VS opent deur naar private cyberaanvallen, maar geeft bedrijven geen vrijbrief voor ‘hack back’

Ameri­kaanse cyber­se­cu­ri­ty­be­drijven kunnen binnen­kort worden ingezet voor offen­sieve operaties tegen buiten­landse cyber­cri­mi­nele orga­ni­sa­ties. Dat betekent echter niet dat iedere getroffen onder­ne­ming voortaan zelf achter ransom­wa­re­groepen aan mag gaan. Volgens Corey Brunkow, directeur Federal Opera­tions bij Horizon3, blijft de Ameri­kaanse overheid bepalen wie wordt aange­vallen, met welk doel en binnen welke opera­ti­o­nele grenzen. Horizon3 heeft een groten­deels autonoom func­ti­o­ne­rend platform voor pentes­ting ontwik­keld waarmee orga­ni­sa­ties hun eigen cyber­se­cu­rity-aanpak kunnen testen. Voor Europese CIO’s en CISO’s roept het programma onder­tussen belang­rijke vragen op.

Met een presi­den­tieel memo­randum van 12 augustus 2026 zet de Ameri­kaanse regering een opmer­ke­lijke stap in de bestrij­ding van inter­na­ti­o­nale cyber­cri­mi­na­li­teit. President Donald Trump heeft opdracht gegeven een programma op te zetten waarin gese­lec­teerde Ameri­kaanse bedrijven mogen meewerken aan cyberope­ra­ties tegen buiten­landse criminele organisaties.

Het gaat daarbij niet alleen om het verza­melen van infor­matie. Het memo­randum maakt ook zoge­noemde “cyber effects opera­tions” mogelijk. Dat zijn operaties die systemen, netwerken, gegevens of digitaal aange­stuurde infra­struc­tuur kunnen mani­pu­leren, verstoren, onbruik­baar maken of vernietigen.

Daarmee begeeft de Ameri­kaanse overheid zich op terrein dat tot nu toe vrijwel volledig was voor­be­houden aan over­heids­dien­sten, inlich­tin­gen­dien­sten en militaire cybercommando’s. Private onder­ne­mingen mochten hun eigen systemen verde­digen en binnen afge­sproken grenzen pene­tra­tie­testen uitvoeren, maar het binnen­dringen of uitscha­kelen van infra­struc­tuur van een aanvaller gold als een duide­lijke rode lijn.

Toch betekent het memo­randum volgens Corey Brunkow, directeur Federal Opera­tions bij secu­ri­ty­be­drijf Horizon3, niet dat private bedrijven een algemene vergun­ning krijgen om terug te slaan. De term “hack back” kan daardoor gemak­ke­lijk een verkeerd beeld oproepen.

Geen vrijbrief om zelf terug te slaan

De kern van het nieuwe programma is dat operaties onder de controle, het toezicht en de juri­di­sche bevoegd­heden van de Ameri­kaanse overheid moeten plaats­vinden. De deel­ne­mende bedrijven voeren dus geen zelf­standig gekozen offen­sieve campagnes uit. Zij werken namens de overheid aan een specifiek omschreven operatie waarvoor vooraf toestem­ming is verleend.

Het programma komt onder leiding te staan van twee func­ti­o­na­rissen: één aange­wezen door het Ameri­kaanse minis­terie van Justitie en één door het Depart­ment of Homeland Security. Iedere operatie moet worden beoor­deeld en schrif­te­lijk worden goed­ge­keurd. Een bedrijf mag pas handelen nadat het concrete instruc­ties heeft ontvangen.

Daarmee blijft de belang­rijkste grens volgens Brunkow intact. Een bedrijf dat wordt getroffen door ransom­ware mag niet op eigen initi­a­tief servers van een vermoe­de­lijke aanvaller binnen­dringen, gegevens verwij­deren of infra­struc­tuur uitscha­kelen. Ook een secu­ri­ty­le­ve­ran­cier kan niet zelf­standig besluiten dat een bepaalde groep of server een legitiem doelwit vormt.

Het verschil is dat de overheid voortaan expliciet commer­ciële partijen kan contrac­teren om onder­delen van een officiële operatie uit te voeren. Die bedrijven func­ti­o­neren dan feitelijk als zorg­vuldig gecon­tro­leerde uitvoer­ders binnen een onderzoek, inlich­tin­gen­ope­ratie of versto­rings­actie van de federale overheid. De tech­ni­sche hande­lingen kunnen dan sterk lijken op acti­vi­teiten die normaal gesproken als compu­ter­vre­de­breuk zouden gelden. De juri­di­sche basis komt echter niet van het bedrijf zelf, maar van de Ameri­kaanse over­heids­in­stantie die de operatie auto­ri­seert en aanstuurt.

De Ameri­kaanse regering moet de uitvoe­rings­re­gels uiterlijk op 11 oktober 2026 vast­stellen. Daarin komen onder meer eisen voor tech­ni­sche deskun­dig­heid, bewezen opera­ti­o­nele ervaring, fysieke bevei­li­ging, betrouw­baar­heid en screening van personeel. Zowel grote onder­ne­mingen als kleinere gespe­ci­a­li­seerde bedrijven moeten volgens het memo­randum kunnen deelnemen.

Meeste bedrijven worden informatieleverancier

Voor het overgrote deel van het bedrijfs­leven verandert de dage­lijkse praktijk veel minder. Een orga­ni­satie die slacht­offer wordt van ransom­ware, fraude of een andere cyber­aanval zal niet zelf aan een offen­sieve operatie deelnemen. Haar belang­rijkste rol ligt bij het verza­melen, bewaren en delen van bruikbare tech­ni­sche informatie.

Volgens Brunkow kan een incident pas bijdragen aan een mogelijke tegen­ope­ratie wanneer gegevens voldoende gede­tail­leerd, betrouw­baar en repro­du­ceer­baar zijn. Alleen melden dat een orga­ni­satie door een bepaalde ransom­wa­re­groep is aange­vallen, is niet genoeg. Onder­zoe­kers moeten kunnen recon­stru­eren hoe de aanval­lers binnen­kwamen, welke infra­struc­tuur zij gebruikten, hoe zij zich door het netwerk bewogen en met welke externe systemen zij communiceerden.

Voor getroffen bedrijven betekent dit dat zij onder meer netwerk­logs, endpoint­tele­me­trie, authen­ti­ca­tie­ge­ge­vens en cloudlogs moeten veilig­stellen. Ook IP-adressen, domein­namen, malwa­re­be­standen, hashes, gebruikte accounts, commando’s, tijd­stippen, cryp­to­wal­lets, phis­hing­be­richten en ransom­wa­re­be­richten kunnen waardevol zijn.

Daarnaast moet infor­matie snel beschik­baar komen. Cyber­cri­mi­nelen wisselen regel­matig van infra­struc­tuur, verwij­deren systemen en verplaatsen gegevens. Een server die tijdens een incident actief wordt gebruikt, kan enkele dagen later alweer zijn ontman­teld of aan een andere klant zijn toegewezen.

Voor CIO’s en CISO’s betekent dit dat inci­den­tres­pons niet uitslui­tend moet zijn gericht op herstel. Het veilig­stellen van bewijs­ma­te­riaal, het vast­leggen van een tijdlijn en het onder­houden van contacten met politie, toezicht­hou­ders, CERT’s en relevante leve­ran­ciers worden eveneens belangrijk.

Het memo­randum biedt deel­ne­mende Ameri­kaanse bedrijven expliciet de moge­lijk­heid commer­ciële afspraken te maken met andere private partijen, vertelt Brunkow. Zij mogen drei­gings­in­for­matie ontvangen die deze orga­ni­sa­ties tijdens hun normale bedrijfs­ac­ti­vi­teiten verza­melen. Een slacht­offer, managed secu­ri­ty­pro­vider, cloud­le­ve­ran­cier of threat-intel­li­gen­ce­be­drijf kan daardoor infor­matie aanle­veren zonder zelf onderdeel te worden van een offen­sieve operatie.

Europese bedrijven kunnen niet rechtstreeks deelnemen

Het memo­randum spreekt nadruk­ke­lijk over private Ameri­kaanse bedrijven. Alleen onder­ne­mingen uit de Verenigde Staten kunnen als officiële “Parti­ci­pa­ting Company” worden toege­laten en recht­streeks door het Depart­ment of Justice of Depart­ment of Homeland Security worden gecontracteerd.

Dat sluit Europese betrok­ken­heid echter niet volledig uit. Neder­landse en Belgische cyber­se­cu­ri­ty­be­drijven kunnen bijvoor­beeld drei­gings­in­for­matie, analyses, tech­no­logie of speci­a­lis­ti­sche expertise leveren aan een Ameri­kaans bedrijf dat wel tot het programma is toegelaten.

Een Europese orga­ni­satie zou daarmee een leve­ran­cier, intel­li­gen­ce­partner of onder­aan­nemer kunnen worden. De formele opera­ti­o­nele verant­woor­de­lijk­heid blijft dan bij de Ameri­kaanse hoofd­aan­nemer en de Ameri­kaanse overheid. Ook moet de deel­ne­mende onder­ne­ming alle relevante contrac­tuele relaties aan het National Coör­di­na­tion Center melden.

Hoe ver die indirecte deelname kan gaan, is nog niet duidelijk, zegt Brunkow. De opera­ti­o­nele proce­dures moeten onder meer bepalen welke perso­neels­leden toegang mogen krijgen tot gevoelige infor­matie, waar werk­zaam­heden mogen worden uitge­voerd en welke veilig­heids­mach­ti­gingen nodig zijn. Het is goed mogelijk dat voor de meest gevoelige onder­delen uitslui­tend gescreend Ameri­kaans personeel en infra­struc­tuur in de Verenigde Staten mogen worden gebruikt.

Voor Europese bedrijven spelen bovendien eigen juri­di­sche verplich­tingen. Denk aan de Algemene veror­de­ning gege­vens­be­scher­ming, nationale straf­wet­ge­ving, contrac­tuele geheim­hou­ding en regels voor het doorgeven van persoons­ge­ge­vens of opera­ti­o­nele data aan partijen buiten de Europese Econo­mi­sche Ruimte. Een Ameri­kaans contract of een Ameri­kaanse over­heids­op­dracht heft die verplich­tingen niet op. Een Europese partij zal dus moeten vast­stellen welke gegevens worden gedeeld, op welke rechts­grond dat gebeurt en of de infor­matie ook gegevens van klanten, mede­wer­kers of onschul­dige derden bevat.

Impact op Europese infrastructuur

Een inge­wik­kelde situatie ontstaat wanneer cyber­cri­mi­nelen gebruik­maken van infra­struc­tuur in Nederland, België of een ander Europees land. Ransom­wa­re­groepen huren servers bij reguliere hosting­be­drijven, gebruiken gekaapte systemen en misbruiken accounts bij grote cloud­plat­forms. De juri­di­sche eigenaar van een systeem is daardoor meestal niet de aanvaller.

Een Ameri­kaanse operatie kan dus een server iden­ti­fi­ceren die technisch onderdeel is van een criminele campagne, maar fysiek of juridisch onder de verant­woor­de­lijk­heid van een niet bij de criminele acti­vi­teiten betrokken Europese orga­ni­satie valt.

Volgens Brunkow mag een commer­cieel bedrijf in zo’n situatie niet zelf­standig besluiten om het systeem te verstoren. De Ameri­kaanse overheid moet de doel­in­for­matie beoor­delen, de operatie afstemmen met andere diensten en rekening houden met inter­na­ti­o­nale verplich­tingen en de belangen van bondgenoten.

Het memo­randum schrijft daarom voor dat operaties vooraf tussen verschil­lende Ameri­kaanse orga­ni­sa­ties worden afgestemd. Naast justitie en binnen­landse veilig­heid kunnen ook het minis­terie van Buiten­landse Zaken, het minis­terie van Financiën, defen­sie­or­ga­ni­sa­ties en inlich­tin­gen­dien­sten betrokken zijn.

Wanneer infra­struc­tuur in Nederland of België in beeld komt, ligt samen­wer­king met de auto­ri­teiten in dat land voor de hand, meent Brunkow. Zij kunnen bijvoor­beeld een hosting­pro­vider benaderen, beslag laten leggen op een server of via een gerech­te­lijk bevel gegevens veilig­stellen. Dat is vaak juridisch minder riskant dan een eenzij­dige Ameri­kaanse digitale ingreep.

Tegelijk blijft dit een gevoelig punt. Het internet trekt zich weinig aan van lands­grenzen, terwijl opspo­rings­be­voegd­heden juist sterk nationaal zijn geor­ga­ni­seerd. Een technisch zorg­vuldig uitge­voerde operatie kan daardoor alsnog diplo­ma­tieke, straf­rech­te­lijke of civiel­rech­te­lijke gevolgen hebben.

Attribution blijft groot risico

Een offen­sieve cyberope­ratie vereist een veel grotere mate van zekerheid dan een defen­sieve bevei­li­gings­test. Bij een pene­tra­tie­test is duidelijk wie eigenaar is van de systemen en welke hande­lingen zijn toege­staan. Bij een operatie tegen een criminele orga­ni­satie moeten onder­zoe­kers eerst vast­stellen wie een systeem werkelijk gebruikt en voor welk doel.

Dat is lastig omdat cyber­cri­mi­nelen hun acti­vi­teiten uiteraard bewust verbergen. Zij gebruiken VPN-diensten, Tor, gekaapte servers, gehackte accounts en infra­struc­tuur die met andere gebrui­kers wordt gedeeld. Ook imiteren groepen soms de werkwijze van andere aanvallers.

Een verkeerde iden­ti­fi­catie kan ertoe leiden dat een systeem van een onschul­dige orga­ni­satie wordt verstoord. In het ernstigste geval kan een operatie vitale processen raken of onbedoeld gevolgen hebben voor een zieken­huis, tele­com­net­werk, indu­strieel systeem of overheidsdienst.

Brunkow benadrukt daarom het belang van meerdere, onaf­han­ke­lijke infor­ma­tie­bronnen. Tech­ni­sche indi­ca­toren moeten worden gecom­bi­neerd met kennis over aanvals­pa­tronen, infra­struc­tuur, accounts, finan­ciële trans­ac­ties en eerdere operaties. Bovendien moet infor­matie actueel zijn. Een correct geïden­ti­fi­ceerde server kan inmiddels een andere eigenaar of functie hebben gekregen.

De uitein­de­lijke beslis­sing over een doelwit hoort volgens hem daarom niet bij de secu­ri­ty­le­ve­ran­cier te liggen. Het bedrijf kan analyses maken en een operatie voor­stellen, maar de overheid moet de infor­matie valideren, juri­di­sche toestem­ming regelen en bepalen welke effecten aanvaard­baar zijn.

Operaties die waar­schijn­lijk leiden tot doden, ernstig letsel of een situatie die inter­na­ti­o­naal­rech­te­lijk als geweld­ge­bruik of een gewapende aanval kan gelden, mogen niet via de reguliere procedure worden goed­ge­keurd. Daarvoor gelden aanvul­lende beper­kingen, waarvan een deel in een geheime bijlage bij het memo­randum is vastgelegd.

Nieuwe vragen voor CISO’s

Het programma kan een nieuwe commer­ciële markt creëren, meent Brunkow. Ameri­kaanse cyber­se­cu­ri­ty­be­drijven kunnen niet alleen defen­sieve software, pene­tra­tie­testen en inci­den­tres­pons leveren, maar ook capa­ci­teit beschik­baar stellen voor door de overheid aange­stuurde surveil­lance- en verstoringsoperaties.

Deel­ne­mende bedrijven moeten contracten sluiten met de Ameri­kaanse overheid en kunnen worden verplicht minimaal één miljoen dollar als borg of in escrow aan te houden. Dat bedrag kan worden inge­houden wanneer zij zich niet aan de contrac­tuele voor­waarden houden.

Voor leve­ran­ciers kan deelname aantrek­ke­lijk zijn vanwege over­heids­con­tracten, toegang tot drei­gings­in­for­matie en de moge­lijk­heid nieuwe opera­ti­o­nele expertise op te bouwen. Daar staan aanzien­lijke risico’s tegenover. Criminele orga­ni­sa­ties kunnen proberen wraak te nemen, mede­wer­kers kunnen een doelwit worden en buiten­landse overheden kunnen de juri­di­sche bescher­ming van Ameri­kaanse deel­ne­mers betwisten.

Ook voor klanten verandert er mogelijk iets. Europese CIO’s en CISO’s zullen willen weten of een Ameri­kaanse secu­ri­ty­le­ve­ran­cier betrokken is bij offen­sieve overheidsprogramma’s. Niet omdat deelname auto­ma­tisch een probleem vormt, maar omdat verschil­lende rollen vragen kunnen oproepen over vertrou­we­lijk­heid, gege­vens­schei­ding en belangenconflicten.

Een klant kan bijvoor­beeld willen weten of tele­me­trie die voor defen­sieve dienst­ver­le­ning wordt verzameld, ook kan worden gebruikt om een operatie voor te stellen. Andere vragen gaan over de toegang van over­heids­in­stan­ties tot klant­ge­ge­vens, de scheiding tussen commer­ciële en over­heids­om­ge­vingen en de kans dat een leve­ran­cier zelf doelwit wordt van vergeldingsacties.

Het memo­randum bepaalt dat deel­ne­mende bedrijven drei­gings­in­for­matie mogen ontvangen uit de normale bedrijfs­ac­ti­vi­teiten van andere onder­ne­mingen. Dat maakt trans­pa­rante contrac­tuele afspraken essen­tieel. Klanten moeten kunnen begrijpen welke gegevens worden verzameld, voor welke doel­einden die mogen worden gebruikt en onder welke omstan­dig­heden infor­matie aan de overheid of een opera­ti­o­nele partner wordt verstrekt.

Veel details ontbreken nog

Horizon3 beschikt met zijn autonome pentest­plat­form NodeZero over tech­no­logie die aanvals­paden in bedrijfs­om­ge­vingen opspoort en aantoont welke kwets­baar­heden daad­wer­ke­lijk te misbruiken zijn. Het bedrijf werkt al voor Ameri­kaanse over­heids­or­ga­ni­sa­ties en NodeZero heeft een zogeheten FedRAMP High-auto­ri­satie. FedRAMP High is het hoogste bevei­li­gings­ni­veau binnen het Ameri­kaanse Federal Risk and Autho­ri­za­tion Mana­ge­ment Program. Dit programma stelt bevei­li­gings­eisen aan cloud­dien­sten die door Ameri­kaanse federale over­heids­or­ga­ni­sa­ties worden gebruikt.

Daarmee beschikt Horizon3 volgens Brunkow over expertise die relevant kan zijn voor het programma. Dit betekent nog niet dat het bedrijf auto­ma­tisch wordt toege­laten of dat zijn bestaande tech­no­logie zonder aanpas­singen voor offen­sieve operaties kan worden ingezet. De defi­ni­tieve criteria moeten immers nog worden gepu­bli­ceerd, zegt hij. Naast tech­ni­sche moge­lijk­heden zullen onder meer perso­neels­cree­ning, opera­ti­o­nele ervaring, bevei­ligde faci­li­teiten, rappor­tage, contrac­tuele aanspra­ke­lijk­heid en naleving van over­heids­in­struc­ties meewegen.

Ook de rol van inter­na­ti­o­nale partners is nog onzeker. Een Neder­landse of Belgische Horizon3-partner zou mogelijk tech­ni­sche infor­matie, lokale kennis of expertise kunnen leveren. Of zo’n partner dichter bij de uitvoe­ring van een operatie mag komen, hangt af van de komende proce­dures en van de gevoe­lig­heid van de betref­fende opdracht.

Voorlopig vooral veel voorbereidend werk

Het memo­randum is een belang­rijke beleids­wij­zi­ging, maar nog geen volledig opera­ti­o­neel programma. De komende uitvoe­rings­re­gels moeten duidelijk maken hoe bedrijven worden gese­lec­teerd, welke bewijzen nodig zijn om een doelwit te bepalen en hoe aanspra­ke­lijk­heid, inter­na­ti­o­nale samen­wer­king en toezicht worden geregeld.

Voor Europese IT-managers en CISO’s is er daarom nog geen reden om hun inci­den­tres­pons nu al volledig te herzien. Wel is dit een goed moment om te contro­leren of hun orga­ni­satie na een aanval voldoende tech­ni­sche gegevens kan bewaren en snel kan delen met bevoegde instanties.

Daarnaast verdient de relatie met Ameri­kaanse secu­ri­ty­le­ve­ran­ciers aandacht. Orga­ni­sa­ties kunnen in contracten en leve­ran­ciers­ge­sprekken vragen opnemen over het gebruik van tele­me­trie, samen­wer­king met overheden, gege­vens­schei­ding en eventuele deelname aan offen­sieve programma’s.

De funda­men­tele boodschap van Brunkow is duidelijk: private bedrijven zijn niet ineens zelf rechter, opspo­rings­dienst en uitvoerder van offen­sieve operaties geworden. De Ameri­kaanse overheid probeert speci­a­lis­ti­sche kennis en snelheid in de markt te benutten, maar wil tege­lij­ker­tijd de juri­di­sche en opera­ti­o­nele regie behouden.

De klassieke grens rond “hack back” verdwijnt daarmee voor­alsnog niet. Er ontstaat een smalle, streng gecon­tro­leerde doorgang waardoor gese­lec­teerde, Ameri­kaanse bedrijven namens de overheid mogen opereren. Juist de manier waarop die doorgang wordt bewaakt, zal bepalen of het programma uitgroeit tot een effectief instru­ment tegen cyber­cri­mi­na­li­teit of tot een nieuwe bron van juri­di­sche en inter­na­ti­o­nale conflicten.