Nieuws
image

MIVD: WhatsApp en Signal ongeschikt voor uitwisselen gevoelige informatie

maandag 9 maart 2026, 12:06 door Redactie, 37 reacties

WhatsApp en Signal zijn ongeschikt voor het uitwisselen van gerubriceerde, vertrouwelijke of gevoelige informatie, zo stellen de AIVD en MIVD vandaag. Vorige maand waarschuwden de inlichtingendiensten in een nieuw rapport dat vorig jaar de chataccounts van meerdere Nederlandse ambtenaren door een "Russische cyberactor" waren gehackt. Om hoeveel overheidsmedewerkers het precies ging, bij welke overheidsinstanties deze personen werkzaam zijn, welke chatdiensten het betreft en hoe de aanvaller precies te werk gingen werd niet in het rapport gemeld

Vandaag zijn de diensten met iets meer informatie over de aanvallen gekomen. "Om toegang te krijgen tot Signal- en/of Whatsapp-accounts, proberen de Russen verificatie- en pincodes van gebruikers te ontfutselen. De meest waargenomen werkwijze van de Russische hackers is dat ze zich voordoen als een Support-chatbot van Signal. Op die manier proberen ze codes van hun doelwitten te bemachtigen. Daarmee kunnen ze het account van de gebruiker overnemen", aldus de uitleg.

Verder maken de aanvallers ook misbruik van de functie binnen Signal en Whatsapp om apparaten te koppelen. "Gebruikers hebben op dat moment vaak niet door dat hun account op afstand uitgelezen kan worden", voegen de diensten toe. De vandaag gegeven waarschuwing van de AIVD en MIVD is identiek aan een waarschuwing van de Duitse overheid waarover Security.NL begin februari berichtte.

De AIVD en MIVD stellen dat de Russische aandacht voor Signal te verklaren is door de goede reputatie van de chatapp. "Signal staat bekend als een betrouwbaar en onafhankelijk communicatiemiddel en biedt de optie om end-to-end encrypted berichten te versturen. Daardoor wordt het ook veelvuldig gebruikt binnen overheden, met als doel onderlinge communicatie te beschermen. Het is daarmee ook dé plek waar kwaadwillenden verwachten gevoelige informatie buit te kunnen maken."

"Chat-applicaties zoals Signal en Whatsapp zijn ondanks dat ze beschikken over end-to-end encryptie, geen kanalen voor gerubriceerde, vertrouwelijke of gevoelige informatie", benadrukt directeur van de MIVD, vice admiraal Peter Reesink. In een Cyberadvies over de phishingaanvallen waarschuwen de diensten ook om geen gerubriceerde of gevoelige gegevens via chatapps te versturen. "Voor dit type gegevens dient u alleen de apparatuur of apps te gebruiken die door uw organisatie daarvoor zijn aangewezen."

Reacties (37)
Reageer met quote
Vandaag, 12:08 door Anoniem
Uiteraard! Dit zijn extern beheerde applicaties... Nog afgezien van alle data die Meta verzamelt door het Whatsapp gebruik.
Reageer met quote
Vandaag, 12:24 door Anoniem
Nu.nl schrijft hier over ”Signal-gebruikers wanen zich veilig” het allemaal perceptie.

Als mensen er op wijst dat de servers van Signal gewoon in America staan net als die van whatsapp dan kijken ze je raar aan. Blij dat “veilg” signal nu in elkaar stort.

https://www.nu.nl/tech/6388614/nederlandse-ambtenaren-doelwit-van-russische-aanval-op-signal-en-whatsapp.html
Reageer met quote
Vandaag, 12:29 door Anoniem
Het is dus slechte opsec van personeel en niet een slechte beveiliging van Signal en WhatsApp, lol.
Net zoiets dat wanneer personeel bij onbekende afzenders op een phishingmail klikt, dat is gewoon een vorm van incompetentie van slecht opgeleid personeel.
Signal is veilig mits je de juiste instellingen instelt en een goede opsec aanhoud, dat geldt eveneens voor alle andere digitale tools, waaronder TOR browser.
WhatsApp neemt aan de andere kant wel metadata af, (niet uit de berichten zelf) daar ben ik minder gecharmeert over...
Reageer met quote
Vandaag, 12:29 door Anoniem
geld ook voor de MIVD....
Reageer met quote
Vandaag, 12:31 door Anoniem
dit heet paniek zaaien...MIVD..
Reageer met quote
Vandaag, 12:32 door Anoniem
Het zegt meer over Nederland en haar lakse houding jegens beveiliging dan Russische staatshacks aangezien die laatste niet zeer noemenswaardig zijn in dit geval.
Nederland moet haar personeel beter opleiden en veiligheidsinstructies geven want dit is dweilen met de kraan open...
Reageer met quote
Vandaag, 12:37 door Anoniem
WhatsApp en Signal ongeschikt voor uitwisselen gevoelige informatie
Laat dat GEVOELIGE maar weg...
En ondertussen moet het ook zo nodig gebruikt worden voor medisch informatie.
Dat is dan weer niet erg, want die ligt met EHDS zo direct toch op straat.
Reageer met quote
Vandaag, 12:38 door Anoniem
"Om toegang te krijgen tot Signal- en/of Whatsapp-accounts, proberen de Russen verificatie- en pincodes van gebruikers te ontfutselen"
Dit (het generieke ontfutsel proces) geldt ook voor de 'bestempelde' veilige spullen.
Reageer met quote
Vandaag, 12:39 door Anoniem
Slachtoffers lazen dat er 'verdachte' activiteiten waren waargenomen en dat er mogelijk data was gelekt. Gingen zij in op de uitnodiging, dan werd hun gevraagd een verificatiecode te delen die het slachtoffer via sms ontving en eveneens de pincode voor Signal te delen. Wie de stappen volgde, gaf de aanvallers volledige toegang tot zijn account [...].

Bij een andere gebruikte methode voegden de aanvallers een apparaat toe aan een account, bijvoorbeeld door slachtoffers op een link te laten klikken of een QR-code te laten scannen. Als dit succesvol was, hielden de getroffen personen toegang tot hun account, maar lazen de Russen mee met de communicatie.

https://www.volkskrant.nl/binnenland/russische-hackers-drongen-signal-en-whatsapp-binnen-van-nederlandse-militairen-ambtenaren-en-journalisten~b74bc1ff/
Reageer met quote
Vandaag, 12:42 door Anoniem
De berichtenapps hebben zelf geen technische kwetsbaarheden die hackers uitbuiten, aldus de diensten. Het zijn gebruikers van de apps die ze proberen te misleiden door het sturen van valse berichten, ook wel phishing genoemd. Nederlandse ambtenaren, militairen en hoogwaardigheidsbekleders zijn daarvan al het slachtoffer geworden, maar de diensten waarschuwen dat ook andere mensen doelwit kunnen worden, als ze voor Rusland interessant zijn.

https://www.parool.nl/nederland/russen-lezen-mee-in-whatsapp-en-signal-topbestuurders-militairen-en-ambtenaren-slachtoffer~bf4bb142/
Reageer met quote
Vandaag, 12:47 door Anoniem
In welke informatie de Russen specifiek interesse hebben, kan een woordvoerder van het ministerie van Defensie niet zeggen. Hij verwijst naar de jaarverslagen van de veiligheidsdiensten. In het verslag van de MIVD van 2024 staat dat Nederland een interessant doelwit is voor Rusland vanwege de rol die Nederland speelt in de steun aan Oekraïne en omdat hier belangrijke techbedrijven en organisaties zoals het Internationaal Strafhof (ICC) gevestigd zijn.

https://nos.nl/artikel/2605616-rusland-hackt-whatsapp-en-signal-van-overheidsmedewerkers-melden-inlichtingendiensten
Reageer met quote
Vandaag, 13:10 door Anoniem
Dit is het phishing bericht dat verschijnt:

Dear User, this is Signal Security Support Chatbot.

We have noticed suspicious activity on your device, which could have led to data leak.
We have also detected attempts to gain access to your private data in Signal.

To prevent this, you have to pass verification procedure, entering the verification code to Signal Security Support Chatbot.

DON'T TELL ANYONE THE CODE, NOT EVEN SIGNAL EMPLOYEES.

Dus niet reageren, GEEN VERIFICATIE CODE DOORGEVEN, en bericht verwijderen.
Reageer met quote
Vandaag, 13:15 door Anoniem
Dit is een probleem in de hersenpan. Al zo gewend aan AI klantenservicebots, dat men er mee aan het communiceren gaat.
Reageer met quote
Vandaag, 13:22 door -Peter-
Voor dit type gegevens dient u alleen de apparatuur of apps te gebruiken die door uw organisatie daarvoor zijn aangewezen.

Wat als de organisatie Signal heeft aangewezen?

Peter
Reageer met quote
Vandaag, 13:31 door Anoniem
Je zou toch verwachten dat "hoogwaardigheidsbekleders, militairen en ambtenaren" zouden moeten weten hoe ze met informatiedragers en dergelijke om moeten gaan? Hoe is het mogelijk dat mensen bij de AIVD/MIVD hier in trappen? Echt ongelofelijk... Als Signal of een andere end-to-end beveiligde communicatie-app niet eens geschikt zijn, wat dan wel?
Reageer met quote
Vandaag, 13:37 door Anoniem
Door -Peter-:
Voor dit type gegevens dient u alleen de apparatuur of apps te gebruiken die door uw organisatie daarvoor zijn aangewezen.

Wat als de organisatie Signal heeft aangewezen?

Peter

Dan zou de organisatie het risico dat daar aan vast hangt daarmee dus accepteren. Vraag is natuurlijk vooral of dat dan ook ergens is opgeschreven ;)
Reageer met quote
Vandaag, 13:40 door Anoniem
Het zou fijn zijn wanneer AIVD en MIVD rekenschap afleggen, waarom men concludeert dat de hackers Russen zijn en niet de Mossad, bijvoorbeeld. NB sprak het Duitse 'Bundesamt für Sicherheit' vorige maand van een 'waarschijnlijk statelijke actor'. Uit gepubliceerde Woo-verzoeken kunnen wij leren dat 'onze' overheid niet te beroerd is de publieke opinie te nudgen.

Eerder wilde men ons doen geloven dat de hobby-drones rond vliegvelden uit Rusland afkomstig waren. Dat nieuws werd door zelfs Pieter Cobelens smalend van de hand gedaan. Zo zijn er meer voorbeelden die mij argwanend maken bij gebrek aan onderbouwing. Om 19 miljard van de sociale sector naar defensie over te hevelen, moet een vijandsbeeld gecultiveerd worden, waar ik beducht voor ben.
Reageer met quote
Vandaag, 13:55 door Anoniem
Ongeschikt door met name gebruikersfouten, er wordt in de berichtgeving expliciet gezegd dat het niet komt door bepaalde vulnerabilities in de systemen zelf. Misschien dat je een mogelijkheid van een PC koppeling vanuit Whatsapp als zodanig kan opvatten maar vooralsnog is het een 'feature'. Ik had daar altijd al bedenkingen bij want je vergroot daarmee je aanvalsoppervlak. Alternatieven die door militairen en overheidsfunctionarissen dan wel gebruikt zouden moeten worden zijn waarschijnlijk intrinsiek niet veiliger, maar wellicht omgeven door een strikter gebruiksbeleid en een groter bewustzijn.
Reageer met quote
Vandaag, 14:29 door Anoniem
Zou toch veel beter zijn als je die rot phones niet gebruikt,ga virtual icm web based ondersteunend chat util,ohjaa ik geloof dat ik distrosea al eerder gezien heb op een reactie van iemand op security.nl
Reageer met quote
Vandaag, 14:41 door Anoniem
Door Anoniem: Nu.nl schrijft hier over ”Signal-gebruikers wanen zich veilig” het allemaal perceptie.

Als mensen er op wijst dat de servers van Signal gewoon in America staan net als die van whatsapp dan kijken ze je raar aan. Blij dat “veilg” signal nu in elkaar stort.

https://www.nu.nl/tech/6388614/nederlandse-ambtenaren-doelwit-van-russische-aanval-op-signal-en-whatsapp.html

Onderbouwing is ook altijd interessant bij uitspraken. Een link naar een artikel onder je uitspraak zetten die niks met je uitspraak te maken heeft, en min of meer een kopie is van dit artikel, is ook bijzonder.
Signal bewaart geen berichten op hun servers, alleen in transit.
Signal Secure Backups is een optionele dienst waarbij encrypted backups van de chat-history in de Signal cloud worden opgeslagen. Welke cloud dat is en waar deze staat is nergens bekendgemaakt.
Reageer met quote
Vandaag, 14:47 door Anoniem
De diensten raden gebruikers aan om te controleren of er verdachte contacten in hun chatapps zitten. Aanwijzingen dat hackers accounts hebben overgenomen kunnen bijvoorbeeld zijn dat contacten twee keer in een groepschat staan of dat ze namen gebruiken die door niemand worden herkend (bijvoorbeeld ‘deleted account’). Ook kunnen ze groepen binnenkomen via een buitgemaakte groepslink.

https://www.ad.nl/binnenland/russische-hackers-lezen-mee-in-whatsapp-en-signal-topbestuurders-militairen-en-ambtenaren-slachtoffer~af4bb142/
Reageer met quote
Vandaag, 14:48 door Anoniem
Whatsapp snap ik, maar wat is er mis met signal?
En anders kan men altijd nog 'oversec' gebruiken.
Reageer met quote
Vandaag, 14:51 door Anoniem
Ik begrijp hieruit dat er voor onze ambtenaren geen MDM/DLP ingesteld is en dat deze applicaties daarom verdacht gemaakt worden. TRIEST. Zonder MDM/DLP is elke applicatie waarbij je iets met een ander kunt delen onveilig
Reageer met quote
Vandaag, 14:52 door Anoniem
Via „phishing- en social-engineering-technieken” buiten [de hackers] onoplettendheid uit bij gebruikers van de berichtendiensten, bijvoorbeeld door ze via een bericht dat ogenschijnlijk vanuit Signal zelf komt op te roepen om op een link te klikken. „De actoren doen zich in veel gevallen voor als het officiële supportteam of de supportchatbot van de berichtendienst”, aldus het [AIVD] advies.

https://www.nrc.nl/nieuws/2026/03/09/aivd-cyberaanval-via-berichtendiensten-signal-en-whatsapp-is-gelinkt-aan-rusland-a4922557
Reageer met quote
Vandaag, 15:41 door Briolet
Door Anoniem: Whatsapp snap ik, maar wat is er mis met signal?
…

Er is niets mis met Signal, maar met de gebruikers van Signal. Persoonlijk snap ik ook niet dat er mensen zijn die hun codes zo doorgeven. Ik ken mijn eigen code niet eens. Die staat veilig opgeslagen in een wachtwoordkluis, totdat ik hem een keer nodig heb bij een nieuwe telefoon. Ik heb heb tot nu toe slechts 1x moeten gebruiken bij het koppelen met mijn PC. En binnen Signal zie je direct of er andere gekoppelde apparaten zijn. (Alleen is dit geen menu dat je dagelijks zult controleren )

WhatsApp werkt wat dat betreft slechter. Daar moet je zeer frequent je code invoeren. Dat dwingt je om deze code te onthouden, waardoor er een grotere kans is dat je hem door dommigheid verder geeft.
Reageer met quote
Vandaag, 16:05 door Anoniem
Door Anoniem: Ik begrijp hieruit dat er voor onze ambtenaren geen MDM/DLP ingesteld is...

Please, translate nerdy talk for non-geeks, such as most civil servants who are not accustomed to security engineering:

MDM = mobile device management
DLP = data loss prevention

https://en.wikipedia.org/wiki/List_of_computing_and_IT_abbreviations
Reageer met quote
Vandaag, 16:18 door Anoniem
Ongeloofwaardig zo lang er geen commentaar komt op het gebruik van de windowswerkplek! Het is ook deze software die wordt gebruikt als springplank om accounts te hacken van signal en whatsapp etc.
Op mijn alternatieve werkplek hebben ze geen schijn van kans, zelfs niet met de defaultinstelling van signal (onbekende chatbot blijft onbekend)
Reageer met quote
Vandaag, 16:21 door Anoniem
Door Anoniem: Dit is het phishing bericht dat verschijnt:

Dear User, this is Signal Security Support Chatbot.

We have noticed suspicious activity on your device, which could have led to data leak.
We have also detected attempts to gain access to your private data in Signal.

To prevent this, you have to pass verification procedure, entering the verification code to Signal Security Support Chatbot.

DON'T TELL ANYONE THE CODE, NOT EVEN SIGNAL EMPLOYEES.

Dus niet reageren, GEEN VERIFICATIE CODE DOORGEVEN, en bericht verwijderen.
We have also detected attempts to gain access to your private data in Signal.
Hallo he dan moet er toch een lampje gaan branden.
Signal is uitstekend geschikt. Wat niet geschikt is mensen zo maar overal zonder cursus ergens op los laten.
Reageer met quote
Vandaag, 16:28 door Anoniem
Alle inlichtingendiensten gebruiken een windows11 als werkplek. Ze weten dat de NSA m.b.v. een key meekijkt.
Een blackbox zou bij de hele overheid verboden moeten worden.
Reageer met quote
Vandaag, 16:36 door Anoniem
Door Anoniem: Nu.nl schrijft hier over ”Signal-gebruikers wanen zich veilig” het allemaal perceptie.

Als mensen er op wijst dat de servers van Signal gewoon in America staan net als die van whatsapp dan kijken ze je raar aan. Blij dat “veilg” signal nu in elkaar stort.

https://www.nu.nl/tech/6388614/nederlandse-ambtenaren-doelwit-van-russische-aanval-op-signal-en-whatsapp.html
Dit is een valse balans en dat weet je waarschijnlijk zelf ook wel. Het maakt niks uit waar die servers staan. Men kan er niet bij omdat alles ge-encrypt is!! anders zou een VPN ook nutteloos zijn. Het enige nadeel is dat als Trump de bewuste datacenters in de fik steekt, signal niet meer werkt. Alleen daarom zou signal ook datacenters in Europa moeten krijgen.
Reageer met quote
Vandaag, 16:48 door Anoniem
Door Anoniem: Het zou fijn zijn wanneer AIVD en MIVD rekenschap afleggen, waarom men concludeert dat de hackers Russen zijn en niet de Mossad, bijvoorbeeld. NB sprak het Duitse 'Bundesamt für Sicherheit' vorige maand van een 'waarschijnlijk statelijke actor'. Uit gepubliceerde Woo-verzoeken kunnen wij leren dat 'onze' overheid niet te beroerd is de publieke opinie te nudgen.

Eerder wilde men ons doen geloven dat de hobby-drones rond vliegvelden uit Rusland afkomstig waren. Dat nieuws werd door zelfs Pieter Cobelens smalend van de hand gedaan. Zo zijn er meer voorbeelden die mij argwanend maken bij gebrek aan onderbouwing. Om 19 miljard van de sociale sector naar defensie over te hevelen, moet een vijandsbeeld gecultiveerd worden, waar ik beducht voor ben.

Zouden Russen tegenwoordig niet een synoniem voor AIVD zijn, bij de MIVD ? Of zou hier echt (alleen) Russen bedoeld worden? Je weet toch wie de bijnaam "Russen" had/heeft?

Cobelens is al een tijdje weg, kijk welke jaren hij opperhoofd MIVD was. Was fervent Hyves gebruiker overigens.
Reageer met quote
Vandaag, 16:50 door Anoniem
Phishing in Emails is nu Phishing in Chat apps.
Nothing new. Gelukkig krijg je nog waarschuwingen van een Signal of whatsapp support bot :):):)

M.a.w. een fearmongering campaign is gestart. Zal wel weer zijn omdat Signal niet toegankelijk is.
Reageer met quote
Vandaag, 17:03 door _R0N_
Door Anoniem: Alle inlichtingendiensten gebruiken een windows11 als werkplek. Ze weten dat de NSA m.b.v. een key meekijkt.
Een blackbox zou bij de hele overheid verboden moeten worden.

In hoeverre heb jij de sourcecode van je Linux distro bekeken? Ik gok van niet, dat is dus ook een black box. Je gaat er vanuit dat het veilig is want Open Source maar hoeveel van de OS aanhangers hebben echt de code onderzocht?
Reageer met quote
Vandaag, 17:28 door Anoniem
Door _R0N_:
Door Anoniem: Alle inlichtingendiensten gebruiken een windows11 als werkplek. Ze weten dat de NSA m.b.v. een key meekijkt.
Een blackbox zou bij de hele overheid verboden moeten worden.

In hoeverre heb jij de sourcecode van je Linux distro bekeken? Ik gok van niet, dat is dus ook een black box.

De Linux kernel en de afzonderlijke Linux distributies worden ontwikkeld en onderhouden door collectieven, die worden gesteund door vele professionele IT organisaties, zoals stichtingen, financiële fondsen, onderzoeksinstellingen en grote techbedrijven, die er belang aan hechten om het in stand te houden. Aan de orde is dus niet of een enkel individu geacht wordt om de broncode van de Linux kernel en de talloze applicaties zelfstandig te controloren -- want dat kan niemand in z'n eentje --, maar dat het goed gedaan wordt door de betrokken collectieven, die daar wel voor kunnen instaan.
Reageer met quote
Vandaag, 18:19 door Anoniem
Joh. Gebruik geen online third party communicatie apps voor geclassificeerde informatie (minus “publiek” of course), welke je niet zelf kan hosten of beheren. Zucht.
Reageer met quote
Vandaag, 18:20 door Anoniem
Nee, laten we lekker e-mail blijven gebruiken dat al sinds zijn inceptie zo lek is als een mandje, tenzij je gebruik maakt van PGP. Signal is en blijft een van de veiligste manieren van communiceren voor de normale burger. Als je goed leest ontkennen ze dat ook niet. Maar ik ben het eens met de stelling dat je gevoelige informatie het liefst niet via chatapps verspreidt.
Reageer met quote
Vandaag, 20:02 door Anoniem
Door _R0N_:
Door Anoniem: Alle inlichtingendiensten gebruiken een windows11 als werkplek. Ze weten dat de NSA m.b.v. een key meekijkt.
Een blackbox zou bij de hele overheid verboden moeten worden.

In hoeverre heb jij de sourcecode van je Linux distro bekeken? Ik gok van niet, dat is dus ook een black box. Je gaat er vanuit dat het veilig is want Open Source maar hoeveel van de OS aanhangers hebben echt de code onderzocht?
Je hebt het nog steeds niet begrepen. Het kwartje zal (waarschijnlijk is het willen) ook wel niet vallen omdat het je al een paar keer is verteld. Je denkt toch niet dat al die gebruikers de sources gaan zitten napluizen. Dat laat je doen door mensen (en AI) die er verstand van hebben. Linux wordt elke dag door veel securitybedrijven en medewerkers van grote en kleine bedrijven en instellingen uitgeplozen. Open source een blackbox noemen is lachwekkend en zegt hierdoor meer iets over jou soort fanatisme.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search