Geheime codes van duizenden alarmsystemen waren jaar lang online te vinden

De afmeldcodes van duizenden alarmsystemen waren een jaar lang online te vinden door een lek in software van Carrier Global. Alarmsystemen konden daardoor op afstand worden afgemeld. Carrier Global wordt in Nederland onder meer door alarmcentrale SMC gebruikt.

Het lek zit in MAS Mobile Classic, een app waarmee installateurs van alarmcentrales toegang krijgen tot de gegevens van hun eigen klantenbestand. Daarbij zaten ook de afmeldcodes van 14.000 locaties die door SMC beveiligd worden, blijkt uit onderzoek van BNR. Met deze afmeldcodes kan de eigenaar van een alarmsysteem zich kenbaar maken bij de centrale om een vals alarm te melden. In dat geval wordt de politie niet gewaarschuwd. Dergelijke geheime gegevens werden toegankelijk door een fout in de software van de server waarop de app de data bewaarde.

Minstens 26.000 actieve Nederlandse beveiligingssystemen van SMC zijn getroffen door het lek. Het gaat onder meer om systemen van Fox-IT, dat ook staatsgeheimen bewaart. Verder vallen er alarmsystemen van supermarkten, banken, overheidsdiensten, stad- en provinciehuizen, nutsbedrijven en een drukker van geldpapier onder. Volgens BNR zijn van grote retailers vaak tientallen vestigingen tegelijkertijd getroffen.

Naast de afmeldcodes waren ook thuisadressen van CEO's, Quote 500-leden, BN'ers en een voormalig minister opvraagbaar. Dergelijke prominenten krijgen van SMC een aparte aanduiding, waardoor ze gemakkelijker te vinden zijn in de gegevens.

Het lek werd gemeld door softwareontwikkelaar Joris Talma, die op de fout stuitte bij werkzaamheden voor een klein theater dat klant is van SMC. De app in kwestie werd begin 2022 al uit appstores van Google en Apple gehaald, maar het lek bleef bestaan. Talma waarschuwde in februari vorig jaar Carrier Global en in juni vorig jaar ook SMC. Carrier Global waarschuwde na de melding zijn klanten, maar dichtte het lek niet. Ook SMC trad volgens BNR niet effectief op. De ontwikkelaar waarschuwde verder de Autoriteit Persoonsgegevens meermaals, maar zonder resultaat. Daarop besloot Talma naar BNR te stappen met zijn bevindingen. Pas na vragen van de nieuwsradio gooide SMC het kwetsbare systeem op slot. Dat is bijna een jaar na de eerste melding van Talma.

De nieuwsradio schrijft nu dat de duizenden gecompromitteerde systemen mogelijk slechts het topje van de ijsberg zijn. De software van Carrier Global wordt namelijk ook bij andere alarmcentrales gebruikt. Zo ontdekte Talma dat ook Securitas getroffen is door het lek. Daar waren alleen persoonsgegevens op te vragen, geen afmeldcodes. Kort na een waarschuwing van Talma gooide Securitas het kwetsbare systeem op slot. Ook zegt het bedrijf het lek te hebben gemeld bij de Autoriteit Persoonsgegevens.

SMC zegt in een reactie aan BNR onderzoek te doen naar de omvang van het lek en waarom het zo lang geduurd heeft voordat adequaat werd ingegrepen. Het lek is volgens de alarmcentrale gedicht en er zou geen indicatie zijn dat kwaadwillenden het lek misbruikt hebben. "Uit voorzorg hebben we een gerenommeerd cybersecuritybedrijf ingeschakeld om onderzoek uit te voeren en hebben we besloten alle afmeldcodes van alle gebruikers te resetten en aanvullende authenticatiemaatregelen genomen", zegt een woordvoerder tegenover BNR. Carrier Global zegt bekend te zijn met het probleem en de zaak verder te onderzoeken.

Reacties (65)

[SniperEye]

SMC en Securitas krijgen met hetzelfde probleem te maken. De laatste treedt meteen op terwijl de eerste tijd nodig heeft voor onderzoek en pas nadat journalisten zich ermee gaan bemoeien treedt SMC pas op.

Ik vind dat SMC verplicht is naar tenminste zijn klanten uitleg te geven waarom zij nu pas optreden en waarom zij niet net als Securitas onmiddellijk actie ondernemen.

[Reactie gewijzigd door SniperEye op 22 juli 2024 19:02]

[ijdod]

Opmerking is wel dat voor Securitas de eerste melding *door* die journalist kwamen. Of ze het daarmee dus beter deden is maar de vraag.

Zie reactie van @Aldy

[Reactie gewijzigd door ijdod op 22 juli 2024 19:02]

[Aldy]

Opmerking is wel dat voor Securitas de eerste melding *door* die journalist kwamen. Of ze het daarmee dus beter deden is maar de vraag.

Dat is niet wat er in het artikel staat. Daar staat in dat Talma Securitas waarschuwde en dat deze gelijk actie ondernam.

[Aeternum]

"en er zou geen indicatie zijn dat kwaadwillenden het lek misbruikt hebben"
Als het een jaar lang online staat dan waag ik dat ernstig te betwijfelen.

[kftnl]

Ik denk dat het wel op zou vallen als er bij een inbraak de correcte afmeldcode gebruikt werd.

Het is echt niet zo dat alle data die online staat gelijk wordt gevonden door hackers die daar ook daadwerkelijk wat mee kunnen doen.

[vj_slof]

Bij een fysieke inbraak hoeft geen schade te zijn ontstaan. Het copieren van digitale gegevens en fotograferen van papieren laat geen sporen achter.

Bij een kantoor zoals bv van Fox-it zou het voor een hacker wel fijn zijn als het alarm niet de hele tijd af gaat. Met fysieke toegang tot zo’n bedrijf heb je een hele nacht de tijd om ongestoord in allerlei papieren en andere gegevens rond te neuzen.

[turbojet80s]

Op zich goed bedacht, maar zulke bedrijven hebben gewoon 24/7 fysieke bewaking en camerasystemen met bewegingsdetectie.

[Marzman]

En de code van het alarm is ook niet het slot van de deur, maar de code van het alarm. Tenminste bij de bedrijven waar ik het alarm wel eens aan en uit heb moeten zetten.

[Piemol]

Als je een vals alarm kan melden, dan heb je de code van de deur ook helemaal niet nodig

Edit: je kunt dan bijv. ook een raampje intikken om binnen te komen

[Reactie gewijzigd door Piemol op 22 juli 2024 19:02]

[Anoniem: 454358]

Als er een raam zou zijn ingetikt, zonder alarm, dan was het dus wel gemeld dat het misbruikt was.

[Marzman]

Als je het afmeldt maar het blijft loeien lijkt me ook verdacht

[Grrrrrene]

Dat het alarm eraf is, wil niet zeggen dat er geen camerabewaking is. Ik kom bij mij op werk ook overal naar binnen, maar word wel gefilmd, dus het valt nogal op dat ik daar rond loop, zeker als het buiten kantooruren is. Sterker nog, het alarm staat er standaard op 's nachts en als het er na een bepaalde tijd wordt afgehaald, komt de beveiliging kijken wat er aan de hand is, want zij hebben net hun ronde gemaakt om te kijken of er niemand meer aanwezig is als ze het alarm erop zetten. We moeten het daarom ook aanmelden als we langer doorwerken en mogen niet zomaar later dan die specifieke tijd aanwezig blijven.

En daar zijn we vast niet uniek in.

[Reactie gewijzigd door Grrrrrene op 22 juli 2024 19:02]

[kodak]

De juiste geheime afmeldcode geven is precies de bedoeling. Een onjuiste code afgeven is wat op valt, zeker als die persoon daarna geen juiste afmeldcode geeft.

Dat iets wat online staat niet gevonden hoeft te worden is correct. Maar het omgekeerde gaat net zo goed op. Dus tenzij het bedrijf kan aantonen dat de gegevens niet door anderen gevonden zijn is dat geen excuus.

[Paul_1982]

"Een onjuiste code afgeven is wat op valt"
Hij bedoelt dat het opvalt als een inbraak wordt gemeld door de eigenaar, waarbij de inbreker in staat was om de juiste afmeldcode in te voeren.

[Reactie gewijzigd door Paul_1982 op 22 juli 2024 19:02]

[kodak]

Dat is een extra omstandigheid die ik er niet in lees. En ook die extra omstandigheid gaat niet zomaar op. Er is niet zomaar duidelijk dat er een een inbraak is als criminelen het doel hebben zich voor te doen als een gewone gebruiker. Inbreken gaat allang niet meer alleen om spullen weg nemen en het prima vinden sporen achter te laten.

[swhnld]

Niet alleen afmeldcodes, maar ook persoonsgegevens stonden er open en bloot in. Hoe toon je aan dat de phishing aanval op jou uit dit lek afkomstig is, en niet uit een ander lek?

[Frame164]

Dat inderdaad. Wij redeneren hier (te?) vaak vanuit de techniek en technische mogelijkheden. Maar in dit geval moet een hacker de informatie vinden, downloaden, en daar vervolgens inbrekers bij gaan zoeken die naar de betreffende locatie willen gaan om in te gaan breken. En voordat je besluit ergens in te gaan breken moet er ook nog iets te halen zijn wat genoeg oplevert en wat je kwijt kunt aan de "markt".

[bwerg]

Er zit nogal een verschil tussen "geen indicatie van misbruik" en "indicatie van geen misbruik". Die eerste is ook het geval als de monitoring slecht is en er eigenlijk geen idee is van of er misbruik heeft plaatsgevonden.

[RobbieB]

Waarschijnlijk: “uit de zeer beperkte logging die beschikbaar was is niet vastgesteld dat er misbruik gemaakt is van dit lek, maar door de lange tijd dat we hier nalatig zijn geweest en de beperkte logging is het wel aannemelijk dat dit is gebeurd”

Maar dat ga je natuurlijk niet in je communicatie zetten.

[JJ Le Funk]

ja, dit hebben ze zeker vastgesteld doordat er nog geen (serieus) ransome verzoek is binnen gekomen? *facepalm*

[tunf]

Sterker er is vast geen logging meer aanwezig waarop dit achterhaald kan worden.

[mr_evil08]

Bedrijven hebben meer controle middelen om dat te constateren.

Camerabewaking, logs van de deuren, logs wanneer het alarm is afgemeld.
De "hacker" kan weliswaar de hele nacht aan de gang gaan maar na die tijd kunnen ze dat wel achterhalen.

Mensen kijken iets teveel james bond films.
Altijd grappig die grote ventilatiebuizen of altijd een lift met deurtje in het dak.

Een super beveiligde kluis en een mens kan zo via ventilatie naar binnen jah right...
Als het zo streng beveiligd is waren de ventilatiebuizen wel dusdanig klein geweest dat er geen enkel mens doorheen kan.

Ik ben ze nog nooit tegen gekomen dat een mens door ventilatiebuizen kan en dit ook kan houden kwa gewicht.

Hacker,s komen liever overdag binnen omdat je dan minder opvalt(social engineering), het alarm staat dan sowieso uit.

[Reactie gewijzigd door mr_evil08 op 22 juli 2024 19:02]

[Heaget]

Ik blijf me verbazen hoe laks bedrijven hiermee omgaan. Een lek van deze omvang, waarmee je effectief een alarmsysteem kan omzeilen, bestaat een jaar na melding nog steeds..? Ik begrijp gewoon niet hoe dit kan. Iedereen is het roerend eens over hoe belangrijk cyber security is, en hoe belangrijk adequaat optreden in dit soort situaties is. Toch is er een constante stroom van nieuwsberichten die demonstreert dat de meeste bedrijven het niet zo nauw nemen..

[jongetje]

Ik begrijp ook niet dat je je hele huis/bedrijf volhangt met allemaal beveiligingssystemen. En met 1 telefoontje en een juist wachtwoord (Temu e.d., luistert U mee?) kun je het uitlaten schakelen op afstand.

[Orangelights23]

Wat is je alternatief dan om locaties te beveiligen?

[jongetje]

Dan kun je beter een soort token app laten installeren met een bijv. een biometrie (bijv. vingerafdruk) authenticatie. Netzoals je een token krijgt om op je werk pc/laptop/omgeving in te loggen. Die token veranderd continue en is niet een wachtwoord als "Papegaai" die op een lijstje staat die potentieel veel mensen kunnen inzien als het uitlekt.

[Orangelights23]

Dus toch wel een beveiligingssysteem

Wat je beschrijft werkt goed in de praktijk, heb dergelijke systemen geïmplementeerd bij mijn klanten en dit leidt tot aanzienlijk minder incidenten. Ik sloeg aan op je reactie dat mensen überhaupt beveiligingssystemen plaatsen.

[Honytawk]

Lokaal i.p.v. alles in de cloud
Toch zeker alarmsystemen en andere beveiligingen

[Heaget]

Eigenlijk doet me dit heel veel denken aan hoe we vroeger onze accounts beveiligden, simpelweg met een wachtwoord. Nu weten we ook al jaren dat dit niet de beste manier is en zijn we begonnen met dingen zoals MFA, waarmee we zien dat het een stuk lastiger wordt gemaakt, niet onmogelijk als we praten over state sponsored aanvallen, maar voor gewone script kiddies toch wel een hele flinke extra barrière.

Wat ik probeer te zeggen is dat het me verbaast dat banken, gemeentehuizen en zelfs een drukker van geldpapier een beveiligingssysteem hebben wat inderdaad met 1 simpel wachtwoord is uit te schakelen, waar je toch zou verwachten dat ze op een of andere manier een MFA achtige oplossing zouden inbouwen.

[Marzman]

Je bedoelt de beveiliging afbellen met een telefoontje als je het per ongeluk hebt laten afgaan om geen kosten te maken? Dan heb je toch nog steeds de code nodig (ok, die stond hier online) en het wachtwoord.

[Reactie gewijzigd door Marzman op 22 juli 2024 19:02]

[gimbal]

Dat komt voornamelijk omdat we eigenlijk best wel overtuigd zijn dat we zo modern zijn terwijl we op veel vlakken nog steeds handelen als neanderthalers. Diverse bedrijven waar ik voor gewerkt heb zien IT als een kostenpost... Ga daar maar eens wijs maken dat je budget moet maken voor het bijhouden van security. De uiteindelijke uitkomst van die investering is dat de software naderhand nog steeds exact zo werkt als dat het ervoor deed. Dat krijg je niet langs mensen die enkel denken in budgetten.

Er is nog veel, HEEL veel groei te maken waar het gaat om simpelweg besef dat software security moeilijk is en moeilijk blijft. Mijn hoop is dat de recente XZ backdoor exploit her en der de ogen een beetje gaat openen.

[S-1-5-7]

De ontwikkelaar waarschuwde verder de Autoriteit Persoonsgegevens meermaals, maar zonder resultaat

Dat SMC niet juist reageert is al kwalijk, maar waarom treedt de AP niet op? Het lijkt mij geen discussie of een thuisadres een persoonsgegeven is...

[Timmiejj]

Je bedoelt dat zelfde AP waarover keer op keer berichten in het nieuws komen dat ze te weinig budget krijgen om alles te monitoren, laat staan daadkrachtig optreden

[Kip]

Het lijkt erop dat er een kwetsbaarheid is ontdekt in de producten die sinds maart 2022 niet meer worden ondersteund. Dit roept de vraag op of ontwikkelaars nog steeds verplicht zijn om patches uit te brengen voor producten die niet langer worden ondersteund. Het lijkt erop dat sommige klanten nalatig zijn in het upgraden van hun systemen. Het is waarschijnlijk dat er wereldwijd nog steeds een aantal installaties zijn die deze producten gebruiken

https://www.corporate.car...12-0623_tcm558-203964.pdf

CARR-PSA-012-0623

MAS Monitoring MASmobile Classic (end-of-life March 2022) contains an Authorization
Bypass vulnerability (CWE-639) by session ID prediction which allows remote attackers
to retrieve sensitive data including customer data, security system status, and event
history. The login session is identified by a numeric ID which can be decremented or
incremented by the attacker to access data unrelated to the current login.

The affected products are MASmobile Classic app v1.x.x and
MASmobile Classic Services v1.7, v1.8, and v1.9

[closefuture]

De beveiligingsbranche voert sowieso eigenlijk geen firmware of software updates uit. Ook niet met onderhouds contract. Zit simpelweg niet in de cultuur. Dus in die zin maakt het weinig uit.

[boner]

Fox-it waren die niet van de onderzoeken naar veiligheid........ iets met de kraan bij de loodgieter lekt..

[useruser]

Fox-it waren die niet van de onderzoeken naar veiligheid........ iets met de kraan bij de loodgieter lekt..

Dat is niet helemaal fair natuurlijk. Ze gebruiken ook vast Linux, iPhones, Androids en Windows waar regelmatig lekken in te vinden zijn.

[phizzie]

Alhoewel ze IT technisch onderzoek doen, voldoen ze met de uitbesteding naar een grotere fysieke beveiligingsorganisatie aan de regels en verwachtingen.
Geen idee of ze site assessment doen en fysieke red-teaming. Daarnaast weet je niet of je als leek weet welke installatie software beschikbaar is voor een systeem. Helaas zie je vaak dat dit naar een of ander bedrijfje is uitbesteed, die beheermodule.
Controleer jij ook de specialist uit jouw vakgebied die je hebt uitbesteed? Waarschijnlijk niet, omdat je het juist niet zelf wilde doen.

[vanaalten]

Ik had eerst iets van "waarom hebben ze die plain-text afmeldcodes op hun systeem?"...
Het leek mij veel veiliger om enkel een hash van de code te hebben... maar, er van uitgaande dat de afmeldcodes maar beperkt in lengte zijn (pincode van 4 ofzo), is dat met brute-force alsnog goed te achterhalen.

[Len]

Hoe wil je dit brute-force-en? Inbreken en als je gebeld wordt en SMC vraagt om de afmeldcode. Dan 000001 zeggen?

Ow dat is niet de code? Ik vergis mij, is het niet 000002?

Ook als je op de hash gaat "brute-force-en" kunnen er meerdere 6 cijferige getallen uitkomen.

[vanaalten]

Nee, dat bedoel ik niet.
Probleem is nu: de afmeldcodes liggen op straat, dus je kan inbreken en tijdens de braak even bellen met de afmeldcode.

Ik dacht dus eerst dat een hash-systeem een beter alternatief is, want "als die hashes op straat liggen heeft niemand er wat aan, want is ondoenlijk om vanuit een hash naar een legale code te gaan". Maar uitgaande van korte codes van bijv. 6 cijfers is het op een computer prima te brute-forcen, lijkt mij.

Dus met mijn systeem: hashes op straat, inbreker gaat daags voor de inbraak de hash van het doel-adres brute-forcen en tijdens de inbraak kan hij de ontfutselde code doorbellen.

En dat bedoel ik dus, met dat hashes hier geen oplossing zijn. Hooguit als je de afmeldcodes dan ook voldoende lang maakt.

[.SnifraM]

Probleem is nu: de afmeldcodes liggen op straat, dus je kan inbreken en tijdens de braak even bellen met de afmeldcode.

Dit werkt omgekeerd. De alarmcentrale belt meestal een contractueel afgesproken telefoonnummer en wilt van die persoon de afmeldcode horen. Je moet dus ook die telefoon van het slachtoffer beschikbaar hebben.

[franssie]

En bij woonhuizen is dat vaak het vaste nummer. Bij bedrijven zal dat anders liggen.
Ik meen me te herinneren dat je van de 6 cijferige SMC code maar een deel moest doorgeven als een soort tweede check, werd me uitgelegd toen ik eens de hele code doorgaf maar de centralist geloofde me wel (was huis van mijn ouders).

[Robru1]

Ach, ik kijk nergens meer van op...

[segil]

Wat mij nu alleen niet helemaal duidelijk is, of deze codes ook vervangen gaan worden? Wellicht heb ik het verkeerd, maar toen ikzelf 10 jaar geleden nog een alarmsysteem onderhield met een contract bij SMC, hadden we een fysiek SMC pasje voor elke medewerker met een afmeldcode erop (123456 bijvoorbeeld). Je naam + code gaf je telefonisch door, als je bijvoorbeeld wilde overwerken.

Nu wordt gesproken dat "het kwetsbare systeem op slot is gegooid", maar houdt dit dan in dat al die uitgegeven codes onbruikbaar zijn geworden en niemand zich meer kan afmelden? Gaan alle gebruikers een nieuwe afmeldcode ontvangen? Of is dit een heel ander systeem dan waar ik mee gewerkt heb?

Edit: staat gewoon in het artikel, begrijp ik nu. Dank aan degenen hieronder om me hierop te wijzen.

[Reactie gewijzigd door segil op 22 juli 2024 19:02]

[pelican]

en hebben we besloten alle afmeldcodes van alle gebruikers te resetten en aanvullende authenticatiemaatregelen genomen", zegt een woordvoerder tegenover BNR

staat er

[segil]

thanks, overheen gelezen. Was nog te vroeg deze ochtend

[Mounir]

Dit staat in de laatste alinea van het artikel:

Uit voorzorg hebben we [...] besloten alle afmeldcodes van alle gebruikers te resetten en aanvullende authenticatiemaatregelen genomen

[White Feather]

Staat toch echt in de laatste alinea:

"Uit voorzorg hebben we een gerenommeerd cybersecuritybedrijf ingeschakeld om onderzoek uit te voeren en hebben we besloten alle afmeldcodes van alle gebruikers te resetten en aanvullende authenticatiemaatregelen genomen"

[Krommetenen]

Je zou denken.
Digitaal en online beschikbare codes. Dat is vast omdat ze dagelijks codes resetten toch? Anders heeft zo’n G4S ze wel op dag 8 uit zn kopje geleerd en heeft het alleen meerwaarde voor de flexibele agent die het op moet vragen voor zijn aantal klanten.

Maar dan staat er: dat ze de boel hebben gereset.
Maar als het om lang statische codes en info gaat, zou een maatregel om wat voor lek te dichten toch aanzienlijk minder complex zijn?

Misschien zijn er groepen van verschillende levensduur van codes wat allemaal digitaal in hetzelfde systeem zit.
Dan snap ik het wel dat je niet op dag 1 alles platgooid. Maar na een jaar en toevallig na het BNR-moment? Bijzonder…

[pieterhi]

Die afmeldcodes worden gebruikt bij afgaan van het alarm of bij overwerken.
Wanneer je onbedoeld het alarm laat afgaan, dan bellen ze eerst. Bij een bedrijf bv de receptie. Wanneer je dan opneemt kunnen ze mbv die code verifiëren of je rechtmatig het alarm mag afzetten. Dan hoeven ze niet eerst een poppetje langs te sturen.
Bij aanmelding dat je gaat overwerken is dat hetzelfde. Anders sturen ze een poppetje naar het pand omdat het alarm er op een bepaald tijdstip er nog niet op zit.
Het resetten van deze codes en dichten vh lek zijn twee verschillende zaken. Het resetten heeft niet veel niet nut wanneer je het leuk niet dicht 😉