--- id: CP-234 slug: tor-deep-web-dark-web lang: nl title: Tor, Deep Web en Dark Web description: Hoe Tor en onion routing werken, en waarom een medewerker Tor niet op een werkcomputer installeert zonder toestemming van de IT-afdeling. canonical_url: https://startbrain.io/cyberpedia/nl/articles/tor-deep-web-dark-web/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/tor-deep-web-dark-web.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Tor, Deep Web en Dark Web”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/tor-deep-web-dark-web/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-077 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/tor-deep-web-dark-web/ fr: https://startbrain.io/cyberpedia/fr/articles/tor-deep-web-dark-web/ en: https://startbrain.io/cyberpedia/en/articles/tor-deep-web-vs-dark-web/ de: https://startbrain.io/cyberpedia/de/articles/tor-deep-web-dark-web/ es: https://startbrain.io/cyberpedia/es/articles/tor-deep-web-dark-web/ it: https://startbrain.io/cyberpedia/it/articles/tor-deep-web-dark-web/ sources: - "n": 1 title: Tor publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0183/ accessed: "2026-11-03" - "n": 2 title: "Proxy: Multi-hop Proxy" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1090/003/ accessed: "2026-11-03" - "n": 3 title: Encrypted Channel publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1573/ accessed: "2026-11-03" - "n": 4 title: Proxy publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1090/ accessed: "2026-11-03" - "n": 5 title: "Application Layer Protocol: Web Protocols" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1071/001/ accessed: "2026-11-03" --- # Tor, Deep Web en Dark Web Tor is software en een netwerk waarmee u anoniemer kunt surfen. De naam valt vaak samen met "Deep Web" en "Dark Web", twee begrippen die gemakkelijk door elkaar worden gehaald. Deze fiche legt uit hoe Tor werkt en wat het betekent voor een bedrijf. De bronnen die hier zijn verzameld, komen uit de kennisbank MITRE ATT&CK, die de technieken van aanvallers beschrijft. Ze vertellen vooral hoe Tor wordt misbruikt en weinig over het gewone gebruik. De fiche houdt zich aan wat ze vaststellen. ## In 30 seconden - Waar het gebeurt: kwaadwillende groepen gebruiken Tor voor hun verkeer [1]. - Wat de aanvaller wil: de herkomst van zijn verkeer verbergen, zodat het bedrijf hem niet kan opsporen [2]. - De reflex: installeer Tor niet op een werkcomputer zonder toestemming van de IT-afdeling en download geen "Tor-browser" van een bron die de IT-afdeling niet heeft bevestigd. - Als het al gebeurd is: waarschuw de IT-afdeling meteen en verwijder zelf niets. ## Directe vragen ### Wat is Tor? MITRE ATT&CK beschrijft het als een softwarepakket en een netwerk die extra anonimiteit op internet bieden. Het bouwt een keten van relays (een "multi-hop proxy") en gebruikt gelaagde versleuteling om zowel het bericht als de routeringsgegevens te beschermen [1]. Het bestaat voor Linux, Windows en macOS [1]. ### Wat betekent "onion routing"? Berichten worden met meerdere lagen versleuteld. Bij elke stap in het netwerk van relays wordt de bovenste laag ontsleuteld en wordt de inhoud doorgegeven aan het volgende knooppunt, tot aan de bestemming [1]. Het beeld is dat van een ui waarvan elke relay een velletje verwijdert. ### Hoeveel relays passeert het verkeer? De bron zegt dat het verkeer via meerdere knooppunten wordt doorgegeven voordat het het Tor-netwerk verlaat en doorgaat naar de bestemming [1]. Een aantal noemt ze niet. Het vaak genoemde aantal van drie relays staat in geen van de hier aangehaalde bronnen. ### Is het Dark Web illegaal? Geen van de hier aangehaalde bronnen behandelt de juridische status van het Dark Web of van Tor. De fiche beslist die kwestie dus niet. De bronnen stellen wel een ander feit vast: kwaadwillende groepen gebruiken Tor [1]. ### Wat is het verschil tussen Deep Web en Dark Web? De hier aangehaalde bronnen definiëren geen van beide termen. Ze beschrijven alleen Tor, een anonimiserend netwerk. Voor het onderscheid tussen niet-geïndexeerde inhoud en diensten die via een anonimiserend netwerk bereikbaar zijn, blijft de IT-afdeling van het bedrijf het aanspreekpunt. ## Hoe het werkt Tor combineert twee mechanismen. Het eerste is de meervoudige sprong: het verkeer passeert meerdere knooppunten voordat het zijn bestemming bereikt [1]. Het tweede is versleuteling: Tor verpakt het verkeer in meerdere lagen versleuteling en gebruikt standaard TLS [1]. Voor een beveiligingsteam is het effect als volgt. Gewoonlijk kan een verdediger de laatste proxy identificeren die het verkeer passeerde voordat het zijn netwerk binnenkwam. De eerdere proxy's kan hij al dan niet identificeren [2]. Door meerdere proxy's aan elkaar te koppelen moet de verdediger het verkeer van relay naar relay volgen om de bron te vinden [2]. MITRE noemt het openbaar toegankelijke Tor-netwerk als voorbeeld van een onion-routingnetwerk [2]. Voor de commando- en controlecommunicatie van malware merkt MITRE op dat een implementatie, ondanks een veilig algoritme, kwetsbaar kan zijn voor reverse engineering als geheime sleutels in de malwaremonsters of hun configuratiebestanden zijn ingebakken of daarin worden gegenereerd [3]. Aanvallers gebruiken ook proxy's om directe verbindingen met hun infrastructuur te vermijden, om hun commando- en controlecommunicatie te beheren of om communicatiepaden te nemen die al als betrouwbaar gelden, zodat ze geen argwaan wekken [4]. ## Wat u doet - Installeer Tor, of welke anonimiseringssoftware dan ook, niet op een werkcomputer zonder toestemming van de IT-afdeling. - Lijkt het erop dat informatie alleen op deze manier bereikbaar is, vraag het dan aan de IT-afdeling in plaats van zelf te zoeken. - Biedt een bericht u aan om bedrijfsgegevens op een site van dit type te kopen, te bekijken of te controleren, klik dan niet en meld het bij de IT-afdeling. - Hebt u zulke software al geïnstalleerd, meld het dan bij de IT-afdeling, ook als er niets bijzonders lijkt te zijn. ## De valkuilen Geloven in absolute anonimiteit is de eerste. Versleuteling en relays bemoeilijken het werk van een verdediger: MITRE spreekt van moeite om de bron te identificeren, niet van onmogelijkheid [2]. Tor wordt ook door aanvallers gebruikt. MITRE vermeldt onion-netwerken om versleuteld commando- en controleverkeer te vervoeren via een reeks gecompromitteerde machines [2]. Het verkeer van een aanvaller kan bovendien opgaan in gewoon webverkeer: HTTP/S en WebSocket komen in bedrijfsomgevingen heel veel voor en een aanvaller kan ze misbruiken om normaal verkeer na te bootsen [5]. Het netwerk herbergt sites van criminele groepen. Water Galura beheert een datalekkensite op Tor voor de ransomware Qilin en zijn affiliates [1]. De groep ShinyHunters gebruikte Tor voor zijn eigen lekkensite [1]. De naam van een bedrijf op zo'n site bewijst op zichzelf geen aanval: de controle is aan de IT-afdeling. De bronnen behandelen geen valse Tor-browsers, geen gemanipuleerde downloads en geen aanbiedingen van gestolen gegevens. De voorzichtigheid die op die punten wordt gevraagd, volgt uit de instructie van de IT-afdeling en niet uit een hier vastgesteld feit. Eén geval illustreert wel het risico van software die zonder controle is geïnstalleerd: de malware Dok downloadt en installeert Tor via Homebrew [2]. ## Praktijkgevallen ### 2025 Poland Wiper Attacks Bij de wiperaanvallen van 2025 in Polen gebruikten de aanvallers Tor-knooppunten voor hun commando en controle [1][2]. In de campagne CostaRicto beheerden de aanvallers commandoservers via Tor [1]. ### Scattered Spider en de Salesforce-gegevensextractie Volgens MITRE gebruikte de groep Scattered Spider Tor om te communiceren met de doelorganisaties [1]. Tijdens de campagne Salesforce Data Exfiltration gebruikten de aanvallers Tor-IP-adressen voor telefoongesprekken en het verzamelen van gegevens [1]. ### Operation Wocao Tijdens Operation Wocao gebruikten de aanvallers Tor-exitknooppunten om opdrachten uit te voeren [1]. ## Bronnen 1. MITRE ATT&CK, “Tor”. https://attack.mitre.org/software/S0183/ (geraadpleegd op 3 november 2026) 2. MITRE ATT&CK, “Proxy: Multi-hop Proxy”. https://attack.mitre.org/techniques/T1090/003/ (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Encrypted Channel”. https://attack.mitre.org/techniques/T1573/ (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Proxy”. https://attack.mitre.org/techniques/T1090/ (geraadpleegd op 3 november 2026) 5. MITRE ATT&CK, “Application Layer Protocol: Web Protocols”. https://attack.mitre.org/techniques/T1071/001/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/tor-deep-web-dark-web/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.