Beveiliging van gehackt waterbedrijf onvoorstelbaar knullig

Een niet meer ondersteunde versie van Windows, geen firewall en hetzelfde inlogaccount voor alle medewerkers die zaken op afstand bij het waterbedrijf moesten regelen. Dit zijn de schokkende conclusies van het eerste rapportage in een overheidsonderzoek naar de hackaanval die afgelopen vrijdag plaatsvond op het waterbedrijf van Oldsmar in de Amerikaanse staat Florida. Ars Technica schrijft over het onderzoeksrapport.

Stadje vergiftigen

Een hacker wist vrijdag bij het waterbedrijf de toevoeging van natronloog (natriumhydroxide ook wel gebruikt als gootsteenontstopper) ruim een factor 100 te verhogen naar voor de mens gevaarlijke concentraties. Het stadje van 15.000 inwoners ontsnapte aan een ramp doordat een alerte operator snel doorzag wat er gebeurde en de situatie kon veiligstellen.

Voor de aansturing op afstand van de SCADA-systemen waarmee de kranen in het pijpsysteem worden bediend, gebruikten de werknemers van het waterbedrijf een Windows 7-computer. Windows 7 wordt sinds januari 2020 niet meer door Microsoft voorzien van beveiligingsupdates. De toegang tot de SCADA-systemen was ook niet beveiligd met een firewall zodat de systemen makkelijk voor buitenstaanders benaderbaar waren. Bovendien was er slechts één account op TeamViewer waarmee de werknemers van het waterbedrijf de systemen op afstand konden bedienen.

Weg ligt open

Er bestaat een vermoeden - geuit door het voormalig hoofd van de Cybersecurity and Infrastructure Security Agency bij het Homeland Security committee van het House of Representatives - dat de actie is uitgevoerd door een gefrustreerde werknemer van het bedrijf. Het geeft echter aan hoe ook hackers, aangestuurd door kwaadwillende mogendheden of criminelen, makkelijk toegang kunnen krijgen tot systemen die het maatschappelijk leven ernstig kunnen ontwrichten.

De beveiliging van SCADA-aangestuurde systemen is al jarenlang een bekend probleem. SCADA - een afkorting van supervisory control and data acquisition - wordt in heel veel industriële omgevingen toegepast om grote installaties aan te sturen. Denk daarbij aan chemische fabrieken, energiebedrijven, waterwerken en bruggen, installaties die vaak al vele tientallen jaren in bedrijf zijn. De aansturing van de systemen is daarom niet ontworpen om via internet benaderbaar te zijn en laat zich in veel gevallen ook moeilijk achteraf beveiligen. Het voorval in Oldsmar toont aan hoe makkelijk het ernstig mis kan gaan. Maar is Oldsmar een uitzondering of slechts het topje van de ijsberg?