VS waarschuwt voor wereldwijde aanvallen op koelregelaars

CISA, de FBI en drie andere Amerikaanse departementen waarschuwen op 5 november voor wereldwijde aanvallen op industriële koelregelaars die temperatuur en ontdooicycli kunnen veranderen, met risico op voorraadverlies en fysieke schade.

Een verkeerde instelling kan voedsel, bloedproducten of medicijnen onveilig maken en leveringen stilzetten. Ook in Nederland is dat risico zichtbaar: NOS meldde op basis van leverancier Danfoss dat bij minstens zeventien bedrijven temperaturen waren aangepast in de nacht van 1 op 2 november.

De koelregelaar stuurt fysieke voorraad

De gezamenlijke factsheet noemt zorg en volksgezondheid, chemie, voedsel en landbouw, en transport als sectoren die koelketensystemen breed gebruiken. Die systemen registreren temperaturen, sturen ontdooicycli aan en ondersteunen beheer op afstand. In gekoeld transport, opslag en winkels hangt een fysiek product daarmee deels af van digitale instellingen en netwerkverbindingen.

De instanties zeggen dat aanvallers elektronische temperatuurregelaars en commerciële koelregelaars aanvallen bij supermarkten en koelopslag. Het gaat om apparaten die niet zijn bijgewerkt of vanaf internet bereikbaar zijn. De factsheet noemt het omzeilen van inlogbeveiliging, het injecteren van code en zwakke configuraties als mogelijke routes. Het document stelt niet dat elk van die routes bij ieder incident is vastgesteld.

Na toegang kan een aanvaller de temperatuur wijzigen of koelunits langdurig laten verwarmen en ontdooien. Mogelijke gevolgen zijn verloren voorraad, brandgevaar, kortere levensduur van apparatuur, onveilige producten en verlies van zicht op actuele temperaturen.

De Europese meldingen raken ook Nederland

TechCrunch schrijft dat de waarschuwing volgde op recente meldingen van aanvallen op commerciële koelinstallaties in Europese winkels en opslag. Bij de Nederlandse meldingen ging het volgens Danfoss onder meer om slagerijen, buurtwinkels en een opslaglocatie voor diepvriesproducten. Bij die locatie stond de installatie volgens de leverancier op -10 °C in plaats van de gebruikelijke -20 °C. Danfoss zei tegen NOS dat de systemen niet op een beveiligd netwerk stonden en een standaardwachtwoord gebruikten.

Danfoss had klanten op 13 oktober geadviseerd koelregelaars van het internet los te koppelen en alleen via een beveiligde verbinding te laten beheren. Volgens de woordvoerder namen de meeste klanten die stap, maar een klein aantal niet. Dat is de lezing van de leverancier in het gesprek met NOS. De openbare informatie stelt niet vast dat de Nederlandse meldingen dezelfde aanvalsketen vormen als de Europese of Amerikaanse activiteit.

Ook Carrefour bevestigde een cyberaanval op koeling in België. De melding over problemen met koelinstallaties bij vijftien van de zevenhonderd Belgische Carrefour-winkels laat zien hoe een digitale instelling winkelvoorraad kan raken. De overeenkomst in gevolg bewijst geen gedeelde dader of techniek. Het Belgische CCB waarschuwde op 13 oktober na de Franse compromitteringen dat beheerinterfaces van vier koelregelaarfamilies vermoedelijk publiek bereikbaar waren; ook exacte modellen en firmwareversies bleven onbekend. Het stelde niet vast dat internettoegang de aanvalsvector was.

Beveiliging vraagt om gecontroleerde toegang

De Amerikaanse factsheet adviseert eerst besturingssystemen van het publieke internet te halen. Als onderhoud op afstand nodig blijft, hoort die toegang via een bijgewerkte firewall of netwerkbeveiligingsapparaat te lopen. Voor operationele technologie (OT), de digitale besturing van fysieke processen, noemt het document een apart virtueel lokaal netwerk (VLAN), zodat koelregelaars niet rechtstreeks aan het zakelijke netwerk hangen.

De rest van de maatregelen gaat over toegangsbeheer en levensduur. Vervang standaardwachtwoorden, gebruik sterke wachtwoorden en voer waar haalbaar phishingbestendige multifactorauthenticatie (MFA) in. Werk de ingebouwde software (firmware) bij en vervang apparatuur die de fabrikant niet meer ondersteunt. Beperk toegang met een lijst van toegestane apparaten en IP-adressen. Bewaar geteste reservekopieën buiten de locatie en offline, schakel logregistratie in en beoordeel die regelmatig. Voor systemen zonder bruikbare logbestanden adviseert de factsheet netwerkverkeer te verzamelen. Ook temperatuurgrenzen en meldingen bij afwijkingen moeten vooraf zijn ingesteld. De instanties vragen verdachte activiteit bij de FBI te melden.

Het CCB vroeg ook om afspraken met de koeltechnische dienstverlener en verzekeraar te controleren voordat organisaties de dataverbinding uitschakelen, omdat monteurs die verbinding voor onderhoud kunnen gebruiken. De Belgische instantie adviseerde verder firmware bij te werken, standaardwachtwoorden te vervangen en ontdooiconfiguraties te controleren.

Alarmen beperken de schade, maar laten vragen open

Het risico reikt verder dan voedselretail. Op 2 november raakte een cyberincident bij een koeltechniekleverancier de bewakings- en besturingssystemen van koelcellen op drie locaties van de Franse bloedservice EFS. De temperatuur- en ontdooidrempels liepen op. Alarmen brachten de afwijkingen snel aan het licht; EFS beheerste of neutraliseerde de apparatuur en verplaatste producten naar andere koelruimtes. De bloedservice meldde dat geen bloedproducten verloren gingen en de inzameling en distributie doorgingen. De incidentmelding over de drie EFS-locaties en vijf Duitse winkels laat zien hoe alarmsystemen en een uitwijklocatie de uitkomst kunnen veranderen.

De Amerikaanse waarschuwing zegt dat de activiteit wereldwijd plaatsvindt, maar noemt geen dader, getroffen merk, modelnummer, kwetsbaarheidsnummer of totaal aantal systemen. De genoemde aanvalsroutes zijn mogelijkheden, geen bevestiging van wat in elk incident is gebruikt. The Register meldde op 5 november dat het geen gedocumenteerde aanvallen op Amerikaanse supermarkten kende en nog geen antwoord van de FBI had ontvangen. Dat zegt iets over bevestigde Amerikaanse winkelincidenten, niet over de bredere wereldwijde dreigingsmelding.

De waarschuwing brengt koelketens onder het bredere beheer van operationele technologie, omdat temperatuur, toegang op afstand en alarmen één fysiek proces bepalen. Europese meldingen tonen uiteenlopende gevolgen, van weggegooide voorraad tot bloedproducten die na alarmmeldingen veilig werden verplaatst. Voor een Nederlandse organisatie hangt de concrete blootstelling af van de eigen regelaars, hun netwerkverbindingen en de beschikbaarheid van temperatuurmetingen. De Amerikaanse instanties maken de beveiligingsmaatregelen expliciet, maar publiceren geen wereldwijde telling of lijst van getroffen modellen.