Eind oktober stonden de levens van miljoenen internetgebruikers plots even stil. Computers in Britse ziekenhuizen vallen uit, apps van sommige grote banken laten klanten niet meer bij hun geld. Slimme deurbellen en smart home-systemen doen niets meer. De overeenkomst: allemaal maken ze gebruik van de datacenters van Amazon. De storing die daar is ontstaan, blijkt wereldwijd merkbaar.
Die kwetsbaarheid ziet cybersecurity expert Harm van den Brink ook terug in slimme thuisenergiesystemen. Inmiddels hebben drie miljoen Nederlandse huishoudens zonnepanelen op het dak, meestal verbonden met het internet voor slimme monitoring en automatische updates. “Een fabrikant wil ze slim aansturen. Maar dat betekent ook dat je een kans introduceert voor iemand die iets kwaad wil doen”, aldus Van den Brink.
Hij legt uit: “Om een ouderwetse energiecentrale kun je een hek zetten, met toegangscontrole en een beveili-ger. Ook de digitale netwerken van energiecentrales zijn vaak goed afgeschermd en opgeknipt in meerdere delen.” Een groot contrast met de beveiligingssituatie bij mensen thuis, zegt de beveiligingsexpert. “Het ene wachtwoord is sterker dan het andere. Daarnaast kijken veel consumenten bij de aanschaf van slimme sys-temen in huis eerder naar prijs, dan naar de beveiliging van het systeem. “Het moet goedkoop zijn en de app moet er leuk uitzien.”
Maximaal laden
Er zit volgens Van den Brink dus een risico in de centrale aansturing van al die decentrale ‘mini-energiecentrales’ bij mensen in huis. Veel fabrikanten kiezen voor een aansluiting op een cloudsysteem en daar kan misbruik van gemaakt worden. Harm van den Brink: “Stel dat iemand via het cloudsysteem in één keer alle thuisbatterijen op maximaal laden zet, op een moment dat het toch al druk is op het net. Dat zou enorme impact hebben op het energiesysteem.”
'Het moet vooral goedkoop zijn en de app moet er leuk uitzien. Veiligheid heeft geen prioriteit'”
Uiteraard kan dat energienet een stootje hebben. Zo is het complete Europese net in staat om wisselingen tot zo’n 3 gigawatt op te kunnen vangen. Van den Brink rekent voor dat als we uitgaan van een opwek van 5 ki-lowatt per zonnesysteem, er ongeveer 600 duizend huishoudens gehackt zouden moeten worden om het Eu-ropese systeem plat te krijgen.
Van den Brink wijst erop dat al die huishouders verspreid mogen zijn over heel Europa. En dat als het lukt om ook de afname te sturen, je een dubbel effect hebt. “Stel je hebt een slimme oven die je op weg naar huis al kan opwarmen voor je pizza. Die gaat ook al richting de 5 kilowatt. Zo’n oven is altijd verbonden met het in-ternet. Dus als je toegang kunt krijgen tot het cloudsysteem van die ovenfabrikant en je zet al die ovens tege-lijk aan, dan kun je hetzelfde effect behalen.”
Kwetsbare cloudpatformen
Dan moet er natuurlijk wel toegang zijn tot die systemen. Maar dat is volgens de expert cyberveiligheid moge-lijk: “Ik heb mijn eigen omvormer kunnen hacken. En we hebben ook andere systemen kunnen hacken, zoals de cloudplatformen.” Daar heeft Van den Brink geen misbruik van gemaakt. Hij werkt als ‘ethisch hacker’ bij de vrijwilligersorganisatie DIVD. Een instituut dat kwetsbaarheden in digitale systemen actief opzoekt en meldt bij instellingen en fabrikanten.
Toegang krijgen tot energiesystemen is een bewezen wapen van sommige landen. Zo kregen Russische hac-kers in 2015 toegang tot het Oekraïense energienet. Zij konden dertig verdeelstations uitschakelen, waardoor 230 duizend Oekraïners urenlang zonder stroom zaten. “Je moet er vanuit gaan dat statelijke actoren hun best doen om toegang te krijgen, of die misschien al hebben. Daar moeten we niet naïef over zijn”, aldus Van den Brink.
Hij pleit er dan ook voor om energiesystemen vaker in een lokale omgeving te laten werken, waarbij er niet continu aansturing vanuit een clouddienst komt. Een koppeling is dan alleen nog tijdelijk nodig bij software-updates of nieuwe energieprijzen. Het helemaal tegengaan van de digitalisering is volgens Van den Brink niet nodig: “Daar ontkom je niet aan. Maar het kan wel slimmer, met regels die ervoor zorgen dat producten veili-ger zijn en getest zijn voordat ze de op markt komen.”
