Achtergrond - Hoe basale beveiligingsfouten gekoelde supermarktproducten laten bederven

In dit artikel:

Cyberaanvallers konden begin november op afstand de temperatuurinstellingen van vries- en koelinstallaties bij supermarkten in Nederland, België, Luxemburg, Zweden, Ierland, Estland en Duitsland beïnvloeden. De incidenten volgden op vergelijkbare aanvallen in Frankrijk in oktober. Volgens beveiligingsexperts waren de aanvallen geen gevolg van uitzonderlijk geavanceerde technieken, maar van bekende tekortkomingen in de beveiliging van industriële systemen.

Bij verschillende installaties waren wachtwoorden gemakkelijk te raden, ontbraken recente updates of draaide verouderde software. Sommige systemen waren bovendien rechtstreeks via internet bereikbaar en konden met gespecialiseerde zoekdiensten worden opgespoord. In Frankrijk werd misbruik gemaakt van kwetsbaarheden in oude firmware. Fabrikant Danfoss had daarvoor al updates uitgebracht, maar die waren niet overal geïnstalleerd. In andere gevallen konden updates niet meer worden geplaatst omdat de gebruikte apparatuur geen ondersteuning meer kreeg.

De problematiek hangt volgens de analyse samen met kostenbesparingen en beperkte aandacht voor cybersecurity binnen de supermarkt- en installatiesector. Beheer op afstand is goedkoper dan regelmatig monteurs langs filialen sturen, maar vereist wel een veilige inrichting. Daarbij horen onder meer afgeschermde verbindingen, toegangsbeperkingen, sterke wachtwoorden, regelmatige beveiligingstests en een actueel overzicht van hardware en software. Ook apparaten die primair als koelinstallatie worden gezien, zouden onder het cyberveiligheidsbeleid van organisaties moeten vallen.

Danfoss-systemen met de bedieningspanelen AK-SM800 en AK-SC355 waren in meerdere gevallen verouderd. Deze modellen zijn sinds respectievelijk 2021 en 2016 niet meer in de ondersteuning; voor het eerste en tweede model stopten beveiligingsupdates respectievelijk in 2021 en 2023. Vervanging hoeft volgens de aangehaalde informatie niet automatisch te betekenen dat complete koelinstallaties worden vernieuwd: moderne bedieningspanelen kunnen oudere systemen blijven ondersteunen.

De verantwoordelijkheid ligt niet alleen bij gebruikers. In de apparatuur van Danfoss zat ook een universele beheerdersingang met een voorspelbaar, datumgerelateerd wachtwoord. Een latere patch heeft deze toegang verwijderd. Dat leveranciers zulke constructies toepassen en dat updates niet altijd uitvoerbaar zijn, maakt structurele beveiliging extra lastig.

De risico’s nemen verder toe doordat aanvallers zoekmachines en AI-hulpmiddelen kunnen inzetten om kwetsbare systemen sneller te vinden en uit te buiten. Experts zien betere afscherming en netwerkisolatie daarom als belangrijke maatregelen. De recente incidenten kunnen de sector ertoe aanzetten achterstallig onderhoud, verouderde apparatuur en gebrekkige basisbeveiliging eindelijk structureel aan te pakken.