Hoe slechte digitale beveiliging zorgde voor bedorven voedsel
Een supermarkt is afhankelijk van veel meer dan kassasystemen en computers. Denk aan de koelingen waarin vlees, zuivel en diepvriesproducten worden bewaard. Die installaties moeten dag en nacht hun werk doen. Als de temperatuur te hoog wordt, kan een complete voorraad verloren gaan. Dat is precies wat er onlangs in verschillende Europese landen gebeurde. Aanvallers kregen toegang tot de digitale besturing van koelsystemen bij supermarkten en andere bedrijven en veranderden de instellingen. In sommige gevallen liep de temperatuur zo hoog op dat producten moesten worden weggegooid. Het klinkt misschien als een ingewikkelde, geavanceerde cyberaanval. De eerste aanwijzingen wijzen echter op een veel eenvoudiger probleem. En daar kunnen ook andere organisaties van leren.
Een koelkast met een internetverbinding
Moderne koelinstallaties zijn vaak voorzien van een computer die de temperatuur regelt. Deze kan ook met internet verbonden zijn. Dat is praktisch. Een onderhoudsbedrijf kan op afstand controleren of alles goed werkt, storingen onderzoeken en instellingen aanpassen.
Maar daar zit ook het risico. Zodra een apparaat via internet bereikbaar is, moet je goed nadenken over wie er toegang toe heeft. Dat geldt niet alleen voor laptops en servers, maar ook voor camera's, verwarmingsinstallaties, zonnepanelen en industriële apparatuur.
Volgens berichtgeving van de NOS en Security.NL waren de getroffen koelsystemen onvoldoende beveiligd. Er waren systemen die rechtstreeks via internet bereikbaar waren en waarbij de beveiligingsupdates nog niet overal waren geïnstalleerd. Daarnaast werd er nog vaak een standaardwachtwoord gebruikt.
Een standaardwachtwoord is een wachtwoord dat de fabrikant vooraf instelt. Als niemand dat verandert, kan een aanvaller proberen met dat bekende wachtwoord binnen te komen. En als beveiligingsupdates niet worden geïnstalleerd, kunnen bekende kwetsbaarheden blijven bestaan en misbruikt worden.
Je hoeft dus niet per se een ingewikkeld virus te ontwikkelen of een medewerker te misleiden met een overtuigende phishingmail. Soms is het voldoende om een apparaat te vinden dat open en onvoldoende beveiligd aan het internet hangt.
Van digitale toegang naar bedorven producten
Wat deze aanvallen bijzonder maakt, is dat de aanvallers niet simpelweg bestanden hebben gestolen of computers hebben versleuteld. Ze veranderden de instellingen van apparatuur die in de fysieke wereld iets aanstuurt. De apparaten hoefden hierbij niet eens kapot te worden gemaakt. Het was al voldoende om de instellingen te veranderen en ze hun eigen werk verkeerd te laten doen. Het gevolg is heel concreet: producten worden te warm, voedselveiligheid komt in het geding en winkels moeten mogelijk hun voorraad vernietigen. Een digitale aanval blijft dus niet altijd beperkt tot gegevens of computers. De gevolgen kunnen direct merkbaar zijn in de fysieke wereld.
De les geldt niet alleen voor supermarkten
De incidenten met de koelsystemen laten zien wat er kan gebeuren als gemak belangrijker wordt dan beveiliging. Deze les geldt niet alleen voor supermarkten. We verbinden steeds meer apparaten en systemen met internet. Dat maakt beheer op afstand makkelijker, maar brengt ook risico’s met zich mee. Vraag daarom bij ieder apparaat af of een internetverbinding echt nodig is. Is die verbinding nodig, zorg er dan voor dat het apparaat niet voor iedereen via internet bereikbaar is. Beperk de toegang bijvoorbeeld met een goed ingerichte VPN, autorisatie of IP-whitelisting en geef alleen bevoegde medewerkers toegang. Scherm apparaten die de bedrijfsvoering aansturen daarnaast af van andere systemen, verander standaardwachtwoorden en installeer beveiligingsupdates. Zorg ten slotte dat duidelijk is welke apparaten binnen de organisatie in gebruik zijn en wie verantwoordelijk is voor het beheer ervan.