Het begon niet met een phishinglink, malware of toegang tot een afgeschermd systeem. Harrison Sand onderzocht samen met een journalist van de Noorse publieke omroep NRK hoe fraudeurs telecomnetwerken kunnen misbruiken. Tijdens een test belde hij de journalist. Die nam niet op, maar toch kwam er iets terug wat nooit bij de beller terecht had mogen komen: de identificatie van de zendmast waarmee de telefoon van de journalist verbonden was.

Sand koppelde die code aan openbaar beschikbare locatiegegevens. Op de kaart verscheen een gebied rond het kantoor van de journalist. In een stedelijke omgeving bleek de locatie doorgaans tot op 100 à 200 meter nauwkeurig te bepalen. Daarvoor was niets meer nodig dan een actieve simkaart, een telefoontje en de mogelijkheid om het technische berichtenverkeer rond een oproep te bekijken. De persoon die op deze manier werd gevolgd, zag niets meer dan een gemiste oproep.

Hoe de telecomkwetsbaarheid iemands locatie onthulde De oorzaak was een configuratiefout diep in de infrastructuur die moderne mobiele gesprekken mogelijk maakt. Wanneer iemand belt, wisselen telefoon en netwerk automatisch berichten uit om de verbinding op te zetten. Bij deze telecomprovider bevatte het antwoord ten onrechte ook informatie over de zendmast van de ontvanger.

Op papier lijkt dat een klein technisch detail, maar de gevolgen waren dat niet. De fout was ongeveer tweeënhalf jaar aanwezig. Met toestemming van betrokkenen werd aangetoond dat onder meer politici en medewerkers in veiligheidsfuncties op deze manier gevolgd konden worden. Wie meerdere keren belt, kan niet alleen zien waar iemand ongeveer is, maar ook diens verplaatsingen volgen. Dat kan informatie prijsgeven over werkbezoeken, ontmoetingen of dagelijkse routines.

Sand en de betrokken journalist brachten de provider op de hoogte. De fout werd vervolgens snel verholpen. Sand: “Er was geen storing, geen opvallend aanvalspatroon en geen waarschuwing voor de gebruiker. Juist daardoor kon de kwetsbaarheid lang onopgemerkt blijven.”

Hoe AI onderzoek naar kwetsbaarheden versnelt De specificaties van complexe telecominfrastructuur beslaan duizenden pagina’s en vragen doorgaans om specialistische kennis. Sand heeft ruim tien jaar ervaring met applicatiebeveiliging, maar is geen telecomspecialist. Met AI kon hij grote hoeveelheden documentatie snel doorgronden en relevante verbanden leggen. De uitkomsten controleerde hij aan de hand van de oorspronkelijke technische bronnen.

Ook het praktische werk ging sneller. Met behulp van AI maakte hij in korte tijd een programma dat de identificatie van een zendmast omzette naar coördinaten op een kaart. Voor vervolgonderzoek bouwde hij vervolgens een specialistische tool van duizenden regels code. Sand: “Werk waarvoor eerder een ontwikkelteam en een aanzienlijk budget nodig waren, werd binnen enkele weken op poten gezet door één onderzoeker. AI vervangt de expertise van security researchers niet, maar vergroot wel hun snelheid en bereik.”

Wat dit betekent voor bedrijven en hun securityteams Die ontwikkeling werkt twee kanten op. AI geeft verdedigers meer slagkracht, maar stelt ook kwaadwillenden in staat sneller informatie te analyseren, kwetsbaarheden te ontdekken en aanvalsmethoden te ontwikkelen. Capaciteiten die voorheen waren voorbehouden aan grote, gespecialiseerde teams komen zo binnen bereik van kleinere groepen.

Voor bestuurders verandert daarmee het risicobeeld. “Organisaties kunnen niet volstaan met bescherming van de meest zichtbare IT-systemen”, aldus Sand. “Juist complexe infrastructuur, verouderde technologie en systemen die jarenlang betrouwbaar lijken te draaien, verdienen aandacht. Daar stapelen afhankelijkheden zich op en kan impliciet vertrouwen ongemerkt een kwetsbaarheid worden.”

AI vervangt de expertise van security researchers niet, maar vergroot wel hun snelheid en bereik.

“De juiste reactie is niet om AI buiten de deur te houden, maar om de verdedigende toepassing ervan te versnellen”, vervolgt Sand. “Geef deskundigen ruimte om AI gecontroleerd in te zetten, breng minder zichtbare en bedrijfskritieke systemen in kaart, verklein het digitale aanvalsoppervlak en herzie dreigingsscenario’s regelmatig. De vraag is niet alleen of bestaande maatregelen vandaag voldoende zijn, maar ook of zij opgewassen zijn tegen tegenstanders die morgen aanzienlijk sneller kunnen handelen.”

Nu AI het ontdekken én misbruiken van kwetsbaarheden versnelt, wordt het steeds belangrijker om ook minder zichtbare risico’s tijdig te herkennen en te onderzoeken.

Meer weten? Harrison Sand vertelt alles over het onderzoek in zijn presentatie ‘How we accidentally built a nation-scale tracking system’ tijdens ONE Conference op 7 oktober in Den Haag. Ben je niet bij ONE Conference? Bekijk dan meer informatie op de website van mnemonic: mnemonic.io/ONE2026