De containerscanners van de douane zijn kwetsbaar voor cyberspionage, zeggen experts

Cybersecurity Douaniers in de Rotterdamse haven controleren zeecontainers op smokkelwaar. Deze vitale detectieapparatuur moet dringend worden verbeterd, waarschuwen experts.. Kijkt China of het criminele circuit mee via de scanners?

De douane van Rotterdam maakt scans van containers om snel de inhoud ervan te kunnen vaststellen. Ziet men iets verdachts, dan doorzoekt de douane de container handmatig.
De douane van Rotterdam maakt scans van containers om snel de inhoud ervan te kunnen vaststellen. Ziet men iets verdachts, dan doorzoekt de douane de container handmatig. Foto’s Lex van Lieshout en Robert Vos/ANP Photo,

Om smokkelaars te vangen, heb je een zesde zintuig nodig – en liefst nog een zevende. De douaniers in de Rotterdamse haven moeten zeven of acht miljoen containers per jaar controleren met slechts tien grote röntgenscanners. Alles scannen is een onmogelijke opgave. Daarom worden alleen vrachten met een hoog risicoprofiel eruit gevist. Bijvoorbeeld een lading mango’s uit Brazilië of bananen uit Ecuador.

Jaarlijks gaan er ongeveer 45.000 verdachte containers door de scanner. De röntgenstralen kijken dwars door het staal heen, van boven en opzij. Analisten controleren vervolgens de scans: zij speuren naar verborgen wapens, drugs, tabak of nepartikelen. Die klus vergt intuïtie, ervaring en slimme techniek.

Ruim de helft van de douanescanners in Rotterdam is geleverd door het Chinese bedrijf Nuctech. De aanwezigheid van een Chinees techbedrijf op zo’n gevoelige plek in de nationale infrastructuur, zoals grensbewaking, roept veiligheidsvragen op. Zeker omdat de cybersecurity bij de douane te wensen overlaat, zoals blijkt uit onderzoek van NRC.

Nuctech ligt sinds vorig jaar onder een vergrootglas van zowel Brussel als Washington. In de VS wordt Nuctech gemeden en Amerikaanse diplomaten dringen er bij Europese landen op aan om hetzelfde te doen. In het kielzog van de 5G-discussie is de vergelijking met Huawei snel gemaakt: er is angst voor een ‘killswitch’ en ‘achterdeurtjes’ waarmee kennis naar China zou kunnen lekken.

Nuctech ontkent de aantijgingen en benadrukt dat alle scandata eigendom zijn van de klant – in dit geval de douane. „Onze technologie, jullie data”, zegt Robert Bos, plaatsvervangend directeur van de Nederlandse Nuctech-tak.

Dat een cyberaanval de haven kan ontwrichten, bleek in 2017, toen ransomware twee containerterminals op de Maasvlakte platlegde. Maar er is ook angst voor economische spionage – vandaar dat de AIVD Chinese apparatuur in kritieke infrastructuur als een risico beschouwt.

Is er een kans dat China stiekem kan meekijken met de scanners in Rotterdam? Het officiële antwoord van de douane luidt: „De douane exploiteert alle x-ray scans volledig in eigen beheer op een gesloten datanetwerk. Hiervoor wordt geen remote-voorziening [onderhoud op afstand] aan de leverancier gevraagd en is de cyberveiligheid van de leverancier dus niet van toepassing.”

Maar verschillende experts die NRC sprak, en die om veiligheidsredenen anoniem willen blijven, waarschuwen los van elkaar dat de beveiliging van de scansystemen in Rotterdam kwetsbaar is en verbeterd moet worden. Hun kritiek: de douanescanners in de haven zouden net zo goed beschermd moeten zijn tegen spionage, datamanipulatie en misbruik als de bagagescanners op Schiphol. Daar worden veel strengere eisen aan de veiligheid gesteld.

De douane van Rotterdam maakt scans van containers om snel de inhoud ervan te kunnen vaststellen. Ziet men iets verdachts, dan doorzoekt de douane de container handmatig. Foto Lex van Lieshout

Bel een hulplijn

Wat kan er beter in de Rotterdamse haven? De douanescanners, te vinden op vaste locaties (de terminals) en in rijdende vrachtwagens, zijn niet rechtstreeks aangesloten op internet. Toch komt het voor dat monteurs een mobiele dataverbinding opzetten, om met hulp van het hoofdkantoor een defecte machine snel aan de praat te krijgen. Dat is redelijk gebruikelijk bij leveranciers. Ook Nuctech zou dus zo’n hulplijn van buiten kunnen inzetten.

De scanners worden aangestuurd door Windows-computers die scans ook lokaal bewaren. Vanuit de terminals worden deze scans, die gigabytes groot kunnen zijn, doorgestuurd naar een centraal punt op de Maasvlakte, waar de analisten zitten. Remote scanning heet dat, en het maakt dat Rotterdam een van de meest efficiënte havens ter wereld is.

De afbeeldingen worden verstuurd via een afgeschermd glasvezelnetwerk. Maar de servers van verschillende scannerfabrikanten zijn wel gehuisvest in één ruimte. Dat is niet handig, gezien de gevoelige data en technologie. Plannen om de servers van elkaar te scheiden hebben nog niet tot verandering geleid.

De Nederlandse douane loopt voorop in innovatie, zeggen internationale specialisten. De treinscanner in Rotterdam vind je nergens anders. Dit apparaat (van Rapiscan) controleert containers met 60 kilometer per uur en scant uitgaande goederen voor de VS. Ook werkt de douane in Rotterdam aan een nieuwe datastandaard, voor scanners van elk merk.

Het doel: meer data verzamelen en detectie-algoritmes ontwikkelen die overal ter wereld te gebruiken zijn om smokkelaars te pakken. Aan dat project werkt Nuctech mee, maar ook Angelsaksische concurrenten als Rapiscan, Leidos/L3 en Smiths Detection.

Weten wat en hoe er gescand wordt in een van de grootste en meest geavanceerde havens van Europa: dat is waardevolle informatie, ook voor buitenlandse overheden. Ian Stewart van het James Martin Center for Nonproliferation Studies, een Amerikaanse ngo, onderzocht de veiligheidsrisico’s van Nuctech-apparatuur in havens. „De kwetsbaarheid daarvan zit in de aanwezigheid van een Nuctech-medewerker die meekijkt bij gevoelige onderdelen van je infrastructuur en waardevolle kennis verzamelt.”

Lees ook: Nuctech: één radertje in een netwerk van (staats)bedrijven

Nuctech heeft in Europa vooral Europese medewerkers in dienst en iedereen heeft de benodigde Verklaring Omtrent Gedrag (VOG), volgens directielid Bos. In Rotterdam werkt Nuctec met een lokaal onderhoudsteam van zes mensen, onder wie een ervaren Chinese specialist die in Nederland woont. Dat team onderhoudt ook de mobiele scaninstallaties die geregeld elders – in Vlissingen of Maastricht – ingezet worden.

Sjoemelen met scans

Behalve de angst voor economische spionage is er nog een dreiging: criminelen die douanemedewerkers omkopen. Er is betere controle nodig op inlogprocedures en gebruikeraccounts, zeggen de experts die NRC sprak. De regels zijn aangescherpt sinds scanmedewerkers Gerrit G. (veroordeeld in 2017) en Hassan O. (veroordeeld in 2020) betrapt werden. Zij sjoemelden met scans om drugstransporten binnen te loodsen.

De ontzetting over corrupte collega’s en vragen over Nuctech voeren de druk binnen de douane op. Op de werkvloer maken mensen zich ongerust, zegt Eric Hogenbirk, bestuurslid van douanevakbond BDPN. „We vinden dat de screening en beveiliging verbeterd moet worden, in het belang van onze medewerkers.”

Hij doelt op de controle van personen die toegang hebben tot de apparatuur. Die is op Schiphol veel strenger. Vaak is een veiligheidsonderzoek van de AIVD nodig voor een verklaring van geen bezwaar (VGB). Dat is een betere waarborg dan de Verklaring Omtrent het Gedrag (VOG), die nodig is voor de douanescanners.

Lees ook: Hoe controleert Schiphol je bagage?

Cybersecurity wordt door de douane onvoldoende in de aanbestedingseisen meegenomen, vinden de specialisten. Ook dat staat in schril contrast met de streng gereguleerde luchtvaartsector, waar de investeringen in detectie-algoritmes en veilige ict-infrastructuur na 9/11 sterk verhoogd zijn. Alles om te voorkomen dat er een vliegtuig neerstort door meegesmokkelde explosieven.

Het Europese samenwerkingsverband ECAC regelt voor 44 landen de beveiliging van de burgerluchtvaart. De lat ligt hoog: elke scanner wordt getest, elke update gevalideerd. Zulke procedures ontbreken bij de container- en vrachtscanners.

De douane gebruikt op Schiphol ook Nuctec-apparatuur om binnenkomende luchtvracht te controleren, maar Schiphol gebruikt geen Chinese bagage- of personenscanners voor uitgaande passagiers. Nuctec deed wel mee met de aanbesteding. Europese luchthavens als Florence en Luton gebruiken wél Nuctech-scanners om passagiers te controleren.

De douane, onderdeel van de Belastingdienst, wil niet reageren op de kritiek over zijn tekortschietende cybersecurity. De dienst wacht op de Kamervragen over Nuctech, die volgen op een artikel in Het Financieele Dagblad vorige week. Daarin uitten politici weer hun angst over de aanwezigheid van Nuctech in de haven.

Die angst is onterecht, zegt Robert Bos, in het Nuctech-kantoor op de Wilhelminakade in Rotterdam. „Onze apparatuur bewaakt zelfs de toegang tot de gebouwen van de Europese Commissie.”

Dat klopt: het gaat daarbij om detectieapparatuur voor personen en pakketjes. Ook heeft Nuctech meegedaan aan aanbestedingen voor toegangsscanners bij gevangenissen of defensie. Maar onlangs wonnen andere partijen, constateert Bos met spijt. „Niet omdat wij Chinees zijn.”

Nuctech Nederland beschouwt zichzelf als een apolitieke, Europese organisatie, zegt Bos. Bij de fabriek in Polen werken tweehonderd mensen, in Nederland een stuk of twintig. „Zij zijn voor 95 procent Europees.”

De douane van Rotterdam maakt scans van containers om snel de inhoud ervan te kunnen vaststellen. Ziet men iets verdachts, dan doorzoekt de douane de container handmatig. Foto Robert Vos/ANP

Transparancy center

Bos rijdt voor, naar een loods in Hoogvliet, waar Nuctech reserveonderdelen opslaat. Tussen de houten kratten liggen ook een paar stukken staal en perspex waarmee scanners getest worden. Het kantoortje is net geverfd. Hier overweegt Nuctech om een ‘Transparency Center’ op te zetten, om te laten zien wat het in huis heeft – scanners, in alle soorten en maten – en aan te tonen dat het niets te verbergen heeft. Volgens Bos bemoeit de Chinese overheid zich niet met Nuctech, hoewel het staatsbedrijf China National Nuclear Corporation (CNNC) sinds 2019 aandeelhouder is.

Lees ook: Huawei verlist grip op de 5G-netwerken in Europa

Eerder bouwde Huawei ook zo’n Transparency Center, in Brussel. Maar Huawei en Nuctech zijn niet met elkaar te vergelijken, vindt Bos. Detectie-apparatuur vormt een nichemarkt vergeleken bij de telecomwereld. Huawei is een reus en heeft als marktleider in telecomapparatuur een jaaromzet van zo’n 100 miljard dollar. Ter vergelijking: Nuctech heeft een aandeel van ongeveer 15 procent op de wereldwijde markt voor scanners, waar 3,5 miljard dollar per jaar in omgaat, aldus onderzoeksbureau Omdia.

Surveillancestaat

De grootste spelers op de detectiemarkt zijn Smiths Detection, Rapiscan (beide Brits) en Leidos/L3 (Amerikaans). De laatste jaren vindt er een consolidatieslag plaats: de prijzen staan onder druk en de ontwikkelingskosten groeien. Concurreren met China, een surveillancestaat die vooroploopt in detectietechnologie, vergt forse investeringen.

Nuctech heeft vooral succes met de grote scanners zoals die in de Rotterdamse haven, die wel drie tot vier miljoen euro per stuk kosten. De mobiele containerscanners voor op vrachtwagens kosten minimaal anderhalf miljoen euro. Concurrenten klagen dat Nuctech onder de kostprijs levert, met Chinese staatssteun. Nuctech ontkent dit. Toch is het lastig om op te boksen tegen de Chinese concurrentie, blijkt uit de opmars van Nuctec in de haven.

In de open Nederlandse economie is het not done om bedrijven te weren om het land van herkomst. Maar het beeld ten aanzien van China en cybersecurity is veranderd, zeker waar het gaat om kritieke infrastructuur. Dat merkte Huawei bij de aanleg van 5G, en Nuctech merkt dat nu opnieuw.

Dit ‘voortschrijdend inzicht’ zoals een ingewijde het noemt, leidt tot beter beveiligde douanescanners, zeggen de experts die NRC sprak. Dat is hard nodig voor de slagkracht van de douane. Want je hebt niet alleen een zesde zintuig nodig om smokkelaars te kunnen pakken, je moet al die zintuigen ook kunnen vertrouwen.