Een stom typfoutje. Dat is de oorzaak voor 117.000 informatielekken uit het Amerikaanse leger, zo onthulde The Financial Times. En dat kan serieuze gevolgen hebben voor de Amerikaanse positie in de wereld: de grootste vijand kan zo heel wat saillante details te weten komen.

In het nieuws: 117.000 e-mails werden vanuit het Amerikaanse leger naar het foute e-mailadres verstuurd.

• Alle mailadressen van het Amerikaanse leger eindigen op het topleveldomein .mil (Belgische websites eindigen op .be). Alleen, in 117.000 gevallen verstuurden Amerikaanse militairen, uit alle lagen van het leger, een mail naar .ml: het topleveldomein van het land Mali. Dat onthult Financial Times.
• Johannes Zuurbier, een Nederlandse internet-ondernemer die een contractuele overeenkomst heeft met Mali en het domein beheert, zag de afgelopen tien jaar duizenden mails binnenkomen, bedoeld voor het Amerikaanse leger. Al snel zag hij mails bestemd voor ‘army.ml’ en ‘navy.ml’, domeinnamen die niet bestonden. Hij besloot een systeem te maken dat al deze mails filterde en bundelde. Toen die inbox overgutste met foutief gerichte mails, lichtte hij de Amerikaanse inlichtingendiensten in. Zijn vrouw kreeg een kopie van zijn ingewonnen juridisch advies, “in het geval dat de zwarte helikopters in mijn achtertuin landden”, zegt Zuurbier aan FT.
• De Amerikanen namen het risico echter niet serieus, dus begin dit jaar besloot Zuurbier de mails te gaan verzamelen. Op een half jaar tijd bundelde hij 117.000 mails, bijna duizend per dag.

Gevoelige info

De inhoud: Heel wat spam, maar ook gevoelige mails.

• Het merendeel van de mails belanden automatisch in de spam-folder, en bevatten geen geheime informatie. Maar een deel van de mails bevatten dat wel: zo vonden journalisten van FT medische gegevens van soldaten, identiteitsgegevens, reisschema’s van topofficieren en belastingsaangiftes.
• In één mail wordt het reisschema gedeeld van generaal James McConville, de opperbevelhebber van de Amerikaanse landmacht, en zijn gevolg. McConville bezocht in mei Indonesië. In de mail staat de lijst van delegatieleden met hun hotelkamer, het tijdsschema van de generaal en details over hoe de kamersleutel van zijn VIP suite in het Grand Hyatt-hotel in Jakarta moest worden verkregen.
• Maar het gaat verder dan dat. In enkele mails worden personeelslijsten van schepen en basissen gedeeld, contracten en interne onderzoeken en aangiftes tegen personeel. Daarnaast delen de soldaten ook kaarten van militaire infrastructuur en foto’s van verschillende legerbasissen.
• Army.ml verschilt ook maar één letter van army.nl, de domeinnaam die het Nederlandse leger gebruikt. Als gevolg daarvan staat er dus ook wat Nederlandse correspondentie in de Malinese mailbox, onder meer over een munitieophaling in Italië of details over de crew van Nederlandse Apache-helikopters in de VS.
• Ook private partners vergisten hun regelmatig van domeinnaam. Zo vond FT twintig mails van defensiebedrijf General Dynamics, met updates over de productie van granaten voor het Amerikaanse leger. Het Australische ministerie van Defensie mailde ook acht keer, met daarin onder meer een presentatie over corrosie-problemen bij de F-35-gevechtsvliegtuigen.

Op de hoogte blijven van het laatste nieuws over Defensie, spionage of de oorlog in Oekraïne? Defensiejournalist Kasper Goossens stuurt ze wekelijks recht naar jouw mailbox. Interesse?

Risico reeël

Hoezo? Hoe kan het dat Amerikaanse soldaten, zowel die lager op de piramide als de topofficieren, zo nonchalant omspringen met gevoelige data?

• “Dit is niet ongewoon”, zo vertelt Mike Rogers aan FT. Rogers is voormalig admiraal en werkte als directeur van de National Security Agency (NSA) en de Central Security Service (CSS). Tussen 2014 en 2018 was hij de op een na hoogste in rang bij de Cybercomponent van het Amerikaanse leger.
• “Het is niet onoverkomenlijk dat mensen fouten maken, maar de schaal, de duur en de gevoeligheid van de informatie moet in vraag worden gesteld”, zo zegt de voormalige admiraal. “Het is een ding dat je te maken hebt met een domeinadministrator die probeert het probleem aan te kaarten. Het is wat anders wanneer een ander regime een voordeel ziet dat het kan gebruiken”, waarschuwt Rogers. En net dat staat nu te gebeuren.

De gevaren: Maandag liep het contract tussen Zuurbier en de Malinese overheid af. Die laatste krijgt nu de controle over het domein, inclusief alle Amerikaanse mails. Mali is daarnaast goede vriendjes met Amerika’s state enemy nr. 1: Rusland.

• Alle gevoelige mails kunnen zo in handen vallen van de vijand. Daarvoor waarschuwde Zuurbier zelf ook al, in een brief aan het Witte Huis: “Het risico is reëel en kan worden uitgebuit door tegenstanders van de Verenigde Staten”.
• Het Pentagon, het Amerikaanse ministerie van Defensie, beseft nu wel hoe serieus de zaak is. “We zijn ons bewust van het probleem en nemen alle ongeoorloofde openbaarmaking van informatie van nationaal veiligheidsbelang serieus”, zo gaf woordvoerder Tim Gorman mee. Volgens Gorman worden nu alle mails naar het .ml-domein geblokkeerd en wordt de verzender gevraagd het e-mailadres van de ontvanger te bevestigen.

(nd)