Hackers konden de koelinstallaties van Belgische supermarkten overnemen door een kwetsbaarheid in de verouderde koelsystemen, die al sinds 2016 geen updates meer ontvangen.
De recente cyberaanval op supermarkten in België en andere Europese landen, waarbij de koelsystemen werden overgenomen, legt de kwetsbaarheid van deze systemen genadeloos bloot. De schade wordt opgemeten en de verontwaardiging is groot. Toch zou dergelijke aanval niet zo verrassend mogen zijn. Amper drie weken geleden vond hetzelfde incident plaats in Frankrijk.
Hoe kan dit op korte tijd opnieuw plaatsvinden, wie zijn de daders en hoe kon dit vermeden worden? We praten met Pieter-Paulus Vertongen, CEO bij Aaltra, softwarebouwer voor geconnecteerde hardware, en Erik Van Buggenhout, cybersecurity-expert bij NVISO.
Ontdooide vriezers
In de nacht van zondag 1 op maandag 2 november vielen cybercriminelen de koelsystemen van Belgische supermarkten aan. Al snel bleek de omvang groter dan gedacht. Gelijkaardige incidenten vonden plaats in onder meer Italië, Finland, Estland, Nederland en Luxemburg.
De verdampers werden op ontdooien gezet waardoor de koelelementen opwarmden. In België werden meer dan 70 supermarkten getroffen, onder meer van Delhaize, Spar en Carrefour. Supermarkten haalden hun koelingen leeg en gooiden noodgedwongen massa’s eten weg.
Kopie van Frankrijk
“Hoe kan je zien dat er miljoenen schade aan voedselverlies opgelopen wordt in een buurland, en zelf niet de vraag stellen of het jou ook kan overkomen?”, vraagt Vertongen zich af. Amper drie weken eerder werd dezelfde aanvalstechniek gebruikt op onder andere de supermarkten van Intermarché in Frankrijk, waarbij miljoenen euro’s schade geleden werd.
Enkele dagen na de cyberaanvallen op de koelsystemen van supermarktketens, meldt Frankrijk opnieuw een gelijkaardig incident. Deze keer op koelsystemen van bloedbanken. Op het moment van schrijven blijkt gelukkig nog niets verloren gegaan.
Russische sabotage?
Bij deze cyberaanvallen viel er commercieel weinig te rapen, en dat is niet wat we gewend zijn van hackers. “De cybercriminelen waar we het meest ervaring mee hebben, zijn diegene die geld willen loskrijgen”, aldus Van Buggenhout. “Dat is hier minder het geval. Je gaat geen geld verdienen door koelkasten te manipuleren.”
Wie zit er dan wel achter dergelijke cyberaanvallen? Van Buggenhout omschrijft twee mogelijke types aanvallers. “Dat zijn mensen die onvrede hebben met een bepaalde realiteit in de maatschappij en dat willen uiten, of actoren die gesteund worden door andere naties die aan hybride oorlogsvoering doen en de zwakke plekken van de samenleving willen ontdekken.”
Zo wordt ook Russische sabotage als mogelijke piste onderzocht, maar nog niet formeel bevestigd. “Het feit dat Rusland zou willen tonen hoe kwetsbaar we in Europa zijn, is zeker aannemelijk”, stelt Vertongen.
Verouderde systemen
Hoe konden de vermeende hackers de koelsystemen dan binnendringen? De getroffen koelinstallaties hingen rechtstreeks aan het internet, zonder VPN ertussen. Volgens Vertongen gaat het om oude systemen waarvoor de fabrikant sinds 2016 geen ondersteuning en geen security-updates meer geeft. Door een parameter aan te passen op de publiek bereikbare pagina van zo’n installatie kon een aanvaller een dagwachtwoord ingeven. “Dat was letterlijk de dag, maand, weekdag en nog twee parameters”, zegt Vertongen. “Daarmee zat je erin en kon je alles doen als administrator.”
Dat achterpoortje had de fabrikant ingebouwd voor zijn servicetechnici, zodat zij snel konden inloggen zonder het wachtwoord van de klant. Vertongen noemt het “geen hack van niveau”: wie het toestel en de opbouw van de dagcode kende, kreeg volledige toegang.
Het is niet omdat iets werkt, dat het ook goed en veilig werkt.
Pieter-Paulus Vertongen, CEO bij Aaltra
Updaten kan zo’n probleem verhelpen. Hij vergelijkt de situatie van de koelsystemen met de bekende Windows-updates. Net zoals Microsoft meldingen stuurt op je laptop voor een nieuwe software-update, gebeurt hetzelfde bij de software van deze koelinstallaties. Wanneer je niet de nieuwste beveiligingsupdate doorvoert, is je toestel niet beschermd. “Dat is alsof je vandaag op het internet surft met Windows 95 en Internet Explorer. Het is niet omdat iets werkt, dat het ook goed en veilig werkt.”
Dat cybercriminelen zich richten op verouderde software van koelinstallaties is volgens Van Buggenhout niet verrassend. Een collega van hem schreef in 2016 al een artikel over koelkasten die een cyberwapen kunnen worden, omdat ze toen ook al vanaf het internet bereikbaar waren.
‘AI als brandversneller’
Hoewel de hack geen verregaande IT-kennis vereiste van de hackers, kan AI hier wel degelijk een rol in spelen. Vroeger kostte het criminelen veel tijd om een kwetsbaarheid te vinden en op grote schaal te misbruiken. “Het moet voor hen ook een return on investment zijn. Als het heel veel moeite kost, laten ze het vaak liggen.”
Met AI verloopt dat zoeken en misbruiken veel sneller. Vertongen merkt dat zelf op in de praktijk. “We hebben een Slack-kanaal waarin alle kwetsbaarheden binnenkomen van het materiaal dat wij gebruiken. Vroeger was dat één keer per week, nu vijf, zes, zeven keer per dag.”
Het antwoord op AI is meer AI.
Erik Van Buggenhout, cybersecurity-expert bij NVISO
“AI moet je met AI bestrijden”, zegt Vertongen. “Als je dat met mensen doet, verlies je de strijd.” Van Buggenhout deelt dezelfde gedachtegang: “Het antwoord op AI is meer AI. Wat je als organisatie absoluut niet kan doen, is het niet gebruiken. “Don’t bring a knife to a gunfight”, klinkt het.
Volgens Van Buggenhout is het wel nog steeds van belang om mensen op de juiste plaats te hebben: “Wij noemen dat vaak human-led, AI-operated. Systemen moeten op zo’n manier opgezet worden dat je enerzijds AI ten volle kan inzetten, maar dat anderzijds mensen nog steeds het overzicht en de controle kunnen behouden. Niet eenvoudig, maar dat gaat een van de interessante uitdagingen van de komende jaren worden”, stelt hij.
Eenvoudig te voorkomen
Het incident had volgens de experten eenvoudig vermeden kunnen worden. Niet iedere onderneming, zeker in bepaalde sectoren, heeft grote budgetten voor een voltijdse cyberspecialist. Toch benadrukken ze dat enkele kleine aanpassingen al een groot verschil kunnen maken.
Een slecht beveiligde installatie van het internet halen, of er een VPN tussen steken, is geen onoverkomelijke kost. In het eerste geval gaat het om het uittrekken van een kabel, wat sommige winkeluitbaters na het hack in Frankrijk effectief hebben gedaan.
Zichtbaarheid
Een eerste belangrijke stap is om te weten welke systemen je hebt en welke daarvan bereikbaar zijn vanaf het internet. “Een jaarlijkse penetratietest is vandaag niet meer voldoende, je moet dat continu in kaart brengen”, benadrukt Van Buggenhout.
Een eerste controle kan gratis via Safeonweb van het Centrum voor Cybersecurity België (CCB). Vertongen raadt aan om zo weinig mogelijk toestellen publiek bereikbaar te maken en er een VPN tussen te zetten. “Dat is een zeer goedkope oplossing waarbij je dezelfde functionaliteit behoudt.”
Van Buggenhout raadt bedrijven ook aan om aandacht te hebben voor onderdelen die een externe partij beheert. “Wie heeft welke verantwoordelijkheid rond cyberveiligheid? Hoe snel worden patches geïnstalleerd? Is dat een extra service waarvoor je moet betalen?”
Daarnaast moet een bedrijf een incidentresponsplan opmaken en dat regelmatig testen met oefeningen. “De dag van vandaag kan je er jammer genoeg van uitgaan dat er vroeg of laat een incident plaatsvindt. Dan is het belangrijk dat je niet moet improviseren en duidelijk weet hoe je reageert en wie wat doet.”
Cyber Resilience Act
Kwetsbaarheden in verouderde software zijn een eenvoudige toegangspoort tot je systemen, en dat gaat verder dan enkel de koelsystemen in supermarkten. Vertongen benadrukt dat ook thuis heel wat kwetsbare apparatuur aan het internet kunnen hangen. Hij denkt vooral aan oudere domoticasystemen waarmee mensen hun huis op afstand bedienen.
“Heb je een domoticasysteem van tien jaar oud waarmee je je deur op afstand opendoet, en heb je dat zelf nooit geüpdatet of nooit een elektricien laten komen om het op de laatste versie te zetten? Dan moet je toch eens kijken.” Hetzelfde geldt voor webcams en deurbellen, die vaak publiek bereikbaar zijn omdat mensen willen zien wie er aanbelt. “Voor het gebruiksgemak is dat fijn, maar als je dat zonder kennis doet, moet je wel opletten.”
De Cyber Resilience Act (CRA) moet daar verandering in brengen. Fabrikanten moeten de software dan ondersteunen zolang het toestel meegaat. “Die koeling en die controles werken allemaal, dat zit er al twintig jaar in. Maar de firmware is al tien jaar niet meer geüpdatet. De CRA is daar een goede oplossing voor, alleen begint die pas in december 2027″, besluit Vertongen.