Kritische infrastructuur

Welke cyberdreigingen kunnen dit jaar grote schade aanrichten aan de verkiezingen en hoe bezorgd moeten wij als kiezers ons maken over de integriteit van onze stemsystemen?

Phil Muncaster

Maart 12 2024
 • 
,
4 minuut. lezen

Dit jaar zullen miljarden mensen naar de stembus gaan om hun volgende politieke leiders te bepalen. Van India tot de VS: de uitkomsten van deze en andere verkiezingen zouden de geopolitiek voor de komende jaren kunnen bepalen. Nu er zoveel op het spel staat, nemen de zorgen over verkiezingsinmenging toe.

Dus welke cyberdreigingen zijn reëel en aanwezig – naast de deepfake desinformatiedreiging? Welke soorten waarborgen bestaan ​​er om de integriteit van stemsystemen te bewijzen? En hoe bezorgd moeten wij ons als kiezers maken?

Wat staat er op het spel?

In 2024 zullen er nationale of regionale verkiezingen plaatsvinden in de VS, de EU, het VK, India, Taiwan, Zuid-Afrika, Mexico en vele andere landen. Op papier kunnen natiestaten, hacktivisten of zelfs financieel gemotiveerde criminelen zich richten op de online verkiezingsinfrastructuur om stemmen te veranderen, of zich bemoeien met kiezersregistratiedatabases om individuen hun kiesrecht te ontnemen. en masse. Of ze kunnen de activiteiten op de verkiezingsdag proberen te verstoren door zich te richten op online machines of andere delen van de infrastructuur die het voor mensen moeilijker kunnen maken om te gaan stemmen. Een ander scenario zijn aanvallen gericht op het rapporteren van resultaten, om twijfel te zaaien over het resultaat.

Er staat dus veel op het spel als het gaat om krachten van buitenaf die de verkiezingsresultaten potentieel kunnen veranderen of beïnvloeden om de kandidaat gekozen te krijgen die zij willen. Maar er is ook goed nieuws.

Het goede nieuws

Ondanks enkele beweringen dat de verkiezingen van 2020 in de VS ‘gestolen’ waren, is dat zo geen bewijs om dit te ondersteunen. Dat heeft de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) gepubliceerd een lange lijst met weerleggingen tot enkele van de meest voorkomende geruchten over verkiezingsinmenging. Ze omvatten beweringen dat:

• verkiezingsfunctionarissen werken de kiezersregistratielijsten regelmatig bij om ervoor te zorgen dat ze zo nauwkeurig en actueel mogelijk zijn
• Er bestaan ​​verschillende veiligheidsmaatregelen om de integriteit van per post verzonden stembiljetten te beschermen, waaronder identiteitscontroles van kiezers
• er zijn robuuste beveiligingen om te beschermen tegen geknoei, waarbij de stembiljetten via de brievenbus worden geretourneerd
• federale, staats- en/of lokale verkiezingsautoriteiten testen en certificeren stemmachines en apparatuur rigoureus op kwetsbaarheden
• het matchen van handtekeningen, informatiecontroles en andere maatregelen zijn bedoeld om te beschermen tegen nabootsing van de identiteit van kiezers en tegen niet-kiesgerechtigde kiezers die een stem uitbrengen

Er is nog een reden om vertrouwen te hebben in de integriteit van verkiezingen: in landen als de VS bestaan ​​verschillende soorten stemmachines en registratietechnologieën. Deze behandelen activiteiten in alle stadia van de verkiezingscyclus, waaronder:

• activiteiten voorafgaand aan de verkiezingen: denk aan kiezersregistratie en de afhandeling van stemmen bij afwezigheid.
• verkiezingsdag: omvat Direct Record Electronic (DRE) stemmachines (waar gebruikers rechtstreeks een stem kunnen uitbrengen) en Optical Scan Voting waarbij papieren stembiljetten worden gescand en de stemmen worden geteld. De resultaten worden vervolgens elektronisch ingediend en gecentraliseerd.
• activiteiten na de verkiezingen: omvat audits na de verkiezingen en publicatie van onofficiële verkiezingsnachtresultaten op openbare websites.

Er bestaat enige bezorgdheid over DRE-machines als deze op afstand kunnen worden aangetast. Aan de andere kant is dit in de VS, net als in veel andere landen, niet de belangrijkste manier waarop stembiljetten worden uitgebracht. En het gebruik van technologie in het algemeen is zo gedecentraliseerd en divers in het hele land dat het voor één enkele entiteit uiterst moeilijk zou zijn om voldoende resultaten te hacken en te wijzigen om een ​​verkiezing effectief te beïnvloeden.

Waar liggen de belangrijkste bedreigingen?

Er bestaan ​​echter nog steeds gegronde zorgen dat slechte actoren een district of stad in verschillende swing states kunnen uitkiezen. Zelfs als ze de resultaten niet kunnen veranderen, kunnen ze in theorie het vertrouwen in de resultaten ondermijnen door het voor individuen moeilijk te maken hun stem uit te brengen, of door de rapportage van de resultaten te verstoren.

CISA identificeert drie belangrijke cyberdreigingen:

• ransomware: Dit kan worden gebruikt om kiezersregistratiegegevens te stelen en te lekken, of om de toegang tot gevoelige informatie over kiezers en verkiezingsresultaten te weigeren. Het kan ook worden gebruikt om belangrijke operationele processen zoals registratie en het indienen van kandidaten te verstoren.
• phishing: Dit is vooral een bedreiging voor verkiezingsfunctionarissen, die tijdens hun dagelijkse werk e-mailbijlagen moeten openen. Bedreigingsactoren zouden kwaadaardige ladingen gemakkelijk kunnen verhullen met social engineering-lokmiddelen die verkiezingsthema's benutten. Het resultaat kan een geheime download van ransomware, informatiestelende malware of andere kwaadaardige code zijn.
• Denial-of-Service (DoS): Distributed Denial-of-Service (DDoS)-aanvallen kunnen ervoor zorgen dat kiezers geen toegang krijgen tot belangrijke informatie die hen zou kunnen helpen bij het stemmen, zoals de locatie van hun dichtstbijzijnde stembureau of informatie over de belangrijkste kandidaten. Dat heeft de Indonesische Algemene Verkiezingscommissie gezegd het onlangs heeft meegemaakt een “buitengewoon” aantal van dergelijke aanvallen op haar eigen en andere locaties tijdens nationale verkiezingen.

Verkiezingen veilig houden

Het goede nieuws is dat het onderwerp verkiezingsveiligheid nu zeer mainstream is geworden, waarbij CISA talloze middelen aan verkiezingsorganen aanbiedt, waar bestuurders in andere landen van zouden kunnen profiteren. De veiligste vorm van stemmen is uiteraard op papier. En dat is de manier waarop de meeste stemmen worden uitgebracht in veel landen, waaronder het VK, de EU en de VS. Maar zolang de stemmersregistratie en de verkiezingsinfrastructuur het doelwit zijn, zullen de zorgen blijven bestaan.

Best practices voor het beperken van de dreiging van phishing, ransomware en DoS zullen in deze context nog steeds van kracht zijn. Ze omvatten regelmatige penetratietests en programma's voor kwetsbaarheids-/patchbeheer, multi-factor authenticatie (MFA) en netwerksegmentatie. Gelukkig zijn er ook genoeg aanbieders op de markt die cloudgebaseerde DDoS-mitigatie, phishing-detectie en snelle respons op ransomware aanbieden.

In veel opzichten zal de grootste bedreiging voor de verkiezingsintegriteit afkomstig zijn van desinformatiecampagnes, inclusief deepfakes. En ‘hack-and-leak’-pogingen om de mening te beïnvloeden in de aanloop naar de stemdag, zoals is gebeurd vóór de Amerikaanse presidentsverkiezingen van 2016. Velen van ons zullen hopen dat, waar we ook gaan stemmen en wat er ook gebeurt, er geen twijfel bestaat over de uitslag.