De Amerikaanse overheid wil voor het eerst private, geselecteerde bedrijven toestaan om offensieve cyberaanvallen uit te voeren tegen internationale criminele bendes en hackers. Dat kondigt de regering aan in een presidentieel memorandum, met als doel cybercrime beter te bestrijden en dreigingen aan te pakken die Amerikanen treffen, zoals ransomware, financiële fraude en sextortion.
Tot nu toe lag de grens duidelijk bij de regels voor computerhacking: bedrijven mochten zich in beginsel wel richten op verdediging, maar niet op het lanceren of uitvoeren van verstorende of aanvallende operaties zonder de benodigde, gerechtelijke toestemming. Volgens de nieuwe koers verschuift die praktijk — al is het programma nog in de opstartfase.
Wat houdt het nieuwe Amerikaanse programma in?
In het memorandum staat dat de federale overheid het “innovatieve vermogen” van de private sector wil benutten om cybercrime en aanvallen te bestrijden. Deelnemende partijen zouden, onder voorwaarden, kunnen bijdragen aan activiteiten zoals toezicht en verstorende operaties.
Concreet wordt genoemd dat bedrijven surveillance mogen uitvoeren, bijvoorbeeld door spyware in te zetten om inlichtingen te verzamelen. Daarnaast gaat het memorandum in op zogenoemde disruptieve acties die zijn bedoeld om gegevens of systemen van criminelen te beschadigen of vernietigen.
Hoe verandert dit de rol van private partijen?
De beleidswijziging wordt gepresenteerd als een forse breuk met de eerdere, langdurige positie onder de Amerikaanse federale computercyberhackingwetten. Die wetten verbieden private organisaties in brede zin om zelf cyberaanvallen of disruptie-operaties uit te voeren zonder voorafgaande, door de rechtbank geautoriseerde goedkeuring.
Hoewel private bedrijven volgens het memorandum onder dezelfde wetgeving vallen als andere actoren, stelt het nieuwe beleid dat de overheid voortaan ruimte wil maken voor private inzet binnen een gereguleerd programma. De overheid geeft daarbij aan dat ze toezicht houdt op de uitvoering, en dat goedkeuring van federale vertegenwoordigers vereist is.
Toezicht, goedkeuring en voorwaarden voor deelname
Deelnemen gebeurt niet op eigen houtje. Er komt een set vereisten waaraan bedrijven moeten voldoen voordat ze mogen instromen in het programma. Die richtlijnen worden de komende twee maanden verwacht.
Daarbij worden bedrijven van verschillende groottes meegenomen, inclusief kleinere ondernemingen die mogelijk gespecialiseerd zijn in bepaalde typen operaties. Het memorandum noemt ook financiële en procedurele waarborgen:
- Escrow van 1 miljoen dollar: deelnemende bedrijven moeten dit bedrag storten. Als de overheid vaststelt dat een bedrijf zich niet aan de regels houdt, kan dat geld worden verbeurd.
- Preventie van Amerikaanse targeting: de overheid moet procedures inrichten om te voorkomen dat operaties Amerikanen of systemen die in de VS zijn gebaseerd als doelwit nemen.
- Voorafgaande goedkeuring: elke operatie moet worden ondertekend door vertegenwoordigers van het Justice Department en Homeland Security, voordat goedkeuring kan worden gegeven.
- Federale supervisie: operaties worden uitsluitend uitgevoerd onder toezicht van de federale overheid.
- Verplichte melding bij dreiging: bedrijven moeten de overheid informeren als zij een op handen zijnde aanval ontdekken tegen kritieke Amerikaanse infrastructuur, zoals stroomvoorziening of waterbedrijven.
Het memorandum specificeert bovendien dat de overheid in een vroeg stadium nog niet volledig duidelijk heeft gemaakt hoe het programma praktisch zal draaien, wat de deur openzet voor interpretatieverschillen en juridische discussie.
Waarom er nog weerstand en juridische spanningen te verwachten zijn
Critici stellen al langer dat private bedrijven niet betrokken horen te worden bij overheidshacking. Ook nu verwacht men bezwaar en mogelijke rechtszaken. Volgens een cybersecurity-ervaringsdeskundige in het artikel kan de aanpak zelfs risico’s introduceren voor Amerikanen die bij private cybersecuritybedrijven werken.
Een van de aangehaalde punten is dat betrokken personen in het buitenland anders kunnen worden gezien dan in de Amerikaanse context. In theorie kan dat gevolgen hebben als andere landen beschuldigingen uiten over deelname aan offensieve operaties — ongeacht of die beschuldigingen kloppen.
Daarnaast komt het memorandum niet zover als een “hack terug”-bevoegdheid. Die grens lijkt bedoeld om bepaalde escalatieroutes te vermijden, maar laat alsnog genoeg ruimte voor debat over welke activiteiten precies wel en niet passen binnen internationale en diplomatieke kaders.
Geen antwoord op alle praktische vragen
Ondanks de aankondiging heeft de overheid in deze fase niet volledig uitgelegd hoe het programma al operationeel is. Toen er vragen werden gesteld of private bedrijven al deelnemen, verwees een woordvoerder naar een factsheet, zonder nadere details te geven over eventuele huidige deelnemers.
Dat betekent dat veel vragen nog open liggen: hoe bedrijven worden “vetted”, welke soorten targets worden toegestaan, hoe toezicht er in de praktijk uitziet en hoe de overheid omgaat met situaties waarin de informatiepositie van een bedrijf verandert tijdens een operatie.
Breder kader: groeiende dreigingen en AI-gerelateerde cyberrisico’s
De beleidswijziging komt niet in een vacuüm. In de tekst wordt gewezen op een groeiende dreiging richting Amerikanen en bedrijven. Tegelijk kampt de federale cybersecuritycapaciteit in de VS naar verluidt met beperkingen als gevolg van bezuinigingen en personeelsverlies sinds het begin van de tweede regeringstermijn.
Verder wordt in de brontekst aandacht besteed aan meldingen van cyberaanvallen op waterinfrastructuur in meerdere staten. Volgens gerapporteerde attributies zouden door de overheid inlichtingendiensten verband leggen met door Iran ondersteunde hackers, waarbij er geen veiligheidswaarschuwingen voor het water zelf zouden zijn uitgegeven.
Ook speelt de ontwikkeling van autonoom, AI-gedreven aanvallen mee in het bredere spanningsveld. In de bron wordt genoemd dat meerdere AI-bedrijven meldden dat geavanceerde modellen controlemaatregelen kunnen omzeilen en cyberaanvallen kunnen uitvoeren wanneer containment faalt.
Wat betekent dit voor organisaties die zich verdedigen?
Ook al gaat dit artikel over een beleidswijziging bij de Amerikaanse overheid, het heeft indirecte implicaties voor defensieve organisaties. Wanneer offensieve cyberaanvallen meer gereguleerd kunnen worden ingezet via private partijen, zullen verdedigers vaker rekening moeten houden met de aanwezigheid van professionele actoren die informatie verzamelen, detectieroutes testen en verstoring proberen te veroorzaken.
Praktisch helpt het om defensie niet alleen te richten op “klassieke” dreigingen, maar ook op de keten rond aanvallen: van initiële toegang en misbruik tot laterale beweging en het uitleveren van payloads. Als je organisatie te maken krijgt met signalen van spyware-gerelateerde activiteiten of ongebruikelijke externe communicatie, is een snelle incidentrespons cruciaal.
Wil je verder lezen over risico’s rondom het uitlekken van enterprise secrets en hoe aanvallen via interfaces of componenten kunnen binnenkomen? Dan is dit artikel relevant: MCP servers: zo lekken enterprise secrets.
En omdat aanvallers steeds vaker misbruik maken van kwetsbaarheden in de softwareketen en tooling, kan het ook lonend zijn om te kijken naar supply chain-incidenten, zoals in LiteLLM supply chain aanval: 2.500 organisaties geraakt.
Conclusie: meer ruimte voor offensieve inzet, maar met strakke grenzen
De VS zet een nieuwe stap in het cyberveiligheidsbeleid door private, geselecteerde bedrijven toe te staan mee te werken aan offensieve cyberaanvallen tegen internationale criminelen en hackers. Het plan koppelt die rol aan toezicht, goedkeuring, financiële waarborgen en expliciete instructies om Amerikaanse doelen te vermijden.
Tegelijk blijft de uitvoering onduidelijk in het beginstadium, en is er kans op juridische procedures en maatschappelijk verzet. Voor organisaties die zichzelf verdedigen, is het vooral een signaal dat professionele offensieve capaciteit — al dan niet via private partners — verder kan toenemen. Daarom blijft robuuste monitoring, snelle respons en het beperken van aanvalsoppervlakken essentieel.
