De op 10 november uitgebrachte nieuwe firmware voor zo’n 28 netwerkapparaten van de Taiwanese fabrikant Zyxel bevatte waarschijnlijk onbedoeld een achterdeurtje, waardoor hackers konden inbreken op zo’n honderdduizend bedrijfsnetwerken, waarvan 300 in Nederland. Dat meldt RTL Z.

Het gaat onder andere om routers van Zyxel, die ontwikkeld zijn voor het MKB. Consumentenapparatuur heeft de update niet gekregen. Het lek werd ontdekt door onderzoeker Niels Teusink van het Nederlandse beveiligingsbedrijf Eye. Die stelde de fabrikant in kennis, waarna de firmware op 9 december werd vervangen door een versie zonder het beveiligingslek.

Kwetsbaar
Niet alle Zyxel-routers en -firewalls werden van de foute update voorzien. Sterker nog, maar 10 procent van de apparaten wordt automatisch geüpdatet, zo bleek uit een steekproef. Die apparaten waren tot 9 december kwetsbaar voor hackers, die het internetverkeer konden volgen, wachtwoorden konden onderscheppen en de computers konden gijzelen voor losgeld. Dat gevaar is volgens Teusink nog steeds aanwezig, als niet de nieuwste firmware wordt geïnstalleerd. Updates worden regelmatig uitgebracht en dienen veelal voor het dichten van beveiligingslekken.

Kluis met code
De onderzoeker gaat er vanuit dat het achterdeurtje, bestaande uit een verborgen gebruikersaccount met wachtwoord, per ongeluk is meegestuurd met de update. Dit account kan door de ontwikkelaar zijn gebruikt om via een browser toegang te krijgen tot de testomgeving. Het had alleen verwijderd moeten worden, voordat de software verspreid werd. Niet duidelijk is of hackers het lek hebben ontdekt en daar misbruik van hebben gemaakt. Dave Maasland van cybersecuritybedrijf ESET waarschuwt tegenover RTL Z dat hackers hele dagen actief zijn op internet om juist dit soort lekken te ontdekken. Hij vreest dan ook dat Eye niet de enige is die het ontdekt heeft. Het is volgens hem als een kluis verkopen, waarbij op de zijkant de toegangscode staat gegraveerd. Maasland adviseert gebruikers van de Zyxel-routers daarom te handelen alsof ze al gehackt zijn, maar dat nog niet hebben ontdekt.