Alarmsysteem honderden huizen door criminelen op afstand uit te schakelen

Door een lek in een alarmsysteem is het voor criminelen mogelijk om alarmsirenes op afstand uit of aan te zetten, mee te gluren met camera's of het systeem helemaal uit te schakelen. Dat blijkt uit onderzoek van RTL Nieuws. Bijna 300 huizen en bedrijven in Nederland zijn kwetsbaar.

Het gaat om het alarmsysteem Secvest van het Duitse merk ABUS, in Nederland vooral bekend van zijn fietsensloten. Het alarmsysteem is direct door klanten te kopen, maar wordt ook geïnstalleerd door professionele beveiligingsbedrijven. 

 

In heel Europa zijn er meer dan 10.000 van dit soort alarmsystemen aangesloten op het internet. Het alarmsysteem is optioneel uit te breiden met bijvoorbeeld camera's. 

Een oplossing voor het probleem blijkt al maanden beschikbaar te zijn voor klanten, met een software-update. Maar meerdere klanten en installatiebedrijven die wij spraken, bleken niet eens te weten dat deze update sinds januari beschikbaar was. En dat er überhaupt een veiligheidsissue was dat hiermee werd opgelost, maakte de fabrikant niet algemeen bekend. 

Eenvoudig te vinden

Waar de kwetsbare alarmsystemen hangen, blijkt relatief eenvoudig via internet te achterhalen. Naast namen van de eigenaren, tonen de systemen ip-adressen en soms ook woonadressen. Daardoor weten criminelen precies waar ze moeten zijn. "Dit is alles wat een inbreker nodig heeft", vertelt cyberdeskundige Niels Teusink, onderzoeker bij cybersecuritybedrijf EYE die het lek eind vorig jaar ontdekte en bij ABUS meldde. 

"Je weet waar mensen wonen, kan in het systeem zien wanneer mensen vaak niet thuis zijn en vervolgens live checken op de camerabeelden wat voor dure spullen er in huis staan en of iemand überhaupt thuis is. En als klap op de vuurpijl zet je het alarm uit voordat je inbreekt. Terwijl je dit doet, kan je het zo aanpakken dat in de app alles in orde lijkt."

Via dit alarmsysteem is het normaal gesproken mogelijk voor de eigenaar om op afstand de woning in de gaten te houden, door middel van de aangesloten camera's die je los kan kopen. 

Maar met deze kwetsbaarheid is het in sommige gevallen voor criminelen mogelijk om zo'n camera voor de gek te houden, door bijvoorbeeld oude beelden te laten zien in plaats van livebeeld. Dan ziet het slachtoffer op afstand dus een woonkamer die er normaal uitziet, terwijl er op dat moment een inbreker door het huis loopt.

'Je verwacht zoiets niet'

RTL Nieuws sprak een aantal gedupeerden. Die vonden het opmerkelijk, omdat zij niks van ABUS zelf hadden gehoord van dit veiligheidsrisico. "Het is niet zo dat ik iets heb gekocht bij AliExpress", vertelt een gedupeerde. "Dit is gewoon een gerenommeerd merk, dus dan verwacht je zoiets eigenlijk niet."

Een andere gedupeerde vertelt: "Ik schrik van de kwetsbaarheid. Ik wist niet dat er een belangrijke update beschikbaar was."

RTL Nieuws nam ook contact op met meerdere verkooppunten van deze alarmsystemen. Die gaven ook aan dat zij niet door ABUS over dit beveiligingslek of over de update zijn geïnformeerd.