from Russia with access: waarom de moderne sleeper agent je netwerk niet kraakt, maar erft.

De spion kwam niet aanrijden in een Aston Martin. Er was geen smoking, geen pistool met geluidsdemper en geen mysterieuze vreemdeling aan de bar. Hij stak geruisloos de grens over, gewapend met een valse identiteit en een uiterst onopvallende ambitie: doodgewoon worden.

Jarenlang werkte, trouwde en bouwde Albrecht Dittrich een leven op in de Verenigde Staten. Zijn collega's kenden hem als Jack Barsky, een betrouwbare IT-professional. Wat zij niet wisten, was dat hij door de KGB was opgeleid en als deep-cover agent in de Amerikaanse maatschappij was geïnfiltreerd.

Dat was de kracht van de sleeper agent. Hij brak niet in bij de organisatie; hij werd er onderdeel van. Zijn gevaarlijkste wapen was geen verborgen gadget uit het lab van Q, maar vertrouwen.

Hoewel dit verhaal uit de Koude Oorlog stamt, is de methodiek actueler dan ooit. In moderne cybersecuritytermen was Barsky de ultieme Identity and Access Management (IAM)-fail.

for NATO’s eyes only.

In juli 2026 pakten de Belgische autoriteiten in Mons een Canadese systeemingenieur op die als stagiair werkte op het militaire hoofdkwartier van de NAVO (SHAPE). Ze wordt verdacht van spionage voor een derde land en deelname aan een criminele organisatie. Uit onderzoek van de Canadese omroep CBC bleek dat de verdachte, Biwei Zhang, eerder werkte voor gerespecteerde instanties als Statistics Canada, het Canadese ruimtevaartagentschap (CSA), het Europese ESA en de Wereldhandelsorganisatie (WTO).

Het gaat om beschuldigingen en het vermoeden van onschuld geldt. Maar vanuit een enterprise-risicoperspectief legt de zaak een fundamentele architectuurfout bloot: hoe kan één identiteit door meerdere strategische instellingen bewegen om uiteindelijk binnen te dringen in de meest gevoelige infrastructuren?

Ian Fleming, de voormalige Britse marinespion en auteur die James Bond bedacht, liet zijn schurk Auric Goldfinger ooit zeggen: “Once is happenstance. Twice is coincidence. The third time it’s enemy action.”

Security leaders mogen background screening niet beschouwen als een statische poortwachter. Traditionele onboarding werkt als een eenmalige grenscontrole: wie binnen is, krijgt het voordeel van de twijfel. De gebruiker ontvangt een account, een badge, een beheerde laptop en toegang tot collega's. Na verloop van tijd stapelen de rechten zich op, een fenomeen dat securityteams kennen als privilege creep. Vertrouwdheid vervangt de controle. En dat is exact wat een legitieme identiteit zo waardevol maakt voor een aanvaller.

“Bond. James Bond.”

De beroemdste filmintroductie ter wereld is een directe claim op een identiteit. Het publiek accepteert die, omdat de man tegenover hen lijkt te voldoen aan het profiel.

In de digitale wereld werken bedrijfssystemen op exact dezelfde aanname. Geef de juiste gebruikersnaam, het wachtwoord, de MFA-token of de sessiecookie in, en Active Directory concludeert dat je bent wie je beweert te zijn.

Systeemauthenticatie bewijst echter alleen het bezit van inloggegevens. Het zegt niets over loyaliteit, intentie of integriteit.

Waar een klassieke sleeper agent jaren van training, valse papieren en een complex dekmantelverhaal nodig had, heeft de digitale transformatie dat zware werk grotendeels geautomatiseerd via Open-Source Intelligence (OSINT). Een geloofwaardig professioneel profiel klik je tegenwoordig zo bij elkaar via LinkedIn-pagina's, gelekte databestanden, conferentielijsten en openbare organisatieschema's.

De moderne insider threat in je netwerk is dan ook zelden een geïnfiltreerde spion die tien jaar geleden is aangeplant. Veel vaker gaat het om:

• Een vergeten contractor-account dat na afloop van een project nooit werd gedeactiveerd;
• Een gecompromitteerde werknemersidentiteit die is aangekocht via een Initial Access Broker;
• Een externe leverancier met overmatige, niet-gemonitorde netwerktoegang;
• Een systeembeheerder die door de jaren heen buitensporig veel privileges opbouwde;
• Een interne medewerker die onder de radar werd geronseld door een cybercrimineel netwerk ;
• Een personeelslid dat actief wordt gechanteerd of onder druk gezet.

Het doel blijft ongewijzigd: verschaf jezelf legitieme toegang, blijf onder de detectieradar en misbruik het vertrouwen wanneer de kans zich voordoet.

Malware veroorzaakt waarschuwingen in je beveiligingssystemen. Legitieme gebruikers genereren normale bedrijfsactiviteit. Voor een Security Operations Center (SOC) is die tweede categorie exponentieel moeilijker te detecteren.

Q Branch is openbaar geworden.

In het universum van Fleming voorzag Q Branch enkel elite-agenten van exclusieve, militaire technologie. Vandaag heeft kunstmatige intelligentie offensieve tools gedemocratiseerd. Elke aanvaller beschikt nu over een virtuele Q Branch.

Generatieve AI analyseert openbare bedrijfsdata, leert de schrijfstijl van het management aan en voert op grote schaal gepersonaliseerde social engineering uit via mail, telefoon en chat. Voice cloning imiteert de stem van de CFO in een snel telefoontje. Synthetische video plaatst een vertrouwd gezicht in een Teams-meeting. En AI-chatbots onderhouden valse identiteiten over meerdere platforms heen, zonder ooit vermoeid of slordig te worden.

Het echte gevaar zit niet in beter geschreven phishingmails; AI neemt de frictie weg uit menselijke manipulatie. Volgens risicoanalyses van ENISA is AI-ondersteunde phishing goed voor meer dan 80% van alle waargenomen socialengineering-activiteit wereldwijd. De klassieke alarmsignalen (taalfouten, vreemde zinsbouwen of twijfelachtige domeinnamen) verdwijnen.

Maar de middelen van Q werken gelukkig ook voor verdedigers.

Moderne securityarchitecturen zetten machine learning in om communicatiepatronen te analyseren, identiteitsafwijkingen te signaleren en lateral movement te detecteren voordat een menselijke analist het opmerkt. Geautomatiseerde systemen mogen echter nooit een ongecontroleerde rechter worden over de loyaliteit van personeel. AI-risicoscores vereisen context, beleid en menselijke verificatie voordat ze invloed hebben op toegangsrechten of werkrelaties.

Het antwoord op AI-misleiding is niet simpelweg méér AI. Het vraagt om phishing-resistente FIDO2-hardwaresleutels, continue verificatie, een strikt least-privilege-beleid en een bedrijfscultuur waarin medewerkers zich veilig voelen om afwijkingen te melden.

social engineering is forever.

De meeste awarenessprogramma's strijden nog steeds tegen de dreigingen van gisteren. Eén keer per jaar werken medewerkers een e-learningmodule af, leggen ze een meerkeuzetoets af en worden ze onderworpen aan een eenvoudige phishingsimulatie. Als het dashboard een lage click rate toont, vinkt het management de doelstelling af.

Ondertussen zijn geavanceerde aanvallers alweer stappen verder. Ze combineren WhatsApp, sms, LinkedIn en rechtstreekse manipulatie van de IT-helpdesk om supportteams te overhalen MFA-tokens te resetten of nieuwe apparaten te registreren.

Het Britse National Cyber Security Centre (NCSC) waarschuwt er expliciet voor om de verdediging niet volledig op de schouders van de eindgebruiker te leggen. Organisaties hebben een gelaagde verdediging nodig die technische controles, gestroomlijnde incidentrespons en psychologische veiligheid combineert. Bestraffende phishingsimulaties werken averechts: wie vreest voor tuchtmaatregelen, zal een gemaakte fout verwijderen in plaats van het SOC te verwittigen.

van verleiding tot dwang.

Fleming’s schurken vertrouwden op chantage, druk en menselijke zwakheden. De moderne cybercriminaliteit werkt volgens exact dezelfde principes.

Kijk naar de georganiseerde misdaad in grote Europese logistieke hubs zoals de havens van Antwerpen en Rotterdam. Europol meldt dat criminele netwerken niet binnendringen door encryptie te kraken, maar door kraanmachinisten, planners en IT-beheerders te benaderen met honderdduizenden euro's aan steekpenningen of met rechtstreekse bedreiging.

Wanneer verleiding faalt, begint de druk. Insiders krijgen te maken met fysieke schaduwing, intimidatie en concrete dreigementen aan het adres van hun gezin.

Dit is social engineering gestript van zijn corporate jargon. Wanneer een aanvaller maximale druk uitoefent, is het versturen van nog een phishing awarenessmail niet meer dan administratief theater. Een systeembeheerder of ontwikkelaar die onder actieve afpersing staat, is voor een crimineel netwerk vele malen waardevoller dan welke zero-day vulnerability ook.

the spy who passed the background check.

Traditionele screeningvragen zijn beperkt: is er iets in het verleden van deze persoon dat een aanwerving in de weg staat?

Ze kunnen niet voorspellen hoe een doorgelichte medewerker jaren later reageert op financiële problemen, een burn-out, professionele wrok of gerichte chantage. Een statische achtergrondcheck legt geen veranderingen vast die optreden ná de onboarding.

Daarom stappen vooruitstrevende organisaties over op continue menselijke risico-evaluatie en gestructureerde integriteitsframeworks (zoals ontwikkeld door gespecialiseerde spelers als Sensello). In plaats van te vertrouwen op een eenmalige screening bij aanwerving, analyseren deze modellen contextafhankelijke risicofactoren continu in hoogkritische sectoren zoals defensie, de financiële sector en vitale infrastructuren.

Integriteitsbeheer slaat een cruciale brug tussen HR en SecOps:

• Security Awareness verduidelijkt de operationele verwachtingen;
• Social Engineering Exercises testen de technische weerbaarheid tegen manipulatie;
• Integrity Assessments leggen omgevingsfactoren van insider-kwetsbaarheden bloot;
• Zero Trust Access Controls beperken de blast radius bij een incident;
• Behavioral Monitoring (UEBA) detecteert afwijkende patronen in telemetrie;
• Vertrouwelijke meldpunten bieden gecompromitteerd personeel een veilige uitweg.

Continu risicobeheer mag nooit verworden tot een digitale leugendetector of een permanent surveillance-instrument. Het moet transparant blijven, conform de privacy- en arbeidswetgeving, en gericht op ondersteuning in plaats van bestraffing.

vertrouw, maar houd rekening met verraad.

De les van de sleeper agent is niet dat organisaties moeten vervallen in een staat van paranoia. Een onderneming waarin niemand elkaar vertrouwt, staat op slag stil.

De les is dat technisch vertrouwen nooit impliciet, onzichtbaar of onbegrensd mag zijn.

Jack Barsky slaagde omdat hij er alledaags uitzag. Het NAVO-onderzoek in Mons is relevant omdat geloofwaardige professionele cv's onze alertheid automatisch verlagen. Digitale identiteiten zijn waardevol voor aanvallers precies omdat systemen aannemen dat een geslaagde login gelijkstaat aan een betrouwbare mens.

Mensen hoeven niet technisch gehackt te worden als ze overtuigd, gerekruteerd of onder druk gezet kunnen worden. De volgende bedreiging binnen je netwerk is wellicht geen geprepareerde spion die tien jaar aan een coverstory werkte. Het is misschien een loyale medewerker die misleid werd door een AI-stemkloon, een vergeten service-account, of een IT-beheerder die persoonlijk wordt gechanteerd.

Het doel is voorkomen dat een aanvaller geldige inloggegevens omzet in ongemerkte toegang,én die toegang vervolgens gebruikt als een ontwrichtend machtsmiddel.

De gevaarlijkste aanvaller probeert je firewall niet te slopen. Hij is al verwelkomd, heeft een laptop gekregen en bezit actieve netwerkrechten.

En anders dan James Bond stelt hij zich niet netjes voor.