Zou de aanval op de koelsystemen van Franse supermarkten zich ook in België kunnen voordoen? Ja, verzekert Approach Cyber
Koelkasten die tot 50 °C zijn opgewarmd: een ongekende cyberaanval in honderden Franse supermarkten. Zullen we in België gespaard blijven?
Andere landen zouden ook getroffen kunnen worden, zo hebben de Franse onderzoekers laten weten. Jean-François Stenuit, Senior Cybersecurity Consultant, Approach Cyber, bevestigt dit.
„Uit een snel onderzoek, uitgevoerd op 12 oktober met behulp van detectietools voor verbonden apparaten – waarbij werd gekeken naar de titel van de webpagina of de handtekening van het ‘favicon’ van de controllers – bleek datongeveer 700 Danfoss-apparaten in België aan het internet zijn blootgesteld. Daarvan lijken er bijna 400 een kwetsbare versie te gebruiken. Verschillende Belgische distributieketens, waaronder enkele grote, behoren tot de betrokken entiteiten…“
Verlies van goederen, maar ook brandgevaar. Gezien deze risico’s vraagt het ANSSI om een dringende ontkoppeling van het internet of, op zijn minst, een zeer restrictieve netwerkfiltering. De betrokkenheid van apparatuur van Danfoss, een Deense industriële groep, is bevestigd door een bulletin van CERT-FR, waarin wordt vermeld dat er kennis is van talrijke inbreuken op controllers uit de AK-SM- en AK-SC-series. CERT-FR roept op om de toegang tot deze apparaten te verbreken of te filteren en herinnert eraan dat het blootstellen van een beheerinterface op het internet in strijd is met de goede praktijken.
Het topje van de ijsberg
„De diepvrieskisten in supermarkten vormen slechts het topje van de ijsberg“, vervolgt Jean-François Stenuit. We hebben te maken met een problematische praktijk op het gebied van cyberbeveiliging, die in alle sectoren wordt waargenomen die afhankelijk zijn van IoT-controllers. Vaak kiezen IT-integrators en onderhoudsverantwoordelijken voor deze apparatuur, uit gemakzucht of door een gebrek aan bewustzijn, voor de slechtst mogelijke oplossing om op afstand toegang te krijgen tot een apparaat: ze openen een poort op de firewall of de router en leiden deze om naar het apparaat! »
Ter verdediging heeft de Deense fabrikant aan het vakblad „Le Monde des surgelés“ uitgelegd dat het merendeel van de betrokken apparaten AK-SM800- en AK-SC355-modellen zijn, die het einde van hun levensduur hebben bereikt en geen software-updates meer ontvangen. De eerste getroffen apparaten maakten volgens de fabrikant gebruik van verouderde firmware.
Het bedrijf geeft bovendien aan klanten te begeleiden bij het nemen van beschermingsmaatregelen en al geruime tijd aan te bevelen om ondersteunde producten te updaten of oude apparaten te vervangen.
Een poort openen betekent het apparaat blootstellen aan het internet
Volgens Jean-François Stenuit is een veelgehoord bezwaar: „Mijn apparaat staat niet rechtstreeks op het internet; het wordt beschermd door onze firewall, we hebben slechts één poort geopend. ” Maar dat is nu juist wat directe blootstelling inhoudt. Een poortdoorsturing stelt de webinterface van het apparaat bloot aan het hele internet, waarbij de firewall zich ertoe beperkt het verkeer door te laten. Iedereen – inclusief een geautomatiseerde scantool – kan het apparaat dan bereiken, het testen en misbruik maken van de kwetsbaarheden, zonder dat een VPN of authenticatiemechanisme als bescherming fungeert.
De olifant in de kamer
„Niemand heeft het erover. Toch weten alle professionals in de sector dat een IoT-apparaat dat via een willekeurige poort is blootgesteld en vanaf het internet toegankelijk is, vroeg of laat het slachtoffer zal worden van een kwetsbaarheid. Integrators weten het, onderhoudsteams weten het, en klanten die voor deze dienst betalen, vermoeden het vaak wel! Toch blijft deze praktijk bestaan: het gaat snel, kost weinig, en er lijkt niets mis te gaan… tot de dag dat alles ineens misgaat. Een poort die ‘tijdelijk’ voor een technicus is geopend, blijft vaak voor onbepaalde tijd openstaan.”
Voor de aanval die in Frankrijk werd waargenomen, waren geen complexe technieken nodig: kwetsbare apparatuur identificeren via scantools, het lek misbruiken en vervolgens de temperatuur instellen op 50 °C. De verfijning zit hem elders: in de gelijktijdigheid van de operatie, die honderden winkels van verschillende winkelketens trof. Een dergelijk coördinatieniveau getuigt van een zorgvuldige voorbereiding en bewijst dat deze kwetsbaarheid bekend is en op grote schaal kan worden uitgebuit.
Wat is de oplossing?
Het klassieke antwoord bestaat uit twee woorden: patchbeheer! Maar in de wereld van het IoT weet iedereen dat apparatuur aan het einde van de levensduur in gebruik blijft, simpelweg omdat ze „nog steeds werkt“.
„De echte oplossing ligt in een strikte netwerksegmentatie: IoT-apparatuur achter firewalls plaatsen en de toegang op afstand beperken via een VPN en jump hosts. Maar bovenal”, benadrukt Jean-François Stenuit, „geldt één gouden regel: stel apparatuur nooit rechtstreeks bloot aan het internet – want het openen van een poort komt precies daarop neer! ”
En hoe zit het bij uw bedrijf?
Deze cyberaanval brengt ook de zeer concrete gevolgen aan het licht die een incident van deze omvang kan hebben. Naast de vernietiging van de voorraden moeten distributeurs ook de kosten dragen voor technische interventies, eventuele vervanging van controllers, herbevoorrading en exploitatieverliezen.
Hoe zit het bij u? Weet u welke apparaten in uw park momenteel via het internet toegankelijk zijn? Approach Cyber kan uw risiconiveau beoordelen en u helpen uw infrastructuur te versterken met AXS Guard, onze in België ontwikkelde firewalloplossing.
