In de afgelopen weken kwamen vier ongerelateerde beveiligingsverhalen aan het licht. Een onderzoeker ontdekte dat een aftermarket-autoalarm met de naam KARR — geïnstalleerd in naar schatting ruim 2 miljoen voertuigen — door iedereen binnen Bluetooth-bereik stilletjes kan worden ontgrendeld, uitgeschakeld of gedeactiveerd. Een onderzoeker op het gebied van bedreigingen bij Bitsight ontdekte dat een populaire goedkope streamingstick, de H96, al jaren stilletjes de internetverbindingen van zijn eigenaars verhuurt en frauduleuze advertenties aanklikt terwijl hij zich voordoet als mobiele telefoon. Een hacker bekende schuld aan inbraken die verband hielden met de gegevens van meer dan 100 miljoen mensen; hij kreeg niet via een slimme exploit toegang, maar via klantwachtwoorden die al jaren eerder waren blijven liggen na een infostealer-infectie, op accounts waarop nooit multifactorauthenticatie was ingeschakeld. En onderzoekers toonden aan dat malware onder de juiste omstandigheden passkeys kan buitmaken die via Google Password Manager zijn gesynchroniseerd — juist het systeem dat velen van ons hadden ingevoerd om van het risico van wachtwoorden af te komen.
Afzonderlijk gelezen zijn dit vier verschillende probleemcategorieën: een hardwarefout, een frauduleus supplychain-schema, een bedrijfsinbraak en een probleem in de implementatie van cryptografie. Maar ze hebben een gemeenschappelijke grondoorzaak die niets te maken heeft met de betrokken technologie. In elk geval werd het kwetsbare onderdeel één keer geïnstalleerd, geactiveerd of aangemaakt — en keek daarna niemand er meer naar om.
Het patroon onder de krantenkoppen
Beveiligingsachterstand stapelt zich precies op de plekken op waar je geen aandacht meer aan besteedt. Een autoalarm wordt tijdens een extra pakket van de dealer ingebouwd en komt nooit meer in je gedachten op, totdat het de reden blijkt te zijn dat je auto in andermans handen is beland. Een streamingstick wordt op de tv aangesloten, werkt jarenlang prima en geeft nooit aanleiding tot argwaan omdat hij nog steeds afspeelt wat je hem vraagt af te spelen — het verkeer voor advertentiefraude en het delen van bandbreedte vinden daarnaast onzichtbaar plaats. Er wordt een inloggegeven aangemaakt, het werkt bij een inlogprompt en blijft daarna jarenlang in een database staan, lang nadat het apparaat dat het heeft gelekt allang vergeten is, omdat het rouleren van een wachtwoord waar je niet over nadenkt geen taak is die iemand in de agenda zet. Een passkey wordt juist ingesteld omdat die “veiliger dan een wachtwoord” zou zijn, en die reputatie wordt een reden om niet meer na te denken over wat het apparaat waarop die staat beschermt.
Voor geen van deze gevallen was een geavanceerde aanvaller nodig die een nieuw, door niemand voorzien beveiligingslek ontdekte. Bij het autoalarm en de diefstal van passkeys was wel degelijk technisch onderzoek betrokken. Maar wat de schade op grote schaal daadwerkelijk mogelijk maakte, was de kloof tussen “eenmalig ingesteld” en “nooit opnieuw bekeken”.
Een audit van 20 minuten van dingen die je al bezit
Je hoeft niets te kopen of een ander type persoon te worden om het grootste deel van deze kloof te dichten. Je moet de bovenstaande categorieën één keer nalopen en ze behandelen als een terugkerende klus in plaats van als een eenmalige insteltaak.
1. Aftermarket- en extra apparaten
Loop alles na wat door een derde partij is geïnstalleerd in plaats van ingebouwd — autoalarmen, dashcams, slimme sloten, aftermarket-trackers. Controleer in de app of op de website van de fabrikant of er een mechanisme voor firmware-updates is en voer de update daadwerkelijk uit. Voor het KARR-alarm merkten onderzoekers specifiek op dat een eenvoudig visueel herkenningspunt een sticker met “KARR” op het zijraam aan de bestuurderskant is; als je die hebt, vraag dan bij de installateur of fabrikant na of er een patch is voordat je ervan uitgaat dat alles in orde is. De bredere gewoonte die je moet ontwikkelen: alles met een radioverbinding en een app van de fabrikant is een apparaat dat af en toe onderhoud nodig heeft, net als je telefoon of laptop.
2. Alles wat op je tv is aangesloten
Generieke streamingboxen die op marktplaatsen worden verkocht met namen als H96, vaak aangeprezen voor een eenmalig bedrag voor “onbeperkte” content, verdienen een kritische blik. Als je er een bezit, begrijp dan dat het risico niet alleen uit illegale content bestaat — het apparaat zelf kan zich gedragen als een tweede computer op je netwerk, met een eigen agenda. Als je niet kunt verifiëren wat een apparaat op je netwerk doet en het afkomstig is van een onbekend merk dat iets belooft wat te mooi is voor die prijs, is dat reden genoeg om het op een gastnetwerk te isoleren of het te vervangen door een mainstream streamingapparaat van een bedrijf dat een reputatie heeft te beschermen.
3. Oude wachtwoorden, vooral hergebruikte of inactieve wachtwoorden
De inbraak die verband hield met de schuldbekentenis van de aan Snowflake gekoppelde hacker werd niet veroorzaakt door een fout in het platform. De oorzaak waren inloggegevens die jaren eerder door malware op iemands computer waren buitgemaakt en die niemand had gewijzigd, op accounts waarop multifactorauthenticatie was uitgeschakeld. Dat is een volledig vermijdbare foutmodus, en hij komt vaak voor: elk account dat je één keer hebt ingesteld en zelden gebruikt, is precies het soort account waarop nu een uitgelekt, jarenlang oud wachtwoord kan staan. Als je wachtwoordmanager een controle op datalekken of hergebruik aanbiedt, voer die dan uit. Als een account MFA toestaat en het is uitgeschakeld, schakel het dan in — deze ene maatregel had de inbraak die de gegevens van meer dan 100 miljoen mensen blootlegde, gestopt.
4. Het account dat je passkeys beschermt
Passkeys zijn voor het specifieke probleem van phishing en hergebruik een echte verbetering ten opzichte van wachtwoorden. Maar het recente onderzoek naar het stelen van gesynchroniseerde passkeys via Google Password Manager is een nuttige herinnering dat een passkey geen magie is — hij erft de beveiliging van het account en het apparaat waarmee hij wordt gesynchroniseerd. Dat betekent dat het account waarin je wachtwoordmanager of passkey-synchronisatie staat, de sterkste bescherming verdient die je hebt: een sterke, unieke toegangscode op het apparaat zelf, MFA op het account dat de synchronisatie uitvoert en aandacht voor wat je op dat apparaat installeert, aangezien het onderzoek berust op malware die al op de machine draait, niet op een fout die je in passkeys zelf kunt “patchen”.
Waarom je dit nu moet doen en niet later
Geen van deze vier verhalen beschrijft een bedreiging waar je vandaag voor in paniek moet raken. Maar alle vier beschrijven bedreigingen die juist maanden of jaren konden groeien omdat niemand er opnieuw naar keek. De oplossing is geen nieuwe tool of abonnement — het is een terugkerend moment te kiezen, misschien gekoppeld aan een gewoonte die je al hebt, zoals je bankafschrift controleren, om een saaie vraag te stellen over de dingen die je al bezit en al vertrouwt: wanneer heb ik dit voor het laatst gecontroleerd, en heeft iemand anders dan ik nog steeds een reden om erop te letten?
