Cyberaanval op supermarktkoelingen mogelijk werk van hackers met Russische banden

In dit artikel:

Een hackersgroep met mogelijke banden met de Russische staat zit vermoedelijk achter recente aanvallen op koelsystemen van supermarkten in Europa. Dat concludeert Xavier Bellekens, CEO van het Schotse cybersecuritybedrijf Lupovis, op basis van digitale sporen en opvallende activiteiten die zijn bedrijf voorafgaand aan de aanvallen registreerde.

In België werden onder meer winkels van Delhaize, Carrefour en Spar getroffen. Door gewijzigde instellingen stegen de temperaturen in koel- en diepvriesinstallaties, waardoor voedingsmiddelen uit de rekken moesten worden gehaald of weggegooid. Ook in Zweden, Estland, Luxemburg en Ierland waren er problemen. Midden oktober werden al meer dan 150 Franse supermarktketens aangevallen.

Lupovis monitort wereldwijd nagebootste computersystemen, zogenoemde honeypots. Op een nagebootst controlesysteem van de Deense fabrikant Danfoss, wiens software koelinstallaties op afstand beheert, registreerde het bedrijf tussen 20 en 30 oktober 256 inbraakpogingen vanuit 91 bronnen. Op 26 oktober was sprake van een duidelijke piek, kort voor de aanvallen op de supermarkten op 1 en 2 november. Volgens Bellekens wijst dat op een gerichte verkenningsfase.

De aanvalsinfrastructuur vertoont volgens hem overlap met netwerken die eerder in verband zijn gebracht met Russische staatsgelinkte hackers. Ook de internationale schaal en de vereiste kennis van industriële koeltechniek wijzen volgens Bellekens eerder op een goed georganiseerde groep dan op een individuele hacker. De aanvallers lieten herhaaldelijk ontdooicycli starten, waardoor de temperaturen opliepen. Geen enkele groep heeft de aanval tot nu toe opgeëist en Lupovis kan de daders niet met zekerheid identificeren.

Bellekens denkt dat de aanvallen mogelijk vooral bedoeld waren om te demonstreren dat een cruciaal onderdeel van de Europese infrastructuur kwetsbaar is. Industriële systemen blijven vaak tientallen jaren in gebruik, worden niet altijd bijgewerkt en zijn soms rechtstreeks met internet verbonden. Voor particulieren is het risico volgens hem voorlopig beperkt; de meeste activiteit richt zich op organisaties die belangrijk zijn voor de bredere infrastructuur.