Bij minstens zeventien Nederlandse bedrijven liep begin november de temperatuur in koel- en vriesinstallaties op. De aanvallers kwamen binnen via de verbinding waarmee de onderhoudspartij op afstand meekijkt. Wie een koelcel in huis heeft, moet zelf nagaan wie die digitale deur bewaakt.
In een vriesopslag ergens in Nederland hoort het min twintig graden te zijn. In de nacht van 1 op 2 november gaf de thermometer min tien aan. “Daar hebben we snel kunnen ingrijpen”, zei een woordvoerder van Danfoss tegen de NOS. Het Deense bedrijf maakt de regelaar die de koeling aanstuurt. Bij minstens zestien andere bedrijven, onder meer slagerijen en kleine buurtwinkels, had iemand die nacht op afstand aan de knoppen gezeten. Het Nationaal Cyber Security Centrum (NCSC) bevestigde diezelfde maandag dat het om cyberaanvallen gaat op koelinstallaties van meerdere leveranciers, en dat het onderzoek doet.
Het leek in eerste instantie vooral een probleem te zijn voor supermarkten en slagers, maar het NCSC richt zijn advies aan iedere organisatie die afhankelijk is van koeling. En dat zijn er nogal wat in ons land. Zo staan er bijvoorbeeld koelcellen in keukens van zorginstellingen, in bedrijfsrestaurants, bij groothandels, in laboratoria en in distributiecentra. Het contract met de installateur die die koeling plaatst en onderhoudt, wordt vaak niet getekend door de IT-afdeling, maar door de facilitair manager, de operations manager of de eigenaar. Bij hen komt de rekening dan ook terecht als het misgaat.
Nederland was overigens niet het enige doelwit. In België, Luxemburg, Zweden, Ierland, Estland en Frankrijk gebeurde die nacht hetzelfde. Voor Frankrijk was het al de tweede keer. Half oktober zetten aanvallers daar de koelingen van honderden supermarkten in de ontdooistand, waardoor vriezers opwarmden tot vijftig graden en winkels hun voorraad konden weggooien. Achter die aanval zit volgens de Franse regering vermoedelijk een cybereenheid van de Iraanse Revolutionaire Garde. Wie verantwoordelijk is voor de aanvallen van begin november, is nog niet vastgesteld.
Verbinding stond open
Dat koelinstallaties op afstand te benaderen zijn, is gangbaar. De installateur of onderhoudspartij heeft toegang om storingen te zien en instellingen te beheren, zonder daarvoor langs te hoeven komen. Bij de getroffen bedrijven hing die verbinding volgens Danfoss rechtstreeks aan internet, zonder beveiligd netwerk ertussen. Daardoor was de inlogpagina voor iedereen bereikbaar, en omdat het standaardwachtwoord er nog op stond, kon in principe ook iedereen inloggen. Na de aanvallen in Frankrijk had Danfoss zijn Nederlandse klanten op 13 oktober al geadviseerd de systemen van internet los te koppelen. “Het merendeel van de winkels heeft toen maatregelen genomen, maar een klein aantal niet”, zei de woordvoerder. “Die zijn hier nu de dupe van.”
Dat zo’n verbinding open blijft staan, komt volgens Alex Fray, Global Innovation Lead bij securitybedrijf Zscaler, deels door wie de regelaar installeert. Dat is doorgaans een koeltechnisch monteur, niet een beveiligingsteam. “De taak van zo’n regelaar is om levensmiddelen koel te houden”, zegt Fray. “Zodra het systeem draait, wordt het grotendeels met rust gelaten, en niemand in dat proces krijgt de opdracht om na te denken over de beveiligingsrisico’s.” Omdat zo’n apparaat volgens hem niet als IT wordt gezien, valt het vaak buiten het overzicht van bedrijfsmiddelen, buiten de reguliere updates en buiten het zicht van het beveiligingsteam. In Frankrijk speelde nog iets anders. Volgens Danfoss ging het daar vooral om oude producten die geen software- of beveiligingsupdates meer krijgen.
Partijen wijzen naar elkaar
Wie had die verbinding dan moeten afschermen? De betrokken partijen wijzen elk een andere kant op. Danfoss verwijst naar zijn eigen adviezen om systemen bij te werken en achter een firewall te zetten. Dominique Schelcher, topman van de Franse supermarktcoöperatie Coopérative U, wijst naar de onderhoudspartijen. “Onze winkels zijn geen klant van Danfoss”, zei hij tegen Franse media. “We zijn klant van koeltechnici die ons een oplossing van Danfoss ter beschikking stellen.” Stephan Moelans, CEO van het Belgische installatiebedrijf Sabcobel benadrukte juist dat de hackers individuele supermarkten zijn binnengedrongen, en niet de systemen van de installateurs.
Ondertussen ligt de rekening bij de eigenaar van de gekoelde voorraad. Bij Coopérative U kon de schade volgens Schelcher oplopen van enkele tienduizenden euro’s in een kleine winkel tot 200.000 euro in een hypermarché. Het NCSC adviseert bedrijven om contact op te nemen met hun leverancier, om na te gaan of hun installatie kwetsbaar is. Voor de meeste bedrijven is dat niet Danfoss, maar de installateur of onderhoudspartij die de koeling beheert.
Eigenaar moet het dus zelf regelen
Wie die partij wil aanspreken, moet eerst weten welke installaties in het pand op afstand worden beheerd, en door wie. En dat gaat verder dan alleen de koeling. Volgens Fray van Zscaler gelden dezelfde risico’s voor de systemen die gebouwen, water- en energievoorziening, zorg, logistiek en fabrieken draaiende houden. Met dat overzicht in de hand kun je de onderhoudspartij per installatie drie vragen stellen die het NCSC en Danfoss aanreiken: of het systeem rechtstreeks via internet bereikbaar is, of het standaardwachtwoord is vervangen en of er nog updates komen. Moet die partij op afstand kunnen blijven meekijken, dan kan de IT-afdeling helpen om de verbinding af te schermen, bijvoorbeeld door alleen vaste adressen of een beveiligde verbinding toe te staan. Maar daarvoor moet de IT-afdeling wel eerst weten dat die verbinding bestaat.
Afschermen helpt, maar lost niet alles op. Krijgt het systeem geen updates meer, dan adviseert Danfoss het te vervangen. Volgens Moelans van Sabcobel volstaat een software-update ook niet altijd en moeten installaties fysiek worden aangepast. “Dat vraagt een investering.” Europese regels bieden daar voorlopig nog geen uitkomst. De Cyber Resilience Act verplicht fabrikanten weliswaar om beveiliging vanaf het ontwerp in te bouwen, maar die eisen gelden pas vanaf 11 december 2027, en niet voor systemen die nu al in het pand hangen.
Dan is er nog het papierwerk. ICT-jurist Victor de Pous wees er in april in ICT Magazine op dat organisaties instrumenten als cyberverzekeringen, auditrechten en continuïteitsafspraken met leveranciers onderschatten. “De focus ligt op dit moment standaard op compliance, op het naleven van wettelijke verplichtingen, en niet op het gericht inzetten van het aanvullende juridische instrumentarium”, zei hij toen. Bij een gehackte koeling wordt dat ineens heel concreet: dekt de polis bedorven voorraad na een digitale aanval, en wat staat er in het contract met de installateur over de verbinding op afstand? CERT-FR, de Franse tegenhanger van het NCSC, adviseert bedrijven zelfs om eerst hun verzekeringsvoorwaarden te controleren voordat ze de verbinding met de koeltechnicus verbreken.
Hoe het ook kan aflopen, liet de Franse bloedbank EFS zien. In de bewuste hack-nacht begin november werden de koelcellen op drie locaties ontregeld, met temperatuur- en ontdooigrenzen die op zeer hoge waarden werden gezet. In die cellen lag plasma voor transfusies en voor de productie van medicijnen. Het doelwit was niet de bloedbank zelf, maar het ingehuurde bedrijf dat de koelcellen beheert. “Onze bewakings- en alarmsystemen zagen al snel dat er iets mis was, waarna is ingegrepen”, liet de EFS weten. Het plasma werd verplaatst of veiliggesteld, en er ging niets verloren.