De pro-Russische hackersgroep NoName057(16) is amper 3 weken na een grote internationale politieactie even actief als voorheen. Half juli werd de groep nog geraakt door een politieoperatie in liefst 12 landen. Maar na een korte dip zijn hun online activiteiten en aanvallen opnieuw erg zichtbaar. VRT NWS kon meelezen in honderden berichten van de hackersgroep. Ons land staat sinds de politieactie in de top 5 van geviseerde landen en zelfs de publieke website van onze militaire inlichtingendienst werd eventjes platgelegd.
"I’ll be back": pro-Russische hackersgroep is ondanks grote Europol-actie actiever dan ooit, ook in België
Deze reportage komt voort uit een samenwerking tussen VRT NWS en het Nederlandse KRO-NCRV Pointer.
“#FuckEastwood”.
We zien de hashtag al in verschillende Telegram-groepen verschijnen op 17 juli 2025. De grote politieactie onder leiding van Europol en Eurojust is op dat moment amper afgelopen.
Tussen 14 en 17 juli vindt immers operatie 'Eastwood' plaats, een grootschalige actie om de pro-Russische hackersgroep NoName057(16) te ondermijnen.
NoName is ook in België bekend omdat de hackers onder andere in de aanloop naar de gemeenteraadsverkiezingen van oktober 2024 liefst 5 dagen op rij overheidswebsites platlegden met DDoS-aanvallen.
Bij een zogenoemde DDoS-aanval worden servers 'gebombardeerd' met verzoeken, waardoor ze overbelast raken en onbereikbaar worden voor de echte gebruikers.
Europol neemt de hackersgroep in het vizier en voert 2 arrestaties uit, 7 arrestatiebevelen, 24 huiszoekingen en 13 individuen. "Ruim 100 servers zijn offline gehaald die de groep wereldwijd gebruikte om DDoS-aanvallen uit te voeren", klinkt het bij Europol. Meer dan 1.100 vermeende aanhangers van NoName057(16) worden bovendien via versleutelde berichtenapps benaderd en gewaarschuwd door de politie.
Maar vrijwel meteen na de operatie laten aanhangers van NoName op Telegram hun stem horen. "#FuckEastwood" klinkt het. Ook "#TimeofRetribution", of vertaald "tijd van vergelding", is een hashtag die erg populair wordt in de groepen rondom de hackers. We lezen ook "I’ll be back" in een aantal berichten.
"De hackers viseren landen, zoals België, die Oekraïne steunen", verduidelijkt Luc Van Bakel van de VRT NWS-Checkredactie.
Communicatie en aanvallen minstens even talrijk
Intussen blijken de hackers op Telegram en in hun aanvallen minstens even actief als voorheen, ziet VRT NWS.
Onze redactie ging op zoek in verschillende kanalen op Telegram waar aanhangers van de hackersgroep in actief zijn. Uit analyse blijkt dat tussen 14 juli 2025 en 5 augustus 2025 – dus in een periode van 3 weken tijd – in meer dan 300 verschillende berichten naar de Europol-actie wordt verwezen met de hashtag #Eastwood.
Die berichten zijn verspreid over 11 groepen die aan NoName gerelateerd zijn en waarin vaak nieuwe DDoS-operaties worden vermeld. Het aantal is een onderschatting, want de groepen waarin gezocht wordt, zijn niet volledig. Eenzelfde bericht wordt soms in verschillende groepen gepubliceerd, waar het al dan niet andere deelnemers bereikt.
De hackersgroep pocht ook zelf over de DDoS-aanvallen die ze beweren uit te voeren. Dat doen ze onder andere op een website waar ze hun eigen DDoS-aanvallen archiveren. Daaruit blijkt dat het aantal DDoS-aanvallen na een korte dip in de week na de Europol-actie opnieuw op het niveau zit van tevoren.
In het jaar vóór de Europol-actie, namelijk in de periode van 15 juli 2024 tot 13 juli 2025, zien we dat de hackers wekelijks gemiddeld 503 verschillende websites in het vizier namen. Tijdens de week van 14 juli 2025 – de week waarin de politieactie plaatsvond - valt dat aantal terug tot een 50-tal aanvallen.
Maar de week nadien – die van 21 juli 2025 – zien we het aantal aanvallen opnieuw stijgen tot ruim 650. De week daarna – die van 28 juli 2025 – zien we zelfs meer dan 700 aanvallen. Die trend lijkt zich ook deze week voort te zetten.
Sinds de activiteiten hernomen zijn, wordt ook België vaak in het vizier genomen. Dat blijkt uit een analyse van de domeinsuffixen van de websites - denk aan '.be' voor Belgische sites of '.de' voor Duitse domeinen - die sinds 21 juli door hackers van NoName in het vizier worden genomen. Daar staan Belgische websites in de top 5 van de meest aangevallen websites.
Duitse en Litouwse websites worden daarin het vaakst getroffen. Dat de doelwitten effectief geraakt worden, zien we op dat moment ook aan de foutmeldingen op bijvoorbeeld Litouwse sites (zie afbeelding hieronder).
Recente slachtoffers in ons land zijn de websites van onder andere de Rijksdienst voor Sociale Zekerheid die op 27 juli anderhalf uur plat werd gelegd en de website van de Haven van Antwerpen-Brugge die op 25 juli langere laadtijden had wegens een DDoS-aanval door NoName.
Ook de publieke website van onze militaire inlichtingendienst ADIV was op 29 juli tijdelijk onbereikbaar wegens een DDoS-aanval door NoName057(16). De impact was gelukkig beperkt, laat een woordvoerder weten.
"Deze aanval had geen impact op de interne systemen of de werking van de dienst. Het is belangrijk om te benadrukken dat de website 'sgrs.be' een platform is dat uitsluitend dient als contact- en communicatie-interface voor het grote publiek."
Waarom zo moeilijk om hackerscollectief stil te leggen?
Het is opmerkelijk hoe snel de hackersgroep zo goed als hetzelfde niveau van activiteit heeft bereikt als voordien. Waaraan ligt dat?
Cyberexpert van Microsoft België en Luxemburg, Bart Asnot, ziet verschillende redenen.
"Eerst en vooral is er hun mindset. Zij willen hun boodschap verder kunnen verspreiden en zorgen er daarom voor dat ze zo snel mogelijk opnieuw kunnen opstarten. Zodra autoriteiten bepaalde infrastructuren uitschakelen, zijn zij in staat om erg snel andere componenten te creëren of om hun illegale praktijken terug actief te maken."
"Bovendien is het uitvoeren van zo’n DDoS-aanval niet complex. Je hebt gewoon de juiste infrastructuurcomponenten nodig en dan ben je weer actief."
"Tot slot zitten er soms relatief grote gemeenschappen achter die hackerscollectieven. Zelfs als de servers verdwijnen, blijven de mensen. Die zijn vaak verspreid over de hele wereld, wat het moeilijk maakt voor politiediensten om erop te reageren."
Wie zit er achter de hackers van NoName?
Volgens eerdere communicatie van Europol zijn leden van NoName057 hoofdzakelijk Russischtalige sympathisanten. "Er is geen centraal leiderschap en de leden beschikken niet over geavanceerde technische vaardigheden", klinkt het.
De belangrijkste drijfveren? "Hun ideologieën en beloningen", klinkt het. Volgens Europol telt het netwerk naar schatting zo’n 4.000 aanhangers. Om oproepen tot actie, stappenplannen om te leren hacken of andere updates te delen en vrijwilligers te ronselen, maakt de groep gebruik van pro-Russische kanalen of chatgroepen op sociale media.
Deelnemers worden vaak betaald in cryptomunten. Undercoveronderzoek van VRT NWS in pro-Russische hackersgroepen toonde eerder al aan hoe Rusland ook in België mensen online ronselt en met cryptomunten betaalt om aan spionage of sabotage te doen. De aanvallen gebeuren niet zelden in het kader van hybride oorlogsvoering.
Bekijk hier onze undercoverreportage in pro-Russische hackersgroepen.
Hebben de nog gezochte leden link met Kremlin?
Namen en foto’s van 5 nog gezochte NoName-leden zijn ook gepubliceerd op de Europol-website . Interessant is dat de man die door Europol als Maxim Lupin wordt geïdentificeerd, ook zou werken als directeur voor het Russische Center for the Study and Network Monitoring of the Youth Environment (ook wel CISM genoemd).
Dat is een project dat naar eigen zeggen de jeugd moet beschermen tegen "destructieve inhoud" op het internet. Volgens het Amerikaans-Britse tijdschrift Wired is het eerder een "pro-Poetin-project" dat sociale media scant op wat zij beschrijven als sociaal gevaarlijke content.
Europol reageert
We vragen ook aan Europol of het niet verrassend is dat de hackers opnieuw aan business as usual lijken te doen.
Een woordvoerder van Europol laat ons weten dat "Operatie Eastwood nooit was bedoeld om de NoName057(16)-groep volledig te ontmantelen. De gecoördineerde rechtshandhavingsactie was gericht op het ontwrichten van een aanvalsinfrastructuur die bestond uit meer dan 100 computersystemen wereldwijd."
"Een dergelijke ontwrichting maakt het voor cybercriminelen moeilijker om te opereren, maar neemt de dreiging niet volledig weg, waardoor aanvallen na een actie nog steeds kunnen plaatsvinden."
"In tegenstelling tot financieel gemotiveerde cybercriminele groepen, die vaak kleiner en gemakkelijker te ontmantelen zijn, vertrouwen hacktivistische groepen zoals NoName op een grote groep individuen die gemotiveerd worden door hun 'zaak'."
Een van de doelen van Operatie Eastwood was volgens Europol dan ook "om een duidelijke boodschap over te brengen aan deze actoren op lager niveau: ze zijn niet anoniem, hun acties hebben gevolgen en ze staan onder het waakzame oog van de rechtshandhaving".
Hoe beschermen tegen DDoS-aanvallen?
Het Centrum voor Cybersecurity België (CCB) heeft recent enkele technische richtlijnen opgesteld die uitleggen hoe organisaties zich kunnen beschermen tegen DDoS-aanvallen.
