteforcing, ja, dan zien we dat wel. Maar de meer subtiele manieren die niet meteen als verdacht worden gedetecteerd, die missen we blijkbaar soms nog. Dus daar gaan we iets aan doen.”

Niet alleen iets van security

Kwetsbaarheden ontdekken is één ding, maar vervolgens moet je er als organisatie ook mee aan de slag. Dat kan best gevoelig liggen, legt Maaike uit. “Wanneer mensen achteraf horen dat het een oefening was, voelen ze zich vaak voor de gek gehouden. Dat is begrijpelijk, want het is natuurlijk niet fijn om erachter te komen dat er de hele tijd iemand over je schouder meekeek. We benadrukken echter altijd dat we zo’n oefening niet doen om individuele medewerkers, teams of afdelingen op hun vingers te tikken. Het gaat er juist om dat we gezamenlijk willen kijken waar het aan ligt dat iets niet is gedetecteerd, zodat we daar dan samen een oplossing voor kunnen bedenken.”

Ook bewustwording onder medewerkers speelt een belangrijke rol. Mensen kunnen immers onbedoeld gevoelige informatie toegankelijk maken of verdachte situaties over het hoofd zien. “Daarom is cybersecurity ook iets van de gehele organisatie en niet alleen van het securityteam,” vindt Maaike. “Ook de trainingen binnen je instelling moeten altijd gebaseerd zijn op de meest actuele ontwikkelingen.”

En die ontwikkelingen gaan razendsnel. Hackers bedenken voortdurend nieuwe manieren om beveiligingsmaatregelen te omzeilen. Dat betekent volgens Maaike dat je als organisatie nooit klaar bent met cybersecurity. “Hackers zijn heel creatief, die laten zich niet zomaar ontmoedigen als ze even tegen een muur aanlopen. Dan gaan ze gewoon een hoekje verder om te kijken of ze daar misschien wel een slecht beveiligd deurtje zien.”

SURF als vertrouwde partner

Een red teaming-oefening vraagt dus niet alleen een flinke investering, maar ook de bereidheid om je als organisatie kwetsbaar op te stellen. Maaike legt uit waarom de EUR juist daarom graag met SURF samenwerkt. “Je laat een externe partij doelbewust zoeken naar zwakke plekken in je beveiliging. Dan is het prettig als er al een bestaande vertrouwensrelatie is. Vanuit mijn functie als ISO werk ik al nauw samen met SURFcert, dus dan is de stap naar ART-SURF voor het organiseren van een red teaming-oefening een hele logische.”

Binnen ART-SURF stemmen SURF, de deelnemende instelling en een gespecialiseerde red teaming-partij de oefening af op de specifieke risico’s voor onderwijs- en onderzoeksinstellingen. Denk aan diefstal van onderzoeksdata, uitval van onderwijsapplicaties of een datalek in de personeelsadministratie. Dat maakt de oefening volgens Maaike niet alleen realistischer, maar ook relevanter. “De aanvallen sluiten aan bij de dreigingen waar onderwijs- en onderzoeksinstellingen daadwerkelijk mee te maken kunnen krijgen. De uitkomsten zijn dus leerzaam voor de hele sector.”

Kennis, kunde en kwetsbaarheid

De grootste meerwaarde van ART-SURF zit volgens Maaike misschien nog wel in wat er ná de oefening gebeurt. Waar een commerciële red teaming-oefening vooral inzichten oplevert voor de opdrachtgever, biedt SURF ook een platform om ervaringen met andere onderwijs- en onderzoeksinstellingen te delen. Zo kunnen instellingen leren van elkaars kwetsbaarheden en verbetermaatregelen.

De EUR heeft die mogelijkheid al benut. Tijdens de SURF Security & Privacy Conferentie in juni 2026 deelde de universiteit de belangrijkste bevindingen van de red teaming-oefening. “Dat is wel echt de toegevoegde waarde van SURF,” vindt Maaike. “Binnen SURF kunnen we als instellingen met elkaar optrekken en van elkaar leren.” Dat is volgens haar ook belangrijk, omdat niet iedere instelling voldoende budget heeft om regelmatig een uitgebreide red teaming-oefening uit te voeren. Door ervaringen te delen, kunnen ook instellingen met minder middelen profiteren van de lessen van anderen.

Instellingen moeten dan wel bereid zijn om zich kwetsbaar op te stellen. Dat is niet altijd gemakkelijk, erkent Maaike, maar volgens haar wel essentieel om de digitale weerbaarheid van de hele sector te vergroten. “Er zit zoveel kennis en kunde bij alle instellingen. Ik zou het zonde vinden als we dat niet proberen te gebruiken om elkaar en de hele sector te versterken.”

Waardevolle investering

Op de vraag of red teaming de investering waard is, heeft Maaike een duidelijk antwoord: “Absoluut. Hoe meer je oefent, hoe beter je bent voorbereid en hoe sneller je in kunt grijpen om grotere schade te beperken. Die investering betaalt zich op de langere termijn sowieso terug.”

Ze benadrukt wel dat een grotere cyberweerbaarheid niet betekent dat je iedere aanval kunt voorkomen. “Er ontstaan altijd weer nieuwe dreigingen en nieuwe aanvalsmethodes. Dus hoe goed je beveiliging ook is, je weet van tevoren: het gaat een keer gebeuren, je gaat een keer omvallen. De belangrijkste vraag is hoe snel je daarna weer op kunt staan.” Juist daarom vindt Maaike dat red teaming een vast onderdeel zou moeten zijn van een goede cybersecurityaanpak. “Het is een grootschalige operatie, maar daardoor krijg je wel inzicht in het totaalplaatje.”