De cyberaanvallen op vries- en koelsystemen bij supermarkten in Nederland, België en andere Europese landen verbazen beveiligingsexperts niet. De ict-beveiliging van industriële systemen is al jaren een punt van zorg, maar blijft grotendeels onderbelicht. Zorgen de ontstane onrust en kosten ervoor dat consumenten, supermarkten, installateurs, IT'ers en leveranciers nu wel warmlopen voor betere basisbeveiliging? De blootgelegde beveiligingsproblemen zijn immers allesbehalve geavanceerd.
De cyberaanvallen op vries- en koelsystemen bij supermarkten in Nederland, België en andere Europese landen verbazen beveiligingsexperts niet. De ict-beveiliging van industriële systemen is al jaren een punt van zorg, maar blijft grotendeels onderbelicht. Zorgen de ontstane onrust en kosten ervoor dat consumenten, supermarkten, installateurs, IT'ers en leveranciers nu wel warmlopen voor betere basisbeveiliging? De blootgelegde beveiligingsproblemen zijn immers allesbehalve geavanceerd.Beveiligingsincidenten rond ict-systemen lijken steeds vaker voor te komen, maar die indruk ontstaat ook doordat de impact steeds groter kan zijn. Dat geldt zeker voor systemen waar veel mensen mee te maken hebben, zoals vries- en koelsystemen in supermarkten. Steeds meer apparaten die traditioneel geen ict-systemen waren, zijn dat tegenwoordig wel. Zulke systemen genieten echter lang niet altijd de kritische aandacht die ict-beveiliging nodig heeft.
Veel beveiligingsincidenten zijn te voorkomen. Nee, dat hoeft niet door onbeperkt budget te besteden aan next-gen AI-gedreven smart securitychains of andere veelbelovende 'beveiligingsoplossingen' van securityleveranciers. De geruchtmakende cyberaanvallen waarbij hackers op afstand de temperaturen verhoogden van vries- en koelsystemen in supermarkten waren namelijk mogelijk dankzij basale beveiligingsfouten.
Deze hackaanvallen waren dan ook te voorspellen. Dat kwam niet alleen doordat er in oktober al soortgelijke aanvallen waren op vries- en koelsystemen bij supermarkten in Frankrijk. Bij de hackaanvallen van begin november in meerdere landen speelden verschillende beveiligingsproblemen. Het gaat om klassieke missers als zwakke wachtwoorden en herleidbare inlogcodes, maar ook om niet geïnstalleerde updates en verouderde hardware. Daarbij zijn sommige van deze systemen ook direct verbonden met het internet en te vinden via gespecialiseerde zoekmachines als Shodan en Censys.
Bij de aanvallen in Frankrijk maakten de aanvallers misbruik van bekende kwetsbaarheden in verouderde firmwareversies. Sommige van die kwetsbaarheden waren in augustus geopenbaard. Leverancier van vries- en koelsystemen Danfoss bracht hiervoor een jaar eerder al updates uit. Die updates blijken niet overal te zijn geïnstalleerd. Krap een halve maand na de Franse aanvallen in oktober leek dat in landen als Nederland, België, Luxemburg, Zweden, Ierland, Estland en Duitsland nog steeds het geval.
Maar het is niet alleen traag of zelfs laks patchbeleid dat hier speelt. De voorspelbaarheid van de golf aan aanvallen in deze landen kwam ook door de harde praktijk van industriële systemen, de voedselbranche en de supermarktsector. Naast niet-aflatende druk om kosten laag te houden, spelen daar mogelijk ook onbekendheid met ict-beveiliging en gebrek aan besef van ict-veroudering. De vries- en koelfunctionaliteit van aangeschafte systemen doet het immers prima.
Verder opereren supermarkten met relatief lage nettomarges. Daardoor is elke kostenbesparing aantrekkelijk. Beheer en bewaking op afstand van vries- en koelsystemen kunnen veel goedkoper zijn dan een legertje monteurs langs supermarkten laten rijden. Daarbij is goede, veilige installatie – in de zin van ict-installatie – wel van belang.
Denk om te beginnen aan een virtual private network (vpn) voor beheer op afstand, in plaats van een systeem direct met het internet te verbinden. Denk verder bijvoorbeeld aan whitelisting van IP-adressen, een modern wachtwoordbeleid, regelmatige pentests van systemen, inventariseren van softwareversies, bijwerken van firmware, plus natuurlijk op de hoogte blijven van trends, hackmethodes en aanvallen.
Deze en andere beveiligingsmaatregelen kosten echter tijd, moeite en geld. Mogelijk krijgen snelheid en gemak voorrang boven securityzaken als configuratiebeperkingen, toegangscontrole en patchbeleid. Of misschien is er niet goed gecontroleerd of systemen die eigenlijk ict-systemen zijn, wel voldoen aan het cyberbeveiligingsbeleid van het bedrijf. Daarvoor moet er een beleid zijn voor ogenschijnlijk prima functionerende vries- en koelkasten.
Dat prima functioneren geldt niet per se voor de achterliggende ict-componenten van die apparaten. Ook die bevatten enkele basale beveiligingsproblemen. Het is niet simpelweg zo dat de uitgebrachte updates nog geïnstalleerd moesten worden. Bij sommige supermarkten stond dat wel op de planning na de aanvallen in Frankrijk, maar gebeurde dat niet op tijd voor deze nieuwste aanvalsgolf. Maar bij andere supermarkten waren de updates niet te installeren, omdat ze verouderde systemen gebruikten die geen ondersteuning meer krijgen. De houdbaarheidsdatum was dus eigenlijk verstreken.
Vervanging van zulke end-of-lifesystemen betekent niet meteen dat hele gangpaden met kostbare vries- en koelsystemen moeten worden vervangen. Leveranciers als Danfoss houden met hun bedieningspanelen rekening met terugwaartse compatibiliteit. Nieuwere modellen zijn 'retro-fit ready' en hebben daardoor ook beheerfuncties voor legacysystemen. Daarmee bieden ze een upgradepad voor gebruikers van oudere vries- en koelsystemen.
Na de Franse aanval verklaarde Danfoss dat de meeste van de getroffen systemen oude firmwareversies draaiden of geheel verouderd waren. Het ging specifiek om de bedieningspanelen AK-SM800 en AK-SC355. Die zijn respectievelijk sinds 2021 en 2016 end-of-life en krijgen respectievelijk sinds 2021 en 2023 geen ondersteuning meer. Voor software is dat best oud en voor computerhardware misschien ook, maar voor industriële apparatuur kan het nog meevallen. Zeker als de kernfunctionaliteit er niet onder lijdt. Totdat het misgaat natuurlijk, zoals nu is gebeurd.
Bovenstaande schetst het beeld dat de beheerders en gebruikers van de gehackte vries- en koelsystemen tekortschoten in de beveiliging daarvan. Maar er is sprake van gedeelde schuld: ook leveranciers blijken basale beveiligingsfouten te maken. Terwijl Danfoss richtlijnen voor cybersecurity biedt, voorzag het zijn product ook van een beheerdersinlog die normale authenticatie omzeilt.
Deze backdoor voor beheerders had als gebruikersnaam admin en als wachtwoord een datumgebaseerde variabele. Dat wachtwoord was eenvoudig te raden. Een recente patch verwijderde deze ingebouwde ingang, maar een dergelijke universele backdoor met een herleidbaar wachtwoord staat natuurlijk haaks op een serieuze securityaanpak. Bovendien blijken updates dus lang niet altijd geïnstalleerd of installeerbaar te zijn.
Naast bovengenoemde basale beveiligingsmissers speelt nog de moderne realiteit dat kwaadwillenden AI-tools kunnen gebruiken om zwakke plekken in systemen te vinden en te misbruiken. Met zoekmachines als Shodan en Censys kunnen hackers al jaren ontdekken wat voor systemen direct bereikbaar zijn via internet. Inlogpogingen op beheerportalen kunnen soms toegang geven en softwarescans bieden inzicht in zwakke configuraties of verouderde versies met kwetsbaarheden. Gebruik van AI-tools door kwaadwillenden zorgt voor een flinke opwarming van deze slechte securitysituatie.
Een gletsjertempo voor het updaten van computers, waaronder dus ook beheersystemen voor vries- en koelsystemen, wordt hierdoor een steeds nijpender probleem. In de ontstane ratrace valt nog wel een voorsprong te nemen door systemen beter af te schermen en te isoleren. Dit zijn lessen die in de ict-wereld al eerder en vaker zijn gegeven. Het blijft de vraag of deze lessen wel goed zijn geleerd. Misschien zorgen smeltende vriesproducten en opgewarmde koelproducten er nu voor dat er minder basale beveiligingsmissers worden gemaakt?
Redactie: Jasper Bakker
Source: Tweakers.net