‘Nederlandse internetondernemer ontving tien jaar lang Amerikaanse militaire e-mails’

Cybersecurity Joost Zuurbier kreeg toegang tot de mails, omdat hij de domeinnaamextensie .ml in beheer had. Die verschilt maar een letter van .mil, waar onder meer het Amerikaanse ministerie van Defensie gebruik van maakt.
Zuurbier kreeg tien jaar geleden de domeinnaamextensie .ml in beheer, maar nu krijgt de Malinese overheid de extensie weer in handen.
Zuurbier kreeg tien jaar geleden de domeinnaamextensie .ml in beheer, maar nu krijgt de Malinese overheid de extensie weer in handen. Foto Getty Images

De afgelopen tien jaar zijn door tikfouten „miljoenen” Amerikaanse militaire mails in handen gekomen van de Nederlandse internetondernemer Joost Zuurbier. Dat schrijft de Financial Times maandag. Omdat Zuurbier de eigenaar is van het bedrijf Mali Dili BV, dat het .ml-domein van de Malinese overheid beheert, kreeg hij toegang tot de mails. Die waren bedoeld voor de extensie .mil, die door het Amerikaanse ministerie van Defensie wordt gebruikt.

Volgens de ondernemer kwamen er dit jaar alleen al bijna 117.000 verkeerd verzonden e-mails binnen. Vanaf maandag zou de controle over het .ml-domein teruggaan naar Mali, omdat het contract van Zuurbier afloopt, maar daar zit nog „wat vertraging” in, zo laat hij aan NRC weten.

Er kwam veel spam binnen, maar ook gevoelige informatie over de Amerikaanse krijgsmacht en diens partners. Zo kon Zuurbier via zijn bedrijf foto’s van militaire bases, medische data en identiteitsdocumenten van Amerikaanse militairen inkijken. Een van de mails die per abuis naar .ml-accounts werd verzonden betrof het bezoek van James McConville, de stafchef van het Amerikaanse leger, aan Indonesië in mei van dit jaar. Zuurbier kreeg toegang tot gedetailleerde reisinformatie, van de kamernummers van de delegatie in het Grand Hyatt in Jakarta tot de exacte reisplanning van McConville en zijn delegatie.

Pentagon gealarmeerd

Zuurbier beheert het .ml-domein sinds tien jaar; via Mali Dili verwerkte hij al het verkeer naar die internetzone. Aan de Financial Times vertelt hij dat hij de Amerikaanse overheid verschillende malen liet weten dat de militaire e-mails naar .ml-adressen verzonden werden. Zuurbier waarschuwt dat „tegenstanders van de VS” de verkeerd verzonden informatie in handen kunnen krijgen, nu de extensie .ml naar Mali gaat. Een Pentagon-woordvoerder zegt tegenover de Amerikaanse zender CNN op de hoogte te zijn en de situatie serieus te nemen.

Volgens de FT belandde ook een klein aantal e-mails van het Nederlandse ministerie van Defensie in handen van Zuurbier. De mails zouden onder meer gaan over de mogelijke kwetsbaarheid van een Nederlandse Apache-eenheid voor cyberaanvallen en het ophalen van munitie in Italië. Het ministerie van Defensie laat in een reactie weten dat „menselijke fouten” uiteraard voor kunnen komen, maar is nog aan het achterhalen of en hoe de e-mails bij Zuurbiers bedrijf zijn beland.

Lees ook dit onderzoeksverhaal: Het riool van het internet loopt via Amsterdam en Tokelau. ‘Domeinen die gratis weggegeven worden, trekken ellende aan’

Miljoenenclaim van Meta

Zuurbier beheerde niet alleen de domeinnaamextensie .ml., maar ook vier andere extensies, waaronder .tk, van de kleine eilandstaat Tokelau. Hij gaf domeinnamen met die extensie de afgelopen twintig jaar gratis weg en leasde ze in ruil voor een deel van de opbrengsten. De extensie .tk groeide daardoor uit tot een van de meest gebruikte op het wereldwijde web.

Maar het is ook de domeinnaam die in groten getale malafide praktijken als spam en phishing (via e-mail internetgebruikers naar een valse website lokken om ze gevoelige gegevens afhandig maken) aantrok. Eerder dit jaar noemde Zuurbier de domeinnamenhandel tegen NRC het „slechtste businessmodel ever”. Meta heeft een claim van een half miljard dollar bij hem neergelegd. Het moederbedrijf van onder meer Facebook stelt dat Zuurbier via zijn domein-business medeplichtig is aan inbreuk op het merkrecht en het faciliteren van cybercriminaliteit.