De ‘smart city’ is een belofte om leefbaarheid te verbeteren. Maar hoe meer verbonden een stad is, hoe kwetsbaarder ze wordt voor cyberaanvallen. Wat zijn de grootste kwetsbaarheden van slimme steden? En wat zijn de gevolgen?

Op 7 mei vorig jaar viel de Amerikaanse stad Baltimore ten prooi aan cybercriminelen. Een maand lang gijzelden de hackers tienduizend overheidscomputers, waardoor duizenden ambte-naren buitengesloten werden van hun e-mailaccounts en inwoners geen toegang meer hadden tot de websites waar ze hun waterrekeningen, belastingen en parkeerkaarten betalen. De criminelen achter de aanval eisten via Twitter losgeld van 13 bitcoin – toen zo’n 90.000 euro – om de computers weer toegankelijk te maken. ‘Meer zeggen we niet, alles wat we kennen is GELD! Haast jullie!’, schreeuwde de losgeldbrief.

Baltimore gaf geen krimp en weigerde te betalen. Die onbuigzaamheid kostte de stad in de noordoostelijke staat Maryland naar schatting 18 miljoen dollar. Hoewel alle systemen uiteindelijk hersteld raakten, legde de cyberaanval het zoveelste hiaat bloot in de cybersecurity van grootsteden. Ook dichter bij huis veroorzaken hackers tegenwoordig heel wat kopzorgen. Zo werd de Antwerpse gemeente Willebroek in januari het slachtoffer van cybercriminelen die losgeld eisten. Bedrijven als vliegtuigbouwer Asco in Zaventem en de Ieperse weefmachinebouwer Picanol werden door soortgelijke aanvallen teruggekatapulteerd naar een tijd van carbonpapier en schrijfmachines.

Tweesnijdend zwaard

In de afgelopen dertig jaar is het internet geëvolueerd van een noviteit tot een noodzaak. Een van de belangrijkste vragen die op de lippen van waarnemers brandt, is hoe we de komende decennia onze veiligheid kunnen blijven garanderen in een hypergeconnecteerde wereld. Geavanceerde spraakassistenten en slimme meters en lichten worden steeds meer de norm. Slimme steden gaan hierin nog een stapje verder door technologieën in de infrastructuur en architectuur te verweven.

De mogelijkheden lijken wel eindeloos: van verkeerslichten die zich aanpassen aan de aanwezigheid van mensen (via je smartphone) tot virtuele gidsen voor verdwaalde ouderen – allemaal met als doel ons leven gemakkelijker te maken.

Die voordelen hebben ook een keerzijde, waarschuwt Mariarosaria Taddeo, onderzoeker aan het Oxford Internet Institute en adjunct-directeur van het Digital Ethics Lab aldaar. ‘Digitale technologieën zijn per definitie nooit voor honderd procent veilig; op een gegeven moment zal iemand ze hacken. Hoe meer onze samenlevingen afhankelijk zijn van deze technologieën, hoe breder het oppervlak van mogelijke aanvallen.’

Zo zijn sensoren een van de belangrijkste kwetsbaarheden in steden. Die bieden bruikbare informatie over verkeersstromen, milieu, overbevolking en de vlotte werking van openbare diensten, waaronder de water- en rioleringssystemen. Om de zwakheden ervan aan het licht te brengen, onderzocht IBM Security in 2018 de sensoren van drie topleveranciers – Libelium, Echelon en Battelle – die systemen verkopen aan verschillende ‘smart city’-projecten overal ter wereld. Ze vonden maar liefst zeventien grote kwetsbaarheden, waarvan ze er acht als ‘kritiek’ bestempelden. Dat ging van te eenvoudige wachtwoorden tot bugs die het gemakkelijker maken voor criminelen om toegang te krijgen tot een toestel of om schadelijke software te installeren. Na die ongemakkelijke bevindingen namen de onderzoekers contact op met verschillende steden in de Verenigde Staten en Europa die uiterst kwetsbare stralingsdetectoren en verkeersmeters gebruikten.

‘Hoe meer onze samenlevingen afhankelijk zijn van deze technologieën, hoe breder het oppervlak van mogelijke aanvallen’

Doemscenario’s

De mogelijke gevolgen zijn niet min. Een cyberaanval zou bijvoorbeeld de waterniveausensoren van een stad kunnen manipuleren om overstromingen te melden in een gebied waar er geen zijn – met massale paniek tot gevolg. Vergelijkbaar met het overstromingsscenario waarschuwen experts onder meer voor een aanval die een valse waarschuwing voor een stralingslek uitstuurt in gebieden rondom kerncentrales. De daaruit vloeiende chaos zou dan moeilijk te beteugelen zijn vanwege de onzichtbare aard van het gevaar.

Zulke scenario’s bestaan echter niet alleen in de hoofden van cyberdeskundigen. In 2017 legde de zogeheten NotPetya-malware een flink stuk van Oekraïne plat, voordat het zich over de rest van de wereld verspreidde. De aanval wiste de gegevens van de computers van banken, energiebedrijven, hoge overheidsfunctionarissen en een luchthaven. Meer dan 225.000 mensen kwamen zonder stroom te zitten en het virus zadelde enkele van ’s werelds grootste bedrijven met miljoenenverliezen op.

‘‘Veel bedrijven stoppen hun oren dicht en denken dat er geen probleem is als er niets gebeurt’

Ook al wordt verwacht dat de meeste cyberaanvallen op slimme steden geen terroristische motieven hebben, in het ergste scenario kunnen gehackte voertuigen als wapen ingezet worden.

Te veel goedkope producten

Momenteel zijn al veel toestellen met elkaar verbonden in huizen, kantoren en openbare ruimtes, maar daarom zijn ze niet meteen veilig. Professor Taddeo, die ook onderzoeker is aan het prestigieuze Alan Turing Institute, merkt op dat cyberveiligheid vaak geen prioriteit is van producenten die deze systemen ontwikkelen. ‘Veel van de internet-of-things-technologieën (waarbij alledaagse voorwerpen verbonden zijn met een netwerk, red.) worden goedkoop ontwikkeld, zodat hun klanten ze aan redelijke prijzen kunnen kopen’, zegt ze. ‘Als we niet voorzichtig zijn in de manier waarop we ontwikkelaars begeleiden of hen zelfs verplichten om de zo veiligst mogelijke technologie te ontwikkelen, bouwen we misschien slimme steden op een zeer broze infrastructuur, en dat is erg problematisch.’

Dat bevestigt ook ethische hacker Inti De Ceukelaire, die in 2018 wereldkampioen hacken werd en die tot tweemaal toe tweets van president Donald Trump manipuleerde. ‘Als alles met elkaar verbonden is, dan krijgen we een probleem, want als een hacker ergens binnen geraakt, geraakt hij overal binnen. Het is belangrijk dat als we nieuwe technologieën in gebruik nemen, we goed nadenken over alle mogelijke scenario’s. Ik zie dat nu nog heel veel bedrijven niet nadenken over de impact van een mogelijk veiligheidsprobleem en dat ze dat pas beseffen als het te laat is.’

Organisaties die belast zijn met de implementatie van slimme technologie in residentiële, commerciële en openbare ruimtes, moeten dus proactief systeemfouten zoeken en oplossen voordat hackers ze opsporen. Hoe dat in de praktijk in zijn werk zal gaan, is nog maar de vraag. ‘Net zoals computers verouderen ‘smart city’-systemen ook’, zegt De Ceukelaire. ‘Implementatie is één ding, maar wie zal er bijvoorbeeld die verkeerslichten elke maand updaten? Ofwel voer je de updates uit vanuit een centrale locatie – maar dat is zeer gevaarlijk, want als die gehackt wordt, beheer je de hele stad – ofwel moet je al die updates manueel uitvoeren, – maar dat kan qua jobcreatie wel tellen.’ Beide scenario’s zijn verre van ideaal.

Om de druk op menselijke veiligheidsteams enigszins te verlichten, zal artificiële intelligentie (AI) ingezet kunnen worden. Daarmee kunnen cyberaanvallen en datalekken veel sneller opgespoord worden, waardoor er tijdig ingegrepen kan worden. Maar ook hier weer: een tweesnijdend zwaard. Terwijl beveiligingsexperts er gebruik van maken om sneller bedreigingen te identificeren, zegt Taddeo, gebruiken hackers dezelfde technologie om zwakke plekken te vinden. ‘AI is geen robuuste technologie. Totdat we een manier vinden om ervoor te zorgen dat we volledig op AI kunnen vertrouwen, is het erg problematisch om er cyberbeveiligingstaken aan te delegeren.’

Ethische hackers helpen

Veel steden zullen naar verwachting gebruikmaken van dezelfde slimme systemen. Ook dat vormt een zwakke plek: een veiligheidslek dat
in één stad gevonden wordt, kan vervolgens door hackers gebruikt worden om andere steden aan te vallen. Zulke lekken worden snel openbaar gemaakt en gedeeld op het internet, waardoor het voor steden een strijd tegen de klok is om hun systemen te updaten en opnieuw te beveiligen. Daarom is het volgens experts niet onbelangrijk dat cybersecuritybedrijven en ontwikkelaars hun kennis met elkaar delen en transparanter te werk gaan.

Een andere manier is door ethische hackers in te schakelen die onder bepaalde voorwaarden zwakheden in verschillende systemen identificeren en rapporteren. Zo laat De Ceukelaire met het Belgische Intigriti, het grootste ethische hackersplatform in Europa, vier keer per jaar een dertigtal van ’s werelds beste hackers overvliegen om fouten in de cyberveiligheid van grote Belgische bedrijven te identificeren.

‘We steken die knappe koppen acht uur lang samen in een kamertje en het is ongelooflijk wat daar dan uit komt’, zegt De Ceukelaire. ‘Voor bedrijven is dat best confronterend, maar aan de andere kant zijn ze ook heel tevreden dat er fouten aan het licht komen.’ Ethische hackers van het Intigriti-netwerk mogen bovendien het hele jaar door hun online vaardigheden botvieren op websites van grote namen als Telenet, Brussels Airlines en de KU Leuven.

Toch springen de meeste bedrijven, en bij uitbreiding steden, nog niet mee op de kar, merkt De Ceukelaire op. ‘Alles begint bij de erkenning dat er overal beveiligingsproblemen zijn, want dan kun je die problemen ook beginnen op te lossen.’

Als we aanvallen zoals die in Baltimore en Willebroek de komende decennia zo veel mogelijk willen indammen, is het volgens professor Taddeo vooral aan overheden en ontwikkelaars om de cyberveiligheid van de producten die op de markt komen te garanderen. ‘Het belangrijkste onderdeel is de manier waarop we het gebruik van deze technologieën zullen reguleren’, zegt ze. ‘Openbare instellingen moeten normen en certificatieprocedures invoeren voor IoT-technologieën en AI-systemen om ze beter te beveiligen en er vervolgens voor zorgen dat ontwikkelaars en producenten zich aan die voorschriften houden.’

‘We zien immers op dit moment veel goedkope IoT- technologieën op de markt. Die zijn aantrekkelijk voor consumenten, maar gaan ten koste van de beveiliging. We moeten de manier waarop we hierover denken dringend veranderen.’