‘Amsterdam is walhalla voor Wi-Fi-criminelen’

Het is slecht gesteld met de beveiliging van draadloze netwerken in Amsterdam. Dat stelt cybersecurity-specialist James Lyne van ict-beveiliger Sophos. Hij maakte 14 oktober 2014 op zijn speciaal geprepareerde fiets een ronde door Amsterdam en detecteerde ruim zesduizend onbeveiligde netwerken en aan internet verbonden apparaten. Lyne deed de hoofdstad aan tijdens zijn World of Warbiking-tournee. Hij testte de draadloze veiligheid van bedrijven, woningen en mobiele apparaten.

Van de 14.213 draadloze netwerken die hij al fietsend onderzocht, was maar 33,12 procent afdoende beveiligd. Bijna 45 procent van de netwerken en aan internet gekoppelde apparaten had helemaal geen beveiliging.

In San Francisco, Hanoi, Sydney en Londen kwamen vergelijkbare resultaten naar voren, al doet Amsterdam het wel iets beter dan Londen, waar slechts een kleine 20 procent van de netwerken goed beschermd was. Lyne scande in de twee uur dat hij door Amsterdam fietste 14.213 draadloze netwerken. Daarvan is 43,22 procent open toegankelijk, zonder beveiliging. 4,1 procent is beveiligd via Wired Equivalent Privacy (WEP), waarvan al jaren bekend is dat het eenvoudig te omzeilen is. 19,56 procent is beschermd via Wi-Fi Protected Access (WPA) – inmiddels ook een achterhaald protocol. Slechts 33,12 procent van de beveiliging voldoet aan de huidige beveiligingsstandaarden (WPA2).

James Lyne is de hoogste securityverantwoordelijke binnen de wereldwijde organisatie van beveiliger Sophos. Tijdens zijn World of Warbiking-tour onderzocht hij de wi-fi-veiligheid in San Francisco, Hanoi, Sydney, Londen en Amsterdam. Met wi-fi scanners, access points en GPS-ontvangers op zijn fiets, scant hij de beveiliging van de duizenden wi-fi-netwerken in de stad en test hij het gedrag van mobiele internetters. Hij noemt de resultaten in Amsterdam alarmerend. Lyne: ‘Er zijn schrikbarend veel draadloze netwerken niet of nauwelijks beveiligd. Het is bijna een open uitnodiging aan kwaadwillenden om misbruik te maken van die onveiligheid. Ondanks de jarenlange waarschuwingen van overheden en bedrijven, nemen bedrijven en particulieren online veiligheid onvoldoende serieus. Dat vind ik schokkend.’

The internet of things

Volgens Lyne is netwerkbeveiliging van levensbelang, zeker nu het niet alleen gaat om gegevens die mensen bewust versturen, maar om grote hoeveelheden data die apparaten en servers automatisch onderling uitwisselen zonder tussenkomst van menselijk handelen. ‘Als cybercriminelen de communicatie tussen apparaten onderling en tussen apparaten en servers kunnen onderscheppen, krijgen ze de beschikking over een massa waardevolle gegevens. Het gaat dan bijvoorbeeld om persoonlijke gegevens van klanten en om procesinformatie. Die data móet je goed beveiligen. Dat ben je aan jezelf en je klanten verplicht’, aldus Lyne.

Bankgegevens

Op verschillende plekken in Amsterdam zette James Lyne zelf ook een open draadloos netwerk op. Binnen enkele seconden maakten Amsterdammers hiermee verbinding zonder zich te bekommeren over de veiligheid van die verbinding. Lyne kon zien dat zijn netwerk niet alleen gebruikt werd voor Facebook, Twitter en webmail, maar ook voor online bankieren. ‘Kennelijk zijn mensen zich onvoldoende bewust van wat je prijsgeeft via een onbekende Wi-Fi-verbinding. Ik had niet alleen wachtwoorden en saldo-informatie kunnen inzien, maar ook zelf bankhandelingen kunnen verrichten. Dat heb ik uiteraard niet gedaan, ik ben heel bewust binnen de grenzen van het wettelijk en moreel toelaatbare gebleven. Maar anderen houden zich niet aan die grenzen, dat zou iedereen inmiddels toch wel moeten weten.

World of WarBiking en James Lyne

James Lyne is een veelgevraagd spreker over it-beveiliging. Zijn TED-talk over cybercrime is al bijna een miljoen keer bekeken en zijn World of WarBiking-tour wordt door veel consumenten en professionals op de voet gevolgd. James Lyne ziet zijn WoW-tour als persoonlijke kruistocht tegen onveilig gebruik van draadloze netwerken. Hij neemt deze strijd heel serieus en zegt: ‘I take the security threat as a direct affront to the purpose of the web.’ Hij ziet webdreigingen als een directe aanval op de mogelijkheden die het wereldwijde web bieden.