TL;DR: Russische staatshackers kregen toegang tot Signal-accounts zonder ook maar iets te kraken. Ze speelden ‘Signal Support’, bouwden tijdsdruk op en lieten het slachtoffer zelf de recovery-key afgeven. De encryptie bleef intact; de mens werd overgehaald. Dat is precies waarom jij de firewall bent. Geen tool had dit gestopt, één getrainde reflex wel.
Op 30 juni 2026 waarschuwde Defensie voor een aanval op Signal-backups. Het is een perfecte casus voor het idee waar deze site om draait: techniek is de muur, maar de mens is de poort. En die poort werd niet geforceerd, hij werd vriendelijk opengevraagd.
Wat er gebeurde
De aanvaller stuurt een bericht namens ‘Signal Support’. Er is haast bij: er zou iets mis zijn met je account. Het verzoek is om je Signal Backup Recovery-key te delen. Wie dat doet, geeft toegang tot 45 dagen aan berichten, foto’s en documenten, en uiteindelijk tot het hele account. Doelwitten: bestuurders, ambtenaren, militairen en journalisten. Doelgroep van de techniek: iedereen.
Waarom techniek hier niet redt
Signal is end-to-end versleuteld. Die encryptie is niet gebroken. De firewall op je netwerk zag niks verdachts. Je endpointbeveiliging sloeg niet aan. Er is namelijk geen malware, geen exploit, geen kwetsbaarheid. Er is een mens die onder druk een sleutel afgeeft. Dat is geen technisch probleem, en dus is er ook geen technische oplossing die het volledig afdekt. De laatste verdedigingslinie ben jij.
Dat klinkt als een zwakte, maar het is ook een kans. Een goed getrainde mens herkent het patroon waar geen scanner op aanslaat: de combinatie van autoriteit, urgentie en een verzoek om iets geheims.
De drie reflexen van een human firewall
- Vertraag bij urgentie. Haast is geen toeval, het is het wapen. Hoe dringender het verzoek, hoe groter je argwaan zou moeten zijn. Een echt verzoek kan vrijwel altijd vijf minuten wachten.
- Support vraagt nooit om sleutels of codes. Geen enkele legitieme dienst vraagt je om een recovery-key, herstelcode of verificatiecode. Wie erom vraagt, is per definitie verdacht. Dit is de regel die je nooit hoeft te nuanceren.
- Verifieer via een tweede kanaal. Niet via de link of de afzender in het verdachte bericht, maar via de officiële app-instellingen of een bekend kanaal. Eén onafhankelijke check ontkracht bijna elke imitatie.
Zo slijp je de reflex in
Een firewall die je één keer instelt en daarna vergeet, verzwakt. Hetzelfde geldt voor mensen. Drie dingen maken het verschil:
- Oefen met het echte patroon. Train niet op één specifieke mail, maar op de structuur: afzender met gezag, kunstmatige spoed, verzoek om iets geheims. Wissel het kanaal af, want morgen komt het via sms of chat in plaats van mail.
- Maak melden makkelijker dan klikken. Eén knop, één kanaal, geen drempel. Een team dat snel meldt is sterker dan een team dat toevallig niet klikte maar ook nooit iets doorgeeft.
- Normaliseer ‘nee’ zeggen tegen autoriteit. De aanval leunt op de reflex om gezag te gehoorzamen. Een cultuur waarin het oké is om een ‘dringend’ verzoek even te controleren, haalt het fundament onder de aanval vandaan.
De kern
De Signal-hack is geen verhaal over een lek in een app. Het is een verhaal over vertrouwen dat werd misbruikt. Zolang aanvallers mensen kunnen overhalen, blijft de mens de beslissende schakel, ten goede of ten kwade. De goede kant kies je door te vertragen, niet te delen en te verifiëren. Dat is geen software-update. Dat ben jij.
Verder lezen
Meer briefings en uitleg over de mens als verdedigingslinie vind je op de homepage en in onze briefings.
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.