Een klimaat- of koelinstallatie die vanaf internet bereikbaar is, is niet alleen een IT-probleem. Wie de aansturing overneemt, kan temperaturen opdrijven of beveiligingen uitschakelen, met mogelijk bederf, uitval of zelfs brand als gevolg. Dat laat hoogleraar informatica Chris Verhoef zien met twee vondsten in Europese gebouwen. Voor installateurs, aannemers en vastgoedeigenaren raakt dit aan oplevering, onderhoud en beheer.
Wat er is gevonden
Met Shodan, een zoekmachine voor apparaten die aan internet hangen, vond Verhoef het klimaatbeheersysteem van een basisschool in Slovenië. Hij kwam binnen met de standaardinloggegevens uit de handleiding en meldde dat bij het Sloveense CERT. Een week eerder trof hij in Parijs de koelinstallatie van een supermarkt aan die vanaf internet bereikbaar was, met open netwerkpoorten en onbeveiligd verkeer. Na zijn melding bij het Franse CERT zijn maatregelen genomen; een geslaagde manipulatie heeft hij daar niet aangetoond. De vondsten volgden op berichten over aanvallen op zo’n 1.500 professionele koelinstallaties in Frankrijk, waarbij de ingestelde temperatuur naar 50 graden zou zijn verhoogd. In het ergste scenario schakelt een aanvaller beveiligingen uit en voert hij de verwarming zo ver op dat er brand ontstaat in een ketelhuis.
Waarom dit de bouwketen raakt
Installaties worden vaak op afstand bediend en bewaakt, zodat storingen sneller kunnen worden verholpen. Juist die koppeling met internet maakt ze vindbaar. Standaardwachtwoorden die na de inbedrijfstelling blijven staan, open poorten voor onderhoud op afstand en onduidelijkheid over wie na de oplevering verantwoordelijk is voor updates, zijn precies de zwakke plekken die hier naar voren komen. Het speelt in gemeentehuizen, scholen, sporthallen en andere gebouwen met digitale installaties. Bij woningcorporaties werd eerder al zichtbaar hoe ketenrisico’s het cyberdreigingslandschap veranderen, en ook de discussie over brand door elektrische auto’s in parkeergarages liet zien dat techniek in gebouwen nieuwe brandscenario’s oplevert.
Wat betekent dit voor u
Neem in uw opleverprotocol op dat standaardwachtwoorden worden vervangen en dat duidelijk is wie de toegang op afstand beheert. Leg in het onderhoudscontract vast wie updates uitvoert en wie een melding krijgt bij afwijkingen. Voor eigenaren en beheerders loont het om te laten nagaan welke installaties via internet bereikbaar zijn. Twijfelt u of schade door een digitale aanval op installaties, zoals brand, bederf of bedrijfsonderbreking, onder uw polissen valt? Dit is een risico om te laten checken; vraag het uw adviseur.
Bron: Binnenlands Bestuur, “Hoogleraar legt kwetsbaarheid van digitale gebouwinstallaties bloot“
