Britse energiecentrale vier dagen platgelegd door hackers, mogelijk met banden met Iran

Vier dagen een energiecentrale platleggen is geen onschuldig incident, ook niet als het ding maar een afrondingsverschil aan stroom levert; een inbreker test tenslotte ook eerst de achterdeur voordat hij naar de kluis gaat. Ik heb genoeg van de wereld gezien om te weten dat je met beschuldigingen aan Iran voorzichtig moet zijn zonder bewijs, maar kritieke infrastructuur hoort inmiddels net zo streng beveiligd te worden als een luchthaven, want wachten tot de grote centrale geraakt wordt is wel erg laat.

Vier dagen plat klinkt spectaculairder dan het misschien was. Bij zo’n kleine generator zit de echte schade waarschijnlijk niet in de gemiste megawatts, maar in de kosten, de herstelprocedure en het feit dat iemand toegang tot een operationeel systeem heeft gekregen. En zolang niemand laat zien hoe de toeschrijving aan Iran is vastgesteld, blijft dat deel gewoon een hypothese; cyberaanvallen zijn geen persconferentie met een vlaggetje erbij.

Het ongemakkelijke is dat we blijkbaar pas van een cyberaanval spreken wanneer er ergens lampen uitgaan. Vier dagen lang kan een installatie digitaal gegijzeld worden zonder dat de samenleving het merkt, en dus zonder politieke druk om er echt iets aan te doen. Misschien is dat wel de gevaarlijkste eigenschap van cyberoorlog: succes ziet eruit als een storing waar niemand het nieuws voor belt.

Vier dagen platleggen betekent niet automatisch vier dagen volledige controle over de centrale; het kan ook om een geïsoleerd besturingssysteem of een noodstop gaan. De echte vraag is daarom niet alleen wie het deed, maar waarom zo’n installatie nog op afstand bereikbaar was en of de eigenaar verplicht wordt dat lek aantoonbaar te dichten. Dat blijft nu een beetje hangen op waarschuwingen en anonieme bronnen.

Het opvallende is dat zulke aanvallen vooral draaien om onzekerheid. Misschien was Iran het, misschien niet, maar ondertussen kunnen overheden wel alvast miljarden uitgeven aan beveiliging en geheimhouding; attributie wordt dan bijna een politiek wapen op zichzelf. De burger merkt pas iets als de koelkast uitvalt, terwijl de machtsstrijd allang in de logbestanden begonnen is.

De kwetsbaarste schakel is vaak niet de centrale zelf, maar de leverancier die op afstand onderhoud doet. Eén gedeeld wachtwoord of verouderde verbinding kan dan genoeg zijn om dagenlang gedoe te veroorzaken, terwijl niemand precies weet hoe ver de aanvaller is gekomen. Daar mogen toezichthouders best harde eisen aan stellen, ook bij kleine installaties.

De zwakke plek zit misschien niet in de centrale, maar in de verantwoordelijkheid eromheen. Een kleine exploitant kan zich geen beveiligingsteam veroorloven, terwijl zijn installatie wel onderdeel is van een nationaal systeem; dan helpt een algemene waarschuwing van de overheid maar beperkt. Leg minimumeisen op, bied praktische ondersteuning en laat bestuurders ook werkelijk aansprakelijk zijn als achterstallig onderhoud de deur open laat staan.

Vier dagen plat en toch weten we al dat Iran erachter zit, knap staaltje helderziendheid uit een donker serverhok. Eerst de logs en feiten op tafel, jong; anders is het gewoon geopolitiek moddergooien met een cyberjasje aan… bewijs het maar.

Vier dagen geen stroom leveren is vervelend, maar het echte probleem zit bij de verzekeraars en bestuurders die pas wakker worden als er schade is. Laat ze jaarlijks aantonen dat de boel dicht zit, anders gewoon een dikke boete; achteraf verbaasd doen schiet niemand wat mee op.

Iran erbij en iedereen schrikt, maar de eerste vraag is gewoon: WELKE systemen zijn geraakt en lag er überhaupt productie stil? Vier dagen kan ook betekenen dat een eigenaar uit voorzorg de stekker eruit trok en nu de rekening graag als “buitenlandse aanval” presenteert. Laat de logs en onafhankelijke analyse zien, niet alleen anonieme veiligheidsbronnen; EIGEN ONDERZOEK dus, want bangmakerij verkoopt beter dan een saai technisch rapport!!!

Wat vaak wordt vergeten zijn de back-ups en handmatige procedures. Als die alleen op papier bestaan, heb je bij een digitale aanval weinig aan een mooi beveiligingssysteem; personeel moet ook regelmatig oefenen wat er gebeurt als alles uitvalt.

Nou zeg, vier dagen gedoe betekent voor gewone mensen misschien vooral extra kosten en geen idee wie dat uiteindelijk betaalt. En ondertussen moeten medewerkers waarschijnlijk met verouderde systemen werken omdat beveiliging “te duur” was... totdat het misgaat dus.

Iran wordt alweer lekker in de kop gezet, maar wie betaalt straks de rekening voor extra beveiliging en geheime contracten? Eerst de forensische rapporten en logboeken openbaar maken: welke systemen, welke schade en wie heeft het gemeld. Anders is “buitenlandse hackers” vooral een handig rookgordijn voor jaren achterstallig IT-onderhoud. EIGEN ONDERZOEK, WAKKER WORDEN!!!

Een zwak wachtwoord bij een onderaannemer kan uiteindelijk net zo veel schade doen als een technisch lek in de centrale zelf. Aan de andere kant kun je kleine bedrijven moeilijk dezelfde beveiligingsafdeling laten betalen als een energiemaatschappij, dus wie die eisen oplegt moet ook zorgen dat het uitvoerbaar blijft.

Het echte risico zit misschien niet eens in Iran, maar in de PR eromheen: na elk incident roepen politici “cyberoorlog” en komt er weer een zak belastinggeld zonder dat iemand uitlegt welke systemen nou precies openstonden. Publiceer desnoods een geanonimiseerde post-mortem, anders blijft beveiliging gewoon security theater met een vlag erop.

Vier dagen plat en waarschijnlijk weken bezig met rapporten, wachtwoorden wijzigen en consultants betalen... daar gaat je marge als kleine exploitant. En de rekening komt natuurlijk gewoon via de stroomprijs weer bij ons terecht.

De schade zit mogelijk ook in de meldplicht en verzekeringen: na zo’n incident moet je systemen onderzoeken, klanten informeren en misschien contracten stilleggen. Aan de andere kant kan een klein bedrijf daar financieel harder door worden geraakt dan door de vier dagen stilstand zelf.

Vier dagen plat en niemand mag weten welke centrale het was… daar moeten we dus maar gewoon vertrouwen op anonieme bronnen en een ministerie dat zegt dat alles veilig is? Ik was zelf ook zo van “de overheid regelt dat wel”, tot corona liet zien hoe snel kritieke systemen achter gesloten deuren worden bestuurd; maak na onderzoek tenminste openbaar wat er is aangevallen, welke gegevens zijn buitgemaakt en wie de rekening betaalt!!!

Wat me hier vooral bij blijft is hoe afhankelijk we zijn van installaties waar niemand ooit van gehoord heeft. Een klein kastje ergens op een industrieterrein kan blijkbaar dagenlang uitgeschakeld worden zonder dat iemand het merkt; die blinde vlek voelt qua energie veel enger dan de gemiste stroom. En graag eerst bewijs op tafel voordat Iran als dader wordt aangewezen, anders maken we van elk digitaal lek meteen geopolitiek theater.

De Britse reactie laat ook zien waarom cyberveiligheid niet alleen een zaak van nationale overheden is. Een kleine installatie kan onder Europese regels voor kritieke entiteiten vallen, maar de beveiliging blijft in de praktijk versnipperd over eigenaar, netbeheerder, leverancier en toezichthouder. Dan krijg je vier instanties die allemaal “waakzaam” zijn en niemand die aantoonbaar verantwoordelijk is als het misgaat.

Vier dagen uitgeschakeld zijn is ook een beschikbaarheidsprobleem, maar het kan óók gewoon betekenen dat de eigenaar de boel netjes heeft geïsoleerd en opnieuw opgebouwd in plaats van halfbakken door te draaien. Dat onderscheid is belangrijk: anders beloon je organisaties die incidenten verzwijgen en straf je degene die transparant meldt. En die Iraanse link? Tot er technisch bewijs ligt vooral niet als feit rondtwitteren.

De volgende stap is natuurlijk een verplichte wachtwoordreset met een formulier dat nog op Windows XP draait, maar goed, zolang de stroom het doet noemt iedereen cybersecurity pas belangrijk na de volgende storing.

Het wordt tijd dat we naast “wie zat erachter?” ook vragen wie er financieel van profiteert. Elke aanval is nu weer een argument voor dure consultants, nieuwe monitoring en vage noodcontracten, terwijl niemand uitlegt welke simpele basismaatregel ontbrak. Eerst de logboeken en het herstelplan openbaar maken, daarna pas de geopolitieke stoere taal.

Tja... vier dagen plat en niemand merkt het, tot de stroomrekening weer omhoog gaat. De heren in Den Haag praten over digitale weerbaarheid maar bij een echte storing staan wij met de vrachtwagen gewoon in de rij voor een gesloten pomp... mooi geregeld door de elite.