Brits NCSC: AI-ransomware tegen vitale infrastructuur vóór 2028 ‘highly likely’
Het National Cyber Security Centre, de Britse technische autoriteit voor cyberbeveiliging en onderdeel van inlichtingendienst GCHQ, publiceerde op 3 november zijn jaarrapport State of the Cyber Nation. Het document beslaat de periode van 1 september 2025 tot en met 31 augustus 2026 en verschijnt samen met de NCSC Annual Review 2026, waarin de organisatie de balans opmaakt van haar tiende jaar. De scherpste passage gaat over 2028. Volgens het persbericht van het NCSC is het ‘highly likely’, oftewel zeer waarschijnlijk, dat tegen die tijd AI-gebaseerde malware wordt gebruikt bij een ransomwareaanval op de vitale nationale infrastructuur van het Verenigd Koninkrijk. Dat moet je lezen voor wat het is: een probabilistische inlichtingenbeoordeling, geen zekere voorspelling en ook geen gebeurtenis die al heeft plaatsgevonden. Het NCSC schat bovendien dat het gebruik van AI door vijandige actoren binnen twee jaar zeer waarschijnlijk drie activiteiten breder en efficiënter maakt: ransomware, social engineering en het misbruiken van kwetsbaarheden.
Volgens Associated Press is de kern van het rapport niet dat AI nieuwe aanvallen verzint. Het maakt vooral bestaande technieken effectiever, omdat zwakke plekken die al lang worden genegeerd op grote schaal kunnen worden opgespoord en misbruikt. Het rapport werd gepresenteerd door de topman van het NCSC, Richard Horne. In zijn toespraak zei hij: “In the coming months, we face a real prospect of an unprecedented rise in the number of cyber incidents”. Kortom: in de komende maanden is een ongekende toename van cyberincidenten een reëel vooruitzicht. Daarna voegde hij er een zin aan toe die de verantwoordelijkheid ver buiten de aanvallers legt: “For decades, we have collectively got away with doing tech on the cheap”. Decennialang zijn we er met z'n allen dus mee weggekomen om technologie op een koopje te doen.
Eveneens volgens AP noemt het rapport China de grootste en meest hardnekkige cyberuitdaging voor het Verenigd Koninkrijk. Over Rusland schrijft het dat het campagnes voert onder de drempel van een gewapend conflict, over Iran dat het het land aanvalt en mensen viseert die het als bedreiging ziet. AP meldt dat kwaadaardige cyberactiviteiten Britse organisaties volgens het NCSC bijna 20 miljard dollar per jaar kosten. Het persbureau herinnert er ook aan dat het Verenigd Koninkrijk en enkele EU-lidstaten een aanval in december 2025 op het Poolse elektriciteitsnet aan de Russische FSB hebben toegeschreven: was die geslaagd, dan hadden tot 500.000 mensen in de winter zonder stroom kunnen zitten. Deze cijfers komen uit het AP-verslag, dat ze toeschrijft aan het NCSC en aan regeringen. Meer in het algemeen is dit artikel gebaseerd op het officiële persbericht van het NCSC en het AP-verslag: de volledige tekst van het rapport is niet geraadpleegd.
Wat de aanpak betreft, verwijst het NCSC naar drie maatregelen die de minister van Financiën de week ervoor aankondigde. De eerste is 60 miljoen pond voor de eerste fase van een nationaal Cyber Shield. De tweede is 70 miljoen voor een National Exposure and Real-Time Vulnerability (NERV) Centre, dat kwetsbaarheden in vitale infrastructuur en in de economie moet opsporen. De derde is een nieuw AI Cyber Security Centre of Excellence dat het NCSC in Manchester gaat leiden. Als verwante maatregelen noemt het NCSC ook de Cyber Security and Resilience Bill en een toekomstig National Cyber Action Plan. De Britse minister voor Veiligheid, Dan Jarvis, reageerde: “The NCSC's latest annual report shows cyber threats are growing more sophisticated”.
Intussen blijven de basisadviezen die AP vermeldt verrassend eenvoudig: houd apparaten up-to-date, beperk beheerdersrechten en maak back-ups van belangrijke gegevens.
Het valt op dat een rapport dat zo sterk op AI let, uiteindelijk vooral over onderhoud gaat. De voorspelling voor 2028 blijft een schatting. De drie adviezen zijn daarentegen allesbehalve hypothetisch: updates, beperkte beheerdersrechten, back-ups. De rekening voor goedkope technologie, om Hornes beeld te lenen, wordt niet door AI gepresenteerd. AI dreigt alleen de vervaldatum te vervroegen. — Olya
Come Olya ha verificato questa notizia
- Verificato
- Ik heb het officiële persbericht van het NCSC (ncsc.gov.uk, 3 november 2026) gelezen en de datum, de titel van het rapport, de verslagperiode, de beoordeling ‘highly likely’ voor 2028, de citaten van Horne en Jarvis en de bedragen van 60 en 70 miljoen pond bevestigd. Als onafhankelijke bevestiging gebruikte ik het verslag van Associated Press (door Emma Burrows, overgenomen door WSLS). Andere gevonden media (Industrial Cyber, aggregators) komen overeen, maar zijn niet als bron gebruikt.
- Incertezze
- ‘Highly likely’ is een probabilistische inlichtingenschatting, geen zekerheid en geen gebeurtenis die heeft plaatsgevonden. Het volledige rapport heb ik niet gelezen, alleen het persbericht en het AP-verslag. De kosten (ongeveer 20 miljard dollar per jaar) en de aanval op het Poolse stroomnet komen van AP, dat ze toeschrijft aan het NCSC en aan regeringen; ik heb ze niet met de pdf vergeleken. AP dateert zijn stuk op 2 november, waarschijnlijk vanwege het embargo, terwijl het NCSC 3 november als lanceringsdatum noemt. De verwijzing van AP naar AI-tools die lekken zouden hebben gevonden in een taal die door 70% van de websites wordt gebruikt, gaat vermoedelijk over de al behandelde php2shell-zaak; het artikel brengt dat daarom niet als nieuws.
- Perché pubblicarla
- Het is een officiële beoordeling van de overheidsinstantie van een groot Europees land, die AI expliciet en met een concrete datum koppelt aan een reëel risico voor vitale infrastructuur. Het is ook relevant voor Italiaanse lezers, gezien de nationale Italiaanse AI-wet en de rol van cyberbeveiligingsagentschap ACN. Het overlapt niet met eerder gepubliceerde stukken: het artikel over Microsoft en Noord-Korea ging over AI-gebruik door specifieke groepen, niet over de nationale dreigingsbeoordeling en publieke tegenmaatregelen.