Honderdtweeënveertig dagen voordat Nigerianen naar de stembus gaan om hun volgende leiders te kiezen in de algemene verkiezingen van 2027, werden op de officiële website van de Independent National Electoral Commission (INEC) casino-pagina’s aangetroffen, de instantie die de verkiezing zal organiseren en de uitslag zal bekendmaken.

De ontdekking werd laat op 26 augustus 2026 gedaan, 23 dagen vóór de volgende geplande tussentijdse verkiezingen en slechts enkele weken nadat INEC’s eigen ICT-directeur had bevestigd dat de belangrijkste accreditatieapparaten van het land nog steeds op Android 10 draaien.

Op 26 augustus documenteerde dataonderzoeker Mundus ongeveer 28 artikelen over casino’s en gokken die rechtstreeks waren gepubliceerd op inecnigeria.org. Het ging niet om uitgaande links, maar om live pagina’s op het officiële domein, waaronder uitleg over casino’s in het Tsjechisch, promoties voor “instant casino France” en vergelijkbare zoekmachineverleidingen, gegroepeerd onder de WordPress-auteursnaam Ajuma Achor.

Diezelfde naam verschijnt in professionele registraties als Head of Marketing bij Interra Networks, een ICT-bedrijf dat eerder contactcenter- en andere diensten aan INEC heeft geleverd. Mundus schetste twee mogelijkheden: een publicatieaccount dat al lange tijd was gecompromitteerd en nooit was gecontroleerd, of iemand met legitieme toegang die het gebruikte voor betaalde SEO-plaatsingen. Hoe dan ook geldt: inloggegevens waarmee stilletjes tientallen gokpagina’s kunnen worden gepubliceerd, kunnen in principe ook een verzonnen uitslagbericht of een valse aankondiging plaatsen wanneer het land toekijkt.

Diezelfde nacht werd een tweede probleem gemeld: voters.inecnigeria.org zou niet-gerelateerde Russische tekst weergeven en een SSL-certificaat gebruiken dat toebehoorde aan een nieuw geregistreerd, niet-gerelateerd domein, een klassiek teken van een mogelijke subdomain takeover. Een host voor kiezers in zo’n toestand is niet slechts een cosmetisch probleem. Hij staat naast de kanalen die burgers gebruiken om registratie te controleren en officiële digitale diensten als authentiek te beschouwen.

Het Afrikaanse netwerk dat al in overheidswebsites zit

De overname van de INEC-website past in een campagne die Techpoint Africa onlangs documenteerde: een netwerk met Indonesische links dat casino-inhoud plaatste op ongeveer 20 overheidswebsites in 16 Afrikaanse landen, waaronder Nigeria, Egypte, Kenia, Oeganda, Ghana en Zuid-Afrika. Het doel was zoekmachineranking. Google vertrouwt gevestigde officiële domeinen meer dan nieuwe goksites. Verstop een casino-pagina in een overheids-CMS en de operators erven dat vertrouwen. Google trad in 2024 zelf op tegen dit patroon, toen het spambeleid rond “site reputation abuse” zich ging richten op inhoud van derden die op gezaghebbende domeinen werd gepubliceerd om hun zoekranking te misbruiken.

Onderzoeker Chris Nwobi van Zend Cybersecurity Threat Labs zei dat de aanvallers geen geavanceerde exploits nodig hadden. Verouderde software en via internet toegankelijke beheerpanelen waren voldoende. Een gokgerichte aanwezigheid was al vanaf november 2024 waargenomen op de site van Nigeria’s Federal High Court. Tegen mei 2026 serveerden meerdere Nigeriaanse instanties Indonesisch gemerkte content, waaronder meldingen met “SLOT88”. GitHub-commits tijdens Indonesische werktijden, lokale supportnummers en QRIS-betaalrails wezen terug naar hetzelfde ecosysteem. Het dossier van juli noemde instellingen zoals NILDS, NEMA, NAERLS, de EFCC en de Federal High Court. INEC stond niet op die oorspronkelijke lijst. Als wordt bevestigd dat deze aanval van dezelfde dreigingsactor afkomstig is, betekent dat dat de kiescommissie zich nu heeft aangesloten bij een club waar zij nooit had mogen binnenkomen.

Het motief van het netwerk lijkt commercieel, maar dat maakt de voet tussen de deur niet onschadelijk. Zodra een aanvaller of insider naar een officieel CMS kan schrijven, kan datzelfde kanaal worden gebruikt voor desinformatie, phishingpagina’s die kiezersdata proberen te verzamelen, of een opzettelijke verstoring op verkiezingsdag.

Enkele weken vóór het website-incident bevestigde INEC-directeur ICT dr. Lawrence Bayode op Arise TV dat het Bimodal Voter Accreditation System nog steeds Android 10 draait, de versie waarop de apparaten in 2021 werden geleverd. Google beëindigde in 2023 de reguliere beveiligingsondersteuning voor die release. Bayode zei dat de commissie niet alleen op het besturingssysteem vertrouwt. Volgens hem gebruiken de apparaten een vergrendelde, aangepaste build, extra door INEC gecontroleerde beveiligingslagen en geïsoleerde apps voor accreditatie en het uploaden van resultaten. Hij zei ook dat er geen plan is om het OS vóór 2027 te wijzigen, omdat een nieuwere Android-versie hardware-upgrades zou vereisen, waaronder meer RAM, wat de apparaten zou kunnen vertragen. BVAS is geen nieuw experiment: het verving de smartcardlezer die sinds 2015 werd gebruikt, en onder de Electoral Act 2022 is het het apparaat dat kiezers elektronisch accrediteert en resultaatbeelden van stembureaus doorstuurt naar het INEC Result Viewing-portaal (IReV), waarvan de vertraagde uploads tijdens de presidentsverkiezingen van 2023 een belangrijk punt van kritiek werden in de rechtszaken die daarop volgden.

Critici, waaronder voormalig vice-president Atiku Abubakar en onafhankelijke cyberanalisten, stellen dat een ongepatcht basissysteem het aanvalsoppervlak nog altijd vergroot. Openbare Android-bulletins hebben kritieke remote-code-execution-kwetsbaarheden genoemd die Android 10 treffen. Een aangepaste build erft een deel van dat risico als de onderliggende kernel en bibliotheken niet onafhankelijk worden onderhouden. BVAS-apparaten registreren vingerafdrukken en gezichten, vergelijken die met het register en verzenden uitslagen per stemlokaal. Een gecompromitteerde eenheid zou in theorie gecachte accreditatielogs of resultaatbestanden kunnen wijzigen voordat ze het stemlokaal verlaten.

De augustus-test in Osun leverde al storingen op die INEC toeschreef aan oudere kiezersrecords die hoge overeenkomstsscores genereerden. Die incidenten waren technisch van aard. Het geloofwaardigheidsprobleem dat eruit voortkomt is politiek: dezelfde instelling die nu wordt beschuldigd van het hosten van casino-pagina’s op haar publieke site, vraagt het land te vertrouwen op apparaten waarvan het besturingssysteem al drie jaar niet meer wordt ondersteund.

Integriteit van verkiezingen begint niet op de avond van de telling. Het begint bij de vraag of burgers geloven dat het register schoon is, de accreditatieapparaten onder controle zijn en officiële websites niet ongemerkt kunnen worden herschreven. De publicatietoegang op inecnigeria.org is niet aantoonbaar streng geïnventariseerd. Een votersubdomein in onveilige toestand laat zien dat zelfs infrastructuur die burgers direct raakt, kan afdrijven. Android 10 op BVAS laat zien dat de hardware-aankoop uit 2021 als een eindproduct werd behandeld in plaats van als een systeem dat een beveiligingslevenscyclus nodig heeft.

Kiezersdata is het meest gevoelige bezit in die keten: biometrische gegevens, adressen, toewijzingen aan stemlokalen en het historische register. Casino-pagina’s op een WordPress-site zijn niet hetzelfde als een dump van het nationale register. Ze zijn bewijs dat schrijf­toegang en perimetercontrole zwak genoeg waren voor buitenstaanders, of insiders met overgebleven inloggegevens, om op grote schaal content te plaatsen. De zwakheden die een goknetwerk in staat stelden Afrikaanse overheidsdomeinen te gebruiken, kunnen opnieuw worden ingezet door actoren die stemmen willen, niet weddenschappen.

De website en de BVAS zijn verschillende machines. Een bloglogin kan op zichzelf geen resultaatbestand op een handheld apparaat herschrijven. Een niet-ondersteunde Android-build bewijst niet dat SEO-operators het register hebben aangeraakt. Het gevaar zit in het patroon: verwaarloosde officiële sites, langdurige relaties met leveranciers en verkiezingstechnologie die als hardware werd gekocht in plaats van als een platform dat moet worden gepatcht tot de laatste stem is geteld.

Wat INEC vóór 2027 moet doen

Nigeria’s volgende nationale test heeft al een datum. De presidents- en Nationale Assembleeverkiezingen staan gepland voor januari 2027. Casino-slugs verwijderen, als ze nog live zijn, is het minimum. Dat is niet het verhaal.

INEC heeft een openbaar forensisch onderzoek nodig naar elk publicatieaccount, elke leveranciersinlog en elk subdomein. Het heeft ngCERT, het nationale computer-noodteam van Nigeria, nodig om de claim rond het votersubdomein te onderzoeken. Het moet duidelijk maken of Android 10-apparaten op nationale schaal verdedigbaar zijn, of dat de 2021-vloot technische schuld is met een verkiezingslogo erop. En het moet rapporteren wat er, indien al iets, is benaderd naast SEO-pagina’s.

Tot die antwoorden er zijn, zijn de casino-artikelen op inecnigeria.org geen gênante voetnoot, maar een waarschuwing die 142 dagen te dicht bij een cruciale presidentsverkiezing is afgegeven.