Beveiligingsonderzoekers hebben vijf kwetsbaarheden aangetroffen in TETRA, radiotechnologie die gebruikt wordt in de kritieke infrastructuur. Hackers en cybercriminelen zouden de zwakke plekken kunnen misbruiken om sabotage te plegen, energienetwerken plat te leggen of andere schade te veroorzaken. Onderzoekers vertellen dat de bevindingen ernstige gevolgen kunnen hebben.
Dat vertellen securityexperts tegenover RTL Nieuws.
Kwetsbaarheden zijn ernstig voor de overheid en het bedrijfsleven
TETRA is een vorm van radiocommunicatie die gebruikt wordt in de vitale of kritieke infrastructuur. De Rotterdamse haven maakt er gebruik van, net als diverse bedrijven die actief zijn in het openbaar vervoer. Ook het communicatiesysteem van de hulpdiensten en delen van het ministerie van Defensie zijn gebaseerd op deze technologie. Tot slot wordt TETRA over de hele wereld ingezet om belangrijke delen van de kritieke infrastructuur aan te sturen, zoals hoogspanningsverdeelkasten, olie- en gaspijpleidingen en spoorwegbeveiliging.
TETRA speelt dus een ongelooflijk belangrijke rol in ons dagelijks leven. Dat maakt de uitkomsten van het onderzoek zeer ernstig, zo vertelt Bart Jacobs, hoogleraar computerbeveiliging aan de Radboud Universiteit, tegenover RTL Nieuws. “Het is ernstig voor de overheid, maar ook voor het bedrijfsleven. Het gaat om vitale infrastructuur waarvan het functioneren aangetast kan worden door serieuze aanvallen.”
‘Een realistisch scenario’
Hackers en cybercriminelen die kwaad in de zin hebben, kunnen met eenvoudige hardware inbreken op het TETRA-netwerk. Ze kraken het signaal, sturen kwaadaardige commando’s naar industriële systemen en leggen zo delen van de samenleving plat. Jos Wetzels van cybersecuritybedrijf Midnight Blue noemt het ‘een realistisch scenario’.
Hij denkt overigens dat de risico’s voor Nederland beperkt zijn. TETRA is een systeem dat voornamelijk wordt gebruikt om over grote afstanden te communiceren, terwijl ons land relatief klein is. Wel benadrukt Wetzels dat kwaadwillenden ongemerkt kunnen meeluisteren met beveiligingsdiensten.
Een ander risico dat we lopen is dat hackers de kwetsbaarheden misbruiken om C2000-communicatie van de hulpdiensten te kraken. Kwaadwillenden kunnen dan op ieder moment gesprekken die via een vertrouwelijk communicatiesysteem verlopen terugluisteren of de communicatie die via portofoons en mobilofoons verloopt onderscheppen, manipuleren of verstoren.
Organisaties reageren niet altijd op waarschuwingen onderzoekers
Onderzoekers hebben de kwetsbaarheden in december 2021 gemeld bij het Nationaal Cyber Security Centrum (NCSC). Die hebben organisaties die met TETRA werken hierover geïnformeerd en geadviseerd over welke stappen zij dienen te nemen om hun communicatie te beveiligen. Het ministerie van Justitie en Veiligheid vertelt aan RTL Nieuws dat er updates beschikbaar zijn, maar dat onder meer de politie, Koninklijke Marechaussee, brandweer en ambulance deze nog moeten installeren.
Drie Nederlanders – Jos Wetzels, Carlo Meijer en Wouter Bokslag – hebben de kwetsbaarheden ontdekt. Hun onderzoek, genaamd TETRA:BURST, nam een jaar in beslag. Organisaties op de hoogte brengen van hun bevindingen is lastig: ze reageren niet op hun e-mails. Daardoor lopen ze het risico dat hun systemen worden gekraakt.
Hun onderzoek toont volgens de beveiligingsspecialisten aan dat de technologie achter versleuteling altijd openbaar moet worden gemaakt. “Als een partij het geheim houdt, kunnen onderzoekers het niet inzien en blijven kwetsbaarheden, net als bij TETRA, tientallen jaren stilletjes bestaan”, zo zeggen ze.
