Cyberaanval op Europese luchthavens waaronder Brussel was ransomware

De cyberaanval op Europese luchthavens, waaronder Brussels Airport in België, was het gevolg van ransomware. Dat zegt de Europese instantie voor digitale veiligheid. Tot nu toe was de oorzaak niet bekend.

Enisa, het agentschap van de Europese Unie voor digitale veiligheid, zegt volgens Reuters niet waar de ransomwareaanval vandaan kwam of welke vorm van ransomware het precies is. Ook is onbekend of luchthavens hebben betaald. Wel zijn politiediensten ingeschakeld voor onderzoek naar de aanval.

De ransomware richtte zich op software van Collins Aerospace die in gebruik is om passagiers zichzelf te laten inchecken op het vliegveld. Computers om dat te doen stopten met werken, wat overlast veroorzaakte en heeft geleid tot geannuleerde vluchten. De problemen deden zich naast Brussels Airport ook voor op onder meer het Londense vliegveld Heathrow. Nederlandse luchthavens waren geen slachtoffer van deze ransomware.

Collins Aerospace selfservicecheck-in

Reacties (49)

[BytePhantomX]

Er is op Mastadon een aardig thread waarin wat details worden gegeven.

• Ze lijken internet facing systemen te hebben uit maart 2015
• Ze hebben een backup terug gezet, waarna ze direct weer geraakt zijn
• Webmail zonder https
• Het platform dat geransomwared is, wordt gebruikt voor het opslaan van biometrische gegevens van passagiers
• In Berlijn zijn door het incident 70% van de vluchten vertraagd

Lijkt er op dat dit platform onderhevig is geweest van diverse overnames door private equity. En die partijen hebben waarschijnlijk dividend uitkeren belangrijker gevonden dan het wegwerken van technical debt.

Bron: https://cyberplace.social/@GossiTheDog/115235882835085934

[gamezfreak]

Er is op Mastadon een aardig thread waarin wat details worden gegeven.

• Ze lijken internet facing systemen te hebben uit maart 2015
• Ze hebben een backup terug gezet, waarna ze direct weer geraakt zijn
• Webmail zonder https
• Het platform dat geransomwared is, wordt gebruikt voor het opslaan van biometrische gegevens van passagiers
• In Berlijn zijn door het incident 70% van de vluchten vertraagd

Punt 1 is sowieso niet meer van deze tijd, iedereen weet dat als je systemen hebt die outdated zijn, dat deze vervangen en/of geïsoleerd moeten worden i.v.m. een te grote security risk. Vaak kopen bedrijven een softwarepakket waarna de hele bedrijf daaraan geplakt zit, omdat de werkprocessen daaromheen zijn gebouwd. Hierdoor is het dus niet mogelijk om een andere pakket te nemen, zonder dat er te veel veranderd (ehem Belastingdienst met Cobol).

Punt 2 is dat je nooit weet hoe lang een virus in je back-up rondsluipt, Vaak zit de virus al een lange tijd in en wordt het via een C2 server bestuurd dat de virus na x tijd actief moet worden. IPS / IDS kunnen het mitigeren, maar DPI is het beste, slurpt wel veel resources op en zorgt voor vertraging (1Gbit komt binnen op de firewall, ± 350 Mbit gaat naar het netwerk).

Punt 3, zie punt 1. Daarnaast kon iedereen dus de mails onderscheppen, wijzigen en daardoor phishing aanvallen doen om het netwerk te infiltreren.

Punt 4 is zeer gevaarlijk, dat betekent dat er identiteits diefstal mogelijk is. IMHO moet er alleen OK / NOT OK te zien krijgen voor biometrische gegevens en dat er geen gegevens worden opgeslagen.

Punt 5 geeft al aan hoe groot (en rommelig) de IT keten is.

Lijkt er op dat dit platform onderhevig is geweest van diverse overnames door private equity. En die partijen hebben waarschijnlijk dividend uitkeren belangrijker gevonden dan het wegwerken van technical debt.

Bron: https://cyberplace.social/@GossiTheDog/115235882835085934

Vaak klopt dit wel, kleine bedrijven worden opgekocht en verhandeld zolang ze waardevol zijn. Zodra de winst is gestagneerd, is het pas te zien hoeveel schade de overnames hebben gedaan (dit geld trouwens niet voor alle bedrijven).

Wanneer leren bedrijven het dat cybersecurity toch wel een kritische onderdeel is van hun infrastructuur?
Hoe meer systemen aan gekoppeld zijn, des te meer systemen getroffen kunnen worden, vooral als er verschillende partijen bij komen kijken die elk hun eigen systeem willen plaatsen.
Tevens is dit een datalek, want (gelekte) passagiersgegevens + biometrische gegevens

[Barsonax]

Je zou denken dat https nu toch echt wel het minimale is wat je zou moeten doen. Sowieso hebben software engineers dit duidelijk aangekaart maar waarschijnlijk kreeg men er simpelweg gewoon geen tijd voor om dit op te lossen.

Heel kwalijk dat dit soort systemen niet eens https gebruiken.

[Reactie gewijzigd door Barsonax op 23 september 2025 13:03]

[x280]

Waarschijnlijk wist niemand dat ze dit nog hadden open staan ...

[Honytawk]

Eerder dat ze het wel wisten, maar er een technische reden was waarom ze geen https mochten gebruiken.
Een of andere manager dat niet met zn blackberry van 2005 aan zn mail kon of zo.

[J_van_Ekris]

Het platform dat geransomwared is, wordt gebruikt voor het opslaan van biometrische gegevens van passagiers

Dit lijkt me onwaarschijnlijk? De biometrische gegevens horen (conform ICAO eisen) op het paspoort opgeslagen te zijn en na verificatie weggegooid te worden?

[BytePhantomX]

Als ze software uit 2015 nog aan het internet hebben hangen, dan denk ik dat er wel meer zaken niet helemaal compliant of op orde zijn.

[Blokker_1999]

Biometrische gegevens kunnen ook niet uitgelezen worden door luchtvaartmaatschapijen of luchthavens. Enkel douane diensten kunnen deze uitlezen, op voorwaarde dat ze de private sleutel hebben.

Maar het kan wel zijn dat het hier om een luchthavenspecifiek systeem gaat. Zo zijn er luchthavens waar je bij de self check-in jezelf reeds kunt registreren met biometrische data om verder in de luchthaven sneller door bepaalde wachtrijen te gaan of aan de gate automatisch te kunnen inschepen ipv daar nogmaals een controle te moeten ondergaan of ticket, paspoort en persoon bij elkaar passen. Maar die data staat los van de data op het paspoort.

[J_van_Ekris]

Biometrische gegevens kunnen ook niet uitgelezen worden door luchtvaartmaatschapijen of luchthavens. Enkel douane diensten kunnen deze uitlezen, op voorwaarde dat ze de private sleutel hebben.

Om een stukje biometrie te kunnen controleren moet je hem ook registreren. Bijvoorbeeld de vingerafdruk staat als een soort hash in het paspoort. Het douanesysteem moet dus een fingerprint registreren en daar de hash mee berekenen, die vervolgens tegen die van het paspoort gehouden kan worden (die dit inderdaad alleen na authenticatie van de terminal kan openen). Dus in theorie heb je van elke reiziger wel een vingerafdruk. Maar de ICAO heeft ooit al aangegeven dat opslag niet acceptabel was. Maar dat was ook zo'n 20 jaar geleden dat ik er mee bezig was, dus dat kan onder druk vanuit de VS wel eens als eis vervallen zijn.

[Nyarlathotep]

Grote kans dat het platform onderdeel is geweest van één of meerdere overnames, en de documentatie (voor zover aanwezig) in een zwart gat is verdwenen. Ik heb het zelf ook zien gebeuren...

En ja, zo lang de systemen draaien en er geen alarmbellen afgaan, krijgt het niet de prioriteit die het zou moeten hebben. En met dit soort gevallen is er geen waarschuwing vooraf; het gebeurt ineens en dan is het te laat.

[Hekvandam]

Welke usecase heeft dit?Je kan meestal toch gewoon zelf inchecken thuis vanachter je gsm/laptop? Waarom zou je een dedicated kiosk gebruiken?

Ik ben nu geen fervente vlieger, maar ik had telkens thuis ingechecked en kreeg zo mijn boarding pass al.

Indien nodig moest ik dan nog wel mijn grote bagage aan de balie geven

[Epidemias]

Ik heb deze ochtend een vlucht gepakt van Ryanair (online ingechecked)

De bagagelabels zijn voorgeprint met barcodes, de naam is er handmatig op geschreven.

De nummer achter de barcode moest in de computer ingetypt worden in plaats van ingescand.

Aan de gate werden de tickets niet ingescand en werden de stoelen van passagiers die al gepasseerd waren met fluo stift aangeduid op een afgeprint papier.

[josipbroz]

Ze hebben in ieder geval hun continuïteitsplan op orde. Het is natuurlijk niet iets om trots op te moeten zijn dat het nodig is, maar het zorgt er wel voor dat niet alles stilvalt. Hoe lang het heeft geduurd om het disaster recovery plan van de grond te krijgen, is een ander verhaal (daar heb ik geen inzicht in). Ik kan me bovendien voorstellen dat er zelfs in de huidige tijd nog maar weinig partijen zijn die een degelijk plan hebben, terwijl er overal voortdurend inbreuken plaatsvinden.

[R_Zwart]

Omdat mensen ook wel eens niet thuis zijn als ze moeten inchecken en er niet overal geweldig mobiel internet of wifi is. En er nog altijd mensen zijn zonder smartphone of gewoon niet zo handig zijn met smartphones.

Als je op Schiphol kijkt dan staan er toch altijd wel aardig mensen bij die zuiltjes dus er is een behoefte. Natuurlijk kunnen die allemaal naar de balie gaan maar dat geeft dan weer andere problemen.

[Reactie gewijzigd door R_Zwart op 23 september 2025 12:45]

[Blokker_1999]

Ik wil een papieren ticket. Ik heb al eens airside gestaan op een luchthaven om dan te zien dat mijn telefoon minder dan 5% batterij heeft en al heel de dag, dankzij het roamen en slechte ontvangst in de stad, de batterij enorm hard aan het leegtrekken was. Uiteindelijk telefoon uitgezet en hopen dat bij het inschepen ik deze terug kon opstarten om de boarding pass alsnog te tonen.

En de bagage moet ik toch droppen, dan kan ik evengoed daar gewoon de check-in doen ook.

[Quilt]

De cyberaanval was gericht tegen Arinc, een product voor het beheer van het check-in proces. Ik weet niet of je dit echt als een aanval tegen Brussels Airport moet zien. Eerder iets op carriers en handlers, vind ik.

Brussels Airlines, de grootste carrier op Brussels Airport, gebruikt een ander (eigen?) systeem voor check-in en was eigenlijk niet geïmpacteerd. (Ze hebben wel als teken van goede wil een aantal vluchten geannuleerd).

[Randfiguur]

Ik weet niet of je dit echt als een aanval tegen Brussels Airport moet zien. Eerder iets op carriers en handlers, vind ik.

Vind de timing met de recentere drones boven de vliegvelden van Oslo en Kopenhagen wel opvallend. Zou best kunnen dat Rusland de Europese infrastructuur probeert te pakken waar het kan - meerdere kleine acties hebben samen grote impact en geven een intimiderend signaal af.

[NoTechSupport]

Geen idee of het Rusland was, maar het kan.

Hun strategie is voortdurend testen hoe ver ze kunnen gaan om te leren hoe onze security werkt en wat onze reacties en reactietijden zijn. En daarbij elke keer wat verder gaan.

Maar in dit geval weten we het dus niet zeker.

We moeten ons op alles voorbereiden. Het is duidelijk dat de Russen niet tegengehouden en mogelijk zelfs aangemoedigd worden door het huidige Chinese regime.

[veltnet]

ja, dat zou kunnen

[Reactie gewijzigd door veltnet op 23 september 2025 15:41]

[ANdrode]

Brussels Airlines is deel van Lufthansa. Ik ga er vanuit dat die een eigen systeem hebben.

Lufthansa/Swiss/Brussels Airlines voelen hetzelfde aan qua processen. Of ITA hier ook al onder valt qua systemen weet ik niet - die overname is recent.

[yevgeny]

Het ging om drie luchthavens Heathrow, Berlijn, and Brussel die gebruik maken van het MUSE programma dat  Collins Aerospace aanbied in een cloud versie en een on-prem versie.

https://www.tomshardware.com/tech-industry/cyber-security/europes-check-in-systems-knocked-offline-after-cyberattack

Collins Aerospace is amerikaans dus je kunt er van uit gaan dat alle handelingen die door deze software geregeld worden in handen zijn van de amerikaanse overheid.

[jpfx]

Dus als ik het dan goed begrijp ook Europese data van Europese inwoners daar opgeslagen? Mag dat nog wel volgens de AVG? Of is dat dan weer een loophole?

[J_van_Ekris]

Dat zou je niet zo eenvoudig kunnen stellen. Er zitten backend systemen achter deze oplossing die volgens mij de daadwerkelijke stoeltoewijzing etc.. doen (zoals Amadeus, voor KLM, Lufthansa en BA). Dit kan heel goed een stateless doorgeefluik zijn dat op een vliegveld de fysieke werkplek doet, maar die data persisteert.

[suheri]

Wat zou de wereld fijn en comfortabel kunnen zijn wanneer wij als mensheid onszelf niet als grootste belemmering zouden hebben. Alles moet maar 'hufterproof' gemaakt worden (wat uiteraard onmogelijk is); bushokjes, evenementen, software, processen, fiets etc.

[Goldwing1973]

Daar is maar één manier voor omdat voor elkaar te krijgen, door het financiële systeem af te schaffen, wereldwijd.

Alleen is dat nog wishful thinking.

[SPee]

Zelf dat zal niet helpen. Jalousie speelt dan nog steeds mee, net zoals bezit. Zelf ben ik voor pakkans verhogen en direct straffen.

[copi]

Vernielingen leveren helemaal geen financieel gewin op dus dit klopt niet.

Ook is geld slechts een manier om handig producten te ruilen, dingen als macht en verrijking zullen ook zonder geld blijven bestaan

[R_Zwart]

Maar dan krijg je vraagstukken als "hoeveel brood kan je kopen voor uur programmeren?" En wat als die bakker geen behoefte heeft aan software? En dat dan natuurlijk voor alle werkzaamheden die wereldwijd worden verricht. Ik denk dat dan snel een ruilmiddel zoals geld wordt ingevoerd....

[Clinternet]

Dat is gedaan zodra er een grote vliegende schotel uit de hemel komt :)

[laptopleon]

Ik denk dit ook zo vaak. Extra zuur omdat meestal slechts een kleine minderheid de oorzaak is dat er veel geld en tijd besteed (eigenlijk verspild) moet worden aan allerlei maatregelen – als het het evenement of product niet al helemaal onrendabel en daardoor praktisch onuitvoerbaar maakt.

Denk alleen al aan alle belastingcontroleurs, politieagenten en scankassamedewerkers die iets nuttigs zouden kunnen gaan doen.

[MR_VIPER]

Wat ik me nu afvraag en misschien kan iemand me dat uitleggen. Maar op deze machines word nogal wat persoonlijke informatie verwerkt. In hoeverre buffert deze machine die gegevens? Want dan zou in theorie bij de aanval ook data buit kunnen zijn gemaakt vanaf de machine en niet direct in de backend. Althans het lijkt me dat dat kan.

[Ootje70]

Er is dus geen sprake van een Ransomware aanval bij Brussels Airport maar een leverancier van een van hun softwareproducten. Nu ben je daar als organisatie zelf wel verantwoordelijk voor maar ook al beoordeel je de beheersmaatregelen van je leveranciers structureel dan kan je dit overkomen. Zelfs als je bij je kritische leveranciers 2x per jaar een pentest uit laat voeren is dit mogelijk.

[FrostHex]

Russen die geld nodig hebben?

[ShadLink]

Dat personeel achter die balie gebruikt in feite hetzelfde systeem. Of denk je dat ze dat helemaal handmatig doen?

[TheVivaldi]

Van wat ik in de serie Schiphol Airport meekrijg, zijn er verschillende computersystemen in gebruik. Weet niet of dat elder ook zo is, en ik weet natuurlijk ook niet wat er precies geraakt is (als de aansturing geraakt is, maakt het eindgebruikerssysteem natuurlijk ook niet uit).

[jdh009]

Dat klopt, uiteindelijk draait het op dezelfde backend of communiceert het daar iig mee. Maar service is meer dan alleen de techniek achter de schermen. Aan de balie heb je iemand die het proces kent, fouten kan opvangen of voorkomen en voor jou het werk uit handen neemt en je wat zekerheid kan geven. Dat scheelt stress en maakt het contact menselijker, althans voor een deel van de bevolking. Aardig wat mensen zijn toch nog best onzeker, zeker als het iets is wat niet zo vaak gedaan wordt. Zelfs als de systemen identiek zijn, is de ervaring voor die reiziger wezenlijk anders. Voor het inchecken zelf op een luchthaven maakt het mij persoonlijk niet zo veel uit (balie vs paal vs online), en voor één of twee producten in de supermarkt ook niet. Maar bij meer boodschappen vind ik het verschil groot: bij een medewerker voelt het als een winkelervaring, bij zelfscan vooral als gecontroleerd worden of je niets gestolen hebt. Fouten die je daar maakt zijn ook meteen je eigen schuld en worden hier in de supermarkt, voor zover ik heb meegekregen, altijd vrij stellig opgepakt. Het is dan jouw probleem als je te weinig scant, terwijl niemand corrigeert als je juist te veel scant, gezien jij dat doet.

[Reactie gewijzigd door jdh009 op 23 september 2025 12:02]

[911GT2]

Ah u gaat ook nog steeds naar de bank om daar geld op te halen bij de baliemedewerker. U gaat tanken bij de pomp waar er voor u getankt wordt en in de supermarkt kiest de die leukste caissière uit?

Maar dat terzijde software staakt niet, is in principe niet corrupt en wil geen vrije dagen of vakantie...

[Vinnie.1234]

Als ik bij de bank nog daadwerkelijk makkelijk naar een baliemedewerker kan zou ik dat zeker doen. In veel supermarkten ga ik nog steeds naar de (leukste) caissière. Al maken sommige supermarkten dit zo k*t dat ik dan de handscanner gebruik. Ik snap niet dat niemand meer een beetje menselijk contact wil hebben. De laatste keren dat ik gevlogen had, ben ik ook direct naar de balie gelopen.

[911GT2]

Als ik voor mezelf spreek wil ik juist minder menselijk contact. Niet omdat ik tegen contact met mensen ben, maar omdat het meer prikkels introduceert waar ik helemaal niet op zit te wachten. Als ik kan kiezen kies ik altijd de geautomatiseerde oplossing.

[p0linskie]

Software niet corrupt? Volgens mij kan ik wel een voorbeeld noemen waarbij software juist zeer corrupt is. Denk aan de sjoemelsoftware van VW.

[911GT2]

Dat is niet de software, dat is de maker. De software doet wat hij moet doen en is niet te beïnvloeden door steekpenningen of afpersing of zo. Er wordt zeker software gebruikt voor corrupte processen. Maar dat is de menselijke factor. Niet de software.

[TheVivaldi]

Software wordt voorlopig nog geschreven door mensen (of door AI, maar AI is ook weer door mensen gemaakt), dus corruptie kan wel degelijk worden ingebouwd. En software staakt niet, dat klopt, maar het komt wel vaker voor dat software platligt, ook als het géén ransomewareaanval is.

[Kurai Hoshi]

Software staakt regelmatig, niet vanwege persoonlijk ongenoegen over de arbeidsomstandigheden en aangekondigd maar gewoon willekeurig omdat er 'iets' is. Computer says no.

[R_Zwart]

Dan moeten we zorgen dat wij ICTers betere software gaan maken. Maar hoe vaak "staakt" software dan? Het internet en telecomnetwerk wat gebruiken heeft een availability van 5 9s, en toch is dat vrijwel allemaal software. Geen mens haalt 5 9s.

[Kurai Hoshi]

Een mens heeft om en nabij de acht uur slaap per dag nodig, appels en peren vergelijken, maar de beschikbaarheid kan je met ploegendiensten prima 24/7 regelen..
En met 5 9s heb je vijf minuten downtime per jaar, per systeem kan dat misschien wel gehaald worden, maar in een complete infrastructuur komt er altijd wel een kink in de kabel, kan je server wel up zijn, maar als niemand er bij kan, is het dan nog wel available?

[jpsch]

Gevoeliger voor softwarefouten? Lijkt me juist dat softwarefouten eerder ontdekt worden als er allerlei mensen gebruik van maken en zo tot een robuster systeem leiden.

[skullsplitter]

Personeel zal met hetzelfde back end werken lijkt me, maar als hele systemen gekaapt worden sta je gewoon nergens als je daar niet op voorbereid bent.

[R_Zwart]

Misschien dat je die laatste opmerking beter weg kunt halen.