Het wachtwoord was de datum van vandaag

‘Het wachtwoord was de datum van vandaag.’ Zo waren volgens beveiligingsonderzoeker Kevin Beaumont ruim 4.500 koelsystemen van Danfoss beveiligd die rechtstreeks via internet bereikbaar zijn. Afgelopen zondagnacht gebruikten aanvallers die toegang om de koelingen van zo’n 400 Franse supermarkten zes uur lang op 50 graden te zetten. Intermarché, Carrefour, Coopérative U, Monoprix: alle verse en diepvriesproducten konden de container in. Twee winkels in de Elzas schatten hun schade samen op EUR 270.000,-. Landelijk loopt het in de miljoenen.

Op hetzelfde moment liggen in Nederland de websites en apps van Albert Heijn, Etos en Gall & Gall plat. Officieel heet het een ‘cybersecurity incident’. Experts tegenover de NOS houden een aanval voor zeer waarschijnlijk. Distributiecentra liggen stil en vooral bij vers kunnen lege schappen ontstaan.

Wie erachter zit, weet nog niemand. Daar ga ik het dus ook niet over hebben. Ik wil het hebben over wat dit zegt over de komende jaren, en wat je zelf kunt doen.

Ook bij ons

Ik kan er niet veel over zeggen, maar ook wij zien bij klanten regelmatig cybersecurity incidenten. In de systemen die wij zelf bouwen en beheren gebeurt dat gelukkig nauwelijks. Dat komt doordat we die systemen, en de beveiliging eromheen, continu aandacht geven. Het zijn vaak omgevingen waar een klant volledig van afhankelijk is om operationeel te blijven.

Toch voel ik me daar nooit te comfortabel bij. Recent waren we te gast bij een gespecialiseerd securitybedrijf. Daar viel een zin die me is bijgebleven: de mensen die het meest thuis zijn in de veiligheid van systemen, zijn juist de mensen die continu twijfelen of het goed op orde is.

Ahold Delhaize bewijst dat. Eind 2024 werd het concern al getroffen door ransomwaregroep INC Ransom, met gegevens van 2,2 miljoen mensen als buit. Een bedrijf met die middelen en die securityafdeling. Zekerheid bestaat dus niet. Wat je wel kunt organiseren, is aandacht voor de mogelijkheid dat het jou overkomt. En de maatregelen die daarbij horen.

AI snijdt aan twee kanten

Software wordt inmiddels voor een groot deel met AI gemaakt. Dat is toegankelijk en snel, en precies daar zit het risico. Veracode testte dit jaar ruim 100 AI-modellen: de gegenereerde code werkt bijna altijd, maar zakt in ongeveer 44% van de gevallen voor een securitytest. Ten opzichte van vorig jaar is dat nauwelijks verbeterd. Wie zonder ervaring een applicatie ‘vibecodet’ waar klantdata doorheen gaat, bouwt dus met een flinke kans een open deur in.

Aan de andere kant staat de aanvaller, en die heeft dezelfde AI. Nog nooit was het mogelijk om zo diep, zo breed en in zo’n volume zwakheden te vinden en te misbruiken. In juli braken twee modellen van OpenAI uit hun testomgeving en hackten ze zelfstandig het AI-platform Hugging Face. OpenAI noemde het zelf een glimp van hoe aanvallen er straks uitzien.

En vorige week meldde Axios dat insiders bij de grote AI-bedrijven binnen zes tot twaalf maanden een groot incident verwachten, waarschijnlijk een cyberaanval op banken, internet of zelfs stroom en water. Ze bereiden de nasleep al voor. Laat dat even bezinken.

Een groeiende kloof

Met een kleine glazen bol: er ontstaat een veiligheidskloof tussen wat aanvallers kunnen en wat verdedigers op orde hebben. Twee soorten systemen lopen het meeste risico:

• Oudere systemen. De Franse koelingen draaiden volgens Danfoss op verouderde firmware. Beveiligingsbedrijf Claroty waarschuwde in augustus al voor een verborgen inlogmogelijkheid.
• Snel en onzorgvuldig gebouwde oplossingen waar gevoelige data doorheen gaat.

Het CBS ziet dezelfde beweging van de andere kant: de weerbaarheid van grote bedrijven en het mkb loopt uiteen. Tegelijk laat het ook zien dat een inhaalslag kan: in het kleine mkb steeg het gebruik van tweestapsverificatie van 29% in 2017 naar 79% in 2025.

Oude software is simpelweg niet veilig genoeg meer. Nieuwe software die onzorgvuldig wordt gemaakt, loopt risico om misbruikt te worden. Verdedigers zullen de komende jaren een inhaalslag moeten maken, met bewustwording en met dezelfde AI die aanvallers gebruiken. Helemaal voorkomen lukt niet. Doe je niets, dan is de kans groot dat jij, en mogelijk je klant, slachtoffer wordt.

Wat wij doen

Bij Hatch bereiden we ons daar zo goed mogelijk op voor. Met Stability kunnen onze klanten de veiligheid en bereikbaarheid van hun digitale processen borgen zonder er zelf verstand van te hoeven hebben. We controleren dagelijks op bekende kwetsbaarheden in de bouwstenen van hun applicaties, houden verouderde versies in de gaten en trekken recht wat afwijkt. En gaat het toch mis, dan staat er een onafhankelijke back-up klaar die we snel kunnen terugzetten.

Vijf controlevragen

Benieuwd hoe het bij jou zit? Stel jezelf eens deze vragen:

1. Heb je in de afgelopen twee jaar een back-up teruggezet, en weten genoeg mensen hoe dat moet?
2. Gebruiken medewerkers hun zakelijke laptop ook privé, of andersom?
3. Kan toegang tot één mailaccount in theorie toegang geven tot kritieke bedrijfssoftware?
4. Kan één gebruiker zonder waarschuwing alle bedrijfsdata kopiëren of verwijderen?
5. Weet je welke van je systemen rechtstreeks via internet bereikbaar zijn, en op welke versie ze draaien?

Twijfel je bij één van deze vragen? Dan weet je waar je kunt beginnen.