Beste journalisten, tijd voor correcte cybersecurity verslaggeving in 2020?

Er gebeuren alsmaar meer cybersecurity-incidenten in de wereld, waar ook onze media over berichten. De feiten in die verslaggeving zijn echter vaak niet accuraat. Nathalie Van Raemdonck waarschuwt voor de risico’s van slechte ‘digital news reporting’ en pleit voor beter geïnformeerde journalisten.

“Iran trekt Online ten Oorlog”

“China voert massale cyberaanvallen uit op Belgische delegatie”

“Belgische justitie hackt IS-servers”

Dit waren enkele koppen die tot mijn grote verbazing de voorbije maanden mijn pushnotificaties ingeduwd werden. Ik was bovendien niet alleen met mijn verontwaardiging. Als we energie konden opwekken uit de eyerolls van de IT community, kunnen we heel Noord-Korea van gratis internet voorzien.

De Vlaamse pers raakt alsmaar meer geïnteresseerd in cybersecurity. Ik wil dit toejuichen, maar enkel als het ook met minimaal correcte verslaggeving kan komen. Daarom voel ik me geroepen om in mijn pen te kruipen met wat ongevraagd advies en de volgende vraag voor de Vlaamse journalistiek: kunnen we in het jaar 2020 het niveau van verslaggeving een tikkeltje hoger tillen, en de mensen correct meenemen in wat er gaande is in ‘cyberspace’?

Wat gebeurde er echt

‘Iran’ is niet ten ‘oorlog’ getrokken online. Enkele script kiddies (mensen met een minimale IT-kennis die gekende kwetsbaarheden misbruiken) uit Iran hebben enkele websites gehackt en defacements aangebracht (de inhoud van de website veranderd). Geen rechtstreekse verantwoordelijkheid van Iran, geen oorlogsverklaring. Iran KAN grootschalige online aanvallen uitvoeren, ze hebben zeker de capaciteiten en er zijn precedenten, maar we zien nu nog geen beweging. Wat er gebeurde was vergelijkbaar met kwade Iraniërs die rotte eieren tegen de Amerikaanse ambassade hebben gegooid. Deze kop was niet gewoon misleidend maar ronduit foutief.

‘China’ voerde geen ‘cyberaanvallen’ uit op de Belgische delegatie. Een ‘veiligheidsspecialist’ die mee was met de Belgische delegatie ontdekte dat er duizenden portscans uitgevoerd werden wanneer hij Chinese grond betrad. Niet abnormaal (ook in België krijg je geautomatiseerde portscans), bovendien geen gerichte aanval op de Belgische delegatie, en ook geen aanwijzing dat dit vanuit de Chinese autoriteiten kwam. Je kan het vergelijken met een bende dieven die ongecoordineerd aan alle voordeuren van een wijk kwam rammelen. Goed voor de verzekering natuurlijk om te zeggen dat ze specifiek voor jouw huis kwamen als je vergeten was de deur op slot te doen.

Belgische justitie ‘hackte’ ook geen IS-servers of voerde er cyberaanvallen op uit, daar heeft ze de bevoegdheid niet voor. Ze haalden websites en content op een wettelijke basis neer via bevelschriften en ‘referrals’ aan de hosting providers en social media platformen. Dit hadden journalisten ook in Europols nieuwsbericht kunnen lezen maar ja, wie maalt er ook om accurate reporting, hé?

Waarom is dit zo problematisch?

Er zijn verschillende redenen waarom het probleem van incorrecte verslaggeving moet worden aangekaart, die veel dieper gaan dan enkele nerds die hun beroep misgerepresenteerd zien worden in de media.

De voornaamste reden is dat er geen onderscheid gemaakt wordt in de gradaties van ernst van de online dreiging. Maak u, lezer, journalist en politicus, zeker geen illusies; onze digitale samenleving wordt zeker bedreigd, en is ontzettend kwetsbaar. Aanvallen als Wannacry en Notpetya zullen de geschiedenisboeken ingaan als de meest schadelijke ooit. Dagelijks verlammen cyberaanvallen bedrijven over heel de wereld, zoals deze week ook in het Belgische bedrijf Picanol gebeurde . De realiteit is al spannend genoeg, waarom dan valse alarmen doen afgaan met non-nieuws?

Er zijn ook onbedoelde neveneffecten van incorrecte verslaggeving. Als er in de media staat dat Iran online ten oorlog trekt en dat China een handelsmissie hackt, dan wordt er vanzelfsprekend aan onze politici de vraag gesteld wat ze hieraan zullen doen en komen deze met straffe taal. Als er ook in de media staat dat Belgische justitie IS heeft gehackt, dan kan men wel eens vragen stellen wat onze justitie zo nog kan hacken. Over die verantwoordelijkheid moet ook meer debat gevoerd worden, maar dit wordt alleen maar moeilijker met foutieve berichtgeving.

Verantwoorde journalistiek

In tijden van desinformatie ligt er een loodzware verantwoordelijkheid op de schouders van de vierde macht om de bevolking correct te informeren. In digitale tijden komt daar ook nog de verantwoordelijkheid bij om aan digitale kennisoverdracht te doen. Het lijkt me dus niet meer geoorloofd dat een journalistenkorps claimt niet te hoeven weten wat het verschil is tussen hacking en een juridische interventie, tussen een cyberaanval en een portscan, of niet doorheeft dat enkele script kiddies niet in opdracht van een gans land opereren. Het kan zich niet verschuilen achter “de correcte terminologie kunnen we niet gebruiken want de mensen kennen dat niet” als je de bevolking ze nooit bijleert. Het is tijd dat de woordenschat van onze verslaggeving uitbreidt zodat mensen niet alleen correct geïnformeerd worden, maar ook iets bijleren. Als je als journalist bijvoorbeeld wou rapporteren over het niet-nieuwswaardige feit dat Iraanse hacktivists enkele defacements hebben gedaan, doe het dan met een gezonde dosis realisme (dit gebeurt elke dag en is niet moeilijk) en leer mensen hoe ze dit zelf zouden kunnen voorkomen; doe updates en gebruik sterke en unieke wachtwoorden.

Een laatste advies; als je niet begrijpt wat je brengt, vraag dan vooral eens rond of dit nieuwswaardig is VOOR je het online pleurt.

Beste wensen voor het nieuwe jaar!