Londen wapent zich tegen cyberaanvallen

In Londen wordt alles in gereedheid gebracht voor de Olympische Spelen. Niet alleen de fysieke veiligheid van atleten en bezoekers moet worden gewaarborgd, ook de onlinebeveiliging krijgt de nodige aandacht - en centen.

"We zullen cyberaanvallen krijgen, dat is zeker," meent Gerry Pennell, het hoofd van de databeveiliging van de Spelen. "Voorgaande Spelen werden altijd al aangevallen, dus ook bij ons zal dat het geval zijn. We werken met partners en de regering samen om zeker te zijn dat we de juiste verdediging hebben."

Mankracht en geld
Atos Origin, het bedrijf dat de onlinebeveiliging levert, heeft in zijn team van 450 technische medewerkers een aparte eenheid die de systemen van de Spelen moet beschermen tegen hackers. Er zijn 90 evenementlocaties die moeten worden beveiligd, en met kritieke data zoals de punten en medaillegegevens die doorheen duizenden computers razen, zou elk lek - of zelfs maar het vermoeden daarvan - enorm gênant zijn.

Volgens schattingen zullen er 30 procent meer data van resultaten te verwerken zijn in Londen als in Peking, waar de vorige Spelen plaatsvonden. Bovendien zal ook de vraag naar die gegevens pakken groter zijn dan in China. Het potentiële gevaar voor een compromittering van de systemen is dus enorm, en het budget voor de beveiliging zit zeker in de miljoenen.

Nuance
Beveiligingsexperts zijn echter niet overtuigd van de omvang van dat gevaar. Uiteraard zijn de Spelen groot, maar niemand kan zich openlijke cyberaanvallen ertegen voor de geest halen. En het idee dat groeperingen zoals Anonymous de Spelen zouden aanvallen, doet wenkbrauwen fronsen.

"Met alle grote sportevenementen van deze omvang hebben mensen verschrikkelijke visioenen van lelijke cyberaanvallen," stelt Mikko Hupponen van onlinebeveiliger F-Secure in The Guardian. "En mensen bereiden zich voor. In werkelijkheid hebben we erg weinig gevallen gezien." Hipponen stelt ook dat "niemand een investering in veiligheid in vraag zal stellen".

Ook bij Sophos worden de maatregelen een beetje schamper onthaald. "Ze hebben alleszins al zitten stoefen over de teams van experten die ze erop hebben gezet," zegt beveiligingsconsulent Graham Cluley.

Peking en Athene
Ook bij de Spelen in Peking werd een grootschalige aanval verwacht. In de aanloop naar dat evenement kondigde de technische manager daar ook al aan "200 miljoen (netwerk)verwittigingen te verwachten tijdens de Spelen van Peking". Hij zei er wel niet bij wat een verwittiging precies alarmerend zou maken. Uiteindelijk was er enkel een beetje ophef over enkele websitelinks die een oranje kleur hadden, en dus zouden verwijzen naar de Tibetaanse zaak. "Hackers", luidde het toen, maar die zaak liep af met een sisser.

Volgens de Californische onderzoeksorganisatie Edittech International besloot de organisatie van de Spelen in Athene vier jaar eerder het internet af te sluiten van hun netwerk uit schrik dat virussen het systeem zouden binnendringen en de Spelen zouden vertragen of verstoren. Atos Origin weigerde op dat artikel te reageren, terwijl baas Patrick Adiba van Aton Origin Iberia zei dat de Spelen in Peking dagelijks 14 miljoen online 'gebeurtenissen' moesten verwerken, waarvan er weliswaar slechts 400 in totaal "relevante gebeurtenissen waren die een probleem hadden kunnen vormen voor de Spelen." Een 'gebeurtenis' kan dus gewoon een contact van een computer zijn, helemaal niet kwaadaardig. De 400 die dan overbleven zijn er minder dan een per uur van de Spelen, iets wat voor de meeste grote organisaties een rustige dag betekent.

En toch
Cluley denkt toch dat er goede redenen zijn waarom kwaadaardige hackers en criminelen de Spelen zouden willen treffen. "De computersystemen hebben natuurlijk persoonlijke informatie over erg veel sportmensen, een potentieel doelwit voor identiteitsdiefstal. Je hebt daarnaast ook gegevens van toeschouwers die veilig moeten bewaard worden."

De werknemer van Sophos denkt dat 'hacktivisten' misschien wel een aanval kunnen ondernemen voor de lol, maar ziet toch eerder andere problemen. "Olympische websites krijgen veel verkeer te slikken, dus er bestaat een risico dat hackers malware op websites zetten en zo onschuldige gebruikers infecteren." Met miljoenen bezoekers op de sites, kan dat een significante bedreiging zijn. Het beveiligingsteam heeft al geoefend met simulaties van enorme 'denial of service'-aanvallen, waarbij duizenden besmette pc's tegelijk verbindingen maken met een website en die zo doen vastlopen.

Oplichters
Hypponen kan zich geen Olympische site herinneren die rechtstreeks gehackt werd. Tijdens de Winterspelen in Salt Lake City in 2002 waren er wel wat 'denial of service'-aanvallen vanuit Zuid-Korea op Amerikaanse sites, nadat een Amerikaane snelschaatser de 1.500 meter won na de diskwalificatie van een Zuid-Koreaan. "Dat is een plausibele casus, dat inwoners van een land kwaad worden wanneer ze vinden dat er geen recht geschied is," zegt de consulent van F-Secure.

Uiteindelijk kunnen het gewoon de simpeler bedreigingen zijn waarvoor we moeten uitkijken, stelt Cluley. "Het zullen oplichtingssites zijn, die lastminutetickets of moeilijk te krijgen tickets aanbieden, je kredietkaartgegevens vragen en je dan laten betalen zonder dat je iets krijgt. Dat zijn de dingen waar we echt voor moeten oppassen."