Tientallen Nederlandse koelingen via internet te kraken, net als bij Franse supermarkten

Dat blijkt uit onderzoek van RTL Z. De gehackte systemen zijn afkomstig van de Deense fabrikant Danfoss en kunnen via internet worden bediend, bijvoorbeeld om de temperatuur op afstand te regelen. Ook in Nederland staan koelkasten die met zo'n systeem worden aangestuurd. Minstens 75 loginpagina's van Nederlandse Danfoss-koelingen zijn via het internet te bereiken. Het gaat onder meer om systemen bij een vishandel, een bakkerij en een groothandel in Aziatische producten.

Verschillen in risico

Hoe groot het risico is, verschilt per systeem. Bij de hack in Frankrijk zijn volgens Danfoss vooral oude systemen van het type AK-SM 800 getroffen. De fabrikant ondersteunt dat type niet meer. Ook de opvolger, de AK-SM 800A, bevat echter verschillende kwetsbaarheden.

Een van die kwetsbaarheden springt eruit. Naast het wachtwoord dat gebruikers zelf instellen, kan ook worden ingelogd met een zogeheten code van de dag. Die wordt gegenereerd door de software van Danfoss. Onderzoekers wisten te achterhalen hoe die code precies tot stand komt, waardoor buitenstaanders hem kunnen reproduceren en bij elk koelsysteem kunnen inloggen.

De kwetsbaarheid is sinds maart dit jaar bekend en verholpen met een software-update. Het overgrote deel van de koelsystemen heeft die update volgens cybersecuritybedrijf Censys nog niet geïnstalleerd. Uit de analyse van Censys blijkt dat in Nederland 57 systemen op deze manier gehackt kunnen worden.

Meer beveiligingsproblemen

Volgens ethisch hacker Chris Kubecka zijn er nog meer beveiligingsproblemen bekend bij de systemen. Zij wijst erop dat Danfoss zelfs als voorbeeld wordt gebruikt in het huiswerk van een opleiding voor ethisch hackers. Ze noemt het cruciaal dat de systemen worden geüpdatet, zodat bekende kwetsbaarheden worden gedicht. Ook adviseert ze om loginpagina's niet openbaar toegankelijk te maken, omdat de systemen nog andere kwetsbaarheden kunnen bevatten.

Een hacker die binnenkomt, kan de koelinstallatie bedienen, zoals in Frankrijk is gebeurd. Sommige koelingen hebben een ontdooistand waarin ze gaan verwarmen, tot een temperatuur van wel 50 graden. Volgens Kubecka bestaan er ook andere risico's: de systemen kunnen worden misbruikt om bedrijven af te persen, of als tussenstation om andere bedrijven aan te vallen. Hackers kunnen zo hun eigen identiteit afschermen, omdat het lijkt alsof de aanval vanuit de koelkast komt.