Een klimaatinstallatie van een basisschool die met standaardinloggegevens toegankelijk is en een koelinstallatie van een supermarkt die onbeveiligd aan het internet hangt. Hoogleraar informatica Chris Verhoef laat in twee blogs bij AG Connect zien hoe kwetsbaar de digitale aansturing van gebouwen kan zijn. Hij waarschuwt dat hackers niet alleen temperaturen kunnen manipuleren, maar in het ergste geval ook gevaarlijke situaties kunnen veroorzaken.
Hoogleraar legt kwetsbaarheid van digitale gebouwinstallaties bloot
Een aanvaller kan beveiligingsmechanismen uitschakelen en een verwarming zo ver opvoeren dat er brand ontstaat in een ketelhuis.
Met behulp van Shodan, een zoekmachine waarmee apparaten en systemen kunnen worden opgespoord die met internet zijn verbonden, ontdekte Verhoef een kwetsbaar klimaatbeheersysteem van een basisschool in Slovenië. De hoogleraar slaagde er naar eigen zeggen in toegang te krijgen met de standaardinloggegevens uit de handleiding. Hij meldde zijn bevindingen bij het Sloveense Computer Emergency Response Team (CERT).
De ontdekking staat beschreven in een blog op AG Connect, waarin Verhoef waarschuwt voor de risico's van slecht beveiligde verwarmingsinstallaties. Wanneer hackers toegang krijgen tot de digitale aansturing van een gebouw, kunnen zij mogelijk temperaturen verhogen of beveiligingsinstellingen aanpassen. Verhoef schetst zelfs een scenario waarin een aanvaller beveiligingsmechanismen uitschakelt en de verwarming zo ver opvoert dat brand ontstaat in een ketelhuis.
Koelinstallatie supermarkt
Een week eerder beschreef Verhoef een vergelijkbare ontdekking in Frankrijk. Daar vond hij via Shodan een koelinstallatie van een supermarkt in Parijs die vanaf internet bereikbaar was. Volgens de hoogleraar stonden verschillende netwerkpoorten open en maakte het systeem gebruik van onbeveiligd HTTP-verkeer. Hij meldde de situatie bij het Franse CERT, waarna volgens zijn relaas maatregelen werden genomen.
De vondst volgde kort op berichtgeving over cyberaanvallen op ongeveer 1.500 professionele koelinstallaties in Frankrijk. Daarbij zouden aanvallers de ingestelde temperatuur naar 50 graden Celsius hebben verhoogd. Wanneer koelsystemen ongemerkt worden gemanipuleerd, kunnen grote hoeveelheden levensmiddelen verloren gaan. Verhoef laat met zijn eigen zoektocht zien dat ook andere installaties mogelijk kwetsbaar zijn, al heeft hij bij de Parijse supermarkt geen succesvolle manipulatie aangetoond.
Gebouwen digitaal kwetsbaar
Verhoef vraagt zich af waarom kwetsbare installaties via een openbare zoekmachine te vinden zijn, terwijl de verantwoordelijke organisaties ze kennelijk niet eerder hebben opgemerkt of afgeschermd. Volgens hem zouden cybersecurityteams veel actiever moeten zoeken naar dergelijke systemen, in plaats van te wachten tot kwaadwillenden ze ontdekken. Ook voor gemeenten en andere publieke organisaties is dit relevant. Gemeentehuizen, scholen, sporthallen en andere publieke gebouwen maken gebruik van digitale installaties.
Plaats als eerste een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.