AIVD, MIVD en NCSC: edge devices zijn een structureel doelwit van Chinese hackers, dit vraagt het advies van u

Dit past bij onze berichtgeving over Citrix NetScaler, Palo Alto en Fortinet en firewalls als doelwit.

Wat de diensten zeggen

Op 7 oktober 2026 publiceerden de AIVD en de MIVD, samen met het NCSC, het cyberadvies Edge devices structureel doelwit van Chinese cyberactoren. De kern: de diensten verwachten dat Chinese cybercampagnes via kwetsbare edge devices de komende jaren verder toenemen. De MIVD waarschuwde daar al voor in zijn openbaar jaarverslag over 2025.

Het advies noemt edge devices apparaten aan de rand van het netwerk die direct met internet zijn verbonden, zoals firewalls, proxies, portals en VPN-gateways. Diverse actoren misbruiken zulke apparaten, maar bij Chinese actoren is het volgens de diensten een gekende werkwijze. Chinese actoren troffen de afgelopen jaren via zulke apparaten tal van netwerken, ook van Nederlandse organisaties. Eerder waarschuwden de MIVD en het NCSC al voor grootschalig misbruik tijdens de COATHANGER-campagne.

De diensten noemen drie redenen voor de verwachte toename:

• Diepgaande kennis van de apparaten. Chinese actoren bestuderen westerse producten via reverse engineering en komen volgens de diensten ook via cyberspionage aan kennis, bijvoorbeeld aan de broncode van bepaalde westerse producten. Met broncode kunnen ze fouten opsporen en daar aanvalstools voor bouwen, zonder dat de fabrikant het merkt.
• Een groot ecosysteem. Sinds 2021 verplicht Chinese wetgeving partijen kwetsbaarheden te melden. Er zijn opleidingsprogramma's en kennisinstellingen die gericht zijn op het hacken van edge devices in westerse infrastructuur, en Chinese bedrijven leveren volgens het advies direct inzetbare exploits.
• Kunstmatige intelligentie. AI maakt het volgens de diensten sneller en makkelijker om kwetsbaarheden in producten te vinden en te misbruiken.

De uitkomst, in de woorden van het advies: actoren kunnen jaarlijks een groot aantal onbekende kwetsbaarheden ontdekken en uitbuiten, én bekende kwetsbaarheden snel inzetten voor cyberspionage. Uw organisatie moet dus voorbereid zijn op beide.

Wat opvalt: nuchter over patchen

Het advies is minder zwart-wit over updates dan veel andere publicaties. Ja, de diensten schrijven dat Chinese actoren vaak ook al bekende kwetsbaarheden misbruiken en dat het risico exponentieel toeneemt zodra een kwetsbaarheid in een type apparaat bekend wordt. Maar ze schrijven ook dat het niet altijd verstandig is om beveiligingsupdates direct door te voeren, omdat vaak niet bekend is wat een update in een productieomgeving doet. Ga na of de voordelen van snel mitigeren opwegen tegen risico's zoals instabiliteit.

Lees dat niet als vrijbrief om te wachten. Het advies zegt zelf dat de handelingsperspectieven vooral bedoeld zijn voor twee situaties: een actor die een onbekende kwetsbaarheid inzet, en een organisatie die een bekende kwetsbaarheid niet kan dichten. Onze eigen lezing: bij kwetsbaarheden die actief worden misbruikt, zoals de recente Citrix-zerodays, blijft snel handelen de uitkomst van die afweging, met bewijs veiligstellen vóór de update. Het advies pleit er wel voor dat u die afweging bewust maakt en niet uit gewoonte, en dat u een plan hebt voor het geval patchen even niet kan. Hoe u een proces opzet dat dat in dagen kan, staat in ons artikel over van 30 dagen naar 48 uur.

Een kanttekening bij de actualiteit. Het advies noemt geen producten en geen groepen, en wij leggen geen verband met incidenten die het niet noemt. Over de aanvallen op NetScaler zeggen Google en Mandiant tot nu toe dat de actor banden met een staat heeft, zonder die aan een bekende groep of aan China te koppelen.

Wat het advies concreet vraagt

Het meeste zit in vier onderdelen, die allemaal gaan over wat u doet voor én nadat een apparaat is overgenomen.

Defense in depth. Gelaagde beveiliging, zodat een indringer die één laag doorbreekt door de andere wordt vertraagd en sneller opvalt. Het advies noemt als voorbeelden voor de organisatie op maat geconfigureerde firewalls, intrusion detection, organisatiebrede multifactorauthenticatie, netwerksegmentatie en versleuteling van data op verschillende lagen. Bij een overgenomen gateway wilt u niet dat de aanvaller meteen het hele netwerk ziet.

Leveranciersdiversiteit. Dit is het meest opvallende punt. De diensten adviseren meer variatie in leveranciers binnen de verschillende lagen van het netwerk. Heeft een actor diepgaand onderzoek gedaan naar één productlijn, dan kan variatie voorkomen dat gerichte aanvalsmethodes door meerdere lagen heen breken. Dat kost beheerinspanning, en wij zouden het tegen elkaar afwegen: twee leveranciers die u allebei goed kunt beheren, zijn beter dan vier die u half onderhoudt.

Centrale logging. De diensten zien dat slachtoffers vaak de benodigde logbestanden niet kunnen aanleveren. Logging staat uit of heeft een zeer korte bewaartijd, en incidentlogging staat vaak lokaal op het apparaat, waar een actor die het apparaat heeft overgenomen de bestanden kan aanpassen of wissen. Het advies:

• richt een centraal logsysteem in, in een afgeschermd netwerksegment, bijvoorbeeld bij het SOC;
• laat alle essentiële apparaten hun logs daarheen sturen;
• bewaar die minimaal een halfjaar, bij voorkeur een jaar of langer.

Dat is een concrete eis die u kunt toetsen. Ook bij de Citrix-zerodays raadt CISA aan NetScaler-logs door te sturen naar een centraal systeem, omdat lokale logs snel kunnen roteren. Het is precies het bewijs dat u mist als blijkt dat een apparaat al weken eerder is misbruikt.

Monitoring, en forensic readiness. Zorg voor een goed ingericht securitymonitoring-ecosysteem met een opgeleid SOC, en test periodiek aanvalspaden door te kijken of het SOC de gesimuleerde aanvallen herkent en erop reageert. Bereid u daarnaast voor op onderzoek na een incident: train personeel, oefen met digitaal forensisch onderzoek, en doe een analyse van de totale impact. De diensten zien dat organisaties bij een incident vaak niet startklaar zijn, wat de kosten en doorlooptijd van het onderzoek opdrijft.

Wat u nu kunt doen

1. Maak een lijst van uw edge devices. Het NCSC schrijft dat elke organisatie met een internetverbinding er minstens één heeft, en dat u zonder overzicht niet weet welke deuren openstaan. Het NCSC publiceerde op 15 januari 2026 een beheerlijst voor edge devices die u daarvoor kunt gebruiken.
2. Controleer waar de logs van die apparaten naartoe gaan, en hoe lang ze blijven bestaan. Gaan ze alleen naar het apparaat zelf, of korter dan een halfjaar, dan is dat de eerste stap. De diensten verwijzen naar Logging Essentials van AIVD/MIVD op GitHub.
3. Bedenk wat u doet als u een apparaat niet direct kunt updaten. Beperk dan de bereikbaarheid, segmenteer eromheen en verscherp de monitoring, in plaats van alleen te wachten op een onderhoudsvenster.
4. Kijk naar de netwerkindeling achter elk apparaat. Kan een overgenomen VPN-gateway rechtstreeks bij uw domeincontrollers? Dat is de vraag achter de adviezen over lagen en segmentatie.
5. Oefen één keer wat er gebeurt als een edge device wordt overgenomen. Wie zou het merken, welke logs zijn er, wie neemt het apparaat uit de lucht, en wie meldt het? Voor organisaties onder de Cyberbeveiligingswet loopt de meldtermijn vanaf het moment van constateren.
6. Weeg leveranciersdiversiteit mee bij de volgende vervanging. Het advies bedoelt dit niet als herinrichting van uw hele netwerk, maar als een criterium bij nieuwe aankopen.

Bronnen

• AIVD – MIVD en AIVD verwachten toename Chinese cyberaanvallen via edge devices (7 oktober 2026)
• AIVD, MIVD en NCSC – Cyberadvies: edge devices structureel doelwit van Chinese cyberactoren (pdf, oktober 2026)
• NCSC – Veiligheidsdiensten verwachten toename Chinese cyberaanvallen
• Security.NL – AIVD waarschuwt voor Chinese cyberaanvallen op vpn-servers en firewalls
• CISA – Critical zero-day vulnerabilities exploited in Citrix NetScaler ADC, Gateway
• Cybersecurity Dive – Mass exploitation of Citrix NetScaler: what we currently know