Techjournalist Daniël Verlaan brengt deze week zijn boek 'Ik weet je wachtwoord' uit. Daarin schrijft hij onder andere over de manier waarop hij zijn verhalen maakt voor RTL Nieuws. Wat Rilana uit het Gelderse Brummen in 2017 overkwam, resulteerde destijds in een kort artikel. Hoe zoiets tot stand komt, is te lezen in deze voorpublicatie van zijn boek.
Het is een doodgewone dag voor Rilana, een vrouw uit het Gelderse Brummen. 1 oktober 2017. Ze doet haar dagelijkse boodschappen bij de supermarkt. Thuis haalt ze de spullen uit haar tas, totdat ze iets hoort in de woonkamer. Het is een soort krakend geluid, alsof iemand heel dicht in een grote megafoon hijgt.
Ze loopt naar de woonkamer en ziet dat haar camera allerlei kanten op draait. Hoe kan dit? Haar telefoon ligt op bed, ze bestuurt de camera dus niet. Zou hij aan het updaten zijn? Ze draait zich om en gaat weer door met het uitpakken van de boodschappen.
Die camera heeft Rilana een maandje of twee geleden gekocht bij de Action, voor 35 euro. Ze kocht hem om haar hondje in de gaten te houden. De witte kleine pup zet het hele huis op z‘n kop, en op de momenten dat ze weg is, wil ze graag een oogje in het zeil houden om te voorkomen dat haar huis wordt verbouwd door haar huisdier.
De camera is verbonden met het wifi-netwerk en met een app op haar telefoon kan ze altijd en overal zien wat er in de woonkamer gebeurt. Er zit zelfs een microfoon in, zodat ze haar pup streng kan toespreken als dat nodig is.
Bonjour, madame
En een wachtwoord. Dat geeft haar een gerust gevoel. Plotseling hoort Rilana weer gerommel uit de woonkamer. Ze zet de boodschapjes neer en loopt terug naar de kamer. De camera draait haar kant op en zegt tegen haar: ''Bonjour, madame!'' Ze schrikt zich rot. Wat is dit? ''Hallo, is daar iemand?'' reageert ze. Er klinkt geen geluid meer. Rilana loopt naar de andere kant van de woonkamer, en de camera draait mee. Ze gaat snel de andere kant op, en het apparaat volgt haar vrijwel direct.
Gebeurt dit echt? Ze belt in paniek een vriendin op en start een videogesprek, zodat die mee kan kijken. Met haar telefoon in de hand loopt ze terug naar de woonkamer. ''Bonjour, madame, vous allez bien?'' klinkt het opnieuw uit de camera. ''Zie je nou wel! Het ding praat echt tegen me. Er zit verdomme iemand mee te gluren in mijn huis!''
Ze rent naar de camera, trekt de stekker eruit en gooit hem terug in de doos. In de avond durft ze nog één keer de camera in te schakelen. Ze draait de lens naar de muur en steekt hem in het stopcontact.
Suck my dick
Op haar telefoon drukt ze op de recordknop om een video te maken. Deze keer zal ze bewijsmateriaal hebben. Binnen een minuut is het raak, draait de lens zich weer naar haar toe en begint de camera te praten. ''Hello, do you speak French?'' komt er uit het apparaat. ''Sorry?'' zegt Rilana. Opnieuw klinkt het: ''Do you speak French?'' Ze antwoordt: ''No, English!''
Het blijft even stil. ''What did you do?'' vraagt Rilana. ''Is it good?'' vraagt de camera. ''No, get the fuck out of my house, now! Shut the fuck up, go away!'' schreeuwt ze. Plotseling verandert de camera van taal. ''Hola, señorita'', komt er opeens uit. ''Oh, suck my dick''
Rilana haalt de stekker uit het stopcontact en barst in tranen uit. Ze is doodsbang en voelt zich niet meer veilig in haar eigen huis. Hoelang heeft die gluiperd mee kunnen kijken? Wat heeft hij allemaal gezien? En wie is hij überhaupt? Ze wijzigt al haar wachtwoorden en brengt de camera terug naar de Action.
Lights, camera, Action
Het verhaal van Rilana bereikte me via regionale media. Op Facebook plaatste ze de video waarop te zien is dat de camera tegen haar begon te praten en zo probeerde ze zo veel mogelijk mensen te waarschuwen voor deze camera van de Action. Het is een duidelijk voorbeeld van het gevaar van het zogeheten ‘internet of things‘: slimme apparaten die zijn verbonden met het internet. Of het nu een robotstofzuiger, koffiezetapparaat met wifi of een slimme deurbel is.
Mijn interesse is gewekt: hoe is de camera van Rilana gehackt? En vormt het een gevaar voor meer Nederlanders die dezelfde camera bij de Action hebben gekocht? Op hun website vind ik het type camera: de hd Rotating Wifi Safety Camera van het merk Maxxter. Dat merk importeert goedkope gadgets uit China, plakt er zijn eigen merk op en verkoopt het in Nederland via onder andere de Action.
Overal uitverkocht
Ik bel een aantal Actions in de buurt om erachter te komen of dat apparaat nog ergens te koop is, want ik wil hem wel eens zelf uittesten. Overal krijg ik hetzelfde antwoord: de camera is uitverkocht. Ook de woordvoerder van de Action bevestigt de populariteit van de camera. De situatie van Rilana wordt onderzocht, maar daar kunnen ze verder niets over zeggen. Er wordt samengewerkt met Maxxter, wordt me verteld.
Daar ga ik niet op wachten. Ik vind het typenummer van de camera: act-ipc-01, waarmee je vaak een handleiding kunt vinden. Die is er, op de website van Maxxter. De Nederlandse handleiding beschrijft stap voor stap hoe je de camera gebruikt. Dat gaat met een app: iView Pro heet-ie. Ik heb er nog nooit van gehoord, maar hij is beschikbaar voor zowel Android als iOS. Eenmaal geïnstalleerd kom ik bij een scherm waar ik twee dingen moet invoeren: een apparaat-id en een wachtwoord. Dan valt mijn oog op een stukje tekst uit de handleiding:
''Het id-nummer staat op een sticker op de camera. Het standaard wachtwoord is 123, maar als u het wachtwoord van de camera ooit gewijzigd heeft (aanbevolen), dan heeft u het huidige zelf aangemaakte wachtwoord van de camera nodig om hem toe te kunnen voegen aan de app op een andere tablet/telefoon.''
Dus Maxxter 'beveiligt' zijn slimme camera‘s standaard met het wachtwoord 123? Niet eens een uniek wachtwoord per apparaat? Dat zou normaal moeten zijn: routers – ook belangrijke apparaten in je huis – worden beschermd met zo‘n uniek wachtwoord. Ik neem de proef op de som en vul een aantal willekeurige cijfers in bij het apparaat-id en 123 als wachtwoord.
In mijn vrije tijd kijk ik graag naar unboxingvideo’s
Na het drukken op de grote blauwe connectknop gebeurt er niets. Het apparaat-id kan niet worden gevonden. Ja, dat had ik al verwacht. Nergens kan ik zo‘n apparaat-id vinden, ook niet in de handleiding. Hoe kom ik aan dat nummer als ik geen camera heb en ze overal zijn uitverkocht?
In mijn vrije tijd kijk ik graag naar zogeheten unboxingvideo’s. Dat zijn video‘s waarin iemand iets uitpakt. Het klinkt heel suf, en misschien is dat het ook wel, maar ik word er altijd ontzettend zen van. Mijn favoriete YouTuber is Marques Brownlee, beter bekend als mkbhd, die prachtige video‘s maakt over de nieuwste gadgets. Hij pakt het doosje van een nieuwe smartphone erbij, draait hem rond en maakt hem dan open.
Stap voor stap laat hij zien wat erin zit: de oplader, oortjes en natuurlijk de telefoon zelf. Hoe hij een stukje beschermfolie van een gloednieuw scherm afhaalt is bijna porno.
Bingo
Daarom krijg ik ineens een idee: zou er iemand een unboxingvideo hebben gemaakt van Maxxters hd Rotating Wifi Safety Camera? Ik voer de naam in op YouTube en ja hoor: ik vind een video van een Nederlandse man die de camera bespreekt. Hij draait het apparaat rond en laat ook de onderkant zien: precies waar het id-nummer te vinden is. Ik ram op de pauzeknop, zoom het beeld in en met wat sleutelen kom ik achter het id-nummer van zijn camera. Bingo.
Ik voer het id-nummer in op de app met het wachtwoord 123 en druk op de connectknop. Voor de duidelijkheid: dit is strafbaar, ook voor journalisten, want het is computervredebreuk. Maar soms moet je de wet overtreden om een misstand aan te tonen. De hoofdredactie en onze juristen weten ervan en zoals wel vaker luidt het advies: alleen doen wat strikt noodzakelijk is.
Maar het is weer mis; de man van de YouTube-video heeft zijn wachtwoord aangepast. Ik verander het laatste cijfertje van het apparaat-id in een willekeurig ander cijfer en druk weer op de knop. De app doet er opeens wat langer over en er verschijnt een zwart beeld op mijn telefoon. Het zwarte beeld stoort even totdat ik opeens in de huiskamer zit van een oudere vrouw. Ik zie haar zitten aan tafel met een kopje koffie. Omroep Max staat op de achtergrond aan.
What the fuck
Dit trucje haal ik nog een paar keer uit. Binnen een paar minuten zit ik bij een aantal mensen binnen. Bij de een is de camera in de schuur gehangen en zie ik alleen een werkbank, bij de ander zie ik hoe een meisje van in de 20 uit de douche komt gelopen. Ik voel me hier flink ongemakkelijk bij en klik weg.
Naast meekijken kun je ook nog de camera besturen en alle kanten op draaien, via de speaker praten en in de instellingen het wachtwoord aanpassen, zodat de eigenaar geen toegang meer heeft tot de camera. Ik verwijder de camera‘s uit de app en loop naar onze eindredacteur: ''Ik heb een verhaal. Die populaire Action-camera‘s zijn zo lek als een mandje.''
Hoe makkelijk het is
Dit zijn allemaal mensen die het standaardwachtwoord niet hebben veranderd. Dat kun je ze eigenlijk niet kwalijk nemen: nergens verplicht Maxxter hen het wachtwoord te veranderen, en nergens maakt het bedrijf duidelijk dat anderen met alleen een apparaat-id en '123' binnen kunnen komen. Maar als je altijd en overal met een app de beelden van je slimme camera kunt bekijken, kunnen anderen dat ook.
Rilana had geen idee dat dit mogelijk was. Het douchende meisje, de eigenaar van de werkbank en de omroep-Max-kijker evenmin en ik vermoed nog vele, vele anderen. Deze hack laat maar eens zien hoe makkelijk het soms is. Je hoeft er niet eens technische kennis voor te hebben, alleen een nummer in een app in te voeren.
Action gaf in 2017 aan dat het bedrijf dit product terug zou roepen als zou blijken dat de camera niet aan de eisen voldoet. Het bedrijf verkocht de beveiligingscamera sinds mei van dat jaar. Dit type is inmiddels niet meer verkrijgbaar. Action raadt mensen die het product hebben gekocht aan om het standaard ID-wachtwoord te wijzigen, en een sterk wifi-wachtwoord te kiezen.
