Beveiliging van verbonden koelsystemen vraagt om duidelijk eigenaarschap

In een Nederlandse opslaglocatie hoort de vriesinstallatie op -20 °C te staan. Na een cyberaanval bleek de instelling op -10 °C te zijn gezet. In een Zweedse supermarkt werden temperatuurinstellingen zelfs naar 50 °C veranderd.

De meldingen maken deel uit van een reeks aanvallen op zakelijke koelinstallaties in Europa. In Nederland werden op 2 november volgens leverancier Danfoss minstens 17 bedrijven getroffen, vooral kleinere winkels en slagerijen.

De incidenten laten zien dat bedrijfscontinuïteit ook afhangt van apparatuur buiten de gebruikelijke kantoor-IT, zoals de installaties die voedsel op temperatuur houden.

Koelinstallaties zijn onderdeel van de IT-omgeving

Moderne koel- en vriesinstallaties worden steeds vaker op afstand beheerd. Een monteur kan de temperatuur controleren, een storing zien aankomen of instellingen aanpassen zonder naar de winkel te rijden. Voor ondernemers is dat handig: minder stilstand, minder onderhoudskosten en sneller ingrijpen wanneer er iets misgaat.

Maar die voordelen hebben een keerzijde. Achter zo'n installatie zit vaak een kleine computer, een zogenoemde controller, die verbinding heeft met een netwerk. Als die vanaf internet bereikbaar is en onvoldoende beveiligd is, kan iemand van buiten mogelijk instellingen veranderen.

Bij de recente aanvallen werden onder meer temperatuurinstellingen en ontdooiprogramma's gemanipuleerd. Daardoor konden producten onveilig worden of bederven. Bedrijven moesten in verschillende Europese landen voedsel uit de verkoop halen of weggooien.

De Nederlandse publieke omroep NOS meldde dat een getroffen opslaglocatie nog tijdig kon ingrijpen toen een vriesinstallatie van -20 naar -10 graden was gezet. Dat laat ook zien waarom snelle detectie belangrijk is: een aangepaste instelling is niet hetzelfde als een bevestigde producttemperatuur of verloren voorraad.

Ook kleinere bedrijven werden getroffen

Het ging niet uitsluitend om grote supermarktketens met uitgebreide IT-afdelingen. Volgens Danfoss, aangehaald door de NOS, betroffen de Nederlandse meldingen vooral slagerijen, buurtwinkels en andere kleinere bedrijven.

Buiten Nederland werden onder meer filialen van supermarktketens in België, Ierland, Luxemburg en Zweden geraakt. Associated Press beschreef hoe winkels voorraden moesten verwijderen nadat koelingen op afstand waren gemanipuleerd. In een Zweedse winkel was de instelling van de koeling tot 50 graden verhoogd; dat is een gerapporteerde instelling, niet de gemeten temperatuur van ieder product.

Het Nederlandse Nationaal Cyber Security Centrum (NCSC) waarschuwde eveneens voor aanvallen op met internet verbonden koelinstallaties. Volgens het NCSC kunnen onder andere zwakke wachtwoorden en standaardwachtwoorden het mogelijk maken dat onbevoegden instellingen wijzigen.

De aanvallen leggen een ongemakkelijke waarheid bloot: je kunt de kantoorcomputers uitstekend beveiligen en ondertussen een belangrijk bedrijfsproces laten afhangen van een vergeten apparaat in de meterkast.

Het probleem is groter dan koelingen

Een slimme thermostaat, toegangscontrolesysteem, camera, laadpaal of gebouwbeheersysteem is in de basis ook een computer die iets in de fysieke wereld aanstuurt.

Dat betekent niet dat elk aangesloten apparaat onveilig is. Wel dat de beveiliging ervan vaak buiten de gebruikelijke IT-routine valt. De installateur beheert de machine, de IT-partner beheert het netwerk en de ondernemer gaat ervan uit dat alles geregeld is. Maar wie controleert daadwerkelijk de toegang en de updates?

Juist bij kleinere organisaties kan die verantwoordelijkheidsverdeling onduidelijk zijn. Een apparaat wordt geïnstalleerd, werkt jarenlang probleemloos en verdwijnt uit beeld. Het wachtwoord blijft hetzelfde. Firmware wordt niet bijgewerkt. Een verbinding voor onderhoud blijft openstaan.

Bij de koelincidenten wezen onderzoekers en betrokken leveranciers op bekende kwetsbaarheden, verouderde apparatuur en slecht beveiligde verbindingen. Volgens berichtgeving van Associated Press waren voor de besproken aanvallen geen geavanceerde, nieuwe AI-technieken nodig.

Het grootste risico was dus niet per se een hypermoderne aanval, maar een oud probleem dat lange tijd onopgemerkt bleef.

Vier vragen die iedere ondernemer kan stellen

Ook zonder eigen cybersecurityafdeling kun je deze week een paar nuttige zaken controleren.

1. Welke apparaten in mijn bedrijf zijn verbonden met internet? Denk naast laptops en printers aan koelingen, alarmsystemen, camera's, toegangsdeuren en klimaatinstallaties.
2. Wie kan ze op afstand bedienen? Vraag de installateur of IT-partner of een beheerinterface rechtstreeks vanaf internet bereikbaar is, of via een beveiligde verbinding werkt.
3. Worden wachtwoorden en beveiligingsupdates beheerd? Standaardwachtwoorden moeten worden vervangen, en apparaten zonder beveiligingsondersteuning verdienen een vervangings- of isolatieplan.
4. Wat merken we wanneer zo'n apparaat onbetrouwbaar wordt? Is er bijvoorbeeld een onafhankelijke temperatuuralarmfunctie, een noodprocedure en een contactpersoon die snel kan ingrijpen?

Vooral dat laatste wordt gemakkelijk vergeten. Als hetzelfde systeem zowel de koeling bestuurt als de alarmen verstuurt, kan een storing of compromittering beide functies raken. Een onafhankelijke controle kan de gevolgen beperken.

Laat aanpassingen aan industriële installaties altijd afstemmen met de verantwoordelijke technicus. Een verbinding zonder plan uitschakelen kan immers ook legitieme monitoring en storingsmeldingen verbreken.

Waarom deze aanval ook volgende week relevant blijft

Op 10 november berichtte het Britse vakblad *The Grocer* dat onderzoekers nog altijd honderden interfaces van koelcontrollers konden bereiken via het openbare internet. Dat betekent niet automatisch dat ze zonder wachtwoord te besturen zijn, maar maakt duidelijk dat blootstelling na de incidenten nog steeds aandacht vraagt.

Ondernemers hoeven nu niet in paniek alle slimme apparatuur uit te schakelen. De verstandige aanpak is veel eenvoudiger: weten welke apparaten je hebt, wie ze beheert, of ze nog updates krijgen en wat je doet als ze plotseling uitvallen.

Want een cyberaanval hoeft helemaal niet te beginnen met een verdachte e-mail. Soms begint hij bij een controller boven een vriescel — en merk je het pas wanneer de voorraad niet meer verkocht kan worden.

De vraag voor je bedrijf is dus: welke apparaten houden jouw onderneming draaiende, maar vallen buiten je IT-beveiliging?

Bronnen: NOS · NCSC · Associated Press · The Grocer