AI heeft het laatste excuus voor zwakke OT-beveiliging weggenomen

Decennialang vertrouwde de operationele technologie (OT) die energiecentrales, waterzuiveringsinstallaties, ziekenhuizen en telecommunicatienetwerken aanstuurt op een onuitgesproken verdediging: niemand buiten een kleine kring van ingenieurs begreep hoe deze systemen werkten. Obscure protocollen, propriëtaire hardware en leveranciersspecifieke software creëerden een kennisbarrière die de meeste aanvallers buitenhield, niet omdat de systemen veilig waren, maar omdat ze verwarrend waren.

Die barrière is verdwenen. Volgens recente berichtgeving over de staat van OT-beveiliging hebben AI-tools het mogelijk gemaakt voor criminelen om deze ooit ondoordringbare black boxes te begrijpen en te misbruiken zonder jarenlange gespecialiseerde training. Het concept security through obscurity, het idee dat een systeem veilig blijft simpelweg omdat de interne werking moeilijk te doorgronden is, houdt geen stand meer wanneer een AI-model het doorgronden voor je kan doen.

Waarom obscuriteit nooit een echte beveiligingsstrategie was

Security through obscurity werkte als bijproduct van complexiteit, niet als een bewuste ontwerpkeuze. OT-omgevingen zijn nooit gebouwd met dezelfde beveiligingsrigor als moderne IT-netwerken. Ze zijn gebouwd om jarenlang betrouwbaar te draaien, soms decennialang, vaak met weinig aandacht voor wat er zou gebeuren als iemand met kwaadwillige bedoelingen toegang zou krijgen.

Wat deze systemen veilig hield, was niet sterke authenticatie of encryptie. Het was het simpele feit dat zeer weinig mensen, waaronder veel IT-specialisten, wisten hoe ze de betrokken propriëtaire protocollen en legacy-hardware moesten interpreteren. Hackers die OT-systemen wilden aanvallen, hadden diepgaande, gespecialiseerde kennis nodig die jaren kostte om te verwerven. Die vereiste fungeerde als een natuurlijk filter, waardoor de pool van capabele aanvallers klein bleef.

AI heeft dat filter effectief uitgewist. Aanvallers hoeven zelf geen OT-experts meer te zijn. Ze kunnen AI-tools gebruiken om systemen te analyseren, te interpreteren en te reverse-engineeren die een menselijke specialist maanden zouden hebben gekost om te begrijpen. Dit betekent dat de populatie mensen die in staat is een destructieve aanval op kritieke infrastructuur uit te voeren, dramatisch is uitgebreid, ook al zijn de onderliggende kwetsbaarheden in deze systemen helemaal niet veranderd.

Waarom dit verder reikt dan de serverruimte

Het is gemakkelijk om OT-beveiliging te zien als een probleem voor nutsbedrijven en fabrikanten, niet als iets dat het dagelijks leven raakt. Maar aanvallen op kritieke infrastructuur bereiken consumenten vaak direct. Energienetten, watersystemen, ziekenhuizen en telecomproviders zijn allemaal gebouwd op OT-fundamenten, en verstoringen van elk daarvan werken naar buiten toe door in het dagelijks leven: geannuleerde medische procedures, langdurige storingen, vertraagde hulpdiensten en onderbroken communicatie.

Hetzelfde patroon dat AI gevaarlijk maakt voor OT-systemen geldt ook voor de alledaagse software waarop veel organisaties vertrouwen. Wanneer een veelgebruikte tool een beveiligingsfout heeft, bewegen aanvallers zich snel, en steeds vaker hebben ze daar geen diepgaande expertise voor nodig. De snelle exploitatie die te zien is nadat kwetsbaarheden openbaar worden gemaakt, zoals de noodreactie die nodig was toen een PaperCut zero-day-kwetsbaarheid werd misbruikt, toont hoe snel aanvallers zwakke plekken uitbuiten zodra ze zijn geïdentificeerd, hetzij door menselijk onderzoek of door AI-ondersteunde ontdekking.

Nu AI de technische drempel voor het aanvallen van obscure systemen verlaagt, worden de organisaties die kritieke infrastructuur runnen richting dezelfde les geduwd die enterprise-IT jaren geleden leerde: beveiliging moet in de architectuur zelf worden ingebouwd, niet worden aangenomen omdat een systeem moeilijk te begrijpen is.

Wat dit voor jou betekent

De meeste lezers zijn niet verantwoordelijk voor het beveiligen van een energienet of het OT-netwerk van een ziekenhuis, maar de verschuiving weg van security through obscurity raakt je nog steeds. Wanneer aanbieders van kritieke infrastructuur worden getroffen, komen de effecten naar voren als service-uitval, factureringsverstoringen, vertraagde zorg of blootgestelde persoonlijke gegevens die door die organisaties zijn verzameld. Je bent een stroomafwaartse belanghebbende in elk van deze systemen, zelfs als je nooit direct met de OT-laag te maken hebt.

Op persoonlijk niveau is de bredere trend ook van belang. AI verlaagt de vaardigheidsdrempel voor aanvallers in het algemeen, niet alleen in industriële omgevingen. Phishingpogingen zijn overtuigender, malware is gemakkelijker aan te passen en verkenning van individuele doelen is sneller dan ooit. De obscuriteit die gewone gebruikers vroeger beschermde, een kleine digitale voetafdruk hebben, minder gangbare software gebruiken of simpelweg geen voor de hand liggend doelwit zijn, erodeert op dezelfde manier als bij OT-systemen.

Praktische stappen in een door AI gedreven dreigingslandschap

Je kunt een energiecentrale niet patchen, maar je kunt je eigen blootstelling verminderen en aandringen op verantwoordelijkheid van de diensten waarop je vertrouwt.

  • Gebruik een VPN en versleutelde verbindingen bij het openen van gevoelige accounts, vooral op gedeelde of openbare netwerken, om te beperken wat aanvallers kunnen observeren of onderscheppen.
  • Houd software en firmware snel bijgewerkt, aangezien AI-ondersteunde aanvallers snel te werk gaan zodra een kwetsbaarheid openbare kennis wordt.
  • Schakel multi-factor-authenticatie overal in waar het wordt aangeboden, aangezien het een van de weinige verdedigingen blijft die AI-gedreven giswerk niet gemakkelijk kan omzeilen.
  • Let op meldingen van datalekken en storingen van nutsbedrijven, zorgaanbieders en telecombedrijven die je gebruikt, en volg hun aanbevolen stappen als je getroffen bent.
  • Ondersteun en vraag naar netwerksegmentatie en toegangscontroles bij het evalueren van elk smart-home- of verbonden apparaat, aangezien geïsoleerde systemen beperken hoe ver een aanvaller kan komen, zelfs als ze binnenkomen.

Security through obscurity is niet langer een haalbare terugvaloptie voor niemand, van nutsbeheerders tot individuele gebruikers. AI heeft het te gemakkelijk gemaakt om systemen in kaart te brengen, te interpreteren en te misbruiken die ooit vertrouwden op misverstanden. De organisaties die zich aanpassen door echte beveiligingscontroles te bouwen, in plaats van te hopen dat hun systemen verborgen blijven, zullen veel beter gepositioneerd zijn om te weerstaan wat er komen gaat.