Van 6 tot 9 juni stemmen honderden miljoenen burgers van de Europese Unie (EU) voor hun leden van het Europese Parlement (EP-leden). De Europese verkiezingen worden iedere vijf jaar gehouden en vormen een van de grootste democratische evenementen ter wereld. In elk van de 27 EU-landen kiezen stemmers voor een ander aantal EP-leden, afhankelijk van de grootte van de bevolking van het land en op basis van een proportioneel systeem. De 720 versgekozen EP-leden nemen hun zetels in juli in. De verkiezingsprocessen, instellingen en werkwijzen verschillen per EU-lidstaat en de veiligheidsrisico's zijn aanzienlijk, zowel op het bied van cyberaanvallen als in verband met de beïnvloeding van kiezers door middel van desinformatie. Daarom is de beveiliging van de Europese verkiezingen een bijzonder complexe taak, die samenwerking tussen een groot aantal verschillende instellingen en belanghebbenden vereist, waaronder de privésector. Cloudflare bevindt zich in een goede positie om overheden en politieke campagnes te ondersteunen bij het tegengaan van cyberaanvallen op grote schaal. We hebben verkiezingsorganen over de hele wereld bijgestaan door hen de tools en expertise te bieden om hen tegen aanvallen te beschermen. Verder werkt Cloudflare met het Athenian Project en via internationale non-profitpartners samen met nationale en lokale overheden in de Verenigde Staten en over de hele wereld om het hoogste beschermingsniveau van Cloudflare gratis aan te bieden, zodat kiezers toegang hebben tot betrouwbare verkiezingsinformatie.
Veilige verkiezingen in 2024: omgaan met nieuwe en opkomende dreigingen
Het spreekt voor zich dat het voor de EU-instellingen, en voor nationale overheden en cyberbeveiligingsautoriteiten in de hele unie, een topprioriteit is om een vrij, eerlijk en open verkiezingsproces te verzorgen en de campagnes van kandidaten te beveiligen. De Europese autoriteiten hebben al een aantal maatregelen genomen om te garanderen dat de verkiezingen goed beschermd worden. De coördinatie van de beveiligingsmaatregelen voor de verkiezingen in de verschillende EU-landen gebeurt onder leiding van de Samenwerkingsgroep NIS, ondersteund door het Agentschap van de Europese Unie voor Cyberbeveiliging (ENISA), de Europese Commissie en de Europese dienst voor extern optreden (de buitenlandse dienst van de EU).
De Samenwerkingsgroep NIS publiceerde onlangs een bijgewerkt Compendium over de beveiliging van de verkiezingen omringd door cyberbeveiligingsuitdagingen, waarbij werd opgemerkt dat 'sinds de laatste Europese verkiezingen in 2019 het dreigingslandschap van de verkiezingen aanzienlijk is geëvolueerd'. Overheden voelen in het bijzonder de impact van kunstmatige intelligentie (AI), inclusief deepfakes, maar ook de toegenomen subtiliteit van dreigingsactoren en de trend van 'huurling-hacktivisten' vormen risico's waarmee rekening moet worden gehouden. Europese instellingen wijzen ook op de huidige geopolitieke context, waarbij de conflicten in Oekraïne en het Midden-Oosten hun weerslag hebben op de cyberdreigingen en buitenlandse beïnvloedingscampagnes in Europa. De Europese dienst voor extern optreden analyseerde gevallen van FIMI ('Foreign Information Manipulation and Interference' ofwel 'Buitenlandse manipulatie van informatie en inmenging') tijdens de recente nationale verkiezingen in Spanje en Polen en stelde voorgestelde plannen op die uiteenzetten hoe overheden kunnen reageren op de verschillende fases van deze FIMI-campagnes door buitenlandse (d.w.z. niet-EU) actoren. Josep Borrell, hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid, zei onlangs in een blogpost dat de bescherming van het verkiezingsproces en het bredere Europese debat tegen kwaadwillende buitenlandse actoren 'een veiligheidsprobleem is dat we serieus moeten aanpakken'.
Sommige nationale overheden hebben ook gewaarschuwd tegen de risico's van zogenaamde hybride dreigingen, waarbij buitenlandse overheden verschillende methoden inzetten om invloed uit te oefenen over andere staten, inclusief desinformatiecampagnes, cyberaanvallen en spionage. Het Duitse federale ministerie van Binnenlandse Zaken merkt op dat 'verkiezingen vaak een katalysator voor hogere niveaus van illegale activiteiten door buitenlandse overheden vormen, omdat het aanwakkeren van angsten en de verspreiding van haat kunnen bijdragen aan de polarisatie van de maatschappij en kiesgewoonten kunnen beïnvloeden (...) we moeten ons vastberaden inzetten om deze dreigingen af te weren.'
Gereedheid van de EU voor verkiezingstijd
Als onderdeel van de coördinatie tussen overheden en autoriteiten op nationaal en EU-niveau om zich klaar te maken om dreigingen en risico's voor de Europese verkiezingen af te weren, ondersteunt ENISA de maatregelen van nationale overheden om ervoor te zorgen dat de verkiezingen veilig zullen verlopen. Dit omvat de organisatie van een cyberbeveiligingsoefening om de verschillende crisisplannen en reacties op mogelijke aanvallen van Europese instellingen en nationale overheden te testen. ENISA heeft ook een checklist voor autoriteiten opgesteld om bewustzijn te creëren over specifieke risico's en dreigingen voor het verkiezingsproces.
De Europese Unie heeft zich ook voorbereid op andere fenomenen die de veiligheid en integriteit van het verkiezingsproces bedreigen, inclusief de verspreiding van desinformatie via online platforms. De Europese Commissie heeft onlangs bijvoorbeeld strenge richtlijnen gepubliceerd voor 'zeer grote online platforms (VLOP's) en 'zeer grote zoekmachines' ('VLSE's') onder de Europese Verordening digitale diensten. Deze verordening omvat maatregelen om systemische online risico's aan te pakken die de integriteit van verkiezingen kunnen aantasten. Van deze grote bedrijven wordt geëist dat ze speciaal aangewezen werknemers hebben om desinformatiedreigingen in de 23 officiële EU-talen van de 27 EU-lidstaten in het oog te houden, in nauwe samenwerking met de Europese cyberbeveiligingsautoriteiten. Daarnaast moeten politieke advertenties op grote socialemediaplatforms, in lijn met aankomende EU-regelgeving over de transparantie van politieke advertenties, duidelijk als zodanig worden gelabeld.
In zijn elfde rapport over het Europese dreigingslandschap uit 2023 waarschuwde ENISA ook tegen de risico's die gepaard gaan met de opkomst van door AI mogelijk gemaakte informatiemanipulatie, inclusief de verstorende invloed van AI-chatbots. De Europese Commissie stelde onlangs onderzoeken in naar belangrijke AI-ontwikkelaars als onderdeel van zijn inzet om de wildgroei aan deepfakes en geavanceerde kiezersmanipulatietactieken met behulp van generatieve AI-systemen tegen te gaan. Ook roept de Commissie op tot beloften van de branche in de context van het Europese AI-pact.
Het perspectief van Cloudflare: toename in cyberaanvallen rondom verkiezingen
Het is waarschijnlijk dat we in de EU een trend zullen zien die vergelijkbaar is met die in veel andere delen van de wereld, waar er een toename is geweest in cyberdreigingen die verkiezingsorganen tot doelwit hebben. In de periode van november 2022 tot augustus 2023 heeft Cloudflare 213,78 miljoen dreigingen op verkiezingswebsites van de overheid in de Verenigde Staten afgeweerd. Dat komt neer op gemiddeld 703.223 afgeweerde dreigingen per dag. Er is zelfs al bewijs dat Europese instellingen het doelwit zijn van een toenemend aantal aanvallen.
In november 2023 was de website van het Europese Parlement slachtoffer van een grote cyberaanval. En in maart 2024 hadden Franse overheidswebsites te maken met aanvallen van 'ongeëvenaarde intensiteit', volgens een woordvoerder. Een paar dagen voor deze aanvallen, op 25 februari 2024, blokkeerde Cloudflare een grote DDoS-aanval op een Franse overheidswebsite. Tijdens deze aanval werden er maar liefst 420 miljoen verzoeken per uur gedaan. De aanval duurde meer dan drie uur.
De Britse overheid waarschuwde afgelopen jaar dat er 'aanhoudende' cyberaanvallen waren tegen burgerorganisaties, journalisten en groepen in de publieke sector, plus phishing-pogingen die waren gericht op Britse politici. Meer recent was de IT-infrastructuur van de Duitse politieke partij CDU doelwit van een 'serieuze cyberaanval' volgens het Duitse ministerie van Binnenlandse Zaken.
We hebben ook gezien dat de algehele omvang van cyberaanvallen elk jaar groeit. Zoals we beschreven in het nieuwste DDoS-dreigingsrapport van Cloudflare, uitgegeven in het eerste kwartaal 2024, hebben de verdedigingssystemen van Cloudflare tijdens dat eerste kwartaal automatisch 4,5 miljoen DDoS-aanvallen afgeslagen. Dit weerspiegelt een jaar-op-jaar (YoY)-groei van 50%. EU-overheden gaven in hun Compendium over de beveiliging van de verkiezingen aan dat DDoS-aanvallen 'nog steeds zeer effectief kunnen zijn bij het ondermijnen van het vertrouwen van het publiek in het verkiezingsproces, in het bijzonder wanneer de aanvallen de meest kritieke en zichtbare fases beïnvloeden – de overdracht, bundeling en weergave van de verkiezingsresultaten.'
Maar niet alleen de toename in omvang van de aanvallen op websites berooft de verkiezingsfunctionarissen van hun slaap. Vaak moet er rekening worden gehouden met verschillende aanvalsvectoren, en ervoor zorgen dat verkiezingsprocessen en openbare instellingen veilig blijven is een zeer gecompliceerde taak. In 2022 voorkwam Cloudflare in de drie maanden voor de tussentijdse verkiezingen in de VS bijvoorbeeld ongeveer 150.000 phishing-e-mails gericht op campagnefunctionarissen. Het nieuwste rapport van ENISA over het Europese dreigingslandschap wijst bij de bespreking van phishing-campagnes op de risico's van AI, wanneer dit wordt toegepast op social engineering (bijv. om meer overtuigende phishing-berichten te creëren). Dit kan phishing goedkoper, gemakkelijk op te schalen en effectiever maken. Deze ontwikkelingen laten allemaal zien hoe de beveiliging van registratiesystemen van kiezers, het verzorgen van de integriteit van aan de verkiezingen gerelateerde informatie en het plannen van een effectieve reactie op incidenten noodzakelijk zijn, nu online dreigingen steeds geavanceerder worden.
De beveiliging van het democratische proces in het digitale tijdperk vereist partnerschappen tussen overheden, de burgermaatschappij en de privésector. Cloudflare heeft verkiezingsentiteiten over de hele wereld bijgestaan door de tools en expertise te bieden waarmee ze zich tegen cyberaanvallen kunnen beschermen. In 2020, bijvoorbeeld, werkten we samen met de International Foundation for Electoral Systems om diensten op Enterprise-niveau te leveren voor zes instellingen die verkiezingen beheerden, waaronder de centrale verkiezingscommissie van Kosovo, de staatsverkiezingscommissie van Noord-Macedonië en veel lokale verkiezingsinstellingen in Canada.
Impact op internetverkeer
Het wereldwijde netwerk van Cloudflare, dat in meer dan 120 landen actief is en ongeveer 20% van alle websites beschermt, maakt een uniek perspectief op de trends en patronen die we in het internetverkeer zien mogelijk. Sommige van deze trends, inclusief verkeer, verbindingskwaliteit en internetstoringen, kunnen worden gevonden op ons inzichtenplatform voor het internet, Cloudflare Radar.
Een aantal van deze trends zijn in het bijzonder belangrijk om te volgen in verkiezingstijd. Aan de hand van diepere analyse observeerden we in deze periode pieken in het verkeer naar aan de verkiezingen gerelateerde websites en naar nieuwssites. Uit data die we in 2023 verkregen via een analyse van de nationale en lokale overheidswebsites in de VS die door het Athenian Project werden beschermd, en de websites van Amerikaanse non-profitorganisaties die zich inzetten voor het stemrecht en democratie onder Project Galileo en politieke partijen en campagnes onder Cloudflare for Campaigns, heeft Cloudflare geobserveerd dat het verkeer naar Amerikaanse verkiezingswebsites en non-profitwebsites toenam naarmate de verkiezingen dichterbij kwamen, met een aanzienlijke piek op verkiezingsdag, zoals u kunt zien in de grafiek hieronder.
Cloudflare heeft vergelijkbare patronen waargenomen voor informatiewebsites over de verkiezingen en nieuwsmedia op de eerste dag van de Franse presidentverkiezingen in 2022 en tijdens de presidentverkiezingen in Brazilië in hetzelfde jaar.
DNS-verkeer naar verkiezingsdomeinen zoals geobserveerd door de 1.1.1.1 resolver van Cloudflare in april 2022, tijdens de eerste ronde van de Franse presidentverkiezingen
Samenwerking is essentieel
De bescherming van verkiezingsorganen en gerelateerde organisaties en instellingen is een enorme, complexe taak. Zoals we hebben opgemerkt, vereist dit partnerschappen en samenwerking tussen verschillende actoren met specifieke expertise, zowel in de publieke als particuliere sector. Het werk van Europese overheden en autoriteiten om zich voor te bereiden op en samen te werken aan veiligheidsmaatregelen voor de verkiezingen, zoals we hierboven hebben beschreven, is zowel welkom als noodzakelijk om vrije, eerlijke en vooral veilige verkiezingen mogelijk te maken. Dit kan alleen worden bereikt door middel van samenwerking tussen overheden en bedrijven, om samen een robuuste respons op alle dreigingen gericht op het democratische proces neer te zetten. Cloudflare draagt zijn steentje bij door een aantal websites van overheden en politieke campagnes verspreid over de EU te beschermen.
We willen garanderen dat alle groepen over de hele wereld die de democratie bevorderen, over de tools beschikken die ze nodig hebben om online veilig te blijven. Als u voor een verkiezings- of politieke organisatie werkt en onze hulp nodig hebt, neem dan contact met ons op. Als u een organisatie vertegenwoordigt die beschermd wil worden onder Project Galileo, ga dan naar onze website op cloudflare.com/galileo.
U vindt hier meer informatie over de Europese verkiezingen. En bent u EU-burger? Vergeet dan niet te stemmen!