'Duizenden systemen wind- en zonneparken zijn kwetsbaar voor cyberaanvallen'

Beheersystemen van duizenden Europese windmolen- en zonneparken zijn niet goed beveiligd. Uit een Nederlands onderzoek blijkt dat 8547 beheerinterfaces en bedieningspanelen in 35 landen toegankelijk zijn via een publieke internetverbinding. Daardoor zijn ze kwetsbaar voor cyberaanvallen.

Het gaat om 7942 onveilige systemen van zonneparken en 605 systemen van windparken. Dat laten onderzoekers van cybersecuritybedrijf Modat weten tijdens de cybersecurityconferentie One Conference in Den Haag. Van de 8547 kwetsbare systemen bevinden zich veruit de meeste in Spanje. 141 bevinden zich in Nederland.

In de meeste gevallen waren de omgevingen nog wel beveiligd met een inlogscherm, maar dat was niet altijd het geval. Op 181 locaties hadden de onderzoekers de volledige controle. Het was dan bijvoorbeeld mogelijk om met een druk op de knop windturbines of een geheel windmolenpark plat te leggen, stellen ze. Kwaadwillenden kunnen hierdoor ook windturbines laten draaien op momenten waarop ze bewust zijn stilgezet, bijvoorbeeld tijdens harde wind.

Het lukte de onderzoekers naar eigen zeggen in een paar uur om de publiek toegankelijke beheersystemen te vinden. Ze hebben de beheerders van de betreffende interfaces op de hoogte gebracht en roepen ze op om hun systemen zo snel mogelijk offline te halen.

Update, 7 oktober: In een eerdere versie van het artikel stond dat het Nationaal Cyber Security Centrum betrokken is bij het onderzoek. Dat klopt niet. Hoewel er wel een onderzoeker van het NCSC heeft meegewerkt, betrof dat een nevenwerkzaamheid.

Reacties (94)

[Timfonie]

Wat ik al 20 jaar wens, moet daarom eindelijk ook maar eens gebeuren: een totale ontregeling van de digitale infrastructuur, zodat iedereen GEVOELSMATIG wakker wordt geschudt over de noodzaak van voldoende redundantie (backups, alternatieven).

Ik heb met lede ogen aan zitten kijken hoe in de jaren '90 alles 'just in time' moest gebeuren, inclusief zo klein mogelijke voorraden. Super-efficient, maar als er dan iets hapert, dan heeft dan impact op de hele achterliggende keten.

Vervolgens stond ik versteld van de totale integratie met digitale diensten waar externe partijen zomaar de stekker uit zouden kunnen trekken. Tenenkrommende naïviteit was altijd de norm. Een vraag als "wat als dat nou tóch zou gebeuren?" werd schouderophalend beantwoord met "maak je niet druk, waarom zou dat gebeuren? en weet je hoeveel een beter systeem kost?"

Gemak, gewoonte en lage (concurrerende) kosten vormen een recept voor een hoop kwetsbaarheden, of 'attack-surface' als het om gerichte aanvallen gaat. En een misplaatst optimisme dat het allemaal wel los zal lopen, waar ik nooit wat van heb begrepen.

De watersnoodramp uit 1953 heeft voor een fantastisch initiatief gezorgd om het water beter onder controle te houden. Maar daar was dus wel een ramp voor nodig.

Wat is de minimale ramp die nodig is om echt zeer serieus werk te maken van een robuuster land, waar het om cybersecurity gaat? Waar optimale efficiëntie wordt ingeruild voor meer redundantie en veerkracht?

Wat ik van harte hoop is dat zo'n massale uitval binnenkort gebeurt en niet pas in een toekomst waarin we in een oorlog verwikkeld zitten. Want dan is het echt te laat.

[GigaHenk]

Aparte wens. In de praktijk blijkt blijkt de security van NL infrastructuur niet helemaal in orde: Hier een hacker anoniem aan het woord daarover. YouTube: Bonusuitzending Weekoverzicht #40 2025 - Willem Engel en Jeroen Pols

[player-x]

Wat is de minimale ramp die nodig is om echt zeer serieus werk te maken van een robuuster land, waar het om cybersecurity gaat?

Ik begrijp het ook niet echt, Dergelijke remote systemen horen toch echt achter een redelijke firewall te zitten, en alleen toegankelijk te zijn via een VPN, en de controle(kamer) onafhankelijk van de rest van het bedrijfsnetwerk te zijn.

Bij mij op het werk wordt de procesdata over hoe de fabriek draait verzonden naar het bedrijfsnetwerk, en kan er geen data verzonden worden naar computers in de controlekamer, die hun eigen firewall binnen het bedrijfsnetwerk hebben.

Een dergelijk systeem moet toch ook niet zo moeilijk zijn voor remote access van een windpark, via de VPN van een firewallbox.

[sircampalot]

Zo'n uitval zal ongetwijfeld komen maar niet leiden tot beter besef van beveiliging.
Nee, dat wordt gebruikt als reden om oorlog te starten.

Als zo'n uitval ongeveer tegelijk valt met het moment waarop de EU het leger op volle sterkte heeft (jaar of 5-10), is de kans groot dat het niet eens een aanval van buitenaf was.

[Reactie gewijzigd door sircampalot op 7 oktober 2026 16:39]

[gr33bo]

Er is bijna niemand die zich het left-pad incident herinnert uit 2016. Wat toch als een wake-up call moeten zijn. Of 2017 NotPetya ransomware in de Rotterdamse haven, die zich kon installeren op container kranen, omdat de systemen om de kranen aan te sturen via het reguliere bedrijfs netwerk was gekoppeld. (En veel kranen werkten op Windows 95) . Er zijn dus waarschuwingen genoeg maar het geheugen bij negatieve incidenten is nogal kort.

[TMT]

Over het "just in time" balanceeren op een slappe koord hebben we tijdens covid en het containerschip dat zich had vastgeramd in het Suez kanaal al een voorproefje gehad hoe snel het kan gaan. Maar het enige dat de meeste mensen er nog van weten is geen wc papier meer in de winkels.

[Csotranme]

Ik ben werkzaam in de sector, verantwoordelijk voor cybersecurity van dit soort zaken en kan beamen dat het droevig gesteld is. NL komt er gelukkig nog redelijk vanaf.

Bij mijn werkgever staan wij voorop in de (cyber)beveiliging qua Renewable Energy assets maar hebben we nog steeds te maken met klanten (asset owners) die er met de pet naar gooien en voor maximale winst gaan. Kosten wat kost.
Gelukkig gaat dit wel steeds beter met de invoering van NIS2 en de RDI die aan de deur aan het kloppen is bij de grote parken.

Grootste probleem blijft ook de OEMs die niet meewerken en niet transparant zijn.
Ik zie in het rapport ook Siemens weer voorbij komen. Tja... je besteld hun laatste OT spul. 'State of the art' volgens Siemens en krijgt componenten die soms al jaren EOL zijn....

Pentest doen? Je krijgt je mailbox vol met juridische blabla om zich in te dekken en weigeringen.

[Reactie gewijzigd door Csotranme op 6 oktober 2026 23:51]

[Jeffoz]

Je kan het allemaal gewoon lokaal draaien je hele OT en IT. Dus er is geen enkele verbinding het net op nodig, probleem is gewoon dat bedrijven alles op afstand willen doen en mensen lokaal acties laten uitvoeren te duur vinden.

[Csotranme]

Zo werkt het allang niet meer om te beginnen monitort een OEM de assets altijd al op afstand. In het geval van Siemens vanuit Denemarken.

Energie assets en zeker wind en BESS worden constant bijgeregeld. Het is geen set and forget. Dit soort systemen zijn cruciaal voor de balans in het net. TenneT heeft bij de grote parken ook een soort draai knopje op afstand om bij te regelen.

[Reactie gewijzigd door Csotranme op 7 oktober 2026 09:41]

[sprankel]

Ik ben in het verleden ook tegen dit soort issues aangelopen waar ik verplicht was om met een klassiek netwerk uit te breiden en met een lokaal netwerk inclusief security te landen bij systemen die niet van ons waren.

In veel gevallen was real time helemaal niet nodig en had ik enkel een uitwisseling nodig van time serie data/historian data.

Mijn plan was om met dataloggers te werken van een bepaald merk die zich enkel toelegt op datalogging en dit ook van op bus niveau kon (word ook gedaan als je elke cyclus echt wilt loggen). Die pompt zijn data dan naar Azure time series data en indien nodig pompt Azure het naar de onpremise historian.

En wilt een leverancier data van een turbine om te analyseren, hier zijn Azure credentials, als je het lokaal wilt binnen trekken met een Azure twin opc ua be my guest.

Vanuit security geweldig, vanuit beheer geen black boxes meer die overal staan wat locaties. Maar om dat in die wereld verkocht te krijgen? Ben ik daar tegen de muur gelopen.

Bij het woordje cloud gaan ze in de OT allemaal lopen. En bij de IT inclusief bedrijven die Azure expert claimen te zijn, wat zegt U? Azure time series data? Azure IoT? Nog nooit van gehoord en op geen enkele vraag heb ik ooit antwoord gehad.

Dan maar terug naar de IT directeur van het bedrijf met de medeling, moet ik nu echt een 2de tenant open doen op Azure om hier zelf mee te testen? Om dan een ja nee maar antwoord te krijgen.

Heel het plan is uiteindelijk de frigo ingegaan en voor zover ik weet is dat nog altijd een vrij plat OT netwerk dat met VPN's uitgebreid is naar klanten toe. En ja het is een kritische sector, Nis2 enzovoort.

[Dooxed]

Klinkt als een goed ge-engineerde oplossing (jouw voorstel he)

[Reactie gewijzigd door Dooxed op 7 oktober 2026 11:10]

[smartsys]

Ik weet dat ook echte energiecentrales vergoedingen krijgen als ze hun load op het grid op verzoek van Tennet aanpassen. Die vergoedingen zijn nog behoorlijk hoog ook. Het mag wat kosten dat netbeheer.

Het enige is dat Tennet tot niet heel lang geleden géén goede oplossing had om de verzoeken bij energieleveranciers af te leveren. De best werkende optie was een TELEFOON. Even een belletje. Kunnen jullie nu met 10MW terugschakelen. Hup daar ging een aanpassing in de scada omgeving en er ging minder vermogen het net op. Binnen een paar minuten.

Plotseling was daar een bericht vanuit Tennet dat ze gingen stoppen met de telefonische oplossing. Ze wilden een bestand klaarzetten op een server ergens en in dat bestand stond wat werd gevraagd. Het was aan de energieproducent om maar iets te bedenken waarbij je wijzigingen in dat bestand opmerkte en de nieuwe waarden eruit kon halen.

Er zat totaal geen feedback mogelijkheid in dat systeem. Je was 100% afhankelijk van een werkende internet verbinding en ook nog van de oplossing die je ging implementeren om dit te realiseren. De meeste OT omgevingen hangen niet direct aan internet, het is een file transfer die je eigenlijk iedere minuut moet uitvoeren moet monitoring op mislukken. Die monitoring zou dan een signaal moeten geven binnen de scada omgeving dat je de verbinding met Tennet kwijt zou zijn en dan heb je nog weer de vraag of je monitoring zelf wel werkt.

Dus van een simpele vaste telefoonlijn voor een paar euro per maand ging je naar een duizenden euro's kostende draak van een oplossing waarbij je IT en OT moest gaan mengen en een hele keten aan SPOFS kreeg om iets eenvoudigs te realiseren.

Volgens mij is uiteindelijk gekozen voor een oplossing waarbij Tennet een PLC op locatie van de energieleverancier op afstand aanstuurt. Die PLC's staan daar toch al en zijn vaak ook eenvoudig aan de regel omgeving van de energiecentrale zelf te koppelen. Bijv. een analoog voltage of stroomsturing. Daarna dit weer in je scada bakken. Een output meter en een "required" meter of waarde ernaast. Zodra ze (teveel) afwijken een Alert die door je wacht wordt opgemerkt zodat die verder actie kan ondernemen.

Dit is allemaal veroorzaakt doordat de politiek NIET heeft geluisterd naar experts op het gebied van onze energievoorziening. Als je wel naar de experts had geluisterd, dan had je eerst een jaar of 3 gaan ontwerpen aan een 2e grid alleen voor duurzame energie. Dan was je dit gaan bouwen en gaandeweg was je daar windparken en zonneparken op gaan inkoppelen. Dan had je OOK meteen een afgeschermde netwerk infrastructuur kunnen aanleggen, puur voor monitoring en sturing van energiesystemen. Er gaan toch al kilometers kabel de grond in, dan is een glasvezeltje ernaast geen enkel probleem. Je geeft de partij die de stroom infra beheert ook het beheer over de verbindingsinfrastructuur en die koppelt "deelnemers" op een veilige manier aan dat netwerk. Je gaat dus NIET het publieke internet hiervoor gebruiken. Een hacker moet dan al eerst een "deelnemer" hacken en dan mogelijk vanuit daar verder in die infra gaan struinen. Aangezien het om kritieke infra gaat van landsbelang zou je monitoring op cybersecurity kunnen uitbesteden en misschien zelfs deels ook door bijv. defensie kunnen laten doen. Gewoon als 2e paar ogen die dat netwerk en de koppelingen van deelnemers in de gaten houden.

Dit is nu allemaal niet meer te realiseren. Er is overal op verschillende plekken nauwelijks gecontroleerde invoer van energie uit windparken en zonneparken en over communicatie met die omgevingen is helemaal nooit nagedacht. Snel snel snel moest het allemaal, want het klimaat wacht niet. Nou zie wat je krijgt van snel, snel, snel. Een instabiele draak van een grid wat zwaar overbelast is en waarvan de kosten voor de gebruikers de spuigaten uitlopen.

[Csotranme]

Die vergoedingen voor aanpassen van de load is een heel vak apart. Ik weet er wel iets van maar dat laat ik liever over aan mijn Energy Markets & Power Purchase Agreement (EM & PPA) collega's. Die weten dit soort zaken 100x beter en is zwaar complex tegenwoordig met de huidige netcongestie

Er zijn inmiddels zelfs hele bedrijven die leven op het zo goed mogelijk voorspellen van de energie opbrengst en het matchen met de vraag vanuit de netbeheerder. Zo maximaliseer je de opbrengst (in geld niet elektriciteit). Hoe dichter je daadwerkelijke productie bij je voorspelling zit hoe meer het oplevert heel simpel gezegd.

[Reactie gewijzigd door Csotranme op 7 oktober 2026 22:28]

[themadone]

Bijregelen kan ook op een afgesloten landelijk netwerk, OEM van buiten de EU is sowieso no no. En wat er vanuit denemarken bijgestuurd wordt kan ook vanuit lutjebroek via het gesloten netwerk.

Connected hoeft geen internet te betekenen.

[FrankHe]

De interconnecties tussen de assets onderling vormen doorgaans wel een afgesloten netwerk maar op een gegeven moment wordt dat netwerk wel een keer met het grote boze internet gekoppeld om een half dozijn leveranciers de mogelijkheid te geven om telemetrie uit te lezen. Dan moet je heel strikt credentials uitdelen en strak segmenteren, maar ja, dat heeft dan weer gevolgen voor de flexibiliteit en oja, het kost wat meer aan beheer. Ach ja, goedkoop is doorgaans duurkoop.

[Csotranme]

Klopt en dat zou ook een hele mooie ideale setup zijn maar in de praktijk vaak niet haalbaar. Veel te duur en geen ownership vanuit de overheid om dat te regelen.
Overigens doen wij dit al wel voor het grote deel van onze klanten op kleinere schaal. Je introduceert alleen wel een SPOC wat weer een ander risico met zich meebrengt.
Fysieke aanvallen mitigeer je hier nog steeds niet mee.

En net als wat hieronder al gezegd wordt: ergens moet je dan toch altijd het grote boze internet op.

[Reactie gewijzigd door Csotranme op 7 oktober 2026 21:53]

[Jeffoz]

Toevallig ben ik iets aan het bouwen waar het precies zo werkt niets aan het internet. Maar toen we daar over begonnen bij geronomeerde partijen werden we inderdaad soms raar aangestaard alsof we de enige in de markt zijn die dit doen.

[L0g0ff]

Wat ik zelf niet zo goed begrijp; waarom hangt dit rechtstreeks aan het internet? Waarom niet een site-to-site tunnel? Alleen de beheerder hoeft er bij te komen toch?
Al zou je er een access list voor zetten dat alleen maar de IP van de beheerder er bij kan dan zou het nog 100x veiliger zijn dan dit nu het het geval is.

Eigenlijk verbaasd het me dat het nog niet is platgelegd door een aantal script kiddies. Je moet voor de grap maar eens kijken in Curaçao wat er gebeurt als de wind wegvalt. Dan gaat het halve eiland op zwart. Ik denk als je 141 NL wind centrales uitschakeld dat je hetzelfde ook hier in NL kan veroorzaken.

Zeker nu het aan de grote klok gehangen is door dit soort nieuwsberichten is het heel belangrijk snel in te grijpen. Je zit 1 prompt verwijderd van een hele hoop gedoe.

[Csotranme]

Dat verbaasd mij dus ook dat conculega's er schijnbaar nog zo mee om gaan. Al had ik die signalen zelf al van RDI gekregen.

Alles wat wij beheren hangt achter VPNs, MFA, zero-trust etc.
Het lastige is wel dat er soms wel meerdere lijntjes naar buiten aanhangen. TenneT, de asset beheerder, energie maatschappij, de OEM en ga zo maar door.

En het is niet zo dat kwaadwillenden nu ineens wakker geschut worden door dit ene rapportje. Dit wisten ze allang al en de sector zelf ook.

Als jij een Russische tank voor je deur hebt staan die ieder moment kan schieten is iedereen in rep en roer. Dat accepteren we niet. De MIVD waarschuwt al langer dat statelijke actoren allang in ons energie net zitten door zaken die in dit rapport staan. Die Russische tank staat er dus al en kan waarschijnlijk op elk moment schieten. Alleen hier in ons cruciale zeer efficiënte centraal beheerde stroomnet accepteren we dat met zijn allen schijnbaar wel.

[Reactie gewijzigd door Csotranme op 7 oktober 2026 09:39]

[digibaro]

Dat alles achter VPNs, MFA, zero-trust etc hangt geeft nog steeds geen 100% garantie. Voor de rest eens met jouw argumentatie.

[Csotranme]

100% garantie heb je nooit, zelfs niet als je de internet kabel eruit trekt Rusland gooit er gewoon een shahed drone op weten we inmiddels.

[digibaro]

Waarom? Lekker goedkoop. Het past in de IT ontwikkeling van afgelopen 10 - 20 jaar van converged networking. In plaats van fysieke scheiding door middel van meerdere gescheiden verbindingen per dienst is er nog maar 1 verbinding met de diensten gecombineerd, eventueel logisch gescheiden met VLAN's, VRF's en VPN / SDWAN / MPLS.

Daarnaast is er 99% noodzaak dat de omgeving vanaf buiten worden beheerd of met buiten moet communiceren voor het aanleveren van procesdata. Aangezien de software voor die omgevingen bedoeld is voor non-Internet, minder frequent wordt geüpdatet blijft er mijn inziens altijd een verhoogd risico, ook met opstapservers, datadiodes en andere magic oplossingen aangeboden door ICT leveranciers.

[fre0n]

Dat het systeem internet facing is geeft een attack surface. Maar als er geen bekende cve's zijn gaan de scans van scriptkiddies er aan voorbij . Dan moet t een gerichte en gespecialiseerde aanval zijn

[FrankHe]

De gemiddelde scriptkiddies vinden doorgaans alleen het laaghangend fruit. Vinden ze wel dieper gelegen systemen dan zijn het doorgaans geen kiddies meer.

Het zal niet de eerste keer zijn dat live systemen achterlopen met patches omdat men er onvoldoende bovenop zit. Als iedereen netjes haar/zijn werk doet dan zou je nooit bekende lekken hebben en heb je uitsluitend te maken met een handvol zero-days. Een ernstige zero-day is 'relatief' zeldzaam en je kunt je daar vrijwel onmogelijk tegen beschermen. Bekende CVE's zijn wel iets waar je met een workaround vrij snel actie op kunt ondernemen en kritische patches moeten gewoon snel worden uitgerold nadat je ze even in het lab hebt getest.

Dit vergt allemaal actief beheer van bedrijven en mensen die hun vak beheersen en de aandacht en gelegenheid hebben / krijgen om hun werk naar behoren te doen. Wat dat betreft treft de gemiddelde beheerafdeling denk ik geen blaam, die weten immers dondersgoed hoe de vork in de steel zit. Het is geregeld het middenmanagement en de financial controller die oplegt dat het met minder ook toe moet kunnen zodat ze opgepoetste KPI's kunnen laten zien aan het hogere management. Die mooie KPI's gaan echter wel ten koste van je bedrijfscontinuïteit maar dat realiseert men zich veelal onvoldoende.

Informatiebeveiliging wordt nog te vaak gezien als een sluitpost en dat is simpelweg niet vol te houden met al die statelijke actoren die actief voorbereidingen treffen om op een moment naar keuze bij on de boel plat te leggen.

[kaaas]

Een ernstige zero-day is 'relatief' zeldzaam

Nou het is de laatste tijd sinds de ai exploits echt wel zeroday whack a mole geworden.

[FrankHe]

Het zijn er momenteel inderdaad meer dan gemiddeld maar vermoedelijk neemt dit de komende zes tot twaalf maanden langzaam weer af. Op de lange termijn zijn het toch echt de niet tijdig geïnstalleerde patches die het laaghangend fruit vormen voor de scriptkiddies.

[digibaro]

Er is een levendige handel in exploits, daarnaast houden landen (en geheime diensten) ook exploits achter voor specifiek gebruik, denk aan onzichtbaar blijven en bij conflicten/oorlogen.

[Vaevictis_]

Ja de oude industriele leveranciers (o.a. Siemens) zijn berucht. Had vorig jaar een HMI touchscreen met Windows CE. Zonder support of updates maar leverancier maakt ze nog dus wij verkopen ze. Het enige wat je dan kan doen is alles per zone isoleren en geen internet verkeer toestaan.

[kaaas]

Ha ja wij hebben hier ook een lucht behandelings/hvac systeem met een management unit, waar standaard via de web interface de root authorizedkeys van te veranderen is.

Ik had dat ding op dag 1 al in een geisoleerd vlan gezet en alleen toegang van af het ip adres van de leverancier toegang gegeven. Waar ik erg blij mee was toen ik achter de bovenstaande optie kwam. Uiteraard de leverancier getipt dat dit echt niet kan, maar tot op de dag van vandaag is dat dat ding kwetsbaar en dit is echt al jaren geleden.

Nu zou je kunnen zeggen hoe erg is het. Op zich niet zo erg dat iemand het lucht behandelingssysteem kan beïnvloeden (wel vervelend). Maar het is zeker wel erg als je mensen een linux machine met root toegang in je netwerk geeft. Het is toch een leuke spring plank naar de rest van je netwerk.

[Vaevictis_]

Ja luchtbehandeling ook gehad, het is pas echt erg als je met gevaarlijke stoffen werkt.
We hadden ook speciaal systeem dat met een gas een heel lab ontsmet en micro organismen dood. Maar dat is giftig voor mensen.

Daar wil je zeker van zijn dat het niet misbruikt kan worden.

[FrankHe]

Dit is toch onvoorstelbaar? Eigenlijk moet er een wettelijk verbod komen op de verkoop van onveilige apparatuur die al vele jaren EOL is.

Voor consumentenapparatuur hebben we binnenkort dergelijke wetgeving, gebaseerd op een EU-richtlijn en zodoende is de wetgeving mooi uniform in een hele berg landen. Blijkbaar moet er ook iets dergelijks komen voor apparatuur in de industrie.

[Vaevictis_]

Die regels zijn er nu wel maar zie maar eens te handhaven. Voor deze speciale lab apparatuur was geen alternatief dus dan moet het apparaat er wel komen. Ondanks dat het cyberrisico is.

Leverancier doet er niets mee, het was graag of niet en anders verkopen we wel in het oostblok meer apparatuur. Dus met mes op de keel.

[FrankHe]

Dat klinkt niet fraai. Klopt mijn vermoeden dat die apparatuur doorgaans niet air-gapped staat opgesteld en geregeld op de één of andere manier toch met het internet is verbonden? Dat is een beveiligingsnachtmerrie.

[Vaevictis_]

Nee helaas niet wat dit apparaat moest het hele lab aansturen. Maar we hebben wel zonering en filtering toegepast. Helaas ook met file shares en SMBv2 / FTP moeten werken. Zeer oude en onveilige protocollen. Qua security wel een ontheffing moeten aanvragen.

Er was wel een uitgaande internet verbinding naar de cloud van de leverancier.

[Reactie gewijzigd door Vaevictis_ op 7 oktober 2026 14:54]

[FrankHe]

SMBv2 en onversleutelde FTP is inderdaad niet ideaal. Vermoedelijk heb je ook nog apparatuur die uitsluitend TLS 1.1 praat waarvan je je ook hardop afvraagt waarom de leverancier dat niet upgrade naar een hedendaagse standaard?

[Vaevictis_]

Inderdaad. Helaas bot gevangen.... The show must go on.

[FrankHe]

Sterkte met het beheer ervan.

[Vaevictis_]

Is geen klant meer, en ik was slechts security architect in dit project.

[rcdbee89]

Dan mag je jezelf geen beheerder noemen wat een onkunde zeg.

Bizar dat dit nog gebeurd anno 2026

[zalazar]

Niet te geloven inderdaad. Het is gewoon direct aansluiten op het Internet, dat werkt toch prima... en dan wachten tot je gehacked wordt. Dat sommige geen inlogscherm hebben is helemaal vreemd.
Maar dit is echt al jaren aan de gang. De bedrijven hierachter lijken zich er ook niet druk om te maken of zich er verantwoordelijk voor te voelen.

[Calypso]

Mee eens - maar nu (en met geen enkele manier de intentie om het goed te praten) het probleem: die systemen zijn vaak niet anno 2026 opgeleverd, jaren geleden, werken en iedereen blijft er vanaf. Het aloude "if it's not broken, don't fix it" idee.

In mijn werk heb ik ook zeer regelmatig met dit soort besturingen te maken, en als je begint over beveiliging roept elke beheerder dat dat toch wel heel belangrijk is. Ga je dan verder leg je heel snel problemen bloot, van niet geupdate systemen (het algenoemde "het werkt toch nu") tot open staande systemen ("weten niet wat er gebeurd als we dat veranderen") tot fysieke "beveiliging" die gebeurd met standaard sleutels die op besturingskasten in heel Nederland zitten en voor 7,95 op Internet te bestellen zijn.

Het besef dat beveiligd moet worden is er vaak nog wel, de acties en het accepteren dat er dingen moeten veranderen absoluut nog niet.

[Reactie gewijzigd door Calypso op 7 oktober 2026 08:10]

[Kalipeen]

Ik heb vroeger ook wel eens gezocht naar open PLC's, bijvoorbeeld met `inurl:/bekende/PortalURL.mwsl`.

Bizar hoeveel ik toen tegenkwam, tot aan verwarmingssystemen in grote gebouwen. In sommige gevallen kon je niet alleen meekijken, maar ook daadwerkelijk instellingen of regelingen wijzigen. Zonder login scherm, vrij toegankelijk.

Dit probleem gaat dus veel verder dan alleen wind en zonneparken.

[Raymond Deen]

Schandalig! Ben je een whitehatter als je dan een paar dagen de ketel limiteert op 18 graden in de winter?

[darkshadw]

Nee, je hoort er gewoon van af te blijven. Het verbaast me hoeveel van deze endpoints gewoon toegankelijk zijn eigenlijk.

[FrankHe]

Hier op Tweakers vind je in beginsel verantwoordelijke mensen maar een scriptkiddie van pakweg vijftien jaar oud heeft vermoedelijk een stuk minder verantwoordelijkheidsgevoel.

[watercoolertje]

Misschien ben je dan een greenhatter

[FrankHe]

Damn, je was me voor.

[Will_M]

Misschien dat NL zich hier dan ook eens als 'het beste jongetje van de klas' kan gaan laten zien en met die gedachte in het achterhoofd de Spanjaarden te hulp kan schieten met het beveiligen van de kritieke installaties aldaar (en uiteraard ook die genoemde 141 installaties in eigen land nader te bekijken)?

De laatste keer dat we in NL echt een groot probleem hadden met 'het net' werd dat issue, voor zover ik me kan herinneren, ook veroorzaakt door gekoppelde High Voltage installaties vanuit die regio.

[FrankHe]

Het probleem is natuurlijk dat meteen iedereen binnen de Continental Europe Synchronous Area (CESA) er last van heeft wanneer één land de zaakjes niet goed op orde heeft.

Het voorval waarbij Portugal en Spanje gezamenlijk een tijd zonder elektriciteit kwamen te zitten was feitelijk nog een best case scenario. In een slechter scenario vallen de dominostenen tot aan Denemarken en Polen om en dan kan het zomaar een dag of zes duren voordat we allemaal weer het licht aan kunnen doen.

Er is goed geld te verdienen met informatiebeveiliging mits er wel budget voor wordt vrijgemaakt.

[BaatZ]

Je wil niet weten hoe kwetsbaar het nu al is en hoeveel gekker het nog gaat worden. Ik zit in de energiesector en ontwerp proposities voor flex; zonnepanelen, autoladers, warmtepompen en accu’s van miljoenen huishoudens aansturen op marktprijzen en netbelastingen;

Meerdere gigawatts aan elkaar geknoopt met de beste bedoelingen maar de security moet wel in een verdienmodel passen met flinterdunne marges.

er is wel de wet weerbaarheid kritieke entiteiten (https://www.nctv.nl/onderwerpen/v/vitale-infrastructuur) en die geld voor beheerders van energie-infra groter dan X MW. Maar die beheerder kan omzeild worden als de boel op asset niveau niet klopt, zoals de onderzoekers hier dus aantonen.

[Reactie gewijzigd door BaatZ op 6 oktober 2026 20:47]

[OruBLMsFrl]

Er is toch niet zozeer een grens van X MW, maar de aanwijzing door een ministerie of straks misschien de sectorale toezichthouder?

als die MW grens toch al ergens vastligt dan laat graag weten. Altijd goed om ergens tegen te kunnen checken.

[Csotranme]

Die grens is er wel en in mijn werk zie ik dat nu een samenwerking tussen meerdere parken wel dat limiet halen maar los van elkaar niet. RDI klopt dus niet aan want bekijkt ze apart en dan blijven ze onder de grens qua vermogen.

[betwetor]

Veel mensen in de industrie roepen dit al jaren (tegen dovemansoren).

Voor een beetje chaos hoef je niet eens de systemen hier te hacken. Gebruikers en Beheerders sluiten hun systeem vrijwillig aan op buitenlandse (veelal Chinese) cloud oplossingen.

Maar je ziet ook systemen die in de fabrieksinstellingen een open wifi netwerk hebben om makkelijk de instellingen te kunnen aanpassen.

Maar als externe Aggressor is een beheersysteem hacken een stuk makkelijker.

[Kecin]

Hoezo is dit nogsteeds een ding. Ik vond het vet toen ik als tiener een Scada systeem aan het besturen was om zwembaden te verwarmen of crematoria te koelen. Nu met Shodan e.d. is het vinden zo makkelijk. Pff
Ga er maar vanuit dat tegenstanders mede-standers van de EU dit lijstje al hebben liggen. Daar hoef je niet eens een zero-day voor achter de hand te houden. Mer hybride oorlogsvoering zie je dat zaken zoals het stroomnet niet meer gebombardeerd hoeven te worden, slechts verkeerd geschakeld. Stuk anoniemer, makkelijker en maximale chaos wanneer steden meerdere uren zonder stroom en internet zitten.

[Reactie gewijzigd door Kecin op 6 oktober 2026 22:36]

[Pietopdeheuvel]

Bij de kritische infrastructuur zijn we denk ik met zijn allen nogal naief. Afgezien van zonneparken, stel iemand wil kwaad, en zet alle zonnenpaneel uploads van prive daken uit, en weer aan, weer uit..

Stroomnet klapt dan ook

[morphje]

Het is effectiever gebleken om 1 stroomparkje van 500 MW ineens uit te schakelen. 1 actie, heel land plat.

[Mauricevsdb]

Er staat een hoop op Shodan (als het op windparken aankomt), te triest voor woorden dat er zo veel open staat.