Onderzoekers van de Radboud Universiteit Nijmegen hebben de wachtwoorden van de meest gangbare routers in Nederland gekraakt. Ze ontdekten dat het wachtwoord, dat standaard op de router is ingesteld door de fabrikant of internetprovider, een variant is van het netwerkadres of het serienummer. Daardoor zijn de routers kwetsbaar.
Het gaat om routers van onder meer de internetaanbieders KPN, Ziggo en Tele2. Tegenover Nieuwsuur erkennen de bedrijven dat de wachtwoorden onvoldoende bescherming bieden. Dat bevestigt ook de brancheorganisatie. "Ik zie het als een probleem", zegt Bart Hogendoorn van Nederland ICT.
Als een hacker het wachtwoord heeft gekraakt, en daarnaast ook een speciaal programma, zogenaamde malware installeert, zou hij alle documenten op de computer van iemand anders kunnen inzien. Mails kunnen lezen, via internetbankieren geld op zijn eigen rekening kunnen overmaken of kunnen shoppen bij een webwinkel.
Raadsel
Honderdduizenden Nederlanders hebben thuis een router met meestal een ingebouwd modem. Zo kun je tegelijkertijd met computer, gsm, tablet en tv draadloos het internet op. Als een hacker de router kraakt, heeft hij toegang tot alle bestanden, ook al staat er een apart wachtwoord op de computer.
Voor de onderzoekers is het een raadsel waarom de telecom- en internetbedrijven dit type wachtwoorden gebruikt. "Ik snap niet waarom je daarvoor zou kiezen want je kan net zo goed een willekeurige string bedenken met cijfers en letters als wachtwoord. In plaats van het wachtwoord dat is afgeleid van het netwerkadres", zegt Roel Verdult van de Radboud Universiteit.
"Toch blijkt het en dat heb ik gezien in een vergadering met de grote internetserviceproviders, dat het een industriestandaard is om het wachtwoord van een router zo samen te stellen."
Het probleem is op te lossen door gewoon een goed wachtwoord in te voeren.
De onderzoekers hebben een half jaar geleden de branche op de hoogte gebracht van de kwetsbare techniek. Onder meer KPN, Ziggo en Tele2 hebben hun klanten via een brief of mail gewaarschuwd dat ze het standaardwachtwoord moeten vervangen voor een zelfgekozen wachtwoord. Maar dat biedt niet altijd uitkomst.
"Je ziet dat een router vaak als er iets aan de hand is, of soms uit zichzelf teruggaat naar de standaardinstelling. De router valt weer terug in het standaardwachtwoord wat te achterhalen is", zegt Verdult.
Nieuwe routers
Inmiddels zijn er routers op de markt die niet via deze methode te hacken zijn. Maar de internet- en telecombedrijven ruilen de kwetsbare routers niet om. "Het probleem is op te lossen door gewoon een goed wachtwoord in te voeren", zegt Hogendoorn van Nederland ICT.
Volgens onderzoeker Carlo Meijer van de Radboud Universiteit zijn er nog steeds veel mensen die het kwetsbare wachtwoord op hun router niet hebben aangepast. "Het wachtwoord dat al door de fabrikant of provider is ingesteld lijkt heel sterk, maar is het zeker niet."
Dit is niet alleen een Nederlands probleem, maar wereldwijd een probleem.
De onderzoekers van de Radboud Universiteit presenteren hun studie deze week tijdens een internationaal congres over cybercrime in Washington. "Dit is niet alleen een Nederlands probleem. Dit is een wereldwijd probleem, dus het toepassen van een eigen wachtwoord is belangrijk", zegt de brancheorganisatie.
Ook de Autoriteit Consument en Markt (ACM) gaat kijken naar het onderzoek van de Radboud Universiteit. "De ACM bekijkt op dit moment of de providers voldoende maatregelen hebben getroffen om de gegevens van de gebruikers te beschermen."