Spannende beelden waarbij dieven al rijdend vrachtwagens leegroofden haalden deze zomer het nieuws. De dieven opereren in konvooien, waarbij één auto voor de truck gaat rijden en één erachter. Vervolgens klimt een van de dieven uit de roofauto en maakt de truck open. Terwijl de vrachtwagenchauffeur nietsvermoedend gewoon doorrijdt, wordt de vracht overgeladen. Niet helemaal nieuw, ook in eerdere jaren waarschuwde TLN er al voor.
Het kan stukken eenvoudiger, zo blijkt uit een presentatie over cybersecurity voor logistiek dienstverleners die Dennis de Hoog, managing consultant bij risico-adviseur Aon, en Bart Banning, sector banker transport & logistics bij ABN Amro, op een TAPA-conferentie in Noordwijk gaven. De moderne crimineel gaat voor cybercriminaliteit.

Waarom al rijdende à la James Bond een truck leegroven, als je ook simpelweg de ontvangstbestemming kan wijzigen. Ladingdiefstal 2.0, aldus de presentatie, waarin tal van voorbeelden worden gegeven. ‘Door middel van phishing is een criminele organisatie erin geslaagd een logistiek bedrijf met malware te besmetten. De criminelen hebben zo toegang gekregen tot gegevens van het bedrijf, en vinden binnen mum van tijd een interessante kostbare lading in het systeem. Hiervan wijzigen ze de ontvangstbestemming, waardoor de lading keurig bij de criminelen wordt afgeleverd, de chauffeur heeft niets in de gaten. Na enkele dagen ontvangt het logistieke bedrijf de eerste klachten over goederen die niet zijn geleverd.’

De kans om slachtoffer te worden van deze moderne criminaliteit is groot. Het is bij veel logistiek dienstverleners relatief eenvoudig om toegang te krijgen tot de systemen. Logistieke bedrijven zijn steeds vaker slachtoffer van cybercriminaliteit en lijden hierdoor steeds vaker financiële schade, aldus De Hoog.

Cybersecurity
In mei 2016 heeft Transport en Logistiek Nederland (TLN) een onderzoek laten uitvoeren om te achterhalen in welke mate TLN-leden bezig zijn met cybersecurity. Conclusie van de quickscan: Het bewustzijn over informatiebeveiliging bij directie en medewerkers is te beperkt. Bij slechts de helft van de bedrijven is er een verantwoordelijke aangewezen voor cybersecurity. Ook zien de respondenten informatiebeveiliging niet als onderdeel van de gehele goederentransportketen. ‘54% geeft aan dat hun bedrijf voldoende beveiligd is tegen cyberrisico’s. Dit is een subjectieve inschatting. Wij vermoeden dat veel bedrijven onvoldoende beschermd zijn tegen cyberaanvallen. Er is tenslotte niemand die over de kwaliteit van de cyberbeveiliging waakt’, aldus het rapport. Verder bleek dat 63% van de respondenten weleens een malware-infectie heeft opgelopen binnen hun IT-omgeving. Daarnaast is meer dan 10% ooit het slachtoffer geweest van ransomware.

Ook is er vaak geen beleid rondom het gebruik van privé-apparaten en wordt personeel niet standaard gescreend. Van alle respondenten gaf 18% aan Windows XP als besturingssysteem te gebruiken, terwijl er voor XP geen beveiligingsupdates meer worden uitgebracht. Vanwege deze beperkte bewustwording en kwetsbaarheden, neemt het risico op cyberaanvallen met de dag toe, zo waarschuwen Aon en TLN.

Ook gingen Banning en De Hoog bij de presentatie voor de TAPA-leden in op ransomsoftware, waarbij criminelen een computer besmetten die daarna alle bedrijfssystemen platlegt. Pas na betaling van het losgeld wordt weer toegang verleend. De schade kan voor een gemiddeld logistiek bedrijf makkelijk oplopen tot 50.000 euro, aldus Aon. ‘Maar we hebben te maken met risico’s die snel veranderen en zich op steeds grotere schaal voordoen en schade veroorzaken.’ Zo resulteerde de recente wereldwijde ‘Petya’-aanval in aanzienlijk grotere schade. ‘De schade bij APM loopt richting enkele honderden miljoenen dollars’, aldus Banning.

Uit de quickscan blijkt dat bijna 80% weleens te maken heeft gehad met cybercrime. Toch heeft 83,9% geen cyberverzekering om schade van een cyberincident te dekken. De Hoog: ‘Logistieke bedrijven zijn vaak alleen verzekerd voor schade aan fysieke zaken, zoals mensen, gebouwen en vloot. Ze hebben vaak ook geen ICT-specialisten op dit gebied in huis. Je ziet dat verzekeraars hier op inspelen en een ‘digitale EHBO-kit’ aanbieden, waarbij na een aanval ict- en andere specialisten klaar staan om schade te beperken.’

Door de digitale gijzelingsacties dringen zich lastige vragen op: betaal je het losgeld wel of niet? Als je niet betaalt ligt je handel mogelijk langer stil. De overheid adviseert echter toch om niet te betalen omdat zo de nieuwe vorm van criminaliteit in stand blijft. De Hoog: ‘Een cyberverzekering biedt de mogelijkheid om losgeld te betalen, om schade voor het bedrijf te kunnen beperken. Door ict-specialisten wordt vervolgens voorkomen dat het nogmaals gebeurt.’

Urgentie
Vanuit TAPA is er zeker aandacht voor de verschuiving van criminaliteit van de fysieke naar de digitale wereld, merkt De Hoog. In de sector zelf is die aandacht wat minder. ‘De marges zijn klein, managers zijn vaak bezig met de alledaagse sores, zoals planningen. Het bewustzijn van de toenemende dreiging van cybercriminaliteit kan beter, de beschrijfschade is immers vaak groter dan bij gewone ladingdiefstal.’

Direct na de aanval op APM is de belangstelling voor betere beheersing van cybercriminaliteit wel toegenomen, merkt Aon. De Hoog: ‘Ik sprak op de dag na de Petya-aanval op een bijeenkomst met tientallen directeuren van logistieke bedrijven. Er werd toen zeker een behoorlijke urgentie gevoeld. We krijgen sindsdien ook meer verzoeken om informatie en ondersteuning binnen. Maar we zien dat er in andere sectoren veel meer aandacht is voor het probleem. De logistiek kan zich zeker nog beter wapenen tegen de schadelijke gevolgen van digitalisering.’