NCSC: slimme huishoudapparaten nauwelijks in gevaar door PHP-lek
Het Nationaal Cyber Security Center (NCSC) en cybersecurity-experts zeggen dat slimme apparaten zoals deurbellen en wasmachines nauwelijks via het PHP-lek kunnen worden gehackt, omdat ze meestal niet rechtstreeks vanaf internet bereikbaar zijn. Toch blijft het advies om updates uit te voeren en oude apparaten uit te zetten.
Het Nationaal Cyber Security Center (NCSC) en cybersecurity-experts zeggen dat slimme huishoudelijke apparaten zoals deurbellen met camera, wasmachines en robotstofzuigers nauwelijks gevaar lopen door het recente PHP-lek. Het risico dat het lek op grote schaal wordt misbruikt, is kleiner dan aanvankelijk gedacht. Het lek maakt het mogelijk om servers en websites over te nemen, maar voor slimme apparaten thuis is de dreiging beperkt.
Volgens Daan Keuper van beveiligingsbedrijf Computest is het lastig om een slim apparaat van buitenaf te bereiken. «Je zou kunnen zeggen dat de meeste slimme apparaten een telefoon hebben om naar buiten te bellen, maar ze hebben geen nummer waarnaartoe gebeld kan worden», zegt hij. De meeste apparaten hangen via wifi aan een router en zijn niet rechtstreeks met internet verbonden. Alleen iemand die op hetzelfde netwerk is ingelogd, kan verbinding maken. Michel van Eeten van de TU Delft acht het binnendringen van een slimme wasmachine via de router onwaarschijnlijk, omdat in routers bijna geen PHP zit.
Toch waarschuwt het NCSC dat PHP ook in slimme apparaten kan zitten. Het advies blijft daarom om alle apparaten, apps en websites regelmatig te updaten. Vooral verouderde apparaten die geen updates meer ontvangen, vormen een risico. «Die maken misschien gebruik van een oude versie van PHP», zegt Juriaan Spierenburg van het NCSC. Het is voor consumenten echter bijna onmogelijk om te achterhalen of hun producten PHP gebruiken. «Het is heel technisch», zegt Ralph Moonen van cybersecuritybedrijf Zivver. «Veel bedrijven weten zelf niet eens waar ze PHP gebruiken.»
Een groter risico vormen zogeheten Network Attached Storage-apparaten (NAS), harde schijven die aan het thuisnetwerk zijn gekoppeld en van buitenaf bereikbaar kunnen zijn. «Daarmee kun je vanaf je vakantieadres via je computer of telefoon inloggen om foto's te uploaden», zegt Moonen. Ook slimme deurbellen kunnen volgens hem bijna niet via het netwerk van de consument worden gehackt. Waarschijnlijker is dat een aanval via een server van de fabrikant loopt. De verantwoordelijkheid daarvoor ligt bij de leverancier, benadrukt Spierenburg. «Leveranciers hebben de verplichting om hun eigen systemen veilig te houden. Daar is ook nieuwe wetgeving voor, de Cyber Resilience Act.»
Ongeveer 30 procent van de Nederlandse woningen heeft een of meer huishoudelijke apparaten die met internet kunnen worden verbonden, blijkt uit cijfers van marktonderzoeker Multiscope. Het NCSC adviseert consumenten om na te denken of al die apparaten wel online hoeven te zijn. Wie zekerheid wil, kan volgens Spierenburg zorgen dat slimme apparaten alleen via het eigen thuisnetwerk bereikbaar zijn en een firewall of VPN overwegen. Van Eeten voegt toe dat een apparaat dat via internet bereikbaar is, desnoods een paar dagen kan worden uitgezet. «En afwachten wat de leverancier doet.»
6
