Quantum Systems meldt cyberaanval, Bundeswehr houdt drones aan de grond

Quantum Systems meldt op 12 november dat het eind oktober een cyberaanval ontdekte en indamde, terwijl BR24 schrijft dat de Bundeswehr de drones voorlopig uit voorzorg uit dienst nam.

Quantum Systems is ook leverancier van Nederlandse Defensie: het bedrijf kondigde in 2022 de eerste levering van VECTOR ISR-systemen aan. Daarmee raakt het incident aan de softwarelaag voor missieplanning en updates. Er is geen publieke aanwijzing dat Nederlandse systemen zijn getroffen of uit gebruik zijn genomen.

De Duitse maatregel blijft voorlopig

BR24 baseert de melding over de Bundeswehr op de Financial Times en schrijft dat het Duitse ministerie van Defensie niet reageerde op een vraag. Dronewatch meldt dat de Bundeswehr een groot aantal drones van Quantum Systems voorlopig niet gebruikt. De publicatie noemt geen exact aantal of datum waarop het gebruik wordt hervat. De berichtgeving spreekt over drones van Quantum Systems, maar identificeert geen model, eenheid of basis. Daardoor is niet vast te stellen of alle toestellen van het bedrijf zijn stilgezet, of alleen een selectie. Ook blijft onbekend of de VECTOR onder de maatregel valt.

Voor de Bundeswehr betekent de gemelde voorzorgspauze dat de inzet van drones van deze leverancier tijdelijk wordt beperkt. De beschikbare berichten noemen geen getroffen missie of eenheid en geven geen operationele beoordeling van wat de maatregel kost. De reactie van het ministerie ontbreekt, zodat ook de reden voor de gekozen reikwijdte niet publiek is toegelicht.

De melding raakt de updateketen

Quantum Systems zegt dat het bij de interne beoordeling een actieve aanval door vijandige actoren ontdekte. Het bedrijf meldt dat de dreiging met hulp van zijn IT- en beveiligingsteams, overheidsinstanties en externe experts is ingedamd. De melding is gedaan bij de bevoegde autoriteiten en het onderzoek loopt samen met staatsinstanties en cyberexperts. De fabrikant zegt dat de aard van het incident en de genomen maatregelen geen risico opleveren voor het gebruik van zijn onbemande systemen.

Dronewatch schrijft, met verwijzing naar de Financial Times, dat een kwaadaardig updatebestand werd verspreid via een server die wordt gebruikt voor updates van QBase, het grondstation- en missieplanningssysteem van Quantum Systems. Een serverincident in die keten is nog geen bewijs dat een drone de update heeft ontvangen. Geen van de geraadpleegde berichten bevestigt dat malware op een toestel terechtkwam, dat een operationele verbinding werd overgenomen of dat gevoelige gegevens zijn buitgemaakt. De verklaring noemt geen getroffen dienst, klantomgeving, methode of gegevensimpact en bevat geen technisch rapport waarmee de uitspraak over veilig gebruik onafhankelijk kan worden beoordeeld.

De Nederlandse VECTOR heeft een softwarelaag

Quantum Systems kondigde op 27 oktober 2022 de eerste levering van VECTOR ISR-systemen aan het Nederlandse ministerie van Defensie aan, samen met BSS Holland. De fabrikant beschrijft de VECTOR als een systeem voor inlichtingen, observatie en verkenning (ISR) dat verticaal kan opstijgen en landen. De vluchtduur is volgens de aankondiging 120 minuten. Het toestel gebruikt een AES-versleutelde mesh-IP-verbinding met een bereik van meer dan 15 kilometer. Het combineert elektro-optische en infraroodsensoren met automatische algoritmen voor detectie, identificatie en volgen. QBase wordt daarin omschreven als tactische missieplanningssoftware die een missie tijdens de vlucht kan aanpassen.

De fabrikant zegt dat Defensie de VECTOR mede koos vanwege databeveiliging en de versleutelde verbinding. Die kenmerken beschrijven de communicatie tussen systeemonderdelen, maar geven op zichzelf geen uitsluitsel over de beveiliging van een update-server. Het zijn bovendien productspecificaties uit de aankondiging van de leverancier, geen onafhankelijke beoordeling van de softwareketen. De release noemt geen aantallen of levermomenten voor de toestellen. Ook is uit openbare informatie niet op te maken of de eerste systemen nog in gebruik zijn of door een ander model zijn vervangen.

Duitsland weegt ook Chinese drones

Een dag eerder meldde BR24 dat het Duitse ministerie van Defensie geen drones van Chinese makelij meer wil gebruiken, ook niet voor doelen zonder veiligheidsclassificatie. Bestaande systemen moeten worden vervangen door nationale en mogelijk Europese alternatieven. Het ministerie zei dat er geen algemeen verbod geldt voor systemen uit een bepaald land: de afweging is per systeem en richt zich op militaire veiligheid, gegevensbescherming en IT-beveiliging. De Duitse berichtgeving legt dus twee verschillende risico’s naast elkaar. Bij de Chinese drones gaat het om de herkomst en mogelijke dataverzameling; bij Quantum Systems om een aanval op de IT- en update-infrastructuur van een Europese leverancier.

Bij IT-leverancier Dustin leidde ongeautoriseerde toegang tot delen van de interne omgeving tot uitgeschakelde systemen en stilgevallen bestellingen en leveringen. De gevolgen liepen daar via de continuïteit van klantprocessen. Bij LastPass konden aanvallers via een hack bij Klue klantcontactgegevens uit de gekoppelde Salesforce-omgeving halen. Dat was een gegevensroute via een leverancier, terwijl het Quantum-incident volgens de berichtgeving over een updateserver loopt. De voorbeelden verschillen in techniek en gevolg, maar laten zien waarom een leverancier ook via zijn software, koppelingen en updatekanalen deel wordt van de operationele keten.

De twee Duitse besluiten raken verschillende lagen van dezelfde levenscyclus: gegevens die drones verzamelen, software die missies plant en updates van de fabrikant. De Bundeswehr-pauze blijft voorlopig en het onderzoek loopt, terwijl de fabrikant zegt dat veilig gebruik mogelijk is. Voor organisaties die zulke systemen inkopen, hangt een bredere beoordeling af van welke onderdelen de autoriteiten aantoonbaar hebben gecontroleerd en wanneer gebruik wordt hervat.