Curaçao heeft geen noodplan voor grote cyberaanval, en de dreiging groeit

WILLEMSTAD – Curaçao beschikt nog altijd niet over een adequaat noodplan voor het geval een grote cyberaanval vitale voorzieningen treft. Dat is zorgelijk, want de dreiging neemt toe: cybercriminaliteit wordt professioneler, complexer en grootschaliger, mede doordat kunstmatige intelligentie aanvallen sneller en effectiever maakt. Dat concluderen de Nederlandse politie en het Openbaar Ministerie in het donderdag gepubliceerde Cybercrimebeeld Nederland 2026.

De ontwikkeling is ook voor Curaçao relevant: het eiland kreeg de afgelopen jaren meerdere grote cyberincidenten te verwerken bij onder meer de Belastingdienst, Aqualectra, de Centrale Bank en het Gemeenschappelijk Hof van Justitie.

Het Cybercrimebeeld geeft vanuit het perspectief van politie en OM een overzicht van de belangrijkste ontwikkelingen binnen cybercriminaliteit. Volgens beide organisaties neemt de cyberdreiging verder toe, mede door veranderende geopolitieke verhoudingen.

Een van de opvallendste ontwikkelingen is volgens politie en OM het veranderende daderlandschap. Naast georganiseerde criminele groepen en statelijke actoren zien zij een nieuwe generatie jonge, westerse cybercriminelen.

Sommigen van hen zijn volgens het rapport betrokken bij nihilistisch gewelddadig extremisme en houden zich daarnaast bezig met diefstal van gegevens en cryptovaluta. Geld is een belangrijke drijfveer, maar ook status binnen online gemeenschappen speelt een rol. Tegelijkertijd lopen de activiteiten van gewone criminele organisaties en statelijke actoren steeds meer door elkaar.

AI maakt aanvallen makkelijker en sneller

Kunstmatige intelligentie werkt daarbij volgens politie en OM als een katalysator. AI kan worden ingezet om overtuigender phishingberichten te produceren, malware te ontwikkelen en automatisch naar zwakke plekken in computersystemen te zoeken.

Daardoor kunnen cybercriminelen met minder inspanning meer mogelijke slachtoffers tegelijk bereiken en aanvallen sneller aanpassen wanneer beveiligingsmaatregelen worden genomen. Het tempo, de effectiviteit en de schaal van cyberaanvallen nemen daardoor toe.

Cybercriminaliteit is bovendien steeds minder het werk van één hacker die alles zelf uitvoert. Rond aanvallen is een complete ondergrondse economie ontstaan waarin verschillende specialisten diensten en hulpmiddelen leveren.

De ene partij verschaft bijvoorbeeld toegang tot een computersysteem, terwijl anderen malware leveren, gestolen gegevens verhandelen of helpen bij het wegsluizen van criminele opbrengsten. Volgens politie en OM moet daarom niet alleen de uiteindelijke aanvaller worden aangepakt, maar de hele criminele toeleveringsketen.

Curaçao meerdere keren geraakt

Voor Curaçao is die dreiging inmiddels allesbehalve theoretisch. In juli vorig jaar werd de Belastingdienst van Curaçao getroffen door ransomware. Een geautomatiseerd systeem raakte geïnfecteerd en delen van de dienstverlening vielen uit. Het kantoor ging tijdelijk dicht en Curaçao vroeg Nederland om technische bijstand. Online betalen en aangifte doen bleef later wel mogelijk, maar de fysieke en telefonische klantenservice was tijdelijk niet beschikbaar.

Vrijwel tegelijkertijd ontstonden grote IT-problemen bij het Gemeenschappelijk Hof van Justitie. Computers werden uit voorzorg offline gehaald nadat schadelijke software in de IT-omgeving was aangetroffen. Enkele rechtszaken moesten worden uitgesteld. Het Hof erkende later in zijn jaarverslag dat de bestaande IT-omgeving kwetsbaar en verouderd was en begon daarop met een grootschalige modernisering.

Ook nutsbedrijf Aqualectra werd eind 2023 getroffen door een cyberaanval. Het bedrijf verbrak daarop tijdelijk alle onlineverbindingen. Interne systemen en de klantenservice waren daardoor enige tijd niet bereikbaar. De levering van water en elektriciteit zelf werd niet door de cyberaanval onderbroken.

Nog eerder, in september 2021, werd de Centrale Bank van Curaçao en Sint Maarten getroffen. De CBCS haalde het operationele computernetwerk offline nadat ongeautoriseerde toegang was vastgesteld. Het platform waarop het betalingsverkeer draait, bleek volgens de bank niet te zijn gecompromitteerd.

Veiligheidsdienst waarschuwde al

De Veiligheidsdienst Curaçao waarschuwde vorig jaar eveneens dat cyberaanvallen tot de belangrijkste risico’s voor de nationale veiligheid behoren. Volgens de VDC kunnen cyberincidenten juist op een klein eiland grote gevolgen hebben, omdat vitale voorzieningen en de bevoorrading sterk van een beperkt aantal systemen en organisaties afhankelijk zijn.

De dienst stelde bovendien vast dat Curaçao nog niet over een adequaat noodplan beschikte om een grote cyberaanval op te vangen. Een zware aanval zou behalve digitale systemen ook bijvoorbeeld de toevoer van goederen en voedsel kunnen verstoren.

De Curaçaose regering heeft inmiddels een breder crisisplan goedgekeurd waarin ook cyberaanvallen op vitale infrastructuur als scenario zijn opgenomen. Ministeries en overheidsdiensten moeten hun eigen crisis- en noodplannen daarop aanpassen.

Niet alleen een zaak van de politie

Volgens het nieuwe Nederlandse cybercrimebeeld kan de aanpak daarom niet beperkt blijven tot opsporing en strafrechtelijke vervolging. Overheden, bedrijven en andere publieke en private organisaties moeten ook inzetten op preventie, het verstoren van criminele infrastructuur en het snel waarschuwen van mogelijke slachtoffers.

Voor mensen en bedrijven die toch slachtoffer worden, hebben politie en OM een duidelijke boodschap: doe zo snel mogelijk aangifte en betaal bij ransomware geen losgeld. Snelle melding vergroot volgens hen de kans dat daders kunnen worden opgespoord. Losgeld betalen helpt criminelen bovendien hun organisatie in stand te houden en volgende aanvallen te financieren en verbeteren.

• Download hier het volledige Cybercrimebeeld Nederland 2026.