Hotel schakelt over naar ouderwetse sleutel na ransomware-aanval

Een Oostenrijks hotel gaat zich bekeren tot vooroorlogse technologie. De computers van het hotel werden het voorbije halfjaar maar liefst drie keer slachtoffer van ransomware. Daarom wil het hotel het risico in de toekomst niet meer lopen. Een verkeerde reactie, zegt Kurt Berghs van Vasco Data Security: “De eerste fout was de hele opstelling, de tweede fout was het betalen van het losgeld, en de derde fout is de ‘oplossing’ die ze bedachten.”

Volgeboekt

Het Romantik Seehotel Jaegerwirt is deze tijd van het jaar helemaal volgeboekt. Het skiseizoen is in het land, wat betekent dat het hele gebied overstelpt wordt door toeristen. Op 28 januari slaat het noodlot toe: ransomware vindt zijn weg naar alle computers van het hotel, waardoor boekingssystemen, kassasystemen en het systeem dat de digitale sleutels aanmaakt platliggen. Om de zaak zo snel mogelijk weer draaiende te krijgen, betaalt het hotel het gevraagde losgeld: 1.500 euro.

In die tijd konden klanten niet in- of uitchecken en konden geen nieuwe sleutelkaarten worden aangemaakt. Het euvel werd verholpen, maar niet lang daarna bleek dat de hackers een achterdeurtje in de computers lieten openstaan. Een nieuwe (vierde!) ransomwarepoging werd maar nipt vermeden.

Het hotelmanagement zegt dat het naar buiten komt met zijn verhaal om ‘andere uitbaters te waarschuwen voor de gevaren van cybercriminaliteit’. Ze zeggen op de hoogte te zijn van meerdere ketens die hetzelfde hebben meegemaakt als zij. De oplossing die ze bedachten na alle malaise is opmerkelijk: Key Cards worden binnenkort afgedankt en vervangen door ouderwetse sleutels, “zoals onze voorvaderen het ook al deden,” laat de manager met enige trots optekenen.

Verkeerde aanpak

Wie de situatie van naderbij bekijkt, merkt echter snel op dat die trots enigszins misplaatst is, zo weet ook Berghs: “Eigenlijk zou zo’n systeem geen enkele keer mogen platliggen. Het Key Card-systeem alleen al zou volledig afgeschermd moeten zijn van het internet. Ook de computers die de kassa’s en boekingen beheren hoeven helemaal niet verbonden te zijn met het internet.”

De oplossing die het hotel bedacht, vindt Berghs zo mogelijk nog erger dan het voorval zelf: “De sleutels die dan gebruikt worden, zijn er met zo’n zware, onhandige sleutelhanger aan. Niet ideaal voor wie een hele dag gaat skiën: ofwel zit die in de weg, ofwel raak je hem kwijt.” Je sleutel achterlaten aan de balie is voor Berghs evenmin een optie; daar wordt die namelijk makkelijk ontvreemd.

De hele situatie hangt aan elkaar van de complicaties geeft Berghs toe: “Een systeem met Key Cards kan je zeer makkelijk hacken met behulp van een Arduino en de juiste kabel. Het kost je ongeveer 50 euro om de minicomputers op de deuren te misleiden.”

Voorkomen en genezen

Is er dan geen manier om criminelen buiten te houden? “De beste manier om deze aanvallen te voorkomen is van bij het begin voorbereid zijn,” meent Berghs. “De juiste beveiliging voorzien in de vorm van antivirus, camera’s… en systemen die niet afhankelijk zijn van het internet daar ook weghouden. Indien je toch getroffen wordt, moet je te allen tijde een goede back-up achter de hand houden. Zo hoef je geen losgeld te betalen, ben je geen gegevens kwijt en ben je toch snel weer volledig operationeel, zonder dat je duizenden euro’s kwijt bent. Het is gewoonweg niet logisch dat je liever losgeld betaalt dan te investeren in een degelijke beveiliging.”

In de toekomst dreigt de beveiliging van hotelkamers overigens nog ingewikkelder te worden. “Sommige ketens zijn al aan het experimenteren met kamerontgrendeling via een smartphone-app. Op zo’n app zie je dan je informatie, kan je boekingen verrichten en dus ook je kamer ontgrendelen. Dat kan ofwel een openbaring zijn ofwel een beveiligingsnachtmerrie. Indien hackers aan jouw profiel kunnen, zouden ze op jouw naam een dure kamer kunnen boeken én de jouwe leegroven,” stelt Berghs.

Nieuwe doelwitten

Hotels zijn niet de enige doelwitten op de radar van hackers. Vorig jaar nog viel een Amerikaanse bibliotheek ten prooi aan ransomware. Ze weigerden echter te betalen en schakelden over op manuele arbeid. Na iets meer dan een dag kon de volledige werking hersteld worden dankzij een streng back-upbeleid. Het kan dus anders, en het toont meteen aan dat hackers alles zullen aanvallen waar ze denken geld te kunnen rapen.”

“Het komende jaar houden we daarom ons hart vast voor ziekenhuizen,” zegt Berghs. “Alle dure apparatuur die daar aanwezig is, bevat een bom aan informatie en patiëntengegevens. Vele van de systemen daar zijn kritisch; een ransomware-aanval kan verstrekkende gevolgen hebben. Het maakt voor criminelen niet uit waar ze het halen, zolang ze geld zien binnenkomen.”