Rond 2.30 uur ‘s nachts op 2 november kreeg de zaakvoerster van een Delhaize in Eeklo een melding: haar diepvriezers stonden op 50 °C. ‘s Ochtends lagen vlees en vis ter waarde van tienduizenden euro’s in de container, [VRT NWS].
Het gekke eraan? Niemand in de winkel had de thermostaat aangepast. Iemand deed het van op afstand.
In heel Europa duiken aanvallen op koelsystemen op. Dat is een wake-upcall die veel verder gaat dan supermarkten. Elke organisatie met verbonden apparatuur, van koelcellen en HVAC tot productielijnen en gebouwbeheer, moet op haar hoede zijn. De vraag die je jezelf moet stellen: als iemand binnenraakt, hoe ver kan die dan gaan?
Wat is er gebeurd
In de nacht van 11 op 12 oktober namen aanvallers de koelcontrollers over in honderden Franse supermarkten. In tot 700 winkels van verschillende ketens werden koelinstallaties urenlang in ontdooimodus gezet, waardoor ze opwarmden in plaats van te koelen. Sommige koelcellen haalden temperaturen tot 50 °C.
Half oktober verspreidde de Franse CERT een waarschuwing over koelcontrollers van Danfoss (AK-SM- en AK-SC-reeks) en Copeland/Dixell (xweb). Ze riep beheerders op om die toestellen van het internet te halen en bij te werken wat nog bijgewerkt kan worden. Ook het Belgische CCB waarschuwde. Volgens Danfoss ging het in Frankrijk vooral om oudere modellen die geen beveiligingsupdates meer krijgen.
Drie weken later dook hetzelfde patroon op in België. In de nacht van 1 op 2 november warmden in een veertigtal Delhaize-winkels in Vlaanderen en Wallonië de koelkasten en diepvriezers op. Carrefour België telde 15 getroffen winkels, en ook een vijftal Spar-winkels en verschillende Intermarchés werden geraakt. Ook daar werden de installaties in ontdooimodus gezet. Een uitbater van een Proxy Delhaize schatte zijn verlies op 60.000 euro. Dezelfde nacht meldden winkels in Nederland, Luxemburg, Ierland, Zweden, Finland, Estland, Portugal en Italië gelijkaardige problemen.
Het federaal parket heeft een onderzoek geopend, en volgens het CCB worden de daders misschien nooit geïdentificeerd. Wat wel duidelijk is: hoe makkelijk het ging. In Nederland liet Danfoss weten dat de getroffen systemen niet in een beveiligd netwerk zaten en nog standaardwachtwoorden gebruikten. In België alleen al bleken zo’n 970 Danfoss- en 123 Copeland-systemen bereikbaar via het internet.
Waarom vallen hackers koelkasten aan?
Koelcontrollers zijn een schoolvoorbeeld van operationele technologie (OT) die stilletjes aan het netwerk is komen te hangen. Ze worden aangekocht door facility of winkeloperaties, en vaak worden ze niet door IT beheerd. Vaak beschouwt IT ze niet eens als haar verantwoordelijkheid.
Een installateur koppelt ze aan het netwerk, zodat ze van op afstand opgevolgd en onderhouden kunnen worden. En daarna blijven ze stilletjes in de achtergrond draaien voor misschien tien, vijftien jaar zonder dat iemand er nog naar omkijkt.
Dat maakt ze aantrekkelijke doelwitten:
- Ze zijn vaak bereikbaar via het internet, of via een plat winkelnetwerk waarin kassa, camera en koelinstallatie allemaal in dezelfde zone zitten.
- Ze zijn beveiligd met standaard- of voorspelbare wachtwoorden die na de installatie nooit gewijzigd zijn.
- Ze worden beheerd via toegang op afstand van een leverancier, waar de winkel zelf geen volledige controle over heeft.
- Veel toestellen draaien op verouderde firmware. Sommige modellen uit de Franse aanval krijgen helemaal geen beveiligingsupdates meer.
- De impact is fysiek en zichtbaar: bedorven voorraad, afgesloten rekken en, in het ergste geval, brand.
Tot nu toe heeft niemand de aanvallen officieel opgeëist, maar gespecialiseerde media wijzen in de richting van pro-Russische hackers. Er is geen losgeldeis bekend.
Dat roept een ongemakkelijke vraag op: doet iemand dit gewoon omdat het kan? Of is disruptie op zich het doel? Illumio waarschuwt dat groepen het gemunt kunnen hebben op sectoren zoals de voedselproductie, waar een uitval meteen voelbaar is. De aanvaller heeft er geen duidelijk financieel gewin bij. De slachtoffers blijven achter met bedorven voorraad, lege rekken, imagoschade en, misschien nog het ergst: de factuur.
Wachten op de patch die nooit komt
Het standaardadvies is patchen en toestellen van het internet halen. Dat klopt allebei, maar geen van beide volstaat op zich.
Je kunt geen controller patchen die de fabrikant niet meer ondersteunt. En je vervangt geen honderden toestellen op tientallen locaties in één week. Intussen blijven die toestellen op je netwerk hangen.
Bovendien gaat dit veel verder dan koelkasten. Hetzelfde geldt voor medische apparatuur, gebouwsystemen, productiemachines en die ene oude server waar niemand aan durft te komen.
We maakten onlangs hetzelfde punt over servers, in Wanneer patchen nog niet kan. De koelaanvallen tonen aan dat het probleem in OT nog groter is, want daar komt de patch simpelweg nooit.
Isoleer wat je niet kunt oplossen
Begin bij de basis. Elk incident dat tot nu toe gemeld werd, volgde hetzelfde patroon: een controller die rechtstreeks bereikbaar was via het internet, beveiligd met standaardinloggegevens of draaiend op verouderde firmware. Microsegmentatie had die incidenten niet voorkomen. Controllers van het internet halen, standaardwachtwoorden wijzigen en firmware bijwerken wel. Dat komt eerst.
Maar je kunt niet altijd elke zwakke plek wegwerken. Sommige controllers kun je niet patchen, en leveranciers hebben nog altijd toegang op afstand nodig. Kun je de zwakke plek niet wegnemen, beperk dan wat ze kan bereiken. Dat heet vaak virtual patching, en precies dat doet microsegmentatie.
Een koelcontroller hoeft met heel weinig te communiceren: zijn monitoringsysteem, misschien één verbinding met de leverancier en een alarmkanaal. Met microsegmentatie laat je die paar verbindingen toe en blokkeer je al de rest. Zo beperk je twee dingen. Een aanvaller die de controller bereikt, kan die niet gebruiken als opstap naar het winkelnetwerk of het hoofdkantoor. En een aanvaller die elders in het netwerk al een laptop of server heeft overgenomen, kan de controller niet bereiken.
Het resultaat is een inbreuk die klein blijft. Eén gecompromitteerde controller blijft één gecompromitteerde controller, geen springplank naar de rest van de winkel of het hoofdkantoor.
Segmentatie zonder je netwerk te herbouwen
Veel organisaties gaan ervan uit dat dit soort segmentatie een enorm netwerkproject betekent. En traditioneel was dat ook zo: firewallregels per site, nieuwe VLAN’s, changevensters en maanden werk, en dat op elke locatie opnieuw.
“De koelaanvallen zijn precies het soort geval waarin segmentatie loont. De klassieke aanpak met firewalls is vrij complex: je hertekent het netwerk, schrijft regels voor elke site en hoopt dat er niets breekt. Met Illumio wordt dat eenvoudig. Eerst breng je in kaart welke systemen met elkaar communiceren, daarna leg je vast wat een toestel, zoals een koelcontroller, mag doen. Het voordeel van deze aanpak is dat je dat allemaal kunt doen zonder het netwerk zelf taan te moeten passen.”
– Wouter Decruy, Managing Director @ACEN
Dat is de aanpak die we volgen met onze partner Illumio. We beginnen met het in kaart brengen van het werkelijke verkeer, zodat je ziet wat elk toestel echt nodig heeft. Daarna testen we de policies in een modus die enkel zichtbaarheid biedt, voor ze afgedwongen worden. Voor servers en werkstations dwingt Illumio de policy af op de host zelf.
Toestellen die geen software kunnen draaien, zoals koelcontrollers, modelleren we in dezelfde policy. Die dwingen we af op het dichtstbijzijnde controlepunt: de systemen waarmee ze communiceren, je bestaande firewall of je switchinfrastructuur.
Een verdacht toestel isoleer je met één klik. Je hoeft je netwerk niet te hertekenen, geen firewallregels te herschrijven, geen VLAN’s aan te passen en geen routing bij te werken. En niemand schrijft nog met de hand regelsets voor elke site.
Illumio maakt hetzelfde punt voor fabrieken in PHP2Shell exposes hidden risks in factory systems. De lessen gelden net zo goed voor koelcellen.
Zes dingen om deze week te doen
- Breng je OT in kaart.
Maak een lijst van elk verbonden toestel dat geen laptop of server is: koeling, HVAC, toegangscontrole, camera’s, productieapparatuur. Vergeet ook de webinterfaces en beheersoftware niet waarvan slechts nog weinigen weten dat ze geïnstalleerd zijn. - Haal het van het internet.
Geen enkele controller mag een webinterface hebben die van buitenaf bereikbaar is. - Wijzig standaardinstellingen.
Standaardwachtwoorden op koelcontrollers zijn nog maar eens een deur die openstaat. - Neem de controle over leverancierstoegang.
Onderhoud op afstand moet verlopen via een jump host of Zero Trust Network Access die jij zelf beheert, niet via een permanente tunnel. - Scherm af wat je niet kunt patchen.
Laat alleen de verbindingen toe die een toestel echt nodig heeft en blokkeer de rest. - Spreek het plan af.
Beslis vooraf wie een site of systeem kan isoleren, wat er wordt afgesloten en wat moet blijven draaien.
