Gastenwifi, printers, camera's: welke toegangsdeuren houdt niemand in het oog?

Het scenario in het kort

Voorbeeld, verzonnen ter illustratie. Een fictieve kmo met vijfentwintig medewerkers. Eén enkel wifinetwerk, waarvan het wachtwoord aan het onthaal hangt voor bezoekers. Een gehuurde multifunctionele kopieermachine, geïnstalleerd door de leverancier, die scans per mail verstuurt. Vier camera's, geplaatst door de elektricien, met een recorder die de zaakvoerder op zijn gsm bekijkt.

Niemand heeft een fout gemaakt, en alles werkt. Maar een bezoeker in de wachtzaal zit op hetzelfde netwerk als de boekhouding. De kopieermachine heeft nog haar beheerderswachtwoord uit de fabriek. En de recorder van de camera's is bereikbaar vanaf internet, omdat hij ‘opengezet’ is voor de app op de gsm.

Waarom deze toestellen toegangsdeuren zijn

Een wifirouter, een kopieermachine of een camera is een kleine computer. Ze hebben interne software (de ‘firmware’) met lekken, zoals alle software. Het verschil met uw pc's: niemand werkt ze bij, niemand kijkt wie erop inlogt, en ze staan dag en nacht aan.

Het bekendste gevaar is het fabriekswachtwoord. Het is vaak hetzelfde voor alle toestellen van een model en staat in de handleiding. In 2016 nam het Mirai-virus routers, camera's en videorecorders over door een korte lijst van 62 standaardgebruikersnamen en -wachtwoorden te proberen, volgens het Amerikaanse cyberbeveiligingsagentschap (CISA). De gehackte toestellen werden daarna gebruikt voor een aanval van meer dan 620 gigabit per seconde op een nieuwssite.

Ook printers ontsnappen er niet aan. In mei 2023 meldden het Amerikaanse cyberbeveiligingsagentschap (CISA) en de Amerikaanse federale politie (FBI) het misbruik van een kritiek lek in PaperCut, software voor printbeheer, en vroegen ze om de patch ‘onmiddellijk’ te installeren. Een ransomwaregroep (ransomware is software die uw bestanden versleutelt en losgeld eist) gebruikte het lek om binnen te dringen in netwerken van onderwijsinstellingen.

De bezoekerswifi: afschermen, niet alleen een wachtwoord instellen

Een wifiwachtwoord houdt de buren buiten. Het zegt niets over wat iemand ziet zodra hij verbonden is. Als de wifi voor bezoekers en die voor het personeel één netwerk vormen, zitten de leverancier die even langskomt, de stagiair of de patiënt in de wachtzaal digitaal gezien ‘in het kantoor’.

De oplossing heet een afgeschermd gastnetwerk: een tweede wifinetwerk dat toegang geeft tot internet en tot niets anders. Technisch plaatst men het in een apart compartiment van het netwerk (een ‘VLAN’), en de firewall, de filter tussen de netwerken, blokkeert elke doorgang naar uw pc's en toestellen.

De instellingen om na te kijken

• Een apart gastnetwerk, met een sterk wachtwoord dat verschilt van dat van het personeel.
• Recente versleuteling: minstens WPA2, WPA3 als uw toestellen het toelaten.
• Het beheerderswachtwoord van de firewall en de wifirouter gewijzigd bij de installatie, en daarna regelmatig. Let op: dit is niet het wifiwachtwoord, maar het wachtwoord waarmee u de instellingen wijzigt.
• Een neutrale netwerknaam, zonder de naam of het adres van het bedrijf.
• Af en toe de verbonden toestellen bekijken: een onbekend toestel in de lijst van de router is het signaal om het wifiwachtwoord te wijzigen.

De test die niet liegt: verbind uw gsm met de bezoekerswifi en probeer af te drukken op de kopieermachine van het kantoor, of een gedeelde map te openen. Lukt dat, dan is het gastnetwerk niet afgeschermd.

De multifunctionele kopieermachine: een vergeten computer

Een moderne kopieermachine heeft een beheerwebsite die via het netwerk bereikbaar is, vaak beveiligd met een fabriekswachtwoord. Ze gebruikt een mailaccount om scans te versturen en bewaart soms het wachtwoord van dat account. Veel toestellen hebben ook een interne harde schijf, met mogelijk kopieën van gescande en afgedrukte documenten.

• Het beheerderswachtwoord wijzigen van de kopieermachine, en het bewaren in uw wachtwoordkluis, niet op een post-it.
• De firmware-updates vragen aan de leverancier, en ze opnemen in het onderhoudscontract.
• Overbodige functies uitschakelen: afdrukken via internet, mappen delen, oude protocollen.
• Het wissen van de schijf voorzien aan het einde van de huur. De Gegevensbeschermingsautoriteit noemt het einde van het huurcontract voor een multifunctionele printer bij de gevallen waarin gegevensdragers gewist of vernietigd moeten worden, en vraagt dat het contract dat voorziet wanneer het materiaal niet van u is.

De valkuil: de leverancier met de oude kopieermachine laten vertrekken zonder document dat het wissen bevestigt. Loonfiches, contracten en brieven die jarenlang gescand werden, kunnen zo mee vertrekken.

Camera's: een kwestie van beveiliging en van wetgeving

Een slecht beveiligde camera kan voor iemand anders filmen. De basishandelingen: het fabriekswachtwoord vervangen door een lang wachtwoord, uniek per toestel, de updates installeren, en nooit hetzelfde wachtwoord hergebruiken voor een ander toestel.

Het vaakst vergeten punt is de toegang op afstand. Om de beelden op de gsm te zien, zet de installateur de recorder soms ‘open’ op internet. Hij is dan zichtbaar voor iedereen en dag en nacht aan te vallen. Kies liever de officiële app van de fabrikant, up-to-date gehouden, of een beveiligde verbinding naar het kantoor (een vpn, dus een versleutelde tunnel), en vraag uw IT-partner na te gaan of er geen enkel toestel rechtstreeks op internet bereikbaar is.

Wat de Belgische wet oplegt

De camerawet van 21 maart 2007 is van toepassing zodra u filmt om een plaats te bewaken. Volgens BeSafe, de website van de FOD Binnenlandse Zaken, moet een bedrijf de volgende regels naleven.

Als de camera's ook uw werknemers filmen, komt in de privésector de collectieve arbeidsovereenkomst nr. 68 daarbij: slechts vier doeleinden zijn toegestaan, en het personeel moet ingelicht worden over het doel van het toezicht.

De inventaris: alles wat bij u aangesloten is

Wat u niet kent, kunt u niet beschermen. De eerste stap is een eenvoudige, actuele lijst, die u of uw IT-partner in een uur invult.

Deze tabel is een voorbeeld: elk vakje ‘Nee’, ‘Onbekend’, ‘Nooit’ of ‘door elkaar’ is een taak. Denk ook aan toestellen die u niet meer ziet: het scherm in de vergaderzaal, de slimme thermostaat, de prikklok, het alarm, de videodeurbel.

Wat de Cyber Resilience Act verandert bij de aankoop

De Europese verordening over cyberweerbaarheid (Cyber Resilience Act) verplicht fabrikanten om hun verbonden producten veilig te ontwerpen, bij te werken en te onderhouden. Volgens de Europese Commissie is ze van kracht sinds 10 december 2024. De meldingsverplichtingen gelden sinds 11 september 2026, en de belangrijkste verplichtingen gelden vanaf 11 december 2027.

Tot dan stelt u best vóór elke aankoop één eenvoudige vraag: hoeveel jaar levert de fabrikant beveiligingsupdates?

Te doen op maandagochtend

1. Alle toestellen op het netwerk oplijsten, met de tabel hierboven.
2. Elk fabriekswachtwoord dat nog in gebruik is wijzigen: wifirouter, firewall, kopieermachine, camerarecorder.
3. Het afgeschermde gastnetwerk aanmaken of nakijken, en dan de test doen met de gsm die probeert af te drukken.
4. Nagaan dat geen enkel toestel rechtstreeks open staat op internet, te beginnen met de camerarecorder.
5. Automatische updates inschakelen waar dat kan; anders een maandelijkse herinnering.
6. De aangifte van uw camera's op aangiftecamera.be, het pictogram en het register nakijken.
7. Het contract van de kopieermachine herlezen: updates inbegrepen, schijf gewist aan het einde van de huur.

Voor geen van deze stappen moet u materiaal kopen. Het komt er vooral op aan te weten wat er aangesloten is, en te beslissen wie ervoor zorgt.

Uw toestellen laten inventariseren→