De aanvallen op koelsystemen in Europa krijgen ook aandacht op de Roemeense televisie. Nieuwsprogramma Observator besteedde aandacht aan de digitale kwetsbaarheid van apparaten die met internet verbonden zijn. Want naast koelingen in winkels kunnen ook apparaten bij ons thuis een doelwit zijn.
In de reportage van Observator leg ik uit hoe kwetsbaar apparaten kunnen zijn als ze rechtstreeks via internet bereikbaar zijn. Het misbruiken van een gebrekkige beveiliging hoeft technisch niet ingewikkeld te zijn, terwijl de gevolgen groot kunnen zijn. Hieronder de uitzending:
Arjen Lubach besteedde vandaag aandacht aan de hack op de koelsystemen. Wie zou dat gedaan kunnen hebben? Blijkbaar had ik niet een hele originele hypothese daarover!
Update 12 november 2026: Frankrijk en België vermoeden dat Iran verantwoordelijk is Vandaag werd duidelijk dat naast Frankrijk, nu ook België vermoed dat Iran verantwoordelijk is voor de hacks op de koelsystemen.
De aanvallen op Europese koel- en vriesinstallaties halen ook in Zuid-Korea het nieuws. SBS News besteedde vandaag aandacht aan de hacks, waarbij inmiddels ook schade is gemeld bij vleesdistributeurs in het Verenigd Koninkrijk en supermarkten in Duitsland. Door het op afstand aanpassen van de temperatuurinstellingen kunnen aanvallers voedsel laten bederven.
In de reportage van SBS News ben ik te zien met een fragment uit mijn interview met Associated Press. Daarin leg ik uit dat deze aanvallen technisch weinig ingewikkeld zijn. Tegelijkertijd kunnen aanvallers hun identiteit verbergen, waardoor het lastig is om ze op te sporen:
Opnieuw zijn koel- en vriesinstallaties van supermarkten in meerdere Europese landen getroffen door vermoedelijke cyberaanvallen. Aanvallers kunnen op afstand de temperatuurinstellingen aanpassen, waardoor voedsel bederft en winkels hun voorraden moeten weggooien. Het internationale persbureau Associated Press kwam op 3 november bij me langs om te bespreken hoe dit mogelijk is:
Het probleem is dat kwetsbare besturingssystemen van deze installaties rechtstreeks vanaf internet bereikbaar zijn. Als daarin een beveiligingslek wordt gevonden, moet je snel kunnen ingrijpen. Installeer de beveiligingsupdate of haal het kwetsbare systeem van internet.
Maar wat als de fabrikant geen updates meer uitbrengt? Bij bepaalde oudere systemen van Danfoss is de ondersteuning gestopt, terwijl de apparatuur nog gewoon wordt gebruikt. Bekende kwetsbaarheden waarvoor geen oplossing meer komt, blijven daardoor de rest van de levensduur aanwezig. Een koelinstallatie kan technisch nog prima functioneren, maar digitaal allang niet meer veilig zijn.
Ongeveer drie weken eerder werden al honderden supermarkten en zelfstandige winkels in Frankrijk op vergelijkbare wijze aangevallen. Dat had het moment moeten zijn om direct te controleren of de eigen koelsystemen ook vanaf internet toegankelijk waren. Toch konden aanvallers opnieuw toeslaan.
Daar is bovendien weinig technische kennis voor nodig. Zoals ik in het interview uitleg: ook een vijftienjarige zou zo’n aanval kunnen uitvoeren. Waarom staan deze systemen na zo’n duidelijke waarschuwing nog steeds open voor de buitenwereld?
Vandaag is bekend geworden dat hackers in de nacht van zondag op maandag koel- en vriesinstallaties van minstens 17 Nederlandse bedrijven hebben aangevallen. Daarbij werden op afstand de temperatuurinstellingen gewijzigd, waardoor onder andere slagerijen, buurtwinkels en opslaglocaties voor diepvriesproducten gevaar liepen. Bij een diepvriezer liep de temperatuur bijvoorbeeld op van -20 naar maximaal 50 graden Celsius.
Ook in België, Luxemburg, Zweden, Ierland, Estland en Finland zijn soortgelijke aanvallen gemeld. De NOS kwam bij me langs met vragen:
De eerste meldingen kwamen rond 02.00 uur ‘s nachts binnen bij Danfoss, zegt de leverancier van koel- en vriessystemen: de temperatuur in installaties liep op. In meerdere Europese landen, van Ierland tot Estland, bleken koelsystemen digitaal te zijn aangevallen. Ook in Nederland zijn de vries- en koelsystemen van ten minste zeventien bedrijven afgelopen nacht ontregeld. Radio 1 belde me op:
Steeds meer Nederlandse websites en digitale diensten zijn woensdag uit voorzorg offline gehaald vanwege kwetsbaarheden in de veelgebruikte programmeertaal PHP. Ook MijnOverheid is inmiddels niet meer bereikbaar, bevestigt Logius. De ontwikkelaars van PHP hebben woensdagmiddag twee patches beschikbaar gesteld. Beheerders van websites hebben het dringende advies gekregen om de reparaties zo snel mogelijk door te voeren. Hart van Nederland kwam bij me langs en vroeg wat er precies aan de hand was:
Vandaag zijn twee ernstige beveiligingsproblemen ontdekt in PHP, een technologie die door veel websites wordt gebruikt. Hierdoor kunnen hackers mogelijk zonder toestemming toegang krijgen tot websites en servers en daarop schadelijke opdrachten uitvoeren. Uit voorzorg zijn verschillende overheidswebsites tijdelijk offline gehaald. RTL Boulevard kwam bij me langs voor duiding:
De hele week gaat het er al over, het ‘cybersecurity-incident’ bij de Albert Heijn. Ahold Delhaize is druk bezig om de systemen weer volledig werkend te krijgen. Zo heeft Albert Heijn inmiddels ook de leveringen van houdbare en versproducten aan winkels in het hele land volledig hervat. Het Openbaar Ministerie roept Albert Heijn op om aangifte te doen tegen de aanval, maar tot nu toe heeft het bedrijf dat nog niet gedaan. Wat is er nu precies aan de hand? Isa Mensink van SvJ-radio belde me op:
Ahold Delhaize zegt dat er op dit moment geen aanwijzingen zijn dat er klantgegevens zijn gestolen bij de vermoedelijke hack wat zondagmiddag naar buiten kwam. Hart van Nederland vroeg me om een reactie:
Albert Heijn gaat dinsdag zijn supermarkten extra beleveren. Dat meldt de supermarktketen, nadat in sommige winkels eerder op de dag lege schappen te zien waren. Dat kwam doordat moederbedrijf Ahold Delhaize IT-systemen had uitgeschakeld na een cyberincident zondag. Wat is er precies aan de hand? Radio 538 belde me op:
In meerdere distributiecentra van Albert Heijn ligt het werk stil als gevolg van het ‘online veiligheidsincident’ bij de supermarktketen. Hart van Nederland kwam bij me langs:
Supermarktconcern Ahold Delhaize kampt met een groot cyberveiligheidsincident bij Albert Heijn, Etos en Gall & Gall, waarbij apps, websites en bezorgdiensten zijn verstoord. BNR belde me op voor duiding:
Wie tegenwoordig een ticket voor een voetbalwedstrijd wil kopen, moet zich bij sommige clubs eerst eenmalig digitaal identificeren. Dat gebeurt via een app waarbij je je ID-bewijs scant. Maar wat gebeurt er met die gegevens? Volgens de KNVB is de identificatie nodig om supporters veilig toegang te geven tot het stadion en om misbruik van tickets en stadionverboden tegen te gaan.
De KNVB wil dat deze Persoonlijke Digitale Toegang (PDT) vanaf het seizoen 2028/2029 verplicht wordt voor professionele voetbalclubs.
“Wat moeten ze met mijn BSN-nummer?” Voor de Persoonlijk Digitale Toegang zijn uiteindelijk maar een paar gegevens nodig: je voornaam, achternaam, geboortedatum en pasfoto. Maar, tijdens het scanproces worden meer gegevens verwerkt. Dat blijkt uit onderzoek van Mick Beer (zie ook deel #2, #3 en #4) en Abdoul Rasnab. Op verzoek van Kassa onderzocht ik de PSV-app om dit te bevestigen (met dank aan Abdoul voor de ondersteuning!). Vervolgens keek ik ook verder.
Het gaat onder meer om informatie over het identiteitsdocument en bij een rijbewijs, de rijbewijscategorieën. In sommige gevallen wordt zelfs het burgerservicenummer (BSN) verwerkt en ook je uitgeschreven handtekening wordt als ingescande foto naar de voetbalclub gestuurd. Kassa stelde dit aan de kaak (bekijk de hele uitzending):
Het einde van de mensheid dreigt als we geen rem zetten op de ontwikkeling van AI. Die noodkreet deden een aantal CEO’s van grote techbedrijven eerder deze week. Hoe gevaarlijk is de snelle ontwikkeling van kunstmatige intelligentie? Te gast waren:
Ben van der Burg, tech-expert
Marietje Schaake, oud-Europarlementariër D66 en tech-deskundige
