Politie

In het kort. In september 2024 nam een aanvaller het politieaccount van een medewerker over. Hij gebruikte daarvoor een gestolen sessiecookie: een klein bestand dat laat zien dat iemand al is ingelogd. Daarmee haalde hij het adresboek van de politie op, met de werkgegevens van vrijwel alle medewerkers.¹² AIVD en MIVD noemen de dader in 2025 Laundry Bear, een Russische groep die Westerse overheden bespioneert.²

Aanvalspad grotendeels bekend: ✅ 4 bevestigd · 🔎 0 gemeld · 🧠 1 afgeleid · ❓ 5 onbekend

1. In één oogopslag

2. Wat er gebeurde

Op 23 september 2024 kreeg een aanvaller toegang tot een account van de politie.² Hij deed dat met een gestolen sessiecookie. Zo'n cookie hoort bij een inlogsessie in de browser. Wie de cookie heeft, kan zich voordoen als de ingelogde gebruiker, zonder wachtwoord.²

De aanvaller haalde daarna het adresboek van de politie op. Dat is de zogenoemde global address list, met de visitekaartjes uit Outlook.⁵ Zo kreeg hij de werkgegevens van vrijwel alle politiemedewerkers.³²

De politie hoorde van de aanval via de inlichtingendiensten en nam meteen maatregelen.⁵ Op 27 september 2024 werd het incident bekend. Minister Van Weel zei toen dat er geen onderzoeksgegevens waren gehackt.³ Op 2 oktober 2024 schreven AIVD en MIVD dat een staat de dader zeer waarschijnlijk was. Ook gegevens van ketenpartners bleken gestolen.⁶⁷

Op 9 oktober 2024 meldde de minister dat er soms privégegevens in de visitekaartjes stonden. Denk aan privételefoonnummers en foto's.⁵ Het Openbaar Ministerie startte een strafrechtelijk onderzoek.⁵

Op 27 mei 2025 maakten AIVD en MIVD bekend dat een tot dan onbekende Russische groep achter de aanval zat. Zij noemden haar Laundry Bear.² Het onderzoek naar deze groep begon door de aanval op de politie.² Microsoft publiceerde dezelfde dag een eigen analyse onder de naam Void Blizzard.⁴ De politie meldde dat het Team High Tech Crime samen met het OM een deel van de digitale infrastructuur van de groep ontoegankelijk had gemaakt.¹ Vervolging was toen nog niet mogelijk.¹

In juni 2026 meldde de Amerikaanse pers een aanklacht tegen een Russische man wegens hulp aan de Void Blizzard-campagne. Die zaak gaat over Amerikaanse slachtoffers en niet over de politie.⁸

3. Het aanvalspad

Zekerheid: ✅ bevestigd door de organisatie, een overheid, de rechter of een onafhankelijk onderzoek · 🔎 gemeld door betrouwbare media of onderzoekers · 🧠 afgeleid, met de redenering in de noot · ❓ onbekend

4. Waarom het lukte

1. Een cookie is genoeg. Wie een geldige sessiecookie heeft, hoeft niet in te loggen. De aanvaller kwam zo binnen zonder wachtwoord.²
2. Gestolen inloggegevens worden verhandeld. De aanvaller hoefde het apparaat van de gebruiker niet zelf te hacken. Hij kon toegang kopen.²
3. Een sessie bleef ook geldig op een ander apparaat. Dat is niet bevestigd voor de politie, maar wel logisch (zie noot 12).¹⁰
4. Het adresboek is voor veel gebruikers leesbaar. Met één ingelogd account is het hele adresboek op te halen.⁵
5. Eenvoudige middelen vallen weinig op. Laundry Bear gebruikt gewone methoden en middelen die al op de computer van het slachtoffer staan. Daardoor is de groep lastig te ontdekken.²

5. Wat het had kunnen stoppen

6. Lessen

Voor bestuur en management - ☐ Vraag: hoe lang blijft een sessie bij ons geldig, en waar mag die worden gebruikt? - ☐ Vraag: welke gegevens zijn met één gewoon account op te halen, zoals het adresboek? - ☐ Zorg dat er budget is voor het weren van malware die inloggegevens steelt.

Voor IT en security - ☐ Beperk de levensduur van sessies en koppel ze aan apparaat of netwerk. - ☐ Gebruik phishingbestendige inlogmethoden (FIDO2) en toegangsregels per risico. - ☐ Zorg voor detectie van ongebruikelijke aanmeldingen en grote adresboekopvragen. - ☐ Gebruik de indicatoren en het advies uit het AIVD- en MIVD-rapport.²

Voor iedere medewerker - ☐ Gebruik werkaccounts alleen op apparaten van de organisatie. - ☐ Installeer geen software buiten de goedgekeurde lijst. - ☐ Zet geen privégegevens in je Outlook-visitekaartje.⁵ - ☐ Wees alert op phishing en verdachte telefoontjes, want de gestolen gegevens kunnen daarvoor dienen.⁵

7. Voor securityprofessionals

Technieken (MITRE ATT&CK)

Gebaseerd op ATT&CK Enterprise v19.2.¹² In v19 heeft T1550.004 alleen de tactiek Lateral Movement. Het AIVD- en MIVD-rapport beschrijft de aanmelding met de cookie als toegang tot het netwerk (Initial Access).²⁹ T1078 heeft in v19 de tactieken Stealth, Persistence, Privilege Escalation en Initial Access.¹²

Credential Access - T1539 Steal Web Session Cookie: ✅ De cookie is gestolen.²

Resource Development - T1650 Acquire Access: ✅ De diensten beschrijven aankoop van toegang.²⁹

Lateral Movement en toegang - T1078 Valid Accounts: ✅ Het politieaccount was een echt account.²⁹ - T1550.004 Use Alternate Authentication Material: Web Session Cookie: ✅ Aanmelding met de cookie.²

Discovery - T1087.003 Account Discovery: Email Account: ✅ Adresboek opgehaald.⁵²

Algemene werkwijze van de groep, niet bevestigd voor de politie (❓) - T1110.003 Password Spraying, T1098.002 Additional Email Delegate Permissions, T1114.002 Remote Email Collection, T1090 Proxy en T1048.003 Exfiltration Over Unencrypted Non-C2 Protocol. Deze staan in publicaties over de groep en gaan over andere slachtoffers.²⁴

Gebruikte malware voor de politiecase: onbekend. Er is voor deze aanval geen malwarefamilie openbaar genoemd.

Kwetsbaarheden

Er is geen CVE bekend voor de aanval op de politie. De toegang kwam via een gestolen sessiecookie en niet via een softwarefout.² Een latere campagne op Zimbra-servers valt buiten deze case.¹³

Sporen van de aanvallers

Voor de aanval op de politie zijn geen sporen openbaar gedeeld. Microsoft noemt bij een phishingcampagne van april 2025 domeinen zoals micsrosoftonline[.]com, outlook-office[.]micsrosoftonline[.]com en ebsumrnit[.]eu. Die horen bij die campagne en niet bij de politie.⁴ Een Amerikaanse aanklacht noemt volgens CyberScoop ook miscrsosoft[.]com.⁸

Detectie en respons

• Log aanmeldingen in Entra ID en Microsoft 365. Let op dezelfde sessie vanaf een nieuw IP-adres of een nieuwe user agent.¹¹
• Zet detectie aan op ongebruikelijke aanmeldrisico's (Entra ID Protection) en op grote adresboekopvragen.
• Verplicht beheerde apparaten en bind sessies aan het apparaat waar mogelijk.¹¹
• Bij een besmet apparaat: trek alle sessies en tokens van de gebruiker in en wijzig geheimen. Alleen een nieuw wachtwoord is niet genoeg.
• Zet EDR in op werkplekken om malware voor het stelen van inloggegevens te vinden.¹¹

8. Wat we niet weten

• Hoe kwam de malware op het apparaat van de gebruiker? De diensten geven dat niet vrij. Bron: het strafrechtelijk onderzoek van OM en politie.
• Had het account MFA, en hoe werd die omzeild? Niet openbaar. Doe hier geen aannames over de politie.
• Is de cookie echt op een ander apparaat gebruikt? Dat is afgeleid (noot 12) en niet bevestigd.
• Hoeveel medewerkers zijn geraakt? De NOS meldt bijna alle 65.000 medewerkers.³ Computable meldt ruim 62.000.⁷ De diensten spreken van alle medewerkers.²
• Hoe lang zat de aanvaller in het account? Niet gepubliceerd.
• De Kamerbrieven van 27 september en 2 oktober 2024 zijn niet zelf gelezen. Ze zijn alleen via de brief van 9 oktober en de media gebruikt.⁵
• Het CISA-advies AA26-204A en een Reuters-bericht over de Amerikaanse zaak waren niet te openen. Ze zijn alleen via andere bronnen gebruikt, of niet.¹³
• Er is geen bewijs dat de latere Zimbra-campagne of de Amerikaanse zaak te maken heeft met de politiehack.⁸¹³

9. Begrippen

Sessiecookie: een klein bestand in je browser. Het laat zien dat je bent ingelogd, zodat je niet steeds opnieuw hoeft in te loggen.

Pass-the-cookie: een aanval waarbij iemand een gestolen sessiecookie gebruikt om in te loggen als jou, zonder wachtwoord.

Infostealer: schadelijke software die wachtwoorden en cookies van een apparaat steelt.

MFA: een tweede inlogstap, zoals een code of een sleutel. Een gestolen cookie kan die stap soms overslaan.

Global address list (adresboek): de lijst met alle medewerkers in het e-mailsysteem, met naam, e-mailadres en vaak functie en telefoonnummer.

Statelijke actor: een hackergroep die voor een overheid werkt.

AIVD en MIVD: de algemene en de militaire inlichtingendienst van Nederland.

EDR: beveiligingssoftware op een computer die verdacht gedrag ziet en meldt.

Versies

• v1 (2026-09-29): eerste versie.

Bijlage: bronnen en noten