Aan Iran gelieerde hackers leggen Britse energiecentrale vier dagen stil

Aan Iran gelieerde hackers legden vorige maand een kleine Britse energiecentrale vier dagen stil, onthulde The Telegraph zaterdagavond. Het is voor zover bekend de eerste keer dat zo'n groep een Britse opwekfaciliteit daadwerkelijk uit bedrijf kreeg.

Daarmee verschuift er iets voor elk bedrijf met eigen besturingssystemen, een energiecontract of een leverancier in die keten. Tot nu toe was een geslaagde statelijke aanval op stroomopwekking een scenario in een oefening. Nu is het een gebeurtenis met een duur eraan: vier dagen buiten bedrijf, bij een site die volgens de Britse overheid zo klein is dat hij niet eens meldplichtig was. Precies dat laatste maakt het incident bruikbaar. De verstoringen waar je via toezichthouders en registers van hoort, zijn de grote. De installatie die jouw koeling, laadpleinen of productielijn voedt, kan ruim onder die grens zitten.

Wat er stillag, en wat niet

Britse functionarissen willen niet zeggen om welke centrale het gaat, met een beroep op veiligheid. Wel is bekend dat de installatie vier dagen uit bedrijf was terwijl personeel hem weer aan de praat probeerde te krijgen, en dat de uitval geen effect had op de landelijke stroomvoorziening. Een overheidsbron noemde het tegenover The Telegraph een zeer kleinschalige site, minder dan een afrondingsfout ten opzichte van de netcapaciteit, en wees erop dat er drempels bestaan waarboven belangrijke opwekkers cyberactiviteit wettelijk moeten melden. Deze site zat daar niet in de buurt.

Het Britse ministerie voor energie bevestigde het incident zonder een dader te noemen: het gaat om een kleinschalige energieopwekker en op geen enkel moment liep het bredere energiesysteem risico. Het NCSC, het publieke gezicht van inlichtingendienst GCHQ, kreeg het voorval gemeld maar reageert niet op losse incidenten. Van gereguleerde exploitanten van energiecentrales kwamen geen meldingen van uitval binnen.

Dat is geen toeval. Er hangen tientallen kleinschalige centrales aan het Britse net, veel ervan gasgestookt en maar enkele uren per week in bedrijf, bijvoorbeeld als het weinig waait en er extra vermogen nodig is. Vier dagen uitval bij zo'n installatie raakt het net niet.

Dezelfde weken, waterzuiveringen in twaalf Amerikaanse staten

Het Britse incident viel volgens The Telegraph samen met een reeks aanvallen op Amerikaanse waterinfrastructuur. Rioolwaterzuiveringen in twaalf staten raakten getroffen, met overstromingen en drukverlies op de leidingen tot gevolg, en sommige autoriteiten adviseerden bewoners hun water te koken. De eerste melding kwam op 26 juli uit Minnesota, daarna volgden Michigan, Georgia, South Dakota, New Jersey en Alabama. De FBI schreef de incidenten toe aan kwaadwillende cyberactoren; Amerikaanse overheidsbronnen bevestigden later aan media dat de dreiging waarschijnlijk uit Teheran kwam.

Aan de Britse kant is het vermoeden niet dat de aanvallers burgers wilden treffen. Waarschijnlijker is dat ze wilden aantonen dat ze bij gevoelige Britse infrastructuur binnenkomen en die kunnen uitschakelen. Het publiek merkte er dan ook nauwelijks iets van.

Van onwaarschijnlijk naar aantoonbaar

De inschatting van deze dreiging is in een jaar gedraaid. Het parlementaire comité dat toezicht houdt op de Britse inlichtingendiensten noemde de kans op een Iraanse cyberaanval op Britse infrastructuur vorig jaar nog onwaarschijnlijk, terwijl het cyberoorlogvoering wel aanwees als een terrein waarop Iran asymmetrisch sterk is, met tientallen miljoenen dollars aan hackersgroepen van elk honderden mensen. Een risicobeoordeling van het Cabinet Office van vorige maand zette de kans op een ernstige, geslaagde aanval op binnenlandse infrastructuur op vijf tot vijfentwintig procent, met de waarschuwing dat AI het lanceren van aanvallen automatiseert en de instapdrempel verlaagt.

NCSC-topman Richard Horne zei in juni dat zijn dienst het jaar daarvoor meer dan tweehonderd aanvallen op vitale infrastructuur behandelde. In maart riep GCHQ Britse bedrijven al op zich schrap te zetten voor Iraanse aanvallen. Vermoedelijke Iraanse operaties zijn ook gemeld in Duitsland, Polen, Finland, België en Albanië. Na de uitval briefte de Britse overheid de bestuursvoorzitters van energiebedrijven en stuurde ze bedrijven een schrijven met advies en vervolgstappen, aldus The Telegraph.

De route is bekend, de drempel is het probleem

Hoe de aanvallers binnenkwamen, is niet openbaar gemaakt. Het patroon eronder wel. CERT Polska reconstrueerde deze maand hoe aanvallers via een vanaf internet bereikbare FortiGate bij een windpark en een private APN doorstootten naar het besturingsnetwerk van een Poolse warmtekrachtcentrale en daar drie Siemens-besturingen in STOP-stand zetten. Ander land, ander incident, maar dezelfde sprong van kantoor-IT naar besturing, over een verbinding die niemand als grens had opgeschreven.

Voor Nederlandse organisaties valt dit samen met een wettelijk kantelpunt. Sinds 15 augustus geldt de Cyberbeveiligingswet, met een zorgplicht en een melding van ernstige incidenten binnen 24 uur bij het CSIRT. Bij de start stonden 2.942 organisaties in het entiteitenregister, op naar schatting acht- tot tienduizend plichtige partijen. Diezelfde dag ging de Wet weerbaarheid kritieke entiteiten in, waarbij vakministeries binnen een maand ongeveer 500 organisaties aanwijzen als kritieke entiteit.

Wat de Britse zaak daaraan toevoegt, is de onderkant van die piramide. Een opwekker onder de meldgrens hoeft niets te melden, dus belandt zijn uitval niet in de statistiek en niet bij zijn afnemers. Wie afhankelijk is van zo'n partij, een lokale warmtekrachtinstallatie, een zonnepark met eigen levering, een bedrijventerrein met een gedeelde aansluiting, kan die informatie alleen contractueel afdwingen. Meldtermijn, verwachte hersteltijd en het recht op een incidentrapport horen in het leveringscontract, niet in de aanname dat een toezichthouder het wel ziet.

En dan de duur. Vier dagen is geen stroomstoring maar een herstelproject, met besturingen die opnieuw moeten worden ingeregeld en apparatuur waarvan je eerst moet vaststellen dat er niemand meer in zit. Een noodstroomvoorziening die op enkele uren is berekend, dekt dat niet.

Het incident verschuift daarmee vooral de bewijslast. Zolang het uitschakelen van opwekking hypothetisch bleef, kon een risicoanalyse ermee wegkomen door de kans laag te schatten, precies zoals de Britse toezichthouders vorig jaar deden. Die vrijheid is er niet meer. De aanvallers lijken niet uit geweest op schade, maar op de demonstratie dat ze erbij konden. Die boodschap is niet alleen gericht aan de netbeheerder, maar aan iedereen die aan dat net hangt.