Beveiliging · 23 oktober 2026
Kritieke beveiligingsfout in draadloze streepjescodescanners bedreigt magazijn- en detailhandelsnetwerken
Onderzoekers van Kaspersky Security Services hebben een kritieke beveiligingskwetsbaarheid ontdekt in draadloze streepjescodescanners die veelvuldig worden ingezet in magazijnen en de detailhandel. Deze fout stelt aanvallers in staat om via Bluetooth toegang te krijgen tot systemen en op aangesloten computers op afstand code uit te voeren. De kwetsbaarheid ontstaat door een gebrek aan authenticatie tussen de scanners en de basisstations. Hierdoor kunnen kwaadwillenden zich ongemerkt toegang verschaffen tot operationele technologie-netwerken.
De aanvalsmethode verloopt volledig passief en vereist geen interactie van de gebruiker. Een aanvaller binnen het bereik van een magazijn of winkel luistert naar het Bluetooth-verkeer om het MAC-adres van een basisstation te achterhalen. Vervolgens maakt de aanvaller een directe verbinding met dit station. Het basisstation accepteert deze verbinding zonder verificatie van de identiteit van het apparaat. De aanvaller stuurt vervolgens kwaadaardige data die toetsaanslagen nabootst, bekend als menselijke interface-apparaatfuncties. Het basisstation doorgeeft deze valse signalen naar de aangesloten computer, die ze accepteert als legitieme invoer van een gebruiker. Hierdoor kan de aanvaller ongeautoriseerde opdrachten uitvoeren op de computer, zelfs wanneer er niemand achter het scherm zit. Dit biedt de aanvaller een eerste voet aan de grond in het netwerk.
Deze kwetsbaarheid is niet beperkt tot één specifiek merk. Onderzoekers hebben het probleem waargenomen bij apparaten van meerdere grote fabrikanten. De aangevallen werkstations bevinden zich vaak op betrouwbare posities binnen het bedrijfsnetwerk en hebben directe communicatie met kritieke systemen. Dit maakt de scanners tot een potentieel Trojaans paard dat de hele operationele infrastructuur kan lamleggen. De risico’s gelden ook voor andere eindapparaten in deze ecosystemen. De wereldwijde e-commerce-omzet heeft de zes biljoen dollar gepasseerd, wat de kwetsbaarheid van de toeleveringsketen verder vergroot. Zelfs enkele uren stilstand kunnen leiden tot aanzienlijke financiële verliezen en verstoringen in de levering van goederen.
Sergey Sidorov, hoofd van Kaspersky Industrial Security Services, benadrukt dat de moderne detailhandel en logistiek volledig gedigitaliseerd zijn. Van het bedrijfsbesturingsplatform tot het apparaat in de hand van het personeel op de vloer, alles is verbonden. Deze doorlopende connectiviteit betekent dat elk technologisch niveau, inclusief een enkele streepjescodescanner, een inbraakpunt kan worden dat het hele ecosysteem kan stoppen. Om operationele technologie en industriële controlesystemen te beschermen tegen dit soort indringingen, moeten organisaties specifieke beveiligingsmaatregelen nemen. De afwezigheid van authenticatiemechanismen tussen de scanner en het basisstation is de kern van het probleem dat moet worden opgelost om de integriteit van de logistieke keten te waarborgen.