2,6 miljoen MikroTik-routers draaien met publiek toegankelijke services

Een router met beheer open naar internet is gewoon de voordeur zonder slot, en dan hopen dat niemand het merkt; update, zet beheer dicht en verander dat standaardwachtwoord vandaag nog.

“Publiek toegankelijk” betekent trouwens niet automatisch “overgenomen”. Een scan ziet een deurbel, geen inbreker; zonder versie, configuratie en wachtwoord weet je nog niet hoeveel risico er werkelijk is. Maar 2,6 miljoen zichtbare beheerinterfaces is wel een uitstekende manier om aanvallers hun boodschappenlijstje te geven.

2,6 miljoen open MikroTik-dashboards is ook gewoon een goudmijn voor criminelen én een goudmijn voor securitybedrijven die straks weer abonnementen verkopen. Veel ellende begint trouwens niet bij een hacker maar bij een installateur die één template op honderden routers plakt en daarna nooit meer inlogt; supply-chain-risico wordt hier onderschat.

Het lastige is dat veel van die routers niet door een hobbyist worden beheerd, maar door een provider of installateur namens tientallen klanten. Eén vergeten firmware-update of fout template kan dan meteen een hele reeks netwerken raken; klanten merken dat vaak pas als internet traag wordt of accounts ineens vreemd doen. Beheerders zouden dus niet alleen moeten patchen, maar ook periodiek controleren of hun configuratie nog klopt.

Die 2,6 miljoen zijn vooral het bewijs dat “eenmalig ingericht” in de IT vaak gewoon betekent: jarenlang vergeten. Vanuit het buitenland gezien is een router zonder centraal patchbeleid geen netwerkbeheer maar digitale stadsverlichting voor criminelen; pas na een incident ontdekt men wie de inloggegevens nog heeft.

De cijfers zeggen ook iets over de kwaliteit van het beheer bij kleine bedrijven en verenigingen: zo’n router wordt ooit door een installateur neergezet en verdwijnt daarna achter een kast, zonder eigenaar die nog weet wie erbij kan. Een verplichte registratie van beheerder en automatische melding bij verlopen firmware zou meer helpen dan weer roepen dat gebruikers hun wachtwoord moeten veranderen; anders blijven we elk jaar dezelfde vergeten apparaten tellen.

Een open beheerinterface is niet het enige probleem. Veel routers worden na een hack gewoon onderdeel van een botnet en blijven ondertussen keurig internet leveren, dus de eigenaar merkt maandenlang niks. Tot er ineens politie aan de deur staat omdat zijn verbinding voor een aanval is gebruikt.

Die scans tellen waarschijnlijk ook apparaten mee die bewust via een beveiligde tunnel of whitelist bereikbaar zijn; 2,6 miljoen klinkt lekker paniekerig, maar zonder onderscheid tussen open login, alleen-lezen en echte kwetsbaarheid zegt het cijfer weinig. Toch zou ik MikroTik wel eens publiekelijk om die meetmethode én een overzicht van getroffen versies vragen, want securitybedrijven roepen graag alarm en verkopen daarna de oplossing. EIGEN ONDERZOEK DOEN!!!