What the hack

'Onze democratie is gehackt', 'Banken bezitten uw geld', 'Uw privacy is verwijderd'. Naast vrolijke posters voor Trainwreck en Ted 2 werden Amerikanen vorig jaar in en rond het openbaar vervoer bestookt met onheilspellende berichten. Achter een paar doordringende ogen verkondigden de reclames voor Mr. Robot een simpele boodschap: 'Fuck society'. Het hackersdrama werd de televisiehit van het jaar.

Dat is niet gek in een wereld waarin we regelmatig lezen over identiteitsfraude, overheden digitale oorlogen uitvechten, sociale media de grenzen van de privacy opzoeken en intieme foto's en mails ieder moment gelekt kunnen worden. In die wereld kunnen we een contactgestoorde hacker die het opneemt voor de gewone man en vrouw goed gebruiken.

Hoewel het voor de meesten nog steeds iets weg zal hebben van technologische abracadabra, is hacken lang niet zo mysterieus als het ooit was. 'Als je als middelbare scholier tegenwoordig niet hebt geleerd voor je tentamen, dan kun je gewoon voor een paar tientjes een DDoS-aanval bestellen om het examensysteem plat te laten leggen,' stelt Henk-Jan Angerman, die werkt als zogeheten ethical hacker. Simpel gezegd is hij een digitale slotenmaker. Met het bedrijf Secwatch helpt hij andere bedrijven om hun digitale beveiliging te testen en op peil te houden. 'Tegenwoordig is de hele infrastructuur van bedrijven online geregeld en waardevolle spullen vind je al lang niet meer in een kluis, maar op internet. Dat geldt niet alleen voor de grote banken en verzekeringsmaatschappijen, maar ook voor de bakker om de hoek, want die bewaart zijn klantgegevens inmiddels ook digitaal. Zo is er bij iedereen wat te stelen, en wat dat betreft werkt het net als bij inbrekers; als jij goed beveiligd bent, denkt een hacker ook: 'Oh, moeilijk. Ik ga wel bij de buren kijken.''

(artikel gaat verder onder afbeelding)
 

Mr. Robot wordt geroemd om het inkijkje dat de serie geeft in het hoofd van een hacker. 'Die mindset heb je of heb je niet,' vervolgt Angerman. 'Je vraagt je bij een apparaat of applicatie niet af waarom het werkt, maar: wat als ik een ander cijfertje invul dan normaal, wat gebeurt er dan? Dat had ik vroeger al met een cassetterecorder, dan ging ik die slopen en opnieuw in elkaar zetten. Hij deed het daarna niet meer, maar hij gaf wel licht. Ook interessant.'

De kans om de serie alvast grondig te toetsen op realisme heeft de hacker (nog) niet gehad, verklaart hij: 'Series downloaden doe ik niet, dat strookt niet echt met mijn integriteit als ethical hacker. Daarnaast hoort het ook gewoon niet.' Goed, het woord 'downloaden' neemt ook hacker Patrick de Brouwer, die voor de Security Academy trainingen geeft aan bedrijven in informatiebeveiliging en hacken, niet in de mond. Maar hij is een paar weken voor de uitzending in Nederland wel al helemaal bij. 'Het blijft een serie, dus het is wat opgeblazen, maar sommige dingen waren heel herkenbaar. Ik kreeg ook het idee dat ze redelijke research hadden gedaan, ze gebruiken termen en technieken die realistisch zijn.'

In tegenstelling tot de meeste Hollywoodverhalen, geeft hij aan. 'Dan zie je iemand achter een pc zitten en drie minuten later ontploft een atoombom. Hoe het echt gaat is dat je achter een pc zit en drie uur later denk je: 'Hm, maar wat als ik' oh nee, misschien toch niet.' Het is niet zo makkelijk als het in films vaak gespeeld wordt.'

Hoewel het tempo ook in Mr. Robot misschien wat hoger ligt dan in de werkelijkheid, staat een groep consultants achter de schermen garant voor een waarheidsgetrouwe weergave van alle eentjes, nullen, exit nodes en tornetwerken. 'Ik ben altijd al door technologie gefascineerd,' verklaarde bedenker Sam Esmail vorig jaar tegenover de website Fast Company. 'Als kind was ik een beetje een geek en vond ik de cultuur van computerprogrammeurs interessant, maar ik zag het nooit goed verbeeld in film of op televisie. Als het gaat om technologie nemen makers vaak de makkelijkste route, en dat zie je aan het resultaat af. Zeker vandaag de dag, waarin steeds meer mensen op de hoogte zijn, is geloofwaardigheid steeds belangrijker.'

Esmail vertrouwt onder andere op de kennis van Michael Bazzell, die bijna twintig jaar lang op de cybercrime-afdeling van de FBI werkte. 'Als onze experts zeggen dat het niet kan of niet makkelijk gedaan kan worden, dan doen we het niet. We houden ons aan hacks die gedaan zijn en we onderzocht hebben.'
Los van de technotaal heeft Mr. Robot in het bijzonder aandacht voor wat hackers social engineering noemen: niet de computer, maar de mens hacken. 'Dat is vaak krachtiger dan het digitaal hacken,' legt Patrick de Brouwer uit, 'zeker in deze tijd waarin mensen steeds meer dingen gaan dichtzetten. Technisch gezien kom je niet overal zomaar binnen, dus dan moet je verder gaan kijken: waar zitten nog meer zwakke schakels? Een heel stom voorbeeld dat ik altijd neem is een baliemedewerker. Ik doe een pak aan en ga heel zenuwachtig staan bij de balie van een grote organisatie en zeg dan: 'Ja, ik heb zometeen een sollicitatiegesprek, maar ben mijn cv vergeten. Ik heb hem wel op een usb-stickje, kun je die alsjeblieft even voor mij uitprinten?' Er zijn genoeg die dan zeggen: kom maar even. Dan kan je beveiliging nog zo sterk zijn, maar als die ene persoon de fout maakt, ben je de pineut.'

Denken als een inbreker om de inbreker te pakken; de scheidslijnen tussen ethical hackers en hun kwaadwillende collega's zijn soms dun, geeft Angerman toe. 'We hadden een klant die aangaf geen Facebook of LinkedIn te hebben en zich daardoor veilig te voelen. Toen hebben we screenshots laten zien van zijn kinderen hun Instagram; zij gebruiken die sociale media wél. Dan heb je een heel ander gesprek, ja.'

Waar beide hackers dan ook op hameren is bewustwording. 'Het is niet de vraag of je gehackt wordt, maar wanneer,' stelt De Brouwer. Kijk uit met wat je op internet plaatst, klik niet op alles wat los en vast zit, verander je wachtwoorden regelmatig - en gebruik niet de naam van je kat: het ligt allemaal voor de hand, maar wordt toch nog vaak vergeten of genegeerd, weet ook Angerman. 'Het is een misverstand om te denken dat je niets te verbergen hebt. Dat heb je wel. Je gaat toch ook niet in de lokale supermarkt een briefje ophangen dat je twee weken op vakantie gaat en niet thuis bent? Je moet er niet te ver in doorslaan, hoor - blijf gewoon leven, maar besef wel wat je deelt met iedereen.'