Hacked freezers and a $6 billion heist: what EU cybersecurity law expects

De auteurs van deze blog zijn actief in CRACY, een EU-gefinancierd project dat kmo’s helpt cyberbeveiliging te begrijpen en te voldoen aan de Cyber Resilience Act.

In één week tijd veranderden hackers diepvriezers in Belgische supermarkten in ovens en werd meer dan zes miljard dollar bij de grootste cryptobeurs ter wereld gestolen. Geen van beide aanvallen begon met een technisch meesterstuk. De ene begon met een standaardwachtwoord dat niemand had gewijzigd, de andere met een sollicitatiegesprek dat niet was wat het leek. Nu cyberaanvallen zowel de winkel om de hoek als wereldwijde ondernemingen treffen, gaat deze blog na wat er gebeurd is, welk juridisch kader van toepassing is en wat de EU van ondernemingen verwacht. 

1. Diepvriezers in de hele EU gehackt en in ovens veranderd 

1.1. Wat is er gebeurd? 

In de nacht van zondag op maandag 2 november begonnen koelkasten en diepvriezers in tientallen Belgische winkels op te warmen. Delhaize, Carrefour, Intermarché, Spar en IKEA meldden allemaal getroffen winkels, en een slager in de buurt van Antwerpen verloor voor ongeveer € 15.000 aan vlees. Het is bijzonder opvallend dat deze grootschalige aanval niet alleen op grote ondernemingen gericht was, maar ook op kleine lokale winkels. Niemand is dus immuun voor aanvallen via de supply chain. 

Dezelfde nacht werden winkels in heel Europa getroffen, van Zweden en Finland tot Ierland, Estland en Roemenië, drie weken na een gelijkaardige aanval op honderden Franse supermarkten. Meer dan 10 andere EU-lidstaten zijn getroffen. Het federaal parket heeft een strafonderzoek geopend. Op 4 november 2026 waren deze cyberaanvallen opgeëist door de pro-Russische hackersgroepen NoName057(16) en Z-Pentest, maar de autoriteiten hadden hun betrokkenheid niet bevestigd. ENISA, het cyberbeveiligingsagentschap van de EU, publiceerde een gezamenlijke verklaring waarin organisaties worden opgeroepen onmiddellijk maatregelen te nemen om de blootstelling van getroffen systemen te beperken. 

Hoe wordt een diepvriezer eigenlijk gehackt? De koelinstallaties van supermarkten worden aangestuurd door kleine computers die externe dienstverleners via het internet beheren, zodat iedereen die kan inloggen de instellingen kan wijzigen. In Nederland liet de fabrikant van deze diepvriezers weten dat de getroffen systemen online bereikbaar waren en nog steeds de standaardwachtwoorden uit de fabriek gebruikten, die in openbare handleidingen te vinden zijn. Hackers gebruikten die gepubliceerde wachtwoorden om de temperatuur op afstand op te drijven tot 50 °C, waardoor het voedsel bedierf. 

1.2. Wat de regelgeving verwacht 

De Europese Cyber Resilience Act (CRA) pakt precies dit probleem aan. De CRA verplicht fabrikanten van verbonden producten om die te leveren met een standaard veilige configuratie en met bescherming tegen onbevoegde toegang. In de meeste gevallen sluit dat standaardwachtwoorden uit, en het afdrukken ervan al zeker. Deze regels gelden echter pas voor nieuwe producten die vanaf 11 december 2027 in de EU in de handel worden gebracht. Nieuwere producten zouden dus veiliger moeten zijn, maar oudere producten hoeven niet noodzakelijk te worden bijgewerkt, waardoor een groot deel van de verbonden producten in Europa blootgesteld blijft aan vergelijkbare kwetsbaarheden.

Eén onderdeel van de CRA is wel al van toepassing. Sinds 11 september 2026 moeten fabrikanten actief uitgebuite kwetsbaarheden en ernstige incidenten met betrekking tot hun producten melden aan het nationale CSIRT en aan ENISA, met een vroegtijdige waarschuwing binnen 24 uur, ook voor producten die voor 2027 werden verkocht. De aanvallen op de diepvriezers behoren tot de eerste grootschalige tests van deze meldingsregeling.

De winkels zelf kunnen onder NIS2 vallen, de regelgeving die entiteiten in kritieke sectoren organisatorische beveiligingsmaatregelen oplegt. De detailhandel in voedsel als zodanig valt er niet onder, de groothandelsdistributie van levensmiddelen wel. Retailgroepen die franchisewinkels of aangesloten winkels vanuit hun eigen distributiecentra bevoorraden, doen er goed aan na te gaan hoe zij onder NIS2 kwalificeren, als zij dat nog niet gedaan hebben. Nu AI grootschaligere en complexere aanvallen mogelijk maakt, wordt het steeds belangrijker om de toeleveringsketen te beveiligen. 

2. Een sollicitatiegesprek dat Binance zes miljard dollar kostte 

2.1. Wat is er gebeurd? 

Op 29 oktober sluisden aanvallers voor ongeveer zes miljard Amerikaanse dollar aan cryptoactiva weg bij Binance, vermoedelijk de grootste cryptodiefstal ooit. De FBI heeft de aanval toegeschreven aan Noord-Korea. In september werd een software-ingenieur van Binance via een legitiem vacatureplatform benaderd door iemand die zich voordeed als project manager bij een andere onderneming. Na een videogesprek werd hem gevraagd een programmeertest te downloaden op zijn werklaptop. Die test bevatte malware die de beveiligingstools van de onderneming niet detecteerden. 

Van daaruit gingen de aanvallers geduldig te werk. Via de besmette laptop en een interne AI-tool namen zij de computers over van nog twee ingenieurs, waarbij een van hen toegang had tot het systeem dat transacties ondertekent. Zo konden de hackers hun eigen software gedeeltelijke controle geven over de met het internet verbonden wallets van Binance, en die wallets binnen enkele uren leeghalen. 

2.2. Wat de regelgeving verwacht 

Cryptobeurzen die in de EU actief zijn, moeten voldoen aan de Digital Operational Resilience Act (DORA), dezelfde regels inzake cybersecurity dat geldt voor banken, verzekeraars en betalingsinstellingen. DORA vereist strikte controle op wie toegang heeft tot welke systemen, maakt opleidingen in beveiligingsbewustzijn voor het personeel verplicht en vereist dat ernstige incidenten aan de toezichthouder worden gemeld. 

De les reikt verder dan de financiële sector. NIS2 verplicht organisaties binnen het toepassingsgebied om werk te maken van personeelsbeveiliging, toegangscontrole en opleiding in cyberhygiëne, en maakt de bestuursorganen verantwoordelijk voor het toezicht op die maatregelen. Elke organisatie waarvan de ontwikkelaars vrij tools installeren, of waarvan het personeel werklaptops voor privédoeleinden gebruikt, loopt hetzelfde risico, met mogelijk ook aansprakelijkheid van het bestuur. De Binance zaak toont aan dat de verliezen astronomisch kunnen oplopen. 

3. AI maakt dit ieders probleem In hun 2026 

Threat Landscape waarschuwde ENISA, het cyberbeveiligingsagentschap van de EU, dat AI de drempel om in cybercriminaliteit te stappen waarschijnlijk zal verlagen. AI brengt technisch complexe aanvallen binnen het bereik van veel meer mensen, ook van mensen met weinig echte technische kennis. ENISA vermeldt een door AI ondersteunde aanval waarbij binnen 8 minuten beheerdersrechten werden verkregen. De aanvallers van Binance keerden zelfs de eigen AI-tool van Binance tegen de onderneming. Dergelijke geduldige aanvallen in meerdere stappen worden toegankelijk voor gewone criminele groeperingen. 

AI maakt ook technisch eenvoudige aanvallen frequenter en overtuigender. Criminelen gebruiken AI om op grote schaal foutloze phishingmails te schrijven, deepfakes te maken van de stem en het gezicht van leidinggevenden, en valse recruiters en leveranciers geloofwaardig te laten klinken. De aanval zelf is technisch niet geavanceerder dan vroeger, maar meer mensen laten zich erdoor misleiden. 

Intussen waren de eenvoudigste aanvallen altijd al zo goed als gratis. Fabriekswachtwoorden uitproberen op duizenden verbonden apparaten kost een aanvaller vrijwel niets. Zoals deze aanvallen aantonen, is geen enkele onderneming te klein of te onopvallend om doelwit te worden, zeker ook omdat een kleine leverancier of dienstverlener de toegangspoort kan zijn tot een veel grotere klant verderop in de supply chain. Cyberbeveiliging kan dus niet langer alleen aan grote IT-departementen worden overgelaten. 

4. Wijzig eerst en vooral uw standaardwachtwoorden 

In Nederland werd gerapporteerd dat de winkels die hun koelsystemen na de aanvallen in Frankrijk hadden beveiligd, gespaard bleven. De winkels die dat niet hadden gedaan, werden wel getroffen. 

Er zijn dus duidelijke lessen te trekken voor iedereen. Breng eerst elk apparaat met een internetverbinding in uw organisatie en bij u thuis in kaart, van firewalls en camera’s tot diepvriezers en gebouwbeheersystemen. Zodra u over die inventaris beschikt, zorgt u ervoor dat geen enkel apparaat nog met het fabriekswachtwoord werkt, haalt u offline wat niet online hoeft te zijn en schakelt u waar mogelijk multifactorauthenticatie in. Stel daarna dezelfde vragen aan uw leveranciers. 

5. Hoe Timelex u kan helpen 

Timelex adviseert fabrikanten, retailers, financiële instellingen en overheidsinstanties over Europees en Belgisch cyberbeveiligingsrecht. Wij kunnen u helpen met: 

• Toepassingsgebied. Analyse of NIS2, de CRA of DORA van toepassing is op uw organisatie of producten, met inbegrip van de registratie bij het Centrum voor Cybersecurity België. 

• Naleving van de CRA. Productclassificatie, beveiligingsvereisten en een meldingsproces waarmee de termijn van 24 uur kan worden gehaald. 

• Incidentrespons. Coördinatie van meldingen op grond van NIS2, de AVG, de CRA en DORA wanneer de tijd dringt. 

• Contracten. Beveiliging, toegang op afstand, updates en aansprakelijkheid in uw overeenkomsten met leveranciers en onderhoudsdienstverleners. 

• Opleiding van het bestuur. Begeleiding van bestuursorganen zodat zij hun opleidingsverplichting onder NIS2 nakomen en begrijpen wat zij goedkeuren. 

Vervaardigt, verkoopt of gebruikt u verbonden apparatuur, of beheert u systemen waarin activa van klanten worden bewaard? Plan een gesprek van 30 minuten met Pedro Demolder of Wout Platteau om na te gaan of de CRA, NIS2 of DORA op u van toepassing is en waar u het best begint. U bereikt hen via pedro.demolder@timelex.eu of wout.platteau@timelex.eu.