Op internet zijn duizenden koelsystemen van de Deense fabrikant Danfoss te vinden die de datum als wachtwoord gebruiken, zo meldt de Britse beveiligingsonderzoeker Kevin Beaumont. Gisteren wisten aanvallers bij honderden Franse supermarkten de temperatuur van de koelinstallaties aan te passen, waardoor winkels allerlei producten moesten weggooien.
Beaumont deelde via Mastodon een screenshot van de Shodan-zoekmachine, waaruit blijkt dat meer dan 4500 Danfoss koelsystemen vanaf het internet toegankelijk zijn. De onderzoeker merkt op dat het wachtwoord van de systemen elke dag automatisch verandert in de datum van die dag. Kwaadwillenden zouden zodoende eenvoudig kunnen inloggen en de temperatuur aanpassen. "Iedereen kan het doen en het is eenvoudig te scripten", aldus Beaumont. "De getroffen supermarkt in Frankrijk had alle apparaten direct aan het internet hangen en ze gebruikten allemaal hetzelfde wachtwoord, de datum van vandaag."
Onderzoekers van cybersecuritybedrijf Claroty waarschuwden afgelopen augustus voor een verborgen inlogmechanisme in de webmanagement-interface van het AK-SM 800A platform van Danfoss. In plaats van het ingestelde admin-wachtwoord te controleren, blijkt de interface een speciaal geprepareerd authenticatie request met de "code of the day" te accepteren. Volgens de onderzoekers is dit vermoedelijk bedoeld voor support of onderhoud door de leverancier.
Claroty stelt dat een onderdeel van de interface het dagelijkse wachtwoord genereert, gebaseerd op de huidige datum van het apparaat. "Door hetzelfde algoritme te reproduceren kan een aanvaller een geldige inlogcode voor elke dag genereren en zo het standaard inlogproces omzeilen." Beaumont merkt op dat afgelopen augustus ook al een uitleg online verscheen over het uitschakelen van de koeling. Het maken van een script om op grote schaal koelsystemen uit te schakelen vereist volgens de onderzoeker dan ook geen enkele vaardigheid en is waarschijnlijk het werk van een verveelde tiener.
Update
Cybersecuritybedrijf Previdian verduidelijkt dat de gegenereerde wachtwoorden niet de huidige datum zijn, maar hier van zijn afgeleid. "Nog steeds dom", aldus het bedrijf.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Functionaris Gegevensbescherming (FG)
Wil jij met jouw privacykennis impact maken op de zorg? Je adviseert ruim 150 zorgorganisaties over privacy, gegevens bescherming en de verantwoorde inzet van data en AI. Je werkt aan regionale vraagstukken, schakelt met bestuurders en experts en krijgt volop ruimte voor ontwikkeling, opleiding en flexibiliteit.
Chief Information Security Officer
Wil jij richting geven aan informatie-veiligheid binnen twee gemeenten die digitaal volop in ontwikkeling zijn? Zoek je een rol waarin strategie, beleid en samenwerking samenkomen? Dan ma-ken we graag kennis met je.
