Koelkasten gehackt bij Delhaize: wat hangt bij jou aan het internet?

Gepubliceerd Varia Braindump

In de nacht van 1 op 2 november gingen de koelingen in minstens 40 Delhaize-winkels op hol, plus een vijftiental bij Carrefour en een vijftal bij Spar, meldt VRT NWS. In Eeklo stonden diepvriezers op 50 graden. In Hoepertingen haalden ze 15 graden in plaats van −22, en ging er voor minstens 60.000 euro eten weg. Het was al de tweede golf in Europa sinds midden oktober, schrijft AP.

Mogelijke zwakke plekken

Hoe de aanvallers precies binnenraakten, is nog niet bekend. Publiek bereikbare regelaars, standaardwachtwoorden en verouderde software zijn mogelijke toegangspoorten. Volgens Danfoss ging het vooral om oudere producten die geen beveiligingsupdates meer kregen. Zo'n centrale regelaar is vaak via het internet bereikbaar, zodat een technieker van op afstand kan meekijken. Richard Horne, de baas van het Britse National Cyber Security Centre, zei over de Franse koelkasten dat ze rechtstreeks aan het internet hingen, met de standaardwachtwoorden.

Ethisch hacker Keanu Nys ziet bij VRT NWS "geen enkele reden" waarom een koelinstallatie openlijk bereikbaar moet zijn. Hij zou ze alleen via het interne netwerk laten werken, bijvoorbeeld met een VPN.

Ik snap hoe het zo ver komt. Een VPN opzetten en voor elke regelaar een deftig wachtwoord bijhouden is gedoe, en de koelkast koelt ook zonder. Maar dan kan iedereen die het adres vindt proberen in te loggen. En er wordt echt gezocht. Xavier Bellekens van het securitybedrijf Lupovis zag de week voor de aanval veel inbraakpogingen op nagemaakte koelsystemen die zijn bedrijf online had gezet.

Bij het PHP-lek van oktober hielp AI om lekken te vinden die er al sinds 2012 in zaten. Ik verwacht dat we zulke aanvallen steeds vaker gaan zien, waarbij AI scant naar kwetsbaarheden, standaardwachtwoorden en standaard loginpagina's zoals die van WordPress.

Wat je thuis kan nakijken

Het gaat niet alleen om koeltogen in de supermarkt. Veel slimme toestellen thuis, van IP-camera en babyfoon tot oven en airco, hebben een beheerinterface of een bijbehorend account. Laurens Singier van Howest zegt bij Reuters dat uitbaters het standaardwachtwoord van de fabrikant vaak niet veranderen. Thuis is dat niet anders, vermoed ik.

Staat er op een toestel nog het wachtwoord dat uit de doos kwam, verander het dan. Hoeft het niet van buitenaf bereikbaar te zijn, laat het dan ook niet open staan.

Een sterk wachtwoord hoeft geen moeite te kosten. Een wachtwoordmanager zoals Proton Pass of 1Password maakt een lang, willekeurig wachtwoord aan en onthoudt het voor je. Ik gebruik zelf al jaren 1Password. Het enige wachtwoord dat je nog moet kennen, is dat van de manager zelf.

Zet waar het kan ook tweestapsverificatie (2FA) aan. Dan vraagt een site naast je wachtwoord nog een code van zes cijfers, die meestal uit een app op je gsm komt. 1Password en Proton Pass (in de betalende versie) kunnen die codes ook zelf aanmaken en bijhouden. Omdat ze in je kluis zitten, heb je ze op al je toestellen en ben je niet afhankelijk van die ene gsm.

Ook je smart-tv hoort in dat rijtje, want die heeft vaak een microfoon. Dit najaar toonden onderzoekers aan dat LG-tv's audio konden opnemen terwijl het scherm uit leek, en over Samsung-tv's circuleert een gelijkaardige, onbevestigde claim. Gebruik je de spraakbediening niet, zet ze dan uit.

Voor je iets nieuws koopt

De binnencamera van de Action zou ik niet kopen. Test-Aankoop testte dat model van zo'n 25 euro in juni. De app draait op het Chinese Tuya-platform en de beelden op de microSD-kaart zijn niet versleuteld. "Vind je privacy belangrijk, dan zijn deze toestellen mogelijk niet voor jou", besluiten ze.

Kijk even rond voor je iets aan je wifi hangt. AI is daar handig voor. Vraag Claude of ChatGPT hoe lang de fabrikant beveiligingsupdates belooft, of het toestel ook zonder cloud werkt, of je het wachtwoord kan aanpassen en of er al lekken bekend zijn. Klik wel de bronnen aan die het geeft.

Europa schroeft de regels ook op. Sinds augustus 2025 gelden Europese cyberbeveiligingseisen voor draadloze toestellen die met het internet verbinden. Vanaf 11 december 2027 komt daar de Cyber Resilience Act bij, met eisen voor de beveiliging van producten met software en voor het opvolgen van lekken. Dat helpt bij wat je nieuw koopt. Wat al jaren aan je wifi hangt, kijk je best zelf na.

Een offline plan voor thuis

In het Nerdland Maandoverzicht van november hoorde ik Lieven Scheire het weer over een offline plan hebben. Ik denk dat we daar echt over moeten nadenken. Kan je je huis nog binnen zonder internet? Werken je zonnepanelen nog als de verbinding wegvalt?

Alles wordt meer en meer 'always on, always connected', zoals veel singleplayergames die tegenwoordig ook al een internetverbinding willen. Moet dat allemaal per se aan het internet hangen? Ik denk dat het slimmer en lokaler kan. Toestellen met Matter werken lokaal en blijven bedienbaar zonder internet of cloud, via een centrale hub in huis. Wil je er van buitenaf bij, dan kan een slimme router een VPN opzetten die je met een app op je gsm aanzet, zonder dat je zelf technisch aangelegd moet zijn.

In een bedrijf lukt dat niet altijd zo eenvoudig. Daar kan je IT-team wel over nadenken en helpen.

We leven in een nieuwe realiteit, waarin ook een diepvriezer een login heeft. Het doet me denken aan Het is oorlog maar niemand die het ziet, het boek uit 2019 van journalist Huib Modderkolk. De titel past hier verrassend goed. Je hoeft niet alles buiten te gooien. Denk gewoon even na voor je iets aan het internet hangt.