Na cyberaanval op koelsystemen in Belgische supermarkten: hoe kan dat? En wie zit hierachter?

Verschillende winkels hadden vanmorgen lege rekken.

Als hackers een beheersaccount kunnen kraken van een bedrijf dat koelsystemen beheert voor klanten zoals supermarkten, dan kunnen ze heel veel fout doen gaan. Dat zeggen cyberveiligheidsexperts nadat koelsystemen zijn uitgevallen bij Delhaize, maar ook bij Carrefour en Spar. Ook in het buitenland zijn er meldingen.

Delhaize had het vanochtend in een eerste reactie nog over "een IT-storing", maar het lijkt meer op een cyberaanval omdat verschillende ketens getroffen zijn. Niet enkel in België trouwens: ook vanuit Zweden en Estland zijn er al meldingen gekomen. 

Koelsystemen in winkels die op grote schaal worden gesaboteerd kosten de ketens handenvol geld. Een Proxy Delhaize in Hoepertingen (Limburg) had het over "minstens 60.000 euro" aan voedsel dat moest worden weggegooid. Maar hoe gaan hackers te werk? 

De koelsystemen worden vaak vanop afstand meebeheerd door leveranciers. Die kunnen dan vanop afstand het onderhoud doen, updates uitvoeren of ingrijpen als er iets verkeerd gaat, bijvoorbeeld als zij een alarmsignaal krijgen. Dat vertelt expert cyberveiligheid Patrick Hauspie van Vlaio, het steunplatform van de Vlaamse overheid voor ondernemers.

Als je aan het paswoord geraakt van de beheerder die het onderhoud doet, dan kan je er veel slechte dingen mee doen

Expert cyberveiligheid Patrick Hauspie

"Meestal zit er nog een admin-account op, maar dat heeft vaak een paswoord dat niet gewijzigd is. Als hackers aan zo'n wachtwoord raken, dan hebben ze natuurlijk alle mogelijkheden om dat toestel aan te passen, instellingen te veranderen, of om er software naartoe te sturen om dingen aan te passen, voor een update. Je kan er dan veel slechte zaken mee doen." 

Bepaalde koelsystemen bereikten naar verluidt een vrij hoge temperatuur, soms tot wel 50 graden. Hoe kan zoiets in een koelsysteem? "In een diepvriezer zitten koelelementen, maar ook ontdooi-elementen. Dat zijn elektrische componenten om alles ijsvrij te houden", vertelt Kiran Cluckers van Airclima.be. "Er zijn ook ventilatoren voor een goede luchtcirculatie." 

"Als je de vrieselementen uitschakelt en de ontdooi-elementen constant laat draaien, in combinatie met de ventilatoren, dan kan de temperatuur makkelijk oplopen tot 30 of 40 graden." 

Dat blijft voorlopig onduidelijk. Maar hackers doen het veelal om financieel gewin, zegt Hauspie: "Door dit te doen kunnen ze de supermarkten onder druk zetten. Ze kunnen zeggen 'kijk, we hebben controle over systemen die bij jullie geïnvesteerd zijn. Ofwel betaal je, en dan wordt alles weer normaal, ofwel betaal je niet en moet je de gevolgen dragen. 

Ofwel gaat het om geld, ofwel om destabiliseren door een hybride aanval

Patrick Hauspie

Er is ook nog een andere mogelijkheid. Misschien doen de hackers het niet per se om financieel gewin, en gaat het om een hybride aanval. "Om paniek te veroorzaken bij de bevolking en zo het land een beetje te destabiliseren." Voorlopig is er nog geen communicatie van hackers en blijft het gissen. 

De cyberaanval roept veel gelijkenissen op met die in Frankrijk, een drietal weken geleden. Toen sloegen de koelinstallaties van honderden supermarkten tilt, onder meer bij Intermarché en Leclerc. De schade liep in de miljoenen, maar het is nog altijd niet duidelijk wie er precies achter zat. 

In ieder geval zou de werkwijze dezelfde zijn. Het zou dus om dezelfde daders kunnen gaan. Het Belgische Centrum voor Cyberveiligheid laat weten "geen verdere informatie" te hebben, en toont zich bezorgd over het toenemende aantal incidenten, onder meer door het inzetten van AI. 

Cyberveiligheid wordt nog altijd onderschat, zegt Hauspie. "Het blijft een heikel punt. Veel ondernemers of bedrijven zien investeren in cybersecurity als een kost. Maar zo'n aanval als deze toont aan dat de kosten veel groter kunnen zijn als het foutloopt."

"We proberen ondernemers daarvoor te waarschuwen, en hun bewustzijn te verhogen. Het is niet meer de vraag of je aangevallen zal worden, maar wanneer. Aangevallen worden is geen schande, maar niet voorbereid zijn... het is iets wat je vandaag wél had kunnen doen. "