Een slimme deurbel voor papa, een robotstofzuiger voor de nieuwe woning, een slimme speaker voor de tiener: in december staan er heel wat apparaten met wifi op verlanglijstjes. Maar sinds deze week vragen veel mensen zich af of dat wel veilig is. Na de kwetsbaarheden in de programmeertaal PHP, waardoor veel websites uit voorzorg offline gingen, zocht de NOS uit wat het lek betekent voor slimme apparaten thuis. Het goede nieuws: het risico is volgens deskundigen klein. Het nuttige nieuws: er zijn een paar dingen die je slim kunt checken voordat je een slim apparaat cadeau doet of op je lijstje zet.
Wat is er aan de hand?
PHP is een programmeertaal waarmee veel websites en servers draaien. Via het lek zouden servers en websites overgenomen en misbruikt kunnen worden. Volgens het Nationaal Cyber Security Center (NCSC) kan PHP ook zitten in een deurbel met camera, een slimme wasmachine of een robotstofzuiger. En die apparaten zijn er veel: volgens marktonderzoeksbureau Multiscope heeft zo'n 30 procent van de Nederlandse woningen een of meer huishoudelijke apparaten die met internet kunnen verbinden.
Toch hoef je je slimme deurbel niet meteen van de muur te halen. Het NCSC verwacht dat het lek minder grootschalig misbruikt wordt dan eerst gedacht, omdat het lastig is om er zomaar misbruik van te maken. De deskundigen die de NOS sprak, leggen uit waarom:
- De meeste apparaten hangen achter je router. Ze zitten op je wifi, en daar zit nog een router tussen. Van buitenaf kom je er dus niet zomaar bij. Via de router binnenkomen vindt Michel van Eeten van de TU Delft onwaarschijnlijk: "In routers zit bijna geen PHP."
- Ze bellen wel naar buiten, maar zijn niet te bellen. Zo legt Daan Keuper van beveiligingsbedrijf Computest het uit: een slim apparaat maakt zelf verbinding met internet, maar een aanvaller kan er van buitenaf moeilijk verbinding mee maken.
- Het zwakke punt zit eerder bij de fabrikant. Bij een slimme deurbel is het volgens beveiligingsexpert Ralph Moonen waarschijnlijker dat een hack via een server van de fabrikant loopt dan via jouw thuisnetwerk.
Een uitzondering is een NAS, een harde schijf die aan je netwerk hangt en waarop je bijvoorbeeld vanaf je vakantieadres foto's zet. Daarmee kun je van buitenaf verbinding maken, en dat maakt hem kwetsbaarder.
Vijf checks voor je een slim apparaat cadeau doet
Of er PHP in een apparaat zit, kun je als consument haast niet nagaan, zeggen de deskundigen. Veel bedrijven weten dat zelf niet eens. Wat je wel kunt doen, is kiezen voor een apparaat dat goed onderhouden wordt. Dit kun je checken:
- Heeft het echt internet nodig? Juriaan Spierenburg van het NCSC raadt aan om na te denken of al die apparaten wel met internet verbonden moeten zijn. Een gewone wekker of een stofzuiger zonder app is soms gewoon het betere cadeau.
- Krijgt het apparaat updates, en hoe lang? Spierenburg waarschuwt vooral voor verouderde apparaten, die misschien een oude versie van PHP gebruiken en geen updates meer krijgen. Kijk op de site van de fabrikant hoe lang je updates krijgt. Fabrikanten moeten hun producten volgens de nieuwe Europese Cyber Resilience Act veilig houden; de meeste regels daarvan gaan in december 2027 in.
- Bekend merk of onbekende webshop? Spierenburg verwacht dat de meeste leveranciers zich aan die regels houden, maar weet niet of alle leveranciers uit allerlei landen snel updates leveren. Een merk met een eigen app en een duidelijke updatepagina is daarom vaak een veiliger keuze dan een spotgoedkoop apparaat zonder naam.
- Tweedehands? Een tweedehands cadeau is prima, en dat mag ook gewoon. Maar check bij een slim apparaat of het model nog updates krijgt. Een oud model zonder updates is precies het soort apparaat waar het NCSC voor waarschuwt.
- Na het uitpakken: eerst updaten. Het advies van de deskundigen: voer alle updates uit en zorg dat slimme apparaten alleen via je eigen thuisnetwerk bereikbaar zijn. Doe dat meteen bij het installeren, en zet automatische updates aan als dat kan. Twijfel je over een apparaat dat via internet bereikbaar is? Dan kun je het volgens Van Eeten desnoods een paar dagen uitzetten en afwachten wat de leverancier doet.
Meer tips om je digitale huishouden op orde te houden, lees je in ons stuk over een digitale schoonmaak van je huishouden.
Zo zet je een slim apparaat op je verlanglijstje
Wens jij zelf een slim apparaat voor Sinterklaas of kerst? Maak het je familie dan makkelijk, en jezelf ook:
- Zet het precieze merk en model op je lijstje, met een link naar de winkel. Dan krijg je niet per ongeluk een goedkope variant van een onbekend merk.
- Kies een model dat bij je bestaande spullen past. Heb je al slimme lampen of een slimme speaker, kies dan iets dat met dezelfde app of hetzelfde systeem werkt.
- Twijfel je? Zet er een niet-slim alternatief naast. Wie het cadeau koopt, kan dan zelf kiezen.
Op een gratis Vlijstje-verlanglijstje zet je zo'n wens in een paar tikken, met de link erbij. Je familie streept af wat ze kopen, dus je krijgt ook geen twee robotstofzuigers. Wil je bepalen wie je lijstje kan zien? Lees dan hoe je de privacy van je wensenlijst instelt.
Benieuwd naar een slim apparaat dat wél vooral thuis werkt? Onze review van de slimme radiatorknoppen van Hombli bij Action laat zien waar je bij zo'n systeem op let. En wie wil weten welke apparaten stiekem stroom slurpen, kan beginnen met een slimme stekker tegen sluipverbruik.
