Britse NCSC: AI-malware raakt vitale infrastructuur vóór 2028

De Britse cyberdienst NCSC verwacht dat criminelen of staten vóór 2028 AI-malware inzetten bij een ransomware-aanval op vitale infrastructuur in het Verenigd Koninkrijk. Dat staat in het jaarverslag dat het National Cyber Security Centre, onderdeel van inlichtingendienst GCHQ, deze week presenteerde. Topman Richard Horne gebruikte de presentatie voor een stevige boodschap aan bestuurders die jarenlang op beveiliging hebben bezuinigd.

“Highly likely” vóór 2028

De NCSC formuleert het in het verslag zonder voorbehoud: het is “highly likely” dat AI-aangedreven malware tussen nu en 2028 is gebruikt bij een ransomware-aanval op de Britse vitale infrastructuur, schrijft The Guardian. Het gaat dan om sectoren als energie, transport, defensie, voedsel, zorg en financiën. Volgens de dienst gaan Rusland en China AI “routinematig” gebruiken om doelwitten te verkennen, zwakke plekken in netwerken te vinden en kwaadaardige code te schrijven.

Opvallend is de nuance in het verslag. AI zal bestaande aanvalstechnieken vooral versnellen en opschalen, en minder vaak compleet nieuwe kwetsbaarheden opleveren, meldt persbureau AP. Het risico zit dus vooral in oude systemen met bekende gaten die nooit zijn gedicht.

Koelkasten op 50 graden

Horne noemde concrete voorbeelden. Hackers zetten onlangs de temperatuur van koelingen in Europese supermarkten op meer dan 50 graden; AP spreekt van aanvallen op Franse supermarkten. Het Verenigd Koninkrijk en EU-lidstaten wezen de Russische FSB aan als dader van een aanval op het Poolse stroomnet in december 2025. Was die gelukt, dan hadden zo’n 500.000 mensen midden in de winter zonder stroom gezeten.

Ook de recente AI-vondst van twee kritieke lekken in PHP, de taal achter ongeveer 70 procent van alle websites, kwam ter sprake. Overheden en bedrijven moesten daarna met spoed updates uitrollen. Alan Woodward, beveiligingsonderzoeker aan de University of Surrey, zei tegen The Guardian dat AI verdedigers helpt zulke fouten te vinden en te dichten, “maar als we die toegang niet krijgen, zijn de kwaadwillenden ze voor”.

Goedkope IT wordt duur

“Decennialang zijn we er collectief mee weggekomen om technologie goedkoop te houden”, zei Horne. Bestuurders die dat bleven doen, moeten straks uitleggen waarom het eten niet in de schappen ligt, het licht uit is of bedrijven failliet zijn gegaan. Kwaadaardige cyberactiviteit kost Britse organisaties volgens de NCSC nu al bijna 20 miljard dollar per jaar. Jaguar Land Rover leed in 2025 alleen al meer dan 260 miljoen dollar directe schade door één aanval.

China noemt het verslag de “meest geavanceerde en aanhoudende cyberuitdaging” voor het land. GCHQ-directeur Anne Keast-Butler zei dat cyberbeveiliging “nu deel uitmaakt van de frontlinie” van de Britse verdediging. In juni meldde Horne al dat de NCSC in een jaar tijd ruim 200 incidenten bij vitale sectoren afhandelde, waarvan driekwart te linken was aan statelijke actoren, aldus PA Media.

Wat betekent dit

De Britse waarschuwing sluit aan bij wat techbedrijven zelf zien. Microsoft beschreef eerder hoe Noord-Koreaanse hackers AI in elke fase van een aanval gebruiken en hoe een AI-agent van Chinese hackers 2.250 tenants bereikte. Aan de andere kant geeft Anthropic beveiligers meer toegang tot zijn sterkste modellen om lekken eerder te vinden. Voor Nederlandse netbeheerders, waterschappen en zorginstellingen is de les dezelfde als in Londen: wie oude systemen laat draaien zonder updates, geeft aanvallers met AI een voorsprong. De NCSC houdt het advies bewust simpel: apparaten bijwerken, beheerrechten beperken en back-ups maken.