Gegijzeld door je thermostaat

We sluiten steeds meer dingen aan op internet. Van de routeplanner in de auto tot de slimme thermostaat in huis die gedetailleerd bijhoudt – en, wat niet iedereen weet, dus ook precies aan het energiebedrijf doorgeeft – welk apparaat hoeveel stroom verbruikt, en wanneer dan wel.

Dat we de thermostaat op afstand kunnen bedienen, betekent dat het ding een internetverbinding heeft. Alleen daardoor kunnen we commanderen: ‘CV: ga nu aan, want binnen het uur kom ik thuis.’ De slimme koelkast die je boodschappenlijstje voor je bijhoudt en desgevraagd zelfstandig bij de supermarkt de frisdrank, de melk en de rosbief voor je bestelt? Ook die doet dat via zijn eigen internetconnectie.

Zulke verbindingen worden alleen maar frequenter. Tezamen heten ze: het internet of things. De foto’s uit je camera worden zomaar, zelfs zonder dat je ergens een kabeltje in prikt, naar je computer overgezet? Dat is dankzij the internet of things: je camera praat achter je rug om met je tablet of je laptop, en regelt alles voor je, zonder dat jijzelf nog enige moeite hoeft te doen.

Reuze handig.

Totdat je je realiseert dat vrijwel al die connecties volkomen onbeschermd zijn. Een paar maanden geleden bewezen Duitse hackers dat ze andermans slimme thermostaten eenvoudig op afstand konden overnemen. Ze konden die zelfs gijzelen, naar het voorbeeld van ransomware: ‘Tenzij je me nu xxx euro betaalt, laat ik alle bestanden op je computer verdwijnen / beheers ik nu het klimaat in je huis. Zal ik de temperatuur in je huis vastzetten op 15 graden? Of vind je 40 graden fijner? Zeg het maar – ik heb nu de rechten over de temperatuur in je huis, en jij niet meer.’

Internetjournalist Brian Krebs onderzoekt criminelen die mensen via internet geld afhandig trachten te maken. De afgelopen weken werd zijn website geteisterd door een heftige DDoS-attack, waarbij de aanvallers zoveel verkeer genereren dat de site eronder bezwijkt. De aanvallen bleken afkomstig te zijn van camera’s en videorecorders.

Niet dat de eigenaars van die apparaten zich tegen Brian Krebs hadden gekeerd. Nee: hun apparaten waren stiekem door criminelen gekaapt en werden door hen ingezet als een zombieleger. Ondertussen hadden de eigenaars van die camera’s, koelkasten, thermostaten en koelkasten geen idee dat zijzelf grandioos werden misbruikt om iemand die wilde vertellen over de risico’s waaraan zijzelf als gebruikers blootstonden, de mond te snoeren.

We moeten serieus gaan eisen dat elk bedrijf dat ons als consument ‘slim’ verbindt met internet, de boel zelf terdege op orde heeft. Leuk dat je koelkast kan praten met Albert Heijn of de Jumbo, maar hoe veilig is die verbinding?

Want zodra onze camera’s en koelkasten achter onze rug om kunnen worden misbruikt om critici over het internet of things de mond te snoeren, of onze eigen apparaten te gijzelen, is er iets fundamenteel mis.

Deze column verscheen eerder in het Parool