De koelkasten en diepvriezers van Carrefour, Delhaize, Intermarché en Spar zijn drie weken na Frankrijk getroffen

Enkele tientallen verkooppunten getroffen, misschien zelfs meer dan honderd. Na Frankrijk zijn nu ook België, Luxemburg en Zweden getroffen. De snelle uitbreiding van dezelfde werkwijze naar supermarkten bevestigt dat het om een structurele dreiging gaat.

„Dit kwam niet uit het niets”, zegt Vincent Defrenne, Partner, Cyber Strategy & Architecture, NVISO. Drie weken geleden zagen we precies hetzelfde in Frankrijk. En toch waren in België koelinstallaties nog steeds zonder enige bescherming met het internet verbonden…“

Hetzelfde scenario, dezelfde gevolgen. De grootschalige cyberaanval van maandagochtend doet denken aan die in de nacht van 11 op 12 oktober tegen de winkelketens Carrefour, Coopérative U, E.Leclerc en Intermarché. Door de aangesloten koelregelaars – met name van leverancier Danfoss – te hacken om het ontdooien te forceren en de temperatuur te laten stijgen tot 50 °C, of zelfs 70 °C, hebben de aanvallers tientallen miljoenen euro’s aan schade veroorzaakt door de vernietiging van tonnen voedsel te forceren.

De snelle uitbreiding van deze werkwijze naar supermarkten in België, Luxemburg en Zweden bevestigt dat het om een structurele dreiging gaat. De werkwijze is namelijk identiek: hackers hebben op afstand de controle overgenomen over de temperatuurregelsystemen van de koelinstallaties – met name apparatuur die gebruikmaakt van slimme oplossingen zoals die van het merk Danfoss.

De aanvalsmethode: het op afstand wijzigen van de instellingen om de verdampers en diepvriezers in de geforceerde ontdooimodus te zetten, waardoor de temperatuur plotseling stijgt en de voorraden verse en diepgevroren producten worden vernietigd. De conclusie van de specialisten luidt als volgt: cyberbeveiligingsexperts en professionals op het gebied van koeltechnisch onderhoud, zoals het bedrijf Sabcobel, bevestigen dat het om hetzelfde type inbraak gaat en dat de kwetsbaarheden die in België en de buurlanden zijn uitgebuit, rechtstreeks aansluiten bij de grootschalige aanval die in Frankrijk plaatsvond.

Een risico dat alle sectoren betreft

Weer die koelsystemen. „En dat is nu juist het probleem”, benadrukt Mathias Caluwaert, Strategic Advisor, Cyber Resilience, Orange Cyberdefense. Deze installaties krijgen vaak minder aandacht op het gebied van cyberbeveiliging dan laptops, servers en bedrijfsapplicaties. Ze vallen onder de OT. ”

Maar zoals bekend kunnen in de horeca, de logistiek of de industrie de aangesloten installaties en beheertools kwetsbare punten vormen. „Deze installaties stellen andere eisen dan een computer. Bij een beveiligingsupdate of een herstart moet bijvoorbeeld rekening worden gehouden met de noodzaak om de continuïteit van de koeling te waarborgen. Dit vereist afstemming tussen de technische dienst, de IT-afdeling en de onderhoudsdienstverlener.”

Maar het punt is: niemand voelt zich verantwoordelijk voor dit risico, stelt Vincent Defrenne vast. „Elk bedrijf dat beschikt over op afstand bediende technische installaties, of het nu gaat om airconditioning, verwarming of toegangscontrole, moet tegenwoordig nagaan wat er online toegankelijk is.”

De incidenten in Frankrijk laten zien waar de schoen wringt

CERT-FR heeft bevestigd dat de aanvallen gericht waren op Danfoss-systemen en op de XWEB-oplossing van Copeland. Het rapport van Orange Cyberdefense wijst met name op controllers die rechtstreeks via het internet toegankelijk zijn en op voorspelbare wachtwoorden, afgeleid van de datum. Welke kwetsbaarheid precies is misbruikt of welke toegangsmethode de aanvallers hebben gebruikt, is echter nog niet definitief vastgesteld.

Dergelijke systemen zijn ook online toegankelijk in België. Volgens een meting van Modat, die door het CERT wordt aangehaald, waren ongeveer 970 Danfoss-systemen en 123 Copeland-systemen via het internet toegankelijk. „Dit is niet het aantal gehackte installaties“, verduidelijkt Mathias Caluwaert. „Deze cijfers tonen echter wel aan hoeveel systemen mogelijk een grondiger controle van hun blootstelling en hun beveiligingsniveau nodig hebben.“ ”

Wie beheert de toegang voor onderhoudsdoeleinden?

Toegang op afstand is handig voor een onderhoudsdienstverlener. Zo kan hij de instellingen controleren of een storing diagnosticeren zonder naar de vestiging te hoeven reizen. Maar ook deze verbinding moet beveiligd zijn en worden gemonitord.

„Juist op dit niveau ontstaan vaak grijze zones”, vervolgt Mathias Caluwaert. De technische dienst beheert de installatie, een leverancier verzorgt het onderhoud en de IT-afdeling bewaakt het bedrijfsnetwerk. Maar wie controleert of de koelregelaar rechtstreeks via het internet toegankelijk is? Wie beheert de gebruikersaccounts? En wie beslist over de vervanging van verouderde apparatuur? ”

Dezelfde vragen stellen zich voor technische gebouwenbeheersystemen, toegangscontroles en industriële installaties in andere sectoren. Dit betekent niet dat deze apparatuur door de betreffende aanvallen is getroffen. Het onderstreept daarentegen wel de noodzaak voor organisaties om precies te weten wie verantwoordelijk is voor hun beveiliging.

Een situatie die specifiek is voor de OT

Temeer omdat de dreiging ook evolueert naarmate de capaciteiten van de aanvallers toenemen, met name dankzij AI. Deze maakt het bijvoorbeeld mogelijk ombepaalde stappen in de operaties te automatiseren, kwetsbaarheden sneller op te sporen en het aantal inbraakpogingen te vermenigvuldigen: „Tegenwoordig, met AI, hebben we het over enkele uren, of zelfs enkele minuten,” merkt Vincent Defrenne op. Het probleem is dat aanvallers steeds sneller te werk gaan, terwijl bedrijven veel meer tijd nodig hebben om kwetsbaarheden te verhelpen en hun systemen bij te werken.”

De situatie is specifiek voor OT: deze systemen worden vaak beheerd door een externe installateur en vallen daardoor buiten de controle van de IT- of beveiligingsverantwoordelijke.

„Deze systemen zouden niet rechtstreeks met het internet verbonden mogen zijn, maar uitsluitend via een beveiligde verbinding. En kleine exploitanten die niet over een eigen beveiligingsteam beschikken, moeten deze vraag gewoon aan hun installateur stellen.”

Veel meer dan alleen een software-update

Er kunnen nu al verschillende belangrijke lessen worden getrokken uit dit nieuwe incident. Ten eerste: cyberbeveiliging moet het IoT en industriële systemen omvatten. Dat betekent dat processen moeten worden beschermd, niet alleen gegevens. Deze aanval toont – eens te meer – aan dat het hacken van fysieke en technische installaties een bedrijf op even verwoestende wijze kan lamleggen. Ten tweede: het gevaar van slecht beveiligde toegang op afstand. De mogelijkheid voor technici om onderhoud op afstand uit te voeren, heeft een groot beveiligingslek gecreëerd.

Industriële toegang op afstand moet drastisch worden beveiligd (gebruik van strikte virtuele privénetwerken (VPN’s), meervoudige authenticatie). Ten derde: verouderde software vormt een groot operationeel risico. Dit is de valkuil van „dode“ systemen. In Frankrijk heeft fabrikant Danfoss aangegeven dat het merendeel van de getroffen installaties verouderde softwareversies gebruikte waarvoor de beveiligingsondersteuning was beëindigd.

Ten slotte, zoals deskundigen na de aanval hebben benadrukt, is een eenvoudige software-update soms onmogelijk op verouderde hardware. Om deze infrastructuren te beveiligen, moeten investeringen worden gedaan om de machines fysiek van het internet te isoleren of gebruik te maken van uiterst beveiligde netwerkverbindingen.

André de Woot en Alain de Fooz