De energietransitie zet ons elektriciteitssysteem onder druk. Dit vraagt om slimme oplossingen voor flexibel verbruik, opslag en transport. Home Energy Management Systemen (HEMS) in woningen winnen hierdoor aan belang, wat leidt tot innovaties en nieuwe businessmodellen. Maar de cyberrisico’s voor slimme apparaten zijn erg groot, constateert TKI Urban Energy. In een onlangs gepubliceerd whitepaper analyseert Harm van den Brink van adviesbureau Innoshift welke cyberrisico’s er zijn en wat er moet gebeuren om de slimme systemen veilig uit te rollen.

Het doel van het whitepaper is vooral om het gesprek over de cyberrisico’s van HEMS op gang te brengen. Dat moet leiden tot meer begrip voor de veranderingen die nodig zijn om energiemanagement veiliger te maken. “Alleen door samenwerking kunnen we de juiste koers bepalen. Met deze inbreng adviseren we overheden bij beleidsontwikkeling, bedrijven bij innovatie en kennisinstellingen bij onderzoeksvragen”, schrijven de onderzoekers van het whitepaper.

Van Den Brink geeft aan dat er drie grote cyberrisico’s zijn voor HEMS. Aanvallen kunnen gericht zijn op de cloudomgeving van het HEMS, op het lokaal draaiende systeem, op de communicatie met verbonden apparaten, of kunnen voortkomen uit onopzettelijke kwetsbaarheden door fouten in algoritmes of gebrekkige informatie.

Een HEMS dat gekoppeld is aan de cloud kan kwetsbaar zijn voor cyberaanvallen via het internet. Onvoldoende beveiligde verbindingen, het ontbreken van encryptie of authenticatie en slecht  wachtwoordbeheer vergroten de kans dat kwaadwillenden toegang verkrijgen tot gebruikersaccounts.

Ook fouten in de cloudsoftware, of onvoldoende regie op wie welke rechten heeft kunnen ertoe leiden dat een aanvaller of onbevoegde partij apparaten op afstand aanstuurt of manipuleert. Dit geldt zeker als er duizenden woningen en apparaten via één cloudplatform worden beheerd, want dan kan een kleine kwetsbaarheid grootschalige gevolgen hebben.

Ook problemen zonder kwade opzet
Ook binnen de woning kunnen zwakke plekken zitten in de beveiliging van bijvoorbeeld (wifi-)netwerken, verouderde firmware of ongeautoriseerd fysiek toegang tot het HEMS en de bekabeling een risico vormen. Het is volgens Van Den Brink daardoor vrij makkelijk voor hackers om apparaten te manipuleren en duizenden woningen zouden zo kunnen worden ontregeld door de cloud binnen te dringen

Ook bij onveilige instellingen, zoals standaard-wachtwoorden, of niet-geüpdatete software in bijvoorbeeld warmtepompen, laadpalen of thuisbatterijen, ontstaat het risico dat iemand in het netwerk de werking van het HEMS of deze apparaten kan overnemen of verstoren.

Maar ook zonder kwade opzet kunnen er volgens Van Den Brink problemen ontstaan. Voorbeelden zijn programmeerfouten of algoritmes die niet goed zijn getest, waardoor apparaten verkeerd aangestuurd worden. Daarnaast kan onjuiste of verouderde data over energieprijzen, capaciteitsprofielen of weersvoorspellingen ertoe leiden dat een HEMS apparaten op ongunstige momenten in- of uitschakelt.

Typen aanvallen in de praktijk
In het whitepaper beschrijft Van Den Brink enkele typen aanvallen die in de praktijk al plaatsvinden of een groot risico vormen. Kwaadwillenden gebruikten de zogeheten FrostyGoop-aanval om toegang te verkrijgen tot de verwarmingssystemen van 600 gebouwen in Lviv in Oekraïne. In deze aanval werden legitieme commando’s aan het systeem onderschept en vervangen, waardoor zij controle kregen over de besturing van de systemen.

Een ander voorbeeld is de Vo1d malware5, deze malware vormt een groeiende dreiging voor met name Android tv’s. Recentelijk is gebleken dat het botnet achter deze malware inmiddels is uitgebreid tot maar liefst 1,6 miljoen apparaten wereldwijd. Door kwetsbaarheden in de firmware en een gebrek aan robuuste beveiligingsmaatregelen, weten aanvallers via Vo1d toegang te krijgen tot deze apparaten.

Eenmaal geïnfecteerd, kunnen de tv’s worden ingezet voor diverse kwaadaardige activiteiten, zoals het uitvoeren van grootschalige DDoS-aanvallen en andere vormen van cyberaanvallen. Dit benadrukt niet alleen de risico’s voor consumentenapparaten, maar benadrukt ook het bredere probleem van onvoldoende beveiliging in netwerken die met elkaar verbonden zijn, wat weer uitdagingen kan opleveren voor industriële systemen of HEMS.

Verlagen van de risico’s
Consumenten zullen snel de gevolgen ondervinden als het HEMS gehackt wordt. Als hackers erin slagen het HEMS plat te leggen of verkeerd te laten functioneren, kan het zijn dat huishoudens ineens geen warm water meer hebben, de verwarming het begeeft of elektrische auto’s niet opgeladen worden. Dit betekent in de praktijk dat mensen letterlijk in de kou komen te zitten, niet meer warm kunnen douchen, of niet naar hun werk kunnen omdat de auto leeg is.

Om de cyberrisico’s voor HEMS te verlagen moet er volgens Van Den Brink het volgende gebeuren: standaardisatie is essentieel, zowel in communicatieprotocollen als in beveiligingstechnieken. Fabrikanten en overheden zouden gezamenlijk moeten inzetten op moderne, beveiligde protocollen. Daarnaast is het noodzakelijk om tijdens het ontwikkelingsproces gebruik te maken van erkende cybersecuritystandaarden.

Verder dienen fabrikanten duidelijkheid te krijgen over de complexe Europese wetgeving, zoals de Cyber Resilience Act. Ook moeten HEMS gebruiksvriendelijk zijn ontworpen zodat, zowel installateurs als consumenten zonder uitgebreide technische kennis, systemen eenvoudig en veilig kunnen installeren en beheren.