Pro-Russische hacktivisten richten zich steeds vaker op kritieke infrastructuur wereldwijd. Dat blijkt uit een gezamenlijk advies van CISA, het Amerikaanse cybersecurityagentschap, dat samen met de FBI, NSA, het Department of Energy, de Environmental Protection Agency, het Department of Defense Cyber Crime Center en diverse internationale partners een waarschuwingssignaal afgeeft. De nieuwe publicatie vormt een aanvulling op een eerder feitenblad over maatregelen ter bescherming van operationele technologie dat in mei 2025 verscheen.

De waarschuwing draait niet om geavanceerde en langdurige aanvallen, maar juist om een golf van minder complexe acties die toch fysieke schade kunnen veroorzaken. Volgens de betrokken partijen maken pro-Russische hacktivistengroepen gebruik van eenvoudig toegankelijke, slecht beveiligde VNC-verbindingen die rechtstreeks vanaf het internet bereikbaar zijn. Via zulke ingangen weten zij operationele systemen binnen te dringen die cruciaal zijn voor de besturing van onder meer waterzuiveringsinstallaties, energievoorzieningen en industriële processen.

Bij de groepen die in het advies worden genoemd, zitten bekende namen als Cyber Army of Russia Reborn, Z‑Pentest, NoName057(16) en Sector16. Hun werkwijze is opportunistisch: ze scannen naar publiek toegankelijke VNC-systemen, zoeken naar zwakke plekken en slaan toe waar dat eenvoudig kan. De aanvallen variëren sterk in impact, maar kunnen in sommige gevallen leiden tot verstoringen of fysieke schade aan systemen. Volgens de onderzoekers richten de groepen zich bovendien op uiteenlopende sectoren en hanteren zij vaak dezelfde technische aanpak.

Opvallend is dat de hacktivisten hun aanvallen regelmatig groter voordoen dan ze in werkelijkheid zijn. Door successen uit te vergroten en mislukte pogingen als geslaagde operaties te presenteren, proberen ze een beeld van kracht en invloed te creëren. Die strategie moet zorgen voor zichtbaarheid en psychologische druk, terwijl de technische capaciteiten relatief beperkt blijven.

Toch waarschuwen de internationale instanties dat de dreiging niet moet worden onderschat. Omdat veel organisaties operationele technologie onbedoeld blootstellen aan het internet, blijven kansen ontstaan voor inbraak via verouderde of zwak geconfigureerde systemen. Het advies benadrukt dat het beperken van de zichtbaarheid van OT-systemen een eerste cruciale stap is. Daarnaast worden volwassen processen voor assetmanagement als noodzakelijk gezien, zodat organisaties precies weten welke apparatuur is verbonden, welke datastromen lopen en waar mogelijke toegangspunten zich bevinden. Ook wordt erop gewezen dat sterke authenticatieprocedures essentieel zijn om misbruik van onbeveiligde verbindingen te voorkomen.

Met het nieuwe advies willen CISA en de internationale partners organisaties aansporen de basisbeveiliging van hun operationele technologie te versterken. De dreiging van opportunistische aanvallen blijft bestaan zolang internettoegankelijke systemen niet structureel worden afgeschermd.