Een cyberaanval heeft voor problemen gezorgd bij supermarkten in België, Nederland en Zweden. Bij ketens als Delhaize, Carrefour en ICA werden koelsystemen gemanipuleerd, waardoor de temperatuur in koel- en vriesinstallaties plots opliep. Een deel van die systemen blijkt bovendien vlot via het internet bereikbaar.
Volgens CERT van Orange Cyberdefense werden in de nacht van 1 op 2 november vermoedelijke cyberaanvallen gemeld bij minstens veertig Belgische Delhaize-winkels en bij vestigingen van Carrefour en Spar. Welke modellen precies getroffen zijn en hoe de aanvallers toegang kregen, is voorlopig niet bevestigd.
Van Frankrijk tot Zweden
De aanval vertoont gelijkenissen met een eerdere hack bij Franse supermarktketens, waarbij op afstand beheerde koelinstallaties werden misbruikt. Voorlopig is er echter geen technisch bewijs dat beide incidenten met elkaar verband houden.
België is niet het enige land dat getroffen is. In Zweden kregen winkels van ICA en Coop met soortgelijke problemen te maken. In Nederland werden de koel- en vriesinstallaties van minstens zeventien bedrijven aangevallen, waaronder slagerijen en kleine buurtwinkels. Daarbij werd de temperatuur aangepast. Dat meldt een woordvoerder van leverancier Danfoss.
Na de aanval in oktober op Franse supermarktketens, waarbij eveneens op afstand beheerde koelinstallaties werden misbruikt, adviseerde Danfoss zijn klanten om de systemen van het internet los te koppelen. Een beperkt aantal winkels nam toen geen maatregelen en is nu opnieuw getroffen. De koelsystemen die afgelopen nacht werden aangevallen, waren niet op een beveiligd netwerk aangesloten en gebruikten een standaardwachtwoord, aldus de woordvoerder van Danfoss.
OT blijft onderbelicht
De mogelijke schade is duidelijk. Wie de temperatuur van een koelinstallatie kan aanpassen, kan een volledige voorraad ongeschikt maken voor verkoop. Dat betekent verlies van voedsel én omzet. Daarbovenop komt de tijd die nodig is om de installatie weer veilig en correct operationeel te krijgen.
Toch krijgen dit soort installaties in de praktijk vaak minder aandacht voor cyberbeveiliging dan laptops, servers en bedrijfsapplicaties. Dat bevestigt Mathias Caluwaerts, strategisch adviseur bij Orange Cyberdefense Belgium. “Die installaties hebben andere vereisten dan een kantoorcomputer. Een beveiligingsupdate of herstart moet bijvoorbeeld rekening houden met de continuïteit van de koeling. Dat vraagt afstemming tussen de technische dienst, IT en de onderhoudspartner”, zegt Caluwaerts.
Ook Belgische controllers staan online
Bij de meer dan 350 Franse supermarkten die in oktober werden getroffen, bleken heel wat systemen vanop afstand aanstuurbaar via het internet. CERT-FR bevestigde dat de aanvallen systemen van Danfoss en de XWEB-oplossing van Copeland viseerden. Het rapport van Orange Cyberdefense wijst onder meer op controllers die rechtstreeks via het internet bereikbaar waren en op voorspelbare wachtwoorden, afgeleid van de datum.
Ook in België zijn zulke systemen online terug te vinden. “Volgens een meting waarnaar CERT verwijst, waren ongeveer 970 Danfoss-systemen en 123 Copeland-systemen via het internet bereikbaar”, zegt Caluwaerts. Dat betekent niet dat al die installaties gehackt zijn. “De cijfers tonen wel hoeveel systemen mogelijk extra controle nodig hebben op hun bereikbaarheid en beveiliging.”
Cybersecurity krijgt te weinig aandacht
Na de aanval op de Franse koelsystemen was er ook in België gewaarschuwd. “Toch is het onbegrijpelijk dat die systemen, na de aanval van vorige maand in Frankrijk, nog altijd aan het internet hangen en voor een hacker relatief makkelijk bereikbaar zijn”, zegt Jan Guldentops, security-expert en lid van de adviesraad van Cybersec Europe. “Die verbindingen zijn niet essentieel voor de werking. Als je alle verbindingen had afgesloten en tijdelijk via een lokale pc had gewerkt, minstens tot alle veiligheidsmaatregelen waren nagekeken, was dit niet gebeurd.”
Volgens Guldentops toont het incident opnieuw hoe weinig aandacht onze economie heeft voor praktische cybersecurity en, vooral, cyberweerbaarheid. “We denken hier niet met voldoende gezond verstand en proactiviteit over na. En schermen met afkortingen van goede Europese wetgeving, zoals GDPR, NIS2 en CRA, helpt niet.”
