Hoe beveiliging omgekeerd kan werken zonder informatie over beveiligingsupdates

Gepubliceerd op 21 april 2021 om 07:00
Hoe beveiliging omgekeerd kan werken zonder informatie over beveiligingsupdates

Door een beveiligingslek in het alarmsysteem van ABUS, kunnen criminelen het systeem uitschakelen voordat ze inbreken. Tevens is het mogelijk om camerabeelden te bekijken en manipuleren. Het beveiligingsbedrijf laat in een reactie weten dat het lek in januari is gedicht.

Beveiligingslek

Cybersecuritydeskundige Niels Teusink van EYE Security ontdekte het beveiligingslek begin november vorig jaar. Tegenover RTL Nieuws laat hij zien hoe eenvoudig het is om het alarmsysteem Secvest van de fabrikant ABUS over te nemen. En wat je er allemaal mee kunt als je eenmaal bent ingelogd, is niet mis.

Teusink laat zien dat het mogelijk is om de geïnstalleerde beveiligingscamera’s in- en uit te schakelen. Boeven kunnen ook de camerabeelden bekijken en manipuleren. Zo is het mogelijk om een lege woonkamer in beeld te brengen terwijl er in werkelijkheid een inbreker rondloopt. Klanten die via de app de camerabeelden bekijken, zien een lege kamer.

Verder laat Teusink zien dat hij met een druk op de knop de alarmsirene kan aan- en uitzetten. Boeven kunnen achter de schermen ook stiekem met de beveiligingscamera’s meekijken. Zo zien ze van een veilige afstand wanneer de bewoners hun huis verlaten en zij hun slag kunnen slaan.

Volgens RTL Nieuws zijn er in heel Europa meer dan 10.000 van dit soort alarmsystemen aangesloten op het internet. Het blijkt relatief eenvoudig om via internet te achterhalen waar de kwetsbare systemen hangen. De systemen tonen de namen van de eigenaren, IP-adressen en soms ook woonadressen.

Makkelijk voor inbrekers

“Je weet waar mensen wonen, kan in het systeem zien wanneer mensen vaak niet thuis zijn en vervolgens live checken op de camerabeelden wat voor dure spullen er in huis staan en of iemand überhaupt thuis is. En als klap op de vuurpijl zet je het alarm uit voordat je inbreekt. Terwijl je dit doet, kan je het zo aanpakken dat in de app alles in orde lijkt”, aldus Teusink.

In Nederland zijn er bijna 300 huizen en bedrijven die kwetsbaar zijn voor het beveiligingslek, terwijl dat helemaal nergens voor nodig is. Toen Teusink het beveiligingslek aankaartte bij ABUS, dichtte de fabrikant het lek via een patch. Het enige dat klanten hoeven te doen is een software-update te installeren. Deze staat sinds 22 januari klaar, maar klanten en een aantal installatie monteurs waren daarvan niet op de hoogte gesteld door ABUS.

RTL Nieuws sprak een aantal gedupeerden. De meesten wisten niet eens dat er een veiligheidsissue was, laat staan dat er een beveiligingsupdate klaarstond. Ze zijn daarvan nooit op de hoogte gesteld door ABUS. Ook meerdere verkooppunten gaven aan niets te weten van een beveiligingslek in de software.

Je moet  klanten hierover informeren

Gerard Spierenburg van de Consumentenbond verwijt de fabrikant nalatigheid. “Er is hier een product in de markt, dat ernstige kwetsbaarheden bevat. Dan kun je als fabrikant niet stil blijven. Je moet je klanten hierover informeren. Dat ze dat niet hebben gedaan, is hen aan te rekenen.”

RTL Nieuws heeft contact opgenomen met ABUS en om een reactie gevraagd. Het beveiligingsbedrijf laat weten dat het een januari een firmware-update heeft aangeboden die het lek dicht. “Wij moesten echter constateren dat enkele van onze installateurs deze informatie over de beschikbare release niet hebben ontvangen. Wij zullen vandaag opnieuw beginnen te communiceren en onze partners gericht informeren.”

Op de vraag waarom ABUS niet met haar klanten heeft gecommuniceerd over het beveiligingslek, krijgt RTL Nieuws geen antwoord. Zelfs niet na meerdere verzoeken. ABUS belooft in ieder geval beterschap en klanten te informeren over de update. Het is te hopen dat de fabrikant dat in de toekomst direct doet.

Bron: rtlnieuws.nl, vpngids.nl

Tips of verdachte activiteiten gezien? Meld het hier.

Meer nieuws

Overzicht cyberaanvallen week 12-2022

Conti-ransomware gebruikt dertig bekende kwetsbaarheden bij aanvallen, systeem Italiaanse spoorwegen plat door Russische hackers en ransomware versleutelt 100.000 bestanden in gemiddeld 42 minuten. Hier het overzicht van afgelopen week en het nieuws van dag tot dag.

Lees meer »

Cybercrime nieuwsbrief 202 week 12-2022

De oorlog in Oekraïne en de pandemie maken het belang van een goede cybersecurity nog eens duidelijk, we hebben een ongebruikelijke aanmeld poging opgemerkt op een apparaat of locatie die je normaal gesproken niet gebruikt en de hacks van Lapsus$. Dit en meer lees je in nieuwsbrief 202.

Lees meer »

De cyberoorlog: ‘Wees waakzaam voor cyberaanvallen’

Ondanks de oorlog in Oekraïne zijn er op dit moment geen geavanceerde cyberaanvallen die gevolgen hebben voor de Nederlandse infrastructuur. Dat betekent niet dat het risico daarop weg is. Het Nationaal Cyber Security Centrum (NCSC) monitort daarom voortdurend de situatie en staat in nauw contact met nationale en internationale partners over mogelijke incidenten, dreigingen en maatregelen. Het bedrijfsleven krijgt het advies om alert te zijn voor eventuele digitale aanvallen en andere bedreigingen.

Lees meer »

Hacks van Lapsus$

Cybersecurity-onderzoekers van Microsoft en Nvidia hebben de recente hacks van Lapsus$ op deze bedrijven herleid naar een tiener in Oxford. De zestienjarige zou nog bij zijn moeder wonen, maar wel het mastermind achter de aanvallen zijn. Dit meldt Bloomberg.

Lees meer »

We hebben een ongebruikelijke aanmeldpoging opgemerkt op een apparaat of locatie die je normaal gesproken niet gebruikt. Was jij dit?

De meeste online diensten hebben een ingebouwd beveiligingssysteem dat u waarschuwt wanneer er “ongewone” activiteit op uw account wordt gedetecteerd. Zo sturen diensten bijvoorbeeld meldingen over pogingen tot het opnieuw instellen van het telefoonnummer en e-mailadres die aan de account zijn gekoppeld, of het wachtwoord. Toen dit soort berichten gemeengoed werd, probeerden ondernemende cybercriminelen natuurlijk dit mechanisme na te bootsen om gebruikers aan te vallen.

Lees meer »

Minister: “Het internet is hier van hoge kwaliteit, snel en goedkoop”

Het komt helaas regelmatig voor dat hackers en cybercriminelen de Nederlandse digitale infrastructuur misbruiken. Dat is niet goed voor het internationale imago van ons land, bondgenootschappelijke belangen en integriteit van de Nederlandse ICT-infrastructuur. Om misbruik te voorkomen en bijstand te verlenen, werken tal van instanties dag en nacht hieraan.

Lees meer »