Cyberpediadoor Brain
NLDEENESFRIT

Tor, Deep Web en Dark Web

Hoe Tor en onion routing werken, en waarom een medewerker Tor niet op een werkcomputer installeert zonder toestemming van de IT-afdeling.

In 30 seconden

Waar het gebeurt
Kwaadwillende groepen gebruiken Tor voor hun verkeer1.
Wat de aanvaller wil
De herkomst van zijn verkeer verbergen, zodat het bedrijf hem niet kan opsporen2.
De reflex
Installeer Tor niet op een werkcomputer zonder toestemming van de IT-afdeling en download geen "Tor-browser" van een bron die de IT-afdeling niet heeft bevestigd.
Als het al gebeurd is
Waarschuw de IT-afdeling meteen en verwijder zelf niets.

Waar gaat het over

Tor is software en een netwerk waarmee u anoniemer kunt surfen. De naam valt vaak samen met "Deep Web" en "Dark Web", twee begrippen die gemakkelijk door elkaar worden gehaald. Deze fiche legt uit hoe Tor werkt en wat het betekent voor een bedrijf.

De bronnen die hier zijn verzameld, komen uit de kennisbank MITRE ATT&CK, die de technieken van aanvallers beschrijft. Ze vertellen vooral hoe Tor wordt misbruikt en weinig over het gewone gebruik. De fiche houdt zich aan wat ze vaststellen.

Directe vragen

Wat is Tor?

MITRE ATT&CK beschrijft het als een softwarepakket en een netwerk die extra anonimiteit op internet bieden. Het bouwt een keten van relays (een "multi-hop proxy") en gebruikt gelaagde versleuteling om zowel het bericht als de routeringsgegevens te beschermen1. Het bestaat voor Linux, Windows en macOS1.

Wat betekent "onion routing"?

Berichten worden met meerdere lagen versleuteld. Bij elke stap in het netwerk van relays wordt de bovenste laag ontsleuteld en wordt de inhoud doorgegeven aan het volgende knooppunt, tot aan de bestemming1. Het beeld is dat van een ui waarvan elke relay een velletje verwijdert.

Hoeveel relays passeert het verkeer?

De bron zegt dat het verkeer via meerdere knooppunten wordt doorgegeven voordat het het Tor-netwerk verlaat en doorgaat naar de bestemming1. Een aantal noemt ze niet. Het vaak genoemde aantal van drie relays staat in geen van de hier aangehaalde bronnen.

Is het Dark Web illegaal?

Geen van de hier aangehaalde bronnen behandelt de juridische status van het Dark Web of van Tor. De fiche beslist die kwestie dus niet. De bronnen stellen wel een ander feit vast: kwaadwillende groepen gebruiken Tor1.

Wat is het verschil tussen Deep Web en Dark Web?

De hier aangehaalde bronnen definiëren geen van beide termen. Ze beschrijven alleen Tor, een anonimiserend netwerk. Voor het onderscheid tussen niet-geïndexeerde inhoud en diensten die via een anonimiserend netwerk bereikbaar zijn, blijft de IT-afdeling van het bedrijf het aanspreekpunt.

1Hoe het werkt1 min

Tor combineert twee mechanismen. Het eerste is de meervoudige sprong: het verkeer passeert meerdere knooppunten voordat het zijn bestemming bereikt1. Het tweede is versleuteling: Tor verpakt het verkeer in meerdere lagen versleuteling en gebruikt standaard TLS1.

Voor een beveiligingsteam is het effect als volgt. Gewoonlijk kan een verdediger de laatste proxy identificeren die het verkeer passeerde voordat het zijn netwerk binnenkwam. De eerdere proxy's kan hij al dan niet identificeren2. Door meerdere proxy's aan elkaar te koppelen moet de verdediger het verkeer van relay naar relay volgen om de bron te vinden2. MITRE noemt het openbaar toegankelijke Tor-netwerk als voorbeeld van een onion-routingnetwerk2.

Voor de commando- en controlecommunicatie van malware merkt MITRE op dat een implementatie, ondanks een veilig algoritme, kwetsbaar kan zijn voor reverse engineering als geheime sleutels in de malwaremonsters of hun configuratiebestanden zijn ingebakken of daarin worden gegenereerd3.

Aanvallers gebruiken ook proxy's om directe verbindingen met hun infrastructuur te vermijden, om hun commando- en controlecommunicatie te beheren of om communicatiepaden te nemen die al als betrouwbaar gelden, zodat ze geen argwaan wekken4.

2Wat u doet1 min
  • Installeer Tor, of welke anonimiseringssoftware dan ook, niet op een werkcomputer zonder toestemming van de IT-afdeling.
  • Lijkt het erop dat informatie alleen op deze manier bereikbaar is, vraag het dan aan de IT-afdeling in plaats van zelf te zoeken.
  • Biedt een bericht u aan om bedrijfsgegevens op een site van dit type te kopen, te bekijken of te controleren, klik dan niet en meld het bij de IT-afdeling.
  • Hebt u zulke software al geïnstalleerd, meld het dan bij de IT-afdeling, ook als er niets bijzonders lijkt te zijn.
3De valkuilen1 min

Geloven in absolute anonimiteit is de eerste. Versleuteling en relays bemoeilijken het werk van een verdediger: MITRE spreekt van moeite om de bron te identificeren, niet van onmogelijkheid2.

Tor wordt ook door aanvallers gebruikt. MITRE vermeldt onion-netwerken om versleuteld commando- en controleverkeer te vervoeren via een reeks gecompromitteerde machines2. Het verkeer van een aanvaller kan bovendien opgaan in gewoon webverkeer: HTTP/S en WebSocket komen in bedrijfsomgevingen heel veel voor en een aanvaller kan ze misbruiken om normaal verkeer na te bootsen5.

Het netwerk herbergt sites van criminele groepen. Water Galura beheert een datalekkensite op Tor voor de ransomware Qilin en zijn affiliates1. De groep ShinyHunters gebruikte Tor voor zijn eigen lekkensite1. De naam van een bedrijf op zo'n site bewijst op zichzelf geen aanval: de controle is aan de IT-afdeling.

De bronnen behandelen geen valse Tor-browsers, geen gemanipuleerde downloads en geen aanbiedingen van gestolen gegevens. De voorzichtigheid die op die punten wordt gevraagd, volgt uit de instructie van de IT-afdeling en niet uit een hier vastgesteld feit. Eén geval illustreert wel het risico van software die zonder controle is geïnstalleerd: de malware Dok downloadt en installeert Tor via Homebrew2.

4Praktijkgevallen1 min

2025 Poland Wiper Attacks

Bij de wiperaanvallen van 2025 in Polen gebruikten de aanvallers Tor-knooppunten voor hun commando en controle12. In de campagne CostaRicto beheerden de aanvallers commandoservers via Tor1.

Scattered Spider en de Salesforce-gegevensextractie

Volgens MITRE gebruikte de groep Scattered Spider Tor om te communiceren met de doelorganisaties1. Tijdens de campagne Salesforce Data Exfiltration gebruikten de aanvallers Tor-IP-adressen voor telefoongesprekken en het verzamelen van gegevens1.

Operation Wocao

Tijdens Operation Wocao gebruikten de aanvallers Tor-exitknooppunten om opdrachten uit te voeren1.

Fiche

Identificatie
CP-234
Vleugel
3. Protocollen en verdediging
Brain-competentie
Veilig surfen (browse_safely)
Brain-reflex
cr-077
Schema
G3 · Anatomische doorsnede
Talen
de, en, es, fr, it, nl
Bronnen
5 bronnen gecontroleerd op 3 november 2026
Bronnen5 bronnen
  1. MITRE ATT&CK, “Tor”. https://attack.mitre.org/software/S0183/ (geraadpleegd op 3 november 2026)
  2. MITRE ATT&CK, “Proxy: Multi-hop Proxy”. https://attack.mitre.org/techniques/T1090/003/ (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Encrypted Channel”. https://attack.mitre.org/techniques/T1573/ (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “Proxy”. https://attack.mitre.org/techniques/T1090/ (geraadpleegd op 3 november 2026)
  5. MITRE ATT&CK, “Application Layer Protocol: Web Protocols”. https://attack.mitre.org/techniques/T1071/001/ (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Tor, Deep Web en Dark Web”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/tor-deep-web-dark-web/

BibTeX 
@misc{brain_cp234_nl_2026,
  author = {Brain},
  title = {Tor, Deep Web en Dark Web},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/tor-deep-web-dark-web/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0