'Duizenden online koelsystemen gebruiken datum als wachtwoord'

In dit artikel:

Meer dan 4.500 koelsystemen van de Deense fabrikant Danfoss zijn volgens beveiligingsonderzoeker Kevin Beaumont rechtstreeks via internet bereikbaar. De systemen gebruiken dagelijks automatisch de datum als wachtwoord, waardoor kwaadwillenden relatief eenvoudig kunnen inloggen en de temperatuur aanpassen.

Dat gebeurde recent bij honderden Franse supermarkten. Omdat de koelinstallaties daar direct met internet waren verbonden en hetzelfde datumwachtwoord gebruikten, moesten winkels producten weggooien. Onderzoekers van Claroty waarschuwden vorig jaar al voor een verborgen toegangsmethode in de webinterface van het Danfoss-platform AK-SM 800A. Die accepteert een speciaal authenticatieverzoek met een dagelijkse code, vermoedelijk bedoeld voor ondersteuning of onderhoud. Volgens Claroty kan het algoritme worden nagebouwd en kunnen aanvallers zo het normale wachtwoord omzeilen. Beaumont stelt dat het op grote schaal uitschakelen van koelingen daardoor eenvoudig te automatiseren is.