Supermarkten door heel Europa zijn in de nacht van zondag op maandag getroffen door een cyberaanval. Net als medio vorige maand in Frankrijk hebben de aanvallers koelsystemen op ‘ontdooien’ gezet. Hoe kan dat en wie doet dat?
is economieredacteur van de Volkskrant. Ze schrijft over (web)winkels, consumentenrechten, post, afval, en hergebruik.
Wat weten we tot nu toe over de hack?
Om drie uur ’s nachts kreeg supermarktfiliaalhouder Davy Van De Kerckhove van supermarkt Proxy Delhaize in Grembergen een alarmbericht dat de koeling in zijn supermarkt aan het opwarmen was. Hij toog direct naar de winkel en stuurde de koeling met de hand bij. Meer dan 1.000 kilometer verderop in Böda, Zweden, had filiaalmanager Mats Olsson minder geluk: hij trof een plas water op de vloer aan toen hij zijn ICA-supermarkt opende. De vriezer gaf een temperatuur van 55 graden aan.
Een cyberaanval op de IT-besturing van de koel- en vriesinstallaties lijkt de oorzaak van de problemen in België en Zweden, die zich ook voordeden in Estland, Luxemburg, Ierland, Zweden en Nederland.
In België werden koelkasten en diepvriezers bij Delhaize, Intermarché, Carrefour en Spar getroffen. In Zweden gaat het om winkels van de ketens Coop en ICA. In Nederland zijn enkele slagerijen en kleine buurtwinkels getroffen.
Volgens Stephan Moelans, CEO van het Belgische koelinstallatiebedrijf Sabcobel, hebben aanvallers de verdampers van de installaties op afstand op de ontdooimodus gezet, waardoor de koelkasten opwarmen. Het zou om hetzelfde mechanisme gaan als bij grootschalige cyberaanvallen op honderden winkels in Frankrijk op 11 en 12 oktober.
‘Wij zijn vanaf 1.00 uur vannacht begonnen met het mobiliseren van technici om de situatie onder controle te krijgen’, zei Moelans tegen persbureau Belga. ‘Persoonlijk ben ik sinds 2.00 uur vannacht wakker; we zijn al de hele nacht en ochtend bezig om de getroffen installaties van het net te halen.’
In Frankrijk was het drie weken geleden raak. Hoe kan dit nu opnieuw gebeuren?
Volgens het Belgische bedrijf is er de afgelopen weken hard gewerkt aan extra beveiliging van de systemen. Het was echter nog niet gelukt alle winkels aan te pakken, omdat er soms fysiek regelaars van installaties moesten worden vervangen. Een grote blunder, vinden cybersecurity-experts.
Is er al bekend wie er achter de aanvallen zit?
Daarvoor is het te vroeg. De Zweedse autoriteiten spreken over een aanval en gaan zo de gebeurtenissen van vannacht ook onderzoeken. Ook het Belgische Openbaar Ministerie is een strafrechtelijk onderzoek begonnen naar de laatste cyberaanval.
Cybersecurity-expert Jos Wetzels van Midnight Blue snapt dat wel. ‘Puur technisch gezien zou het kunnen gaan om een groep roekeloze tieners, want het is al langer bekend dat deze systemen kwetsbaar zijn. Eerder zijn militaire supermarkten in de Verenigde Staten en winkels in Israël en Rusland op deze manier aangevallen.’
Door de koelsystemenaanval van 11 en 12 oktober in Frankrijk en door de gebruikte methode vermoedt Wetzels dat er een strategie achter zit. ‘Ze hebben de ontdooimodus aangezet en de lengte van het ontdooien opgerekt om de schade groter te maken. Dat vereist extra technische stappen. Zo’n manier van nadenken is vaak in lijn met een geopolitiek motief. Mijn gok is daarom dat er een statelijke actor of een door een staat gesponsorde actor achter zit.’
Hoe kan het dat hackers in koelkasten en vriezers kunnen komen?
Dit komt doordat supermarkten werken met slimme systemen, vertelt voedselanalist Sebastiaan Schreijen van de Rabobank. ‘Enerzijds door verplichtingen vanwege voedselveiligheid, maar de leverancier heeft via internet ook een verbinding met de apparaten om onderhoud te kunnen plegen en vroegtijdig storingen te kunnen zien. Zo hoeven reparateurs niet telkens bij alle winkels langs, maar krijgen ze een seintje als een systeem aan onderhoud of reparatie toe is.’
De laatste jaren zijn dit soort slimme systemen in supermarkten in opmars. ‘Naast slimme koelers zijn er ook broodovens die op het internet aangesloten zijn en elektrische schapkaarten, die met een druk op de knop vanuit het kantoor kunnen worden aangepast’, vertelt retailanalist Dirk Mulder van ING.
Is afhankelijkheid van ‘slimme’ technologie wel handig in tijden van toenemende cyberdreiging?
De systemen zijn bedacht toen de cybersecuritydreiging niet zo groot was als nu, zegt Mulder. Een online onderhoudssysteem scheelt geld en personeel. Als het werkt, hoeft er minder vaak eten te worden weggegooid. ‘Maar het is ook gevoelig, vooral die vriessystemen. Want als er even een wisseling in temperatuur is, kun je al het eten weggooien.’
De aanvallen in de afgelopen weken geven aan dat de vergaande integratie van bedrijven en systemen risicovol is, zegt Schreijen. ‘Dan blijkt: je bent toch zo zwak als de zwakste schakel.’ Cybersecurity-expert Wetzels is dat met hem eens. Koelinstallatiebedrijven worden ingehuurd door supermarkten, ‘maar dit soort partijen heeft vaak niet zulke sterke veiligheidsmaatregelen en -bewustzijn’.
Wat zegt de reeks aan succesvolle aanvallen over het veiligheidsbewustzijn van de Europese supermarktbranche?
Er gebeurt een hoop, zegt Dirk Mulder van ING. In Scandinavië zijn supermarktketens bezig met het optuigen van een netwerk van noodsupermarkten dat in geval van oorlog of een stroomuitval de bevolking van voedsel kan voorzien.
Ook de Europese Commissie is volop met het onderwerp bezig: sinds 2024 bestaat er een richtlijn die bedrijven die essentiële diensten aanbieden verplicht hun cybersecurity op orde te brengen. Dit heeft in meerdere landen, ook Nederland, tot strengere wetgeving geleid.
In Nederland heeft staatssecretaris Silvio Erkens (Voedselzekerheid, VVD) de supermarktbranche gevraagd een plan te maken om bij een noodsituatie de bevolking te kunnen voorzien van eten en drinken. Daarover wordt nu gesproken, maar het is allemaal nog in een beginstadium, weet Mulder. ‘Terwijl deze incidenten wel aangeven dat de voedselketen erg kwetsbaar is. Ze zullen hard aan de slag moeten.’
Geselecteerd door de redactie
Source: Volkskrant