Het aanvalsvlak van redacties is veel verder uitgebreid dan de klassieke perimeter van redactiesystemen. De bedreigingen voor digitale journalistiek beperken zich niet langer tot het hacken van accounts of denial-of-service-aanvallen: ze maken nu gebruik van de advertentie-infrastructuur zelf, waarbij elke bannerimpressie een potentieel surveillancemiddel wordt.
Programmatic advertising en surveillance van journalisten: een technische blinde vlek
Het adtech-ecosysteem is gebaseerd op realtime biedingen die bij elke paginaweergave technische identificaties (cookies, device fingerprints, geschatte geolocalisatie) verspreiden. Bedrijven die gespecialiseerd zijn in advertentiedata, soms aangeduid als ADINT, aggregeren deze signalen om gedetailleerde profielen op te stellen.
Toegepast op journalisten maakt dit mechanisme het mogelijk om hun verplaatsingen, geraadpleegde bronnen en surfgedrag te reconstrueren, zonder gebruik te maken van spyware die op het apparaat is geïnstalleerd. Het Comité ter Bescherming van Journalisten (CPJ) heeft deze bedreiging gedocumenteerd in een speciaal rapport dat in september 2026 werd gepubliceerd, waarin gevallen worden genoemd waar advertentiescripts dienen als doorgeefluik voor het verspreiden van kwaadaardige ladingen.
Het Franse nationale agentschap voor cybersicherheit heeft deze risico’s al in 2025 bevestigd. In de Verenigde Staten hebben wetgevers het Pentagon in mei 2026 gewaarschuwd voor het gebruik van commerciële gegevens uit online advertenties om gevoelige personeelsleden te targeten, een mechanisme dat direct toepasbaar is op informatieprofessionals. We zien dat de meeste redacties de adtech-laag nog niet integreren in hun dreigingsmodellering, terwijl het een passief en moeilijk detecteerbaar compromitteringskanaal vormt.
Gespecialiseerde bronnen zoals Cyber Journalisme stellen professionals in staat om de evolutie van deze aanvalsvectoren te volgen en hun digitale beschermingspraktijken aan te passen.
Gerichte sociale engineering op versleutelde berichten: phishing van de nieuwe generatie
Phishingcampagnes gericht op journalisten zijn aanzienlijk verfijnd. Recente aanvallen op Israëlische journalisten door Iraanse groepen illustreren een terugkerend patroon: de aanvallers creëren geloofwaardige profielen op WhatsApp of Telegram, bieden redactionele samenwerkingen aan, uitnodigingen voor conferenties of interviewvoorstellen die verband houden met het dekkingsgebied van het doelwit.
De verzonden links leiden naar valse Google-inlogpagina’s of geïnfecteerde bestanden. De personalisatie is zo dat het bericht natuurlijk in de dagelijkse workflow van de journalist past. Dit niveau van targeting maakt klassieke anti-phishingfilters grotendeels ineffectief.
We raden drie onmiddellijke defensieve maatregelen aan voor redacties:
- Fysieke beveiligingssleutels (FIDO2/WebAuthn) implementeren als tweede authenticatiefactor voor alle professionele accounts, de enige betrouwbare bescherming tegen sessiediefstal via een vervalste inlogpagina
- Een beleid voor systematische verificatie van nieuwe contacten op versleutelde berichten opzetten, met bevestiging via een onafhankelijk kanaal (telefoongesprek, fysieke ontmoeting) voordat er documenten worden uitgewisseld
- Journalisten trainen om de markers van contextuele sociale engineering te identificeren: kunstmatige urgentie, professionele vleierij, specifieke verwijzingen naar recente artikelen van het doelwit
Europese Cyber Resilience Act en verplichtingen voor digitale media
De Europese Cyber Resilience Act (CRA) wijzigt het regelgevingskader dat van toepassing is op producten met digitale elementen. Voor media is de impact indirect maar structureel: contentmanagementplatforms, samenwerkingshulpmiddelen en mobiele applicaties van uitgevers vallen onder de reikwijdte van de verordening zodra ze verbonden componenten bevatten.
Persuitgevers die hun eigen applicaties of eigen CMS ontwikkelen, moeten zorgen voor een opvolging van kwetsbaarheden en beveiligingsupdates gedurende de hele levensduur van het product. Deze eis vertegenwoordigt een begrotingspost die kleine redacties niet hadden voorzien.
Verbinding met de AVG en de NIS 2-richtlijn
Compliance wordt niet in silo behandeld. De verwerking van persoonsgegevens van bronnen (contacten, communicatiemetadata, geolocalisatie) valt onder de AVG, terwijl de veerkracht van de infrastructuur onder NIS 2 valt voor entiteiten die worden beschouwd als aanbieders van digitale diensten. Een online medium van gemiddelde grootte kan tegelijkertijd aan de drie teksten onderworpen zijn, met verschillende meldingsverplichtingen en verschillende termijnen.
De European Media Freedom Act (EMFA), die onlangs in werking is getreden, voegt een extra laag toe door het gebruik van spyware tegen journalisten door lidstaten te reguleren. De operationele verbinding tussen deze teksten blijft een open vraag.
Digitale soevereiniteit van redacties: hosting en afhankelijkheid van platforms
De kwestie van digitale soevereiniteit gaat verder dan het gebruikelijke politieke debat. Voor een redactie vertaalt het zich in concrete technische keuzes: waar worden de redactionele gegevens gehost, wie controleert de encryptiesleutels, wat is het niveau van afhankelijkheid van de cloudservices van technologische giganten.
Overstappen naar een soevereine hosting is niet voldoende als de samenwerkingshulpmiddelen bij een extraterritoriale leverancier blijven. De redactiemetadata (wie werkt aan welk onderwerp, op welk tijdstip, met welke bronnen) vormen een schat aan informatie die de locatie van de publicatieserver niet beschermt.
De meest blootgestelde redacties, die onderwerpen van defensie, inlichtingendiensten of georganiseerde misdaad behandelen, nemen geleidelijk compartimentale architecturen aan. Het principe: het fysiek scheiden van de onderzoeks- en communicatieomgeving met bronnen van de redactionele productieomgeving. Deze segmentatie heeft een kostprijs, maar beperkt de reikwijdte van een compromittering aanzienlijk.
Kunstmatige intelligentie en redactionele integriteit
Het toenemende gebruik van generatieve kunstmatige intelligentie in redacties creëert een paradox op het gebied van cybersicherheit. De AI-tools die worden gebruikt voor transcriptie, synthese of vertaling verwerken gevoelige inhoud, soms opnames van vertrouwelijke bronnen. Zonder contractuele garantie dat er niet van deze gegevens wordt geleerd, is het risico van informatielekken reëel.
Verschillende Europese redacties zijn begonnen met het implementeren van lokaal gehoste taalmodellen voor de meest gevoelige taken. De infrastructuurkosten zijn aanzienlijk, maar het behoudt de redactionele controle en beschermt de bronnen.
De digitale transformatie van journalistiek is niet slechts een verandering in het distributiemedium. Het vereist een complete herziening van de beveiligingshouding, van de advertentielaag tot de kunstmatige intelligentietools, en van de naleving van de Europese regelgeving. Redacties die deze dimensie als een bijzaak beschouwen, lopen het risico op compromitteringen waarvan de gevolgen de technische perimeter ver overschrijden.
