Cyberaanval op supermarktkoelingen mogelijk werk van hackers met Russische banden

Links: Xavier Bellekens, CEO van cybersecuritybedrijf Lupovis

Een hackersgroep met banden met de Russische staat zit mogelijk achter de cyberaanval op koelsystemen van Europese supermarkten. Dat zegt Xavier Bellekens, CEO van het Schotse cybersecuritybedrijf Lupovis. Zijn bedrijf merkte in de week voor de aanvallen opvallend veel pogingen op om in te breken op nagebootste controlesystemen van koelkasten. "Het lijkt erop dat iemand wil demonstreren dat hij schade kan aanrichten aan een cruciaal onderdeel van de Europese infrastructuur."

Samenvatting:

• Een hackersgroep met banden met de Russische staat zit mogelijk achter de cyberaanval op koelsystemen van Europese supermarkten, zegt Xavier Bellekens, CEO van cybersecuritybedrijf Lupovis.

• Lupovis zag tussen 20 en 30 oktober 256 inbraakpogingen op nagebootste koelsystemen van Danfoss, met een piek op 26 oktober. 

• Volgens Bellekens wijzen onder meer de gebruikte servers en de technische aanpak op een groep met banden met de Russische staat.

• Het risico voor particulieren met slimme toestellen is voorlopig beperkt.

Eergisteren stond de Belgische supermarktsector op scherp nadat tientallen winkels het slachtoffer geworden waren van een op hun koelsystemen.

Bij winkels van onder meer Delhaize, Carrefour en Spar liepen de temperaturen in de koel- en diepvriesinstallaties op. Sommige supermarkten moesten daardoor voedingswaren uit de rekken halen of weggooien. Ook in Zweden, Estland, Luxemburg en Ierland werden problemen gemeld. 

Midden oktober werden al meer dan 150 Franse supermarktketens getroffen.

Xavier Bellekens, een Belgische cybersecurityspecialist die al 17 jaar in het Verenigd Koninkrijk woont, volgt de gebeurtenissen van dichtbij. Zijn bedrijf Lupovis houdt wereldwijd duizenden zogenoemde 'honeypots' in de gaten: nagebootste computersystemen en toestellen die cybercriminelen moeten aantrekken.

"Je kan het vergelijken met een namaakhuis in een straat", legt hij uit in VRT NWS De Ochtend op Radio 1. "Er woont niemand, maar je hoopt dat een inbreker op een dag probeert binnen te raken. Door te observeren hoe hij dat doet, kan je informatie verzamelen over zijn werkwijze en zijn bedoelingen."

Lupovis had onder meer een controlesysteem van Danfoss nagebootst. Dat Deense technologiebedrijf levert software waarmee koelinstallaties vanop afstand kunnen worden beheerd. Danfoss werd ook al tijdens de eerste cyberaanval midden oktober door cybercriminelen geviseerd.

Een gelijktijdige piek in aanvallen op 1 type technologie in verschillende landen wijst op gerichte interesse in dat systeem

Xavier Bellekens, CEO van cybersecuritybedrijf Lupovis

Tussen 20 en 30 oktober registreerde Lupovis 256 pogingen om in te breken op de nagebootste Danfoss-systemen. Die waren afkomstig van 91 verschillende bronnen. Op 26 oktober was er een duidelijke piek in de activiteit.

"Normaal zien we voortdurend pogingen om allerlei technologieën aan te vallen. Dat noemen we achtergrondruis", schetst Bellekens. "Maar wanneer we plots een piek zien bij 1 specifiek type technologie, en dat in verschillende landen tegelijk, wijst dat erop dat iemand bijzondere interesse heeft in dat systeem."

Dat die verhoogde activiteit plaatsvond in de week voor de cyberaanvallen op de Europese supermarkten, is volgens Bellekens geen toeval. Hij vermoedt dat de hackers eerst een verkenningsfase hebben doorlopen, om vervolgens begin november tot de aanval over te gaan. "Op 1 en 2 november zagen we vervolgens de uitvoering."

De gegevens die Lupovis verzamelde, doen Bellekens vermoeden dat de aanvallen het werk zijn van een groep die banden heeft met de Russische staat. Zijn bedrijf kan de daders niet met zekerheid identificeren, maar verschillende elementen wijzen in dezelfde richting.

Zo valt onder meer de digitale infrastructuur op van waaruit de aanvallen werden uitgevoerd. De hackers maakten onder meer gebruik van zogenoemde 'bulletproof hosting': internetdiensten die cybercriminelen bewust de ruimte geven om illegale activiteiten uit te voeren. Klachten over misbruik worden er vaak genegeerd, waardoor de servers moeilijk offline te halen zijn.

"De providers en sommige IP-adressen die we hebben vastgesteld, kwamen bovendien al voor in infrastructuren die we eerder in verband hebben gebracht met Russische staatsgelinkte hackersgroepen", aldus Bellekens. "Wanneer we die gegevens vergelijken met eerdere aanvallen, zien we een duidelijke overlap."

Ook de omvang en de technische aanpak van de aanval doen volgens hem vermoeden dat er meer achter zit dan een individuele hacker. De aanvallen troffen verschillende supermarktketens in meerdere landen. Bovendien moesten de daders goed begrijpen hoe industriële koelsystemen werken om daadwerkelijk schade te kunnen veroorzaken.

"Om koelsystemen op deze manier te beschadigen, moet je begrijpen hoe ze functioneren. Je moet weten hoe de koel- en ontdooicycli werken en welke instellingen je kan aanpassen. In dit geval werden de ontdooicycli voortdurend opnieuw geactiveerd, waardoor de temperatuur in de installaties bleef stijgen. Dat is niet eenvoudig. Daarvoor moet je je verdiepen in de technische documentatie en weten hoe je schade kan veroorzaken. Een tiener krijgt vanuit zijn slaapkamer zoiets niet klaar."

Tot slot is het opvallend dat voorlopig geen enkele hackersgroep de aanval heeft opgeëist. "Normaal worden dergelijke aanvallen wel opgeëist door een organisatie. In dit geval heeft voorlopig nog geen enkele groep dat gedaan."

Waarom zou een dergelijke groep koelsystemen van supermarkten aanvallen? Volgens Bellekens gaat het mogelijk niet zozeer om de onmiddellijke schade aan voedingswaren, maar om het tonen van wat technisch mogelijk is.

"Voor ons lijkt dit op een demonstratie van mogelijkheden: iemand toont dat hij een cruciaal onderdeel van de Europese infrastructuur kan aanvallen en schade kan veroorzaken."

Een aanval in een andere regio kan vroeg of laat ook jouw regio treffen. Bedrijven hadden dat ernstig moeten nemen

Xavier Bellekens, CEO van cybersecuritybedrijf Lupovis

De kwetsbaarheid van industriële systemen is volgens Bellekens al langer een probleem. 

Veel van die systemen gaan tientallen jaren mee, maar worden in die periode niet altijd voldoende beveiligd of bijgewerkt. Sommige toestellen hebben een levensduur van wel 20 jaar, terwijl de (de basissoftware die bepaalt hoe het toestel werkt, red.) al die tijd soms onaangeroerd blijft. Bovendien zijn bepaalde systemen rechtstreeks bereikbaar via het internet, terwijl dat vermeden kan worden.

Bellekens vindt dat bedrijven na de eerdere aanvallen in Frankrijk al extra waakzaam hadden moeten zijn. "Wanneer een bepaald systeem in 1 regio wordt aangevallen, bestaat de kans dat die activiteit op een bepaald moment ook naar jouw regio komt. Dat hadden bedrijven ernstig moeten nemen."

Moeten consumenten zich nu ook zorgen maken over hun eigen slimme toestellen, zoals een aangesloten garagepoort of slimme verlichting? Volgens Bellekens is het risico voor particulieren op dit moment beperkt.

"Er bestaat een risico, maar op dit moment zien we vooral veel activiteit bij organisaties die belangrijk zijn voor de bredere infrastructuur."