Een cyberaanval heeft voor verstoringen gezorgd bij supermarkten in België, Nederland en Zweden. Bij ketens als Delhaize, Carrefour en ICA werden koelsystemen gemanipuleerd, waardoor temperaturen in koel- en vriesinstallaties plotseling opliepen. Veel van die installaties lijken makkelijk online bereikbaar.
Volgens het Cert van Orange Cyberdefense werden in de nacht van 1 op 2 november vermoedelijke cyberaanvallen gemeld bij minstens veertig Belgische Delhaize-winkels en bij vestigingen van Carrefour en Spar. Welke modellen daar precies getroffen zijn en hoe de aanvallers toegang kregen, is nog niet bevestigd.
Van Frankrijk naar Zweden
De aanval vertoont overeenkomsten met een eerdere hack op Franse supermarktketens, waarbij op afstand beheerde koelinstallaties werden misbruikt. Maar er is voorlopig geen technisch bewijs dat ze met elkaar samenhangen.
België is niet het enige land dat in de klappen deelt. In Zweden kampen winkels van ICA en Coop met soortgelijke verstoringen.In Nederland zijn de vries- en koelsystemen van ten minste zeventien bedrijven, onder meer slagerijen en kleine buurtwinkels, aangevallen, waarbij de temperatuur is aangepast. Dat meldt een woordvoerder van leverancier Danfoss. Na de vorige hack in oktober op Franse supermarktketens, waarbij op afstand beheerde koelinstallaties werden misbruikt, adviseerde de leverancier klanten om de systemen van het internet los te koppelen. Een klein aantal winkels heeft toen geen maatregelen genomen. Die zijn nu de dupe geworden. De koelsystemen die afgelopen nacht zijn aangevallen, stonden niet op een beveiligd netwerk en hadden een standaardwachtwoord, zegt de Danfoss-woordvoerder.
Minder aandacht voor ot
De schade ligt voor de hand. Wie de temperatuur van een koelinstallatie kan aanpassen, kan voorraden onbruikbaar maken voor verkoop. De schade bestaat dan uit verloren voedsel, en dus omzetverlies. Daar komt de tijd bij die nodig is om de werking te herstellen.
Toch krijgen zulke installaties vaak minder aandacht in de cyberbeveiliging dan laptops, servers en bedrijfsapplicaties, bevestigt Mathias Caluwaerts, strategisch adviseur bij Orange Cyberdefense Belgium. ‘Die installaties hebben andere vereisten dan een kantoorcomputer. Een beveiligingsupdate of herstart moet bijvoorbeeld rekening houden met de continuïteit van de koeling. Dat vraagt afstemming tussen de technische dienst, it en de onderhoudspartner’, aldus Caluwaerts.
Ook Belgische controllers online
Bij de meer dan 350 Franse supermarkten die in oktober waren getroffen, bleken veel systemen online aan te sturen. Cert-FR bevestigde dat de aanvallen systemen van Danfoss en de XWEB-oplossing van Copeland troffen. Het rapport van Orange Cyberdefense wijst onder meer op rechtstreeks via het internet bereikbare controllers en voorspelbare wachtwoorden die van de datum waren afgeleid.
Ook in België zijn zulke systemen online te vinden. ‘Volgens een door het Cert aangehaalde meting waren ongeveer 970 Danfoss-systemen en 123 Copeland-systemen via het internet bereikbaar’, weet Caluwaerts. Dat zijn geen aantallen gehackte installaties. ‘De cijfers tonen wel hoeveel systemen mogelijk extra controle op hun bereikbaarheid en beveiliging nodig hebben.’
Weinig focus op cybersecurity
Na de aanval op de Franse koelsystemen waren ze in België gewaarschuwd. ‘Toch onbegrijpelijk dat die dingen, na de aanval van vorige maand in Frankrijk, nog altijd aan het internet hangen en voor een hacker relatief makkelijk te bereiken zijn’, aldus Jan Guldentops, security-expert en lid van de adviesraad voor Cybersec Europe. ‘Deze verbindingen zijn niet essentieel voor de werking. Als je alle verbindingen had afgesloten en tijdelijk via een lokaal pc’tje gewerkt had, op zijn minst totdat je alle veiligheidsmaatregelen had nagekeken, zou dit niet gebeurd zijn.’
Het toont, volgens Guldentops, nog maar eens aan hoe weinig onze hele economie bezig is met praktische cybersecurity en vooral cyberweerbaarheid. ‘We denken hier gewoon niet met genoeg gezond verstand en proactief over na. En schermen met afkortingen van goede EU-wetgeving als GDPR, NIS2 en CRA helpt niet.’
