Vriezers horen het saaiste onderdeel van een supermarkt te zijn. Deze week werden ze een beveiligingsverhaal. Koelsystemen bij supermarktketens in zes Europese landen functioneerden niet meer naar behoren, waarbij sommige vriezertemperaturen opliepen tot 122°F (50°C), waardoor winkels voedsel moesten weggooien. Het incident is een vermoedelijke cyberaanval op supermarktvriezers, en het heeft de bezorgdheid over kwetsbare verouderde software in de fysieke wereld opnieuw aangewakkerd.

De toeschrijving wordt nog steeds als vermoedelijk beschreven, dus het is de moeite waard om voorzichtig te zijn over wat bekend is en wat niet. Wat duidelijk is, is het patroon: software die fysieke apparatuur aanstuurt, faalde op een manier die opzettelijk lijkt, en de gevolgen werden gemeten in bedorven voorraad in plaats van gestolen gegevens.

Wat er met de supermarktvriezers is gebeurd

Volgens de berichtgeving stopten koelsystemen bij supermarktketens in zes landen met normaal functioneren. In sommige gevallen liepen vriezertemperaturen op tot 122°F. Winkels moesten voedsel weggooien dat niet langer veilig verkocht kon worden.

Berichtgeving over het Franse deel van het incident beschrijft dat hackers controle kregen over de software die koelunits regelt en sommige dwongen om 's nachts op te warmen. Sommige berichten stellen het aantal getroffen Franse units op honderden. Danfoss, een fabrikant van koelapparatuur, zou volgens AFP hebben verklaard dat de meeste getroffen apparatuur "legacy"-producten waren die "geen software- of beveiligingsupdates meer ontvangen". We hebben die cijfers niet onafhankelijk geverifieerd, en het onderzoek lijkt nog gaande te zijn.

De schade was in dit geval vooral financieel en operationeel: verloren voorraad, ontregelde winkels en personeel dat de rommel moest opruimen. Maar hetzelfde type toegang zou in principe elk systeem kunnen treffen dat warmte, koude, water of stroom regelt.

Waarom verouderde software een cyberaanval op supermarktvriezers mogelijk maakt

Koelcontrollers behoren tot een categorie die operationele technologie (OT) wordt genoemd. Anders dan een laptop of telefoon zijn deze apparaten gebouwd om vele jaren met minimale aandacht te draaien. Ze worden geïnstalleerd, op een netwerk aangesloten zodat technici ze kunnen monitoren, en daarna grotendeels vergeten.

Dat ontwerp creëert verschillende bekende zwakke plekken:

  • Geen updates meer. Wanneer een fabrikant stopt met het uitbrengen van beveiligingspatches voor een product, blijft elke fout die daarna wordt gevonden permanent open. De gerapporteerde verklaring van Danfoss wijst direct op dit probleem.
  • Extern beheer volgens ontwerp. Gecentraliseerde systemen stellen technici in staat problemen te diagnosticeren en wijzigingen door te voeren zonder elke winkel te bezoeken. Dat gemak geeft een aanvaller ook één plek om op te richten als het systeem bereikbaar is vanaf het internet of slecht beveiligd is.
  • Lange levensduur. Apparatuur die tien jaar geleden is gekocht, kan nog perfect werken als vriezer terwijl het onmogelijk te verdedigen is als een genetwerkte computer.
  • Veiligheid boven beveiliging. Deze systemen waren vaak ontworpen om betrouwbaar te blijven draaien, niet om een vastberaden indringer te weerstaan.

Niets hiervan is uniek voor supermarkten. Ziekenhuizen, fabrieken en gebouwbeheersystemen delen dezelfde afweging tussen uptime en patchen.

Wat dit voor jou betekent

De meeste lezers runnen geen supermarktketen, maar velen runnen kleinere versies van dezelfde opzet. Een huis of klein bedrijf kan een router, een netwerkcamera, een slimme thermostaat, een connected koelkast, een NAS-schijf of een point-of-sale-terminal hebben. Elk daarvan is een kleine computer die aan het internet hangt, en vele zijn jaren geleden gekocht en nooit bijgewerkt.

De les van het vriezerincident is niet dat je keukenapparaat je eten gaat koken. Het is dat apparaten die aan het internet zijn blootgesteld met verouderde software een realistische manier zijn om een netwerk binnen te komen, en dat de impact verder kan reiken dan gegevens, tot in fysieke operaties. Voor een klein café, restaurant of winkel met een walk-in vriezer op een externe monitoringsdienst is het scenario niet vergezocht. Bedorven voorraad doet een klein bedrijf veel meer pijn dan een grote keten.

Je router is hier het belangrijkst. Het is de poort voor elk ander apparaat. Als die oud, ongepatcht of beheerd met een standaardwachtwoord is, erft alles erachter dat risico.

Hoe je connected apparaten en routers beveiligt

Je hebt geen speciale tools nodig om je blootstelling te verminderen. Een korte audit gaat een lange weg:

  1. Inventariseer wat er is aangesloten. Controleer de apparatenlijst van je router en noteer alles wat je niet herkent of niet meer gebruikt. Koppel los wat je niet nodig hebt.
  2. Werk firmware bij. Installeer de nieuwste updates op je router en elk aangesloten apparaat. Schakel automatische updates in waar ze worden aangeboden.
  3. Controleer op end-of-life-status. Zoek op of de fabrikant elk apparaat nog ondersteunt. Als een product geen beveiligingsupdates meer ontvangt, plan dan vervanging, of isoleer het ten minste.
  4. Wijzig standaardreferenties. Vervang fabrieksgebruikersnamen en -wachtwoorden door unieke, sterke exemplaren, en gebruik een wachtwoordmanager om het bij te houden.
  5. Schakel externe toegang uit die je niet gebruikt. Schakel remote administration, port forwarding en UPnP op de router uit, tenzij je een specifieke reden hebt om ze te behouden.
  6. Segmenteer je netwerk. Zet slimme apparaten, camera's en apparatuur op een gast- of apart netwerk, weg van laptops en werkbestanden. Als één apparaat wordt gecompromitteerd, blijft de schade beperkt.
  7. Stel voor kleine bedrijven directe vragen aan leveranciers. Als een leverancier je koeling of andere apparatuur op afstand beheert, vraag dan hoe de toegang is beveiligd, wie kan inloggen en of de hardware nog wordt ondersteund.

De conclusie

De cyberaanval op supermarktvriezers is een levendige herinnering dat verouderde software geen back-office-probleem blijft. Wanneer oude, ongepatchte systemen bereikbaar zijn vanaf het internet, kan een aanval veranderen in gesmolten voorraad en lege schappen. Dezelfde principes gelden thuis en in een kleine winkel: weet wat er is aangesloten, houd het bijgewerkt, trek buiten gebruik wat niet meer gepatcht kan worden, en scheid risicovolle apparaten van de rest van je netwerk. Zet deze week een uur apart om je router en aangesloten apparaten te auditen. Het is een kleine taak vergeleken met de kosten van het weggooien van een vriezer vol voedsel, of erger.