In nauwelijks een week tijd werden koelinstallaties van supermarkten gemanipuleerd, ging de FOD Financiën offline, verloor de moedergroep van Keytrade Bank meer dan 100 miljoen euro en meldde Pluxee een datalek. Het lijken losse incidenten, maar ze volgen vijf gemeenschappelijke lijnen.
1. Offline is het nieuwe normaal
Eind oktober haalde de FOD Financiën uit voorzorg toepassingen als MyMinfin en Tax-on-Web offline, vlak voor de deadline voor de belastingaangifte. Volgens de VRT werden geen gegevens gestolen, maar het systeem voor btw-nummers werkt nog niet. Daardoor wachten volgens de FOD 5.500 dossiers op verwerking.
Geert Baudewijns verwacht dat het vaker zal gebeuren: ‘In de nieuwe wereld van ai zullen we steeds vaker diensten uit voorzorg zien afsluiten omdat een kwetsbaarheid werd gevonden, zonder dat iemand is binnengedrongen’, schrijft hij op LinkedIn. Een afsluiting betekent dus niet altijd dat er is ingebroken, maar de gevolgen voelen burgers en bedrijven wel.
2. Elke sector krijgt zijn deel
Koelsystemen van onder meer Delhaize, Carrefour en Spar werden gemanipuleerd. Bij drie Franse bloedbanken werden de temperatuurdrempels verhoogd, maar de aanval werd verijdeld. Volgens Check Point krijgen organisaties in de sector van consumptiegoederen en -diensten in Europa gemiddeld 2.200 aanvallen per week, 43 procent meer dan vorig jaar.
Ook de financiële sector, een sector die de reputatie heeft om superbeveiligd te zijn, blijft niet gespaard. Bij Crédit Mutuel Arkéa, de moedergroep van Keytrade Bank, verdween meer dan 100 miljoen euro, naar eigen zeggen zonder gevolgen voor klanten.
3. Ot onder de aandacht
De aanvallen op koelinstallaties raken operationele technologie (ot): industriële systemen die fysieke processen aansturen. Pierre-Henry Poret van HarfangLab legt uit waar het misloopt: ‘Machines die vroeger geïsoleerd waren, zijn nu verbonden zonder noodzakelijkerwijs ontworpen te zijn om moderne cyberdreigingen te weerstaan.’
Volgens Danfoss stonden de aangevallen systemen niet op een beveiligd netwerk en hadden ze een standaardwachtwoord, ondanks het advies om ze na de hack op Franse supermarkten van het internet los te koppelen. Een door het Cert aangehaalde meting telde in België ongeveer 970 Danfoss- en 123 Copeland-systemen die via het internet bereikbaar waren. Dat zijn geen gehackte installaties, wel systemen die extra controle nodig hebben.
4. Kleine lekken, groot profiel
Het gaat vaak niet zozeer om kredietkaartgegevens, maar om contactgegevens. Maar elk stukje ontvreemde data is onderdeel van een groter geheel. Bij Pluxee gaat het mogelijk om namen, e-mailadressen en telefoonnummers. Dat lijkt onschuldig, maar Stefaan Van Hoornick van Trendai Belux verwacht valse berichten ‘van Pluxee’, ook bij mensen die niet getroffen zijn.
Gestolen gegevens worden volgens hem vaak pas maanden later misbruikt, en criminelen combineren lekken tot een steeds completer profiel. Ai maakt dat nog een stuk makkelijker: ‘De tijd dat je phishing herkende aan schrijffouten, is voorbij.’
5. Cybercommunicatie is geen pr-communicatie
Pluxee, met 2,5 miljoen gebruikers in België, meldde ‘schadelijke activiteit’ op zijn servers en stelde klanten gerust: de betaalsystemen zijn niet geïmpacteerd en er zijn geen verdachte transacties. Dat klinkt eerdere als een geruststelling dan de melding van een datalek.
Security-expert Jan Guldentops, lid van de adviesraad van Cybersec Europe, vindt de mail aan klanten te mager. Hij mist de aard van het incident en het aantal getroffenen, en schrijft op LinkedIn dat de opsomming van de gelekte gegevens mogelijk niet volledig is. Zijn conclusie: ‘Van een bedrijf dat de gegevens van het leeuwendeel van de Belgische werknemers beheert, mogen we iets meer verwachten dan een geruststellend briefje zonder veel inhoud.’
