Het onderschatten van 'Cyber-fysieke' aanvallen op je woning

Je denkt misschien dat je veilig bent als je de deur op slot doet. Dat was vroeger zo. Tegenwoordig is je slot vaak verbonden met het internet, net als je thermostaat, je camera's en je lampen.

Hackers hoeven niet meer fysiek bij je te zijn om je huis binnen te komen.

Ze doen dit via de digitale achterdeur. Dit noemen we een 'cyber-fysieke' aanval.

Het is een gecombineerde aanval waarbij iemand je slimme apparaten overneemt om je fysieke veiligheid en comfort aan te tasten. Je huis kan je tegenwerken, terwijl jij gewoon in je luie stoel zit.

Wat is een cyber-fysieke aanval eigenlijk?

Stel je voor dat je een slim slot hebt, zoals een Nuki of een Yale Smart Lock. Normaal open je het met je telefoon.

Een cyber-fysieke aanval is als een hacker dit slot via het internet overneemt.

Hij hoeft niet eens bij je deur te staan. Hij stuurt simpelweg een signaal: "ontgrendel". Bam, je deur staat open.

Het is de mix van cyber (het hacken van software) en fysiek (de echte wereld). Het gaat verder dan alleen je deur openen. Stel je hebt slimme stopcontacten van Meross of een Philips Hue lamp. Een aanvaller kan deze aan- en uitzetten om te testen of ze makkelijk te bereiken zijn.

Of erger: ze zo lang aan laten staan dat er brandgevaar ontstaat.

Ze misbruiken de connectie tussen het internet en je fysieke hardware. Jouw veiligheid hangt af van de wachtwoorden van je lampen.

Dat is een rare gedachte, hè? Veel mensen weten niet dat hun slimme apparaten een netwerk vormen. Een aanvaller springt van het ene apparaat naar het andere.

Begint bij je onschuldige slimme speaker en eindigt bij je camera’s. Ze zien wat jij doet, horen wat jij zegt en weten wanneer je weg bent.

Dat is de definitie van deze nieuwe bedreiging: digitale controle over fysieke objecten in je huis.

Waarom dit nu al een reëel gevaar is

Het aantal slimme apparaten in huis groeit explosief. Tegenwoordig heb je vaak al 20 tot 30 apparaten hangen zonder dat je het door hebt.

Van je robotstofzuider tot aan je slimme thermostaat van Tado. Alles zit op één netwerk.

De veiligheid van die apparaten loopt nogal uiteen. Fabrikanten willen dat het makkelijk werkt, niet dat het superveilig is. Daarom is het verstandig om te kiezen voor de beste onafhankelijke beveiligingssoftware voor al je apparaten, in plaats van te vertrouwen op standaardwachtwoorden of oude software.

Hackers scannen constant het internet naar apparaten die open en bloot staan. Ze gebruiken simpele programmaatjes die kijken naar bekende zwakke plekken.

Ze hoeven niet eens een superhack te verzinnen. Ze zoeken gewoon naar deur die openstaat. Als ze er één vinden, is je huis van hen. Je hoeft geen rijke miljonair te zijn om doelwit te worden; het is vaak een automatische scan die iedereen treft.

De impact is gigantisch. Stel je voor dat je wakker wordt en je huis is op slot gegooid door een hacker, mede door kwetsbaarheden in de encryptie van je slot.

Of je verwarming gaat op 30 graden in de zomer. Je camera's filmen je en streamen dat naar een publiek kanaal. Dit is geen toekomstmuziek. Dit gebeurt nu al, vaak bij mensen die net een nieuwe slimme speaker hebben gekocht en geen twee-factor authenticatie hebben ingesteld.

Hoe werkt zo’n aanval in de praktijk?

De meeste aanvallen beginnen met het stelen van inloggegevens. Een hacker koopt een lijst met e-mailadressen en wachtwoorden op het dark web.

Ze proberen deze in te loggen op populaire platforms van slimme huizen, zoals de server van SmartThings of Home Assistant.

Als jij overal hetzelfde wachtwoord gebruikt, hebben ze zo toegang tot al je apps. Ze weten nu dat 'wachtwoord123' werkt op je lampen en je slot. Een andere methode is het kraken van je Wi-Fi.

Veel routers hebben nog steeds een zwakke beveiliging (WPA2). Als ze je Wi-Fi kraken, zitten ze in je netwerk. Vanuit daar scannen ze welke apparaten er zijn. Ze zien een IP-adres van je Ring deurbel.

Ze proberen de standaardinlog (admin/admin) en voila, ze zien je bezoekers. Ze gebruiken dan de 'Man-in-the-Middle' techniek om commando's te sturen.

Een specifieke variant is de 'Ransomware voor je huis'. Ze zetten al je sloten op slot en eisen geld (bijvoorbeeld €500 in Bitcoin) om ze weer vrij te geven.

Ze sluiten je letterlijk op in je eigen huis. Omdat ze de controle hebben over de Hub (de centrale computer in je huis, zoals van Homey), kunnen ze alles uitschakelen. Je kunt nergens op reageren, tenzij je betaalt.

De kostenpost: Wat kost de schade?

De schade is vaak lastig in te schatten, maar we kunnen een inschatting maken. De directe financiële schade door diefstal of afpersing loopt uiteen van €100 tot €5.000.

Maar de emotionele schade en het herstel zijn duurder. Je moet je sloten vervangen (€150 - €300), je netwerk schoonmaken (misschien een IT'er nodig voor €75 per uur) en je wachtwoorden overal aanpassen. Vergelijk het met een inbraak.

Een fysieke inbraak kost gemiddeld €2.000 aan schade en gestolen spullen. Een cyber-fysieke aanval kan datzelfde bedrag opleveren, maar dan zonder dat er iemand fysiek aanwezig was.

Je verzekering keert misschien niets uit als je niet kunt aantonen dat je de beveiliging op orde had. Veel verzekeraars eisen nu al dat je 2FA (twee-factor authenticatie) gebruikt. Er zijn ook indirecte kosten. Denk aan de kosten voor een nieuwe router (€100 - €250) die wel veilig is, of een abonnement op een VPN-dienst (€4 - €8 per maand). Benieuwd naar wat een smart home verzekering kost?

Sommige mensen stappen over op systemen van Ubiquiti (Unifi), die zijn veiliger maar kosten al gauw €500 voor een complete set. De investering om je huis echt veilig te maken, is lager dan de kosten van een aanval.

Praktische tips om je huis te beveiligen

Je hoeft geen technisch genie te zijn. Met een paar simpele stappen ben je al veel veiliger.

1. Gebruik unieke wachtwoorden voor elke app. Gebruik een wachtwoordmanager zoals Bitwarden (gratis) of 1Password. Zorg dat je slot, je camera en je router allemaal een ander, sterk wachtwoord hebben.
2. Schakel Twee-Factor Authenticatie (2FA) in. Bijna elke slimme app heeft dit. Doe het. Het betekent dat je naast je wachtwoord ook een code van je telefoon nodig hebt. Dit stopt 99% van de hackers.
3. Update alles direct. Zodra je een melding krijgt van je Philips Hue, Ring of Nest: update direct. Updates bevatten vaak patches voor de gaten die hackers gebruiken.
4. Maak een apart gastennetwerk. Zet al je slimme apparaten op een apart Wi-Fi netwerk (gastennetwerk). Als een hacker in je lampen komt, kunnen ze niet bij je laptop of computer.
5. Koop spullen van betrouwbare merken. Ga voor merken die bekend staan om beveiliging, zoals Ubiquiti (Unifi) voor netwerk, of Foscam/Eufy met sterke encryptie. Koop geen goedkope rommel van Marktplaats of AliExpress.

Volg deze lijst en je verkleint de kans op een aanval met 90%. Denk ook na over wat je koopt. Vraag je af: "Heb ik dit echt slim nodig?" Een slimme broodrooster is leuk, maar een potentieel veiligheidsrisico. Houd het simpel. Begin met een goede slot, een veilige deurbel en een betrouwbare router.

Dat is de basis. Als die veilig is, kun je later uitbreiden. Zo blijft je huis je veilige haven, zowel digitaal als fysiek.