Hoe beveiliging omgekeerd kan werken zonder informatie over beveiligingsupdates

Gepubliceerd op 21 april 2021 om 07:00
Hoe beveiliging omgekeerd kan werken zonder informatie over beveiligingsupdates

Door een beveiligingslek in het alarmsysteem van ABUS, kunnen criminelen het systeem uitschakelen voordat ze inbreken. Tevens is het mogelijk om camerabeelden te bekijken en manipuleren. Het beveiligingsbedrijf laat in een reactie weten dat het lek in januari is gedicht.

Beveiligingslek

Cybersecuritydeskundige Niels Teusink van EYE Security ontdekte het beveiligingslek begin november vorig jaar. Tegenover RTL Nieuws laat hij zien hoe eenvoudig het is om het alarmsysteem Secvest van de fabrikant ABUS over te nemen. En wat je er allemaal mee kunt als je eenmaal bent ingelogd, is niet mis.

Teusink laat zien dat het mogelijk is om de geïnstalleerde beveiligingscamera’s in- en uit te schakelen. Boeven kunnen ook de camerabeelden bekijken en manipuleren. Zo is het mogelijk om een lege woonkamer in beeld te brengen terwijl er in werkelijkheid een inbreker rondloopt. Klanten die via de app de camerabeelden bekijken, zien een lege kamer.

Verder laat Teusink zien dat hij met een druk op de knop de alarmsirene kan aan- en uitzetten. Boeven kunnen achter de schermen ook stiekem met de beveiligingscamera’s meekijken. Zo zien ze van een veilige afstand wanneer de bewoners hun huis verlaten en zij hun slag kunnen slaan.

Volgens RTL Nieuws zijn er in heel Europa meer dan 10.000 van dit soort alarmsystemen aangesloten op het internet. Het blijkt relatief eenvoudig om via internet te achterhalen waar de kwetsbare systemen hangen. De systemen tonen de namen van de eigenaren, IP-adressen en soms ook woonadressen.

Makkelijk voor inbrekers

“Je weet waar mensen wonen, kan in het systeem zien wanneer mensen vaak niet thuis zijn en vervolgens live checken op de camerabeelden wat voor dure spullen er in huis staan en of iemand überhaupt thuis is. En als klap op de vuurpijl zet je het alarm uit voordat je inbreekt. Terwijl je dit doet, kan je het zo aanpakken dat in de app alles in orde lijkt”, aldus Teusink.

In Nederland zijn er bijna 300 huizen en bedrijven die kwetsbaar zijn voor het beveiligingslek, terwijl dat helemaal nergens voor nodig is. Toen Teusink het beveiligingslek aankaartte bij ABUS, dichtte de fabrikant het lek via een patch. Het enige dat klanten hoeven te doen is een software-update te installeren. Deze staat sinds 22 januari klaar, maar klanten en een aantal installatie monteurs waren daarvan niet op de hoogte gesteld door ABUS.

RTL Nieuws sprak een aantal gedupeerden. De meesten wisten niet eens dat er een veiligheidsissue was, laat staan dat er een beveiligingsupdate klaarstond. Ze zijn daarvan nooit op de hoogte gesteld door ABUS. Ook meerdere verkooppunten gaven aan niets te weten van een beveiligingslek in de software.

Je moet  klanten hierover informeren

Gerard Spierenburg van de Consumentenbond verwijt de fabrikant nalatigheid. “Er is hier een product in de markt, dat ernstige kwetsbaarheden bevat. Dan kun je als fabrikant niet stil blijven. Je moet je klanten hierover informeren. Dat ze dat niet hebben gedaan, is hen aan te rekenen.”

RTL Nieuws heeft contact opgenomen met ABUS en om een reactie gevraagd. Het beveiligingsbedrijf laat weten dat het een januari een firmware-update heeft aangeboden die het lek dicht. “Wij moesten echter constateren dat enkele van onze installateurs deze informatie over de beschikbare release niet hebben ontvangen. Wij zullen vandaag opnieuw beginnen te communiceren en onze partners gericht informeren.”

Op de vraag waarom ABUS niet met haar klanten heeft gecommuniceerd over het beveiligingslek, krijgt RTL Nieuws geen antwoord. Zelfs niet na meerdere verzoeken. ABUS belooft in ieder geval beterschap en klanten te informeren over de update. Het is te hopen dat de fabrikant dat in de toekomst direct doet.

Bron: rtlnieuws.nl, vpngids.nl

Tips of verdachte activiteiten gezien? Meld het hier.

Meer nieuws

Informatiebeveiliging en cyberrisico’s één van belangrijkste risico’s voor financiële instellingen

De Nederlandsche Bank ziet informatiebeveiliging en de daarmee samenhangende cyberrisico’s als een van de belangrijkste strategische risico’s bij financiële instellingen. Dat blijkt uit de 2021 editie van DNB’s IB-monitor. De toezichthouder stelt dat ruim 15% van de Nederlandse pensioenfondsen en verzekeraars het afgelopen jaar te maken heeft gehad met aanzienlijke financiële schade door beveiligingsincidenten en datalekken.

Lees meer »

Waarom phishing nog steeds een succes formule is

De GGD waarschuwt: leraren en leraressen, trap niet in de phishingmail waarin je wordt uitgenodigd om je boostervaccin te plannen. Elke week verschijnen er online wel berichten over bedrijven die waarschuwen voor phishingmails in hun naam. Waarom? Omdat nog steeds mensen erin trappen.

Lees meer »

Deepfakes kunnen op termijn de samenleving ontwrichten

Deepfake-video's worden steeds populairder en daarmee neemt het gevaar voor misbruik toe. Onderzoekers van de Tilburg University onderzochten hoe het nieuwe kabinet dit kan tegengaan. Bart van der Sloot, privacy- en big data-expert en Associate Professor bij Tilburg University voorziet dat dat flink wat problemen gaat opleveren.

Lees meer »

Wat we niet meer moeten doen in 2022

Het nieuwe jaar is een geweldige kans om je digitale activiteiten een nieuw leven in te blazen. Een steeds belangrijker onderdeel daarvan is digitale weerbaarheid. 2021 was een van de meest productieve jaren voor cybercriminelen. Nieuwe cijfers laten dit goed zien. Tot en met november ontving de politie 13.000 aangiften van cybercrime. Dat is een toename van bijna 20 procent ten opzichte van 2020, toen er in heel 2020 bijna 11.000 aangiften binnenstroomden. 

Lees meer »