Waarom hackers het op supermarktkoelingen hebben gemunt
De recente cyberaanvallen op koelsystemen van supermarkten in Nederland en de rest van Europa laten zien hoe dreigingen zich verplaatsen van de digitale wereld naar de fysieke infrastructuur. Dat stelt Alex Fray, Global Innovation Lead bij cybersecuritybedrijf Zscaler, in een reactie op de tweede supermarkthack in korte tijd. Volgens de beveiligingsexpert onderstreept het incident de hardnekkige kwetsbaarheden van Operational Technology (OT) en Internet of Things (IoT)-systemen in de detailhandel en de vitale sector.
De oorzaak van de geslaagde aanvallen ligt volgens Fray in de manier waarop koelsystemen worden geïnstalleerd en beheerd. Om onderhoud op afstand mogelijk te maken, zijn veel koelinstallaties rechtstreeks op het internet aangesloten. Beveiligingsonderzoekers troffen recent grootschalig beheerinterfaces aan die openlijk toegankelijk waren, vaak voorzien van verouderde software, verlopen certificaten of fabriekswachtwoorden.
Installatie door monteurs, niet door IT
Het fundamentele probleem is dat de regeling van koelsystemen doorgaans wordt uitgevoerd door koeltechnische monteurs en niet door een IT-beveiligingsteam. "Zodra het systeem is ingesteld en aangesloten, wordt het grotendeels met rust gelaten. Niemand krijgt de opdracht om na te denken over de beveiligingsrisico’s," licht Fray toe. Omdat deze apparaten niet als traditionele IT worden beschouwd, ontbreken ze in het bedrijfsmiddelenregister en vallen ze buiten reguliere software-updates. De aanname dat niemand de moeite zou nemen om een koelinstallatie aan te vallen, blijkt in de praktijk achterhaald.
Zscaler waarschuwt dat deze cyberfysieke risico's zich niet beperken tot supermarkten. Vergelijkbare kwetsbaarheden spelen een rol bij gebouwbeheersystemen, de zorgsector, fabrieksprocessen en de energie- en watervoorziening.
Rol van de Cyber Resilience Act
Als reactie op deze structurele kwetsbaarheden wijst Zscaler op de Europese Cyber Resilience Act (CRA). Deze wetgeving verplicht fabrikanten om verbonden apparaten volgens het 'security by design'-principe te ontwerpen en te voorzien van verplichte beveiligingsupdates gedurende een levenscyclus van minimaal vijf jaar.
Voor organisaties die op korte termijn risico's willen beperken en niet alle apparatuur direct kunnen vervangen, adviseert Zscaler om per direct alle internetgekoppelde apparaten in kaart te brengen, onnodige toegang af te schermen, IT- en OT-netwerken strikt te scheiden en het toegangsbeheer voor externe leveranciers aan te scherpen.
