Iedereen kent wel verhalen over smart homes die gehackt zijn of aangevallen. Het onderscheid tussen feit en fictie is echter niet altijd duidelijk. Daarom is het goed dat de Britse consumentenbond hier echt onderzoek naar heeft laten doen. De resultaten zijn in dit geval geen broodje aap verhalen, maar goed bijgehouden metingen en analyses.
Smart home als honeypot
De Britse consumentenbond heeft samen met de NCC Group en de Global Cyber Alliance (GCA) de moeite genomen goed naar het concept van smart homes te kijken. Daarvoor is in een woning een groot aantal reguliere IoT toepassingen geïnstalleerd en er zijn de standaard smart devices neergezet. De woning was zo een maximaal gecontroleerde honeypot.
Vervolgens is men al het netwerk verkeer van en naar die devices gaan monitoren. De test begon in mei van dit jaar en liep door tot juni. De eerste week was er weinig belangstelling van buitenaf voor het speciaal opgezette smart home. De teller bleef toen staan op 1067 scans, waarvan er 66 duidelijk “malicious†waren. In juni piekte het aantal scans tot ruim 12.000. Ruim 2.400 daarvan waren meer dan een scan. Dat betekent dat meer dan 14 keer per uur gepoogd werd toegang tot een of meerdere devices te krijgen.
Nederland
Which heeft natuurlijk keurig bijgehouden waar deze scans naar op zoek waren en vanuit welke landen ze kwamen. De top vier landen zal verbazen: Amerika, India, China en dan Nederland. Wat helemaal bijzonder is dat de Epson printer het meest onder vuur werd genomen. Het Yale smart lock was natuurlijk ook een zeer aantrekkelijk doelwit, net als de Samsung smart TV.
De methode die de drie partijen hebben toegepast is even simpel als transparant. Het grote aantal scans en aanvallen laat zien waarom verhalen over huizen die gehackt zijn best wel waar kunnen zijn. De toename van het aantal aanvallen is verontrustend. Wat verder is aangetoond is dat het absoluut noodzakelijk is smart devices van goede wachtwoorden te voorzien. Alleen dat verhinderde dat deze live honeypot kon worden betreden.
Wijs op nut sterke wachtwoorden
Daarmee komen de onderzoekers dan ook tot een van de belangrijkste conclusies: de consument moet dat van die sterke wachtwoorden weten. Vervolgens komt dan de vraag op wie hem dat vertelt en wanneer. In ieder geval ligt hier een taak voor de fabrikant en de vendor. En hoewel dit niet tot het Britse onderzoek behoorde geldt precies het zelfde voor de zakelijke gebruikers. Het verschil tussen smart home naar smart office is minder groot dan gedacht. In veel gevallen zijn er de zelfde devices of IoT toepassingen aanwezig.
