6G Matrix

Vindbaar op internet

Een apparaat dat zelf aan het open internet hangt, is opzoekbaar.

6GIoTIoBNanoAI TwinStaatMilitairIndustrieKapitaalBurger
Wat komt er?5 DOSSIERS · TECHNIEKWie trekt eraan?5 DOSSIERS · ACTORENWaartoe?5 DOSSIERS · CONTROL
Wat is het

Shodan, Censys, ZoomEye, Criminal IP en FOFA bewaren wat een apparaat zelf antwoordt op een open adres. De aanval op de ruggengraat van providers staat bij Het netwerk als doelwit. Wat er in huis en in de fabriek aan een verbinding hangt, staat bij Wat er allemaal verbonden is. Het account bij een deurbelfabrikant staat bij Slimme deurbel.

Shodan schrijft dat de geïndexeerde apparaten lopen van kleine desktops tot kerncentrales. Dat is de bereikzin op de hulppagina, gelezen op 2 november 2026, en geen telling van centrales[1]. Het meeste komt uit banners, gegevens die de software op het apparaat zelf terugstuurt[2]. Een filter kan op land[3]. De crawlers werken doorlopend en werken de database meteen bij[4]. Het basisalgoritme kiest willekeurig en is ontworpen om internet eens per week zo langs te lopen[5].

Censys schrijft dat het alle publieke IPv4-adressen scant. IPv4 is versie 4 van het internetprotocol (IP), het adresstelsel van internet. Censys scant alleen om informatie te verzamelen en logt niet in[6]. Het zegt geen authenticatie te omzeilen[7]. Klanten kunnen een module bijkopen die open industriële besturing aanwijst[8]. Bij een herkende dienst levert die module ook een schermafdruk van de open interface[9].

ZoomEye noemt zich een zoekmachine voor apparaten met een IPv4-adres of een adres in de nieuwere versie IPv6[10]. Criminal IP, een product van AI Spera, zet op de homepage dat het dreigingen zoekt op apparaten met een internetverbinding. Gelezen op 2 november 2026. Dat is een productzin, geen meting[11].

FOFA noemt zich op de about-pagina een zoekmachine voor een wereldwijde kaart van de cyberspace. Het hoort bij Hunan HuaShun Xin'an Technology. De pagina geeft geen publicatiedatum[12]. FOFA schrijft daar zelf meer dan 4 miljard assets en meer dan 350.000 vingerafdrukregels te hebben verzameld. Het cijfer is niet gedateerd. De stand is de lezing van 2 november 2026[13].

Hoe het werkt

Advies AA20-205A van de Amerikaanse dienst voor cyberveiligheid (CISA) en de National Security Agency (NSA) verscheen op 23 juli 2020 en is herzien op 24 oktober 2020. Oude operationele technologie, plus open informatie die zulke apparaten aanwijst, met Shodan als voorbeeld, noemen zij een perfecte storm van makkelijke toegang tot onbeveiligde apparaten[14]. Eerste stap in het advies: koppel systemen los die internet niet nodig hebben voor een veilige werking[15]. Standaardwachtwoorden horen verboden te zijn op besturing[16].

Het Nationaal Cyber Security Centrum (NCSC) schrijft, op een pagina van 13 november 2025 die op 20 juli 2026 is gewijzigd, dat een zoekopdracht in de opgebouwde database gericht IP-adressen kan aanwijzen[17]. Alleen scannen is volgens het centrum in de meeste gevallen niet strafbaar[18].

In een rapport van 21 juni 2019, in opdracht van het WODC, het Wetenschappelijk Onderzoek- en Documentatiecentrum, concludeert de Universiteit Twente dat gereedschap als Shodan systemen voor industriële besturing en procesbewaking uiterst makkelijk vindbaar maakt[19]. Minstens 989 van die apparaten stonden in Nederland aan internet. Ongeveer zestig hadden meerdere kwetsbaarheden met een hoge ernst[20].

Op 28 november 2023 schreef CISA dat aanvallers een Unitronics-besturing bij een Amerikaans waterbedrijf waarschijnlijk bereikten doordat het apparaat aan internet hing en het wachtwoord zwak was[21]. De waterautoriteit zette het systeem offline en ging over op handbediening. CISA zag geen bekend risico voor het drinkwater[22]. Advies AA23-335A, herzien op 18 december 2024, telt minstens 75 geraakte apparaten tussen november 2023 en januari 2024, waarvan minstens 34 in de Amerikaanse water- en afvalwatersector[23]. Die apparaten hadden een standaardwachtwoord of geen wachtwoord[24]. Het advies vraagt fabrikanten de standaardinstellingen te wijzigen zodat een beheerinterface niet aan internet hangt. Het telt niet hoeveel apparaten zo'n pagina tonen[25].

Het Franse incidentencentrum CERT-FR, het Computer Emergency Response Team van de Franse overheid, weet volgens alert CERTFR-2026-ALE-012 van veel compromitteringen van afstandsbesturingen van koelinstallaties, series Danfoss AK-SM en AK-SC, Copeland xweb en Dixell xweb. Eerste versie 12 oktober 2026, laatst bijgewerkt 16 oktober 2026[26]. Een beheerinterface aan internet gaat volgens het centrum in het algemeen tegen de goede praktijk in[27].

Het paper Understanding the Mirai Botnet, op de conferentie USENIX Security in augustus 2017, beschrijft een botnet van vooral ingebouwde computers en apparaten in het internet der dingen (IoT). De meting over zeven maanden komt tot een piek van 600.000 besmettingen[28]. De snelle verspreiding hing samen met standaardwachtwoorden van IoT-producten[29].

Verkada schreef op 9 maart 2021 dat de aanvallers binnenkwamen via een verkeerd geconfigureerde ondersteuningsserver die aan internet hing[30]. Beelden van 97 klanten zijn bekeken, minder dan twee procent van ongeveer 6.000 klanten[31].

In een scriptie van 14 maart 2014 zette Roland Bodenheim vier nagebootste besturingen neer. Alle vier stonden binnen 19 dagen in Shodan. De geciteerde tekst is alleen de samenvatting op de repository van het Air Force Institute of Technology. De pdf van de scriptie is niet gedownload[32].

Wat 6G en AI toevoegen

Deze indexen gaan over apparaten die er nu zijn. Een bron die zo'n index aan 6G koppelt, is niet gevonden.

ZoomEye publiceert een gids voor AI-agents, laatst gecontroleerd op 22 september 2026. De doelgroep is onder meer AI-agents[33]. De gids beschrijft een vaardigheid die een bedoeling omzet in een zoekopdracht. Dat is hun producttekst. Het is geen meting dat een agent kwetsbare apparaten vindt of iemands eigen beveiliging controleert[34]. Een zoekresultaat is volgens ZoomEye geen toestemming om in te loggen[35].

Bewijs · 6
01 · FEIT

In 2019 stonden 989 besturingen in Nederland open

Het rapport van 21 juni 2019, in opdracht van het Wetenschappelijk Onderzoek- en Documentatiecentrum (WODC), concludeert dat minstens duizend, namelijk 989, ICS/SCADA-apparaten, systemen voor industriële besturing en procesbewaking, in Nederland aan internet blootstonden. De onderzoekers zochten met Shodan. Ongeveer zestig van die apparaten hadden meerdere kwetsbaarheden met een hoge ernst.

«at least one thousand (989) ICS/SCADA devices in the Netherlands are exposed on the Internet (see Chapter 3 ), c) around sixty of these devices have multiple vulnerabilities with a high severity level»
02 · FEIT

CISA en de NSA noemen Shodan als bron van open adressen

Advies AA20-205A van 23 juli 2020, laatst herzien op 24 oktober 2020, zegt dat oude operationele technologie niet is ontworpen tegen kwaadaardige cyberactiviteit. Samen met open informatie die zulke apparaten aan internet aanwijst, met Shodan als voorbeeld, noemen de Amerikaanse dienst voor cyberveiligheid CISA en de inlichtingendienst NSA (National Security Agency) dat een perfecte storm van makkelijke toegang tot onbeveiligde apparaten.

«Legacy OT assets that were not designed to defend against malicious cyber activities, combined with readily available information that identifies OT assets connected via the internet (e.g., Shodan,[2] Kamerka [3]), are creating a “perfect storm” of 1) easy access to unsecured assets»
03 · FEIT

Minstens 75 Unitronics-besturingen zijn geraakt

Advies AA23-335A, laatst herzien op 18 december 2024, schrijft dat CyberAv3ngers tussen november 2023 en januari 2024 Amerikaanse Unitronics-PLC's, programmeerbare besturingscomputers, aanviel in kritieke sectoren, waaronder water. Minstens 75 apparaten zijn gecompromitteerd, waarvan minstens 34 in de Amerikaanse water- en afvalwatersector.

«The actors compromised at least 75 devices, including at least 34 in the WWS Sector in the United States.»
04 · FEIT

Een zoekopdracht wijst meteen IP-adressen aan

Het Nationaal Cyber Security Centrum (NCSC) schrijft dat partijen continu alle IP-adressen van internet scannen en van gevonden apparaten vastleggen wat het is en welke softwareversie draait. Het scannen zelf doet volgens het centrum in eerste instantie geen directe schade. Het risico is dat de informatie blijft liggen, zodat een zoekopdracht na een lek gericht IP-adressen kan aanwijzen. De pagina is aangemaakt op 13 november 2025 en gewijzigd op 20 juli 2026.

«Met een simpele zoekopdracht in de opgebouwde database kan een cybercrimineel heel gericht bepaalde IP-adressen aanvallen.»
05 · FEIT

Volgens het CERT-FR hoort een beheerinterface niet aan internet

In hetzelfde alert schrijft het CERT-FR, het Franse Computer Emergency Response Team van de overheid, dat het blootstellen van een beheerinterface aan internet in het algemeen tegen de goede praktijk ingaat.

«De manière générale l'exposition d'une interface de gestion sur Internet est contraire aux bonnes pratiques.»
06 · FEIT

Bij Verkada zijn beelden van 97 klanten bekeken

In het incidentrapport van Verkada over 8 en 9 maart 2021 staat dat aanvallers camera's van 97 klanten benaderden en video of beeld bekeken. Dat was minder dan twee procent van ongeveer 6.000 klanten. Acht klanten hadden ook toegangscontrolegegevens geraakt, en acht hun wifi-gegevens.

«In all, 97 customers had their cameras accessed and video or image data viewed. Eight of those customers had Access Control product data accessed, including badge credentials. Separately, eight customers had their wifi credentials accessed. In total, this represents less than two percent of Verkada’s approximately 6,000 customer population.»
Grens en tegengeluid

De onderzoekers van Twente hebben niet onderzocht of de 989 apparaten vitale infrastructuur aansturen. Het is volgens hen mogelijk dat die apparaten niet aan de vitale infrastructuur hangen[36].

Censys zegt geen authenticatie te omzeilen[7]. In een blog van 5 november 2025 schrijft Censys dat het nieuwe diensten gemiddeld in ongeveer 12,3 uur zag, tegen 76,5 uur bij Shodan. Dat is een eigen meting, geen onafhankelijke audit[37]. In hetzelfde blog vergeleek Censys zich ook met Shodan, FOFA, ZoomEye en Netlas[38].

Bodenheim schrijft dat er na de indexering geen extra gerichte aanvallen waren in die proef[39].

De sheriff van Pinellas County meldde op 8 februari 2021 een inbraak op de computer van de waterzuivering van Oldsmar, op 5 februari 2021. Bevoegde gebruikers kunnen dat systeem op afstand openen om storingen te verhelpen. Om 13.30 uur zag een operator dat een tweede sessie de hoeveelheid natriumhydroxide verhoogde. De operator zette de waarde terug[40]. De sheriff zei dat het publiek niet in gevaar is geweest[41].

Bij een koelbesturing zonder beveiligingsupdate is volgens het CERT-FR alleen een fabrieksreset niet genoeg. De achtergelaten sporen gaan weg, het apparaat blijft kwetsbaar en wordt volgens het centrum vrijwel zeker opnieuw geraakt[42].

Het NCSC noemt het Dutch Institute for Vulnerability Disclosure (DIVD) als partij die eigenaren waarschuwt over kwetsbaarheden die het zelf vond of die openbaar bekend zijn[43].

07 · FEIT

Niet aangetoond dat die 989 besturingen vitaal zijn

De onderzoekers hebben niet onderzocht hoe de gevonden apparaten worden gebruikt, en ook niet wat een inbraak werkelijk zou doen. Het is volgens hen mogelijk dat de vitale infrastructuur in Nederland veilig is, en dat de gevonden apparaten niet of niet meer aan die infrastructuur hangen.

«this study did not investigate how the detected devices are being used, nor the real impact that a hack of one of these devices would have.»
08 · FEIT

De snelheid van Censys is een eigen meting

In een blog van 5 november 2025 schrijft Censys dat het nieuwe diensten gemiddeld in ongeveer 12,3 uur zag, met een mediaan van 5,7 uur. Voor Shodan noemt hetzelfde stuk een gemiddelde van 76,5 uur en een mediaan van 60,9 uur. Dat is een eigen meting van Censys, geen onafhankelijke audit.

«Censys detected new services in about 12.3 hours on average (5.7 hours median), much faster than Shodan’s 76.5-hour average (60.9-hour median)»
09 · FEIT

In Oldsmar is het publiek niet in gevaar geweest

Sheriff Gualtieri zei op de persconferentie van 8 februari 2021 dat het behandelde water op geen moment een aanzienlijk effect had, en dat het publiek niet in gevaar is geweest. Dit feit is die verklaring. Een latere zin van de Amerikaanse federale recherche FBI dat een gerichte inbraak niet is bevestigd, is niet als FBI-document geopend.

«At no time was there a significant effect on the water being treated, and more importantly the public was never in danger.”»
10 · FEIT

Na indexering geen extra gerichte aanvallen in die proef

Bodenheim schrijft dat er na de indexering geen toegenomen netwerkactiviteit was en geen gerichte aanvallen op industriële besturing (ICS, industrial control systems). Shodan was in de proef een effectief verkenningsmiddel. De uitkomst spreekt volgens hem claims tegen dat Shodan breed wordt gebruikt om zulke apparaten aan internet te vinden en aan te vallen.

«Despite being indexed, there was no increased network activity or targeted ICS attacks.»
11 · FEIT

Alleen een fabrieksreset is volgens het CERT-FR niet genoeg

Het CERT-FR, het Franse Computer Emergency Response Team van de overheid, schrijft dat aanvallen op deze apparaten waarschijnlijk nog lopen. Bij een apparaat zonder beveiligingsupdate is alleen een fabrieksreset niet genoeg. De achtergelaten sporen gaan weg, het apparaat blijft kwetsbaar en wordt volgens het centrum vrijwel zeker opnieuw geraakt.

«N'effectuer qu'un Reset Factory est dans ce cas insuffisant, les persistances d'une instance compromise seront supprimées mais l'équipement restera vulnérable et sera certainement de nouveau compromis.»
Bronnen bij de tekst
  1. 01Shodan noemt zich een zoekmachine voor apparaten die direct aan internet hangenShodan, What is Shodan? (Help Center) (2026)
  2. 02Shodan bewaart vooral de banner van een dienstShodan, What is Shodan? (Help Center) (2026)
  3. 03Shodan filtert zoekresultaten op landShodan, Search Query Fundamentals (Help Center) (2026)
  4. 04De crawlers van Shodan werken continuShodan, Crawler Algorithm (Shodan Book) (2026)
  5. 05Shodan wil het internet eens per week willekeurig langslopenShodan, Crawler Algorithm (Shodan Book) (2026)
  6. 06Censys scant het publieke IPv4-bereik en logt niet inCensys, Censys: Internet Scanning (2026)
  7. 07Censys zegt geen authenticatie te omzeilenCensys, Censys: Opt Out of Data Collection (2026)
  8. 08Censys verkoopt een module voor blootgestelde industriële besturingCensys, Censys: Critical Infrastructure (2026)
  9. 09Censys levert schermafdrukken van een open industriële interfaceCensys, Censys: Critical Infrastructure (2026)
  10. 10ZoomEye noemt zich een zoekmachine voor apparaten op internetZoomEye, ZoomEye: cyberspace asset search (2026)
  11. 11Criminal IP zoekt dreigingen op apparaten die aan internet hangenCriminal IP, Criminal IP homepage (2026)
  12. 12FOFA noemt zich een zoekmachine voor de kaart van internetFOFA, About Us (FOFA, read 2 November 2026)
  13. 13FOFA noemt zelf meer dan 4 miljard assetsFOFA, About Us (FOFA, read 2 November 2026)
  14. 14CISA en de NSA noemen Shodan als bron van open adressen van besturingCISA, AA20-205A — exposure of OT (2020)
  15. 15CISA en de NSA: koppel systemen los die internet niet nodig hebbenCISA, AA20-205A — exposure of OT (2020)
  16. 16CISA en de NSA verbieden standaardwachtwoorden op besturingCISA, AA20-205A — exposure of OT (2020)
  17. 17Het NCSC: een zoekopdracht in scangegevens wijst meteen IP-adressen aanNCSC, NCSC: Het internet wordt gescand (2025)
  18. 18Het NCSC: alleen scannen is meestal niet strafbaarNCSC, NCSC: Het internet wordt gescand (2025)
  19. 19De Universiteit Twente: Shodan maakt ICS-apparaten uiterst makkelijk vindbaarUniversiteit Twente, UT/WODC: ICS/SCADA in Nederland (2019)
  20. 20In 2019 vond de Universiteit Twente 989 ICS-apparaten in Nederland via ShodanUniversiteit Twente, UT/WODC: ICS/SCADA in Nederland (2019)
  21. 21CISA: een Unitronics-PLC bij een waterbedrijf hing aan het open internetCISA, CISA-alert Unitronics PLC's (2023)
  22. 22CISA zag geen bekend risico voor het drinkwaterCISA, CISA-alert Unitronics PLC's (2023)
  23. 23Minstens 75 Unitronics-apparaten zijn gecompromitteerd, waarvan 34 bij Amerikaans waterCISA, AA23-335A — Unitronics PLC's (2024)
  24. 24De PLC's hingen aan internet met een standaardwachtwoord of zonder wachtwoordCISA, AA23-335A — Unitronics PLC's (2024)
  25. 25CISA: verander standaardinstellingen zodat een beheerinterface niet aan internet hangtCISA, AA23-335A — Unitronics PLC's (2024)
  26. 26Het CERT-FR weet van veel compromitteringen van koelbesturingenCERT-FR, CERTFR-2026-ALE-012 — refrigeration controllers
  27. 27Het CERT-FR: een beheerinterface hoort niet aan internetCERT-FR, CERTFR-2026-ALE-012 — refrigeration controllers
  28. 28Mirai bestond vooral uit IoT-apparaten en piekte op 600.000 infectiesUSENIX, Understanding the Mirai Botnet (USENIX Security 2017)
  29. 29Mirai verspreidde zich met standaardwachtwoorden van IoT-productenUSENIX, Understanding the Mirai Botnet (USENIX Security 2017)
  30. 30De ingang was een ondersteuningsserver van Verkada aan het open internetVerkada, Verkada incident report (2021)
  31. 31Bij Verkada zijn beelden van 97 klanten bekekenVerkada, Verkada incident report (2021)
  32. 32Vier nagebootste PLC's stonden binnen 19 dagen in ShodanAir Force Institute of Technology, Bodenheim: Shodan en ICS (2014)
  33. 33ZoomEye publiceert een gids voor AI-agentsZoomEye, ZoomEye Agent Guide (last verified 22 September 2026)
  34. 34ZoomEye leert een AI-agent een vraag om te zetten in een zoekopdrachtZoomEye, ZoomEye Agent Guide (last verified 22 September 2026)
  35. 35Een ZoomEye-zoekresultaat is geen toestemming om in te loggenZoomEye, ZoomEye Agent Guide (last verified 22 September 2026)
  36. 36Niet aangetoond dat die 989 apparaten vitale infrastructuur aansturenUniversiteit Twente, UT/WODC: ICS/SCADA in Nederland (2019)
  37. 37Censys meldt zelf dat het nieuwe diensten sneller zag dan ShodanCensys, Censys: Ten Years Later (2025)
  38. 38Censys zette zichzelf af tegen Shodan, FOFA, ZoomEye en NetlasCensys, Censys: Ten Years Later (2025)
  39. 39Indexeren in Shodan leidde in die proef niet tot extra gerichte aanvallenAir Force Institute of Technology, Bodenheim: Shodan en ICS (2014)
  40. 40De sheriff van Pinellas meldde een ingreep in de waterzuivering van OldsmarPinellas County Sheriff's Office, Pinellas: Oldsmar water plant (2021)
  41. 41De sheriff zei dat het publiek niet in gevaar is geweestPinellas County Sheriff's Office, Pinellas: Oldsmar water plant (2021)
  42. 42Alleen een fabrieksreset is volgens het CERT-FR niet genoegCERT-FR, CERTFR-2026-ALE-012 — refrigeration controllers
  43. 43Het NCSC noemt DIVD als partij die eigenaren van kwetsbare apparaten waarschuwtNCSC, NCSC: Het internet wordt gescand (2025)
Volgend onderwerp
Slimme meter

Sinds de Energiewet moeten analoge en digitale eenrichtingsmeters worden vervangen, en meewerken is wettelijk verplicht. Wie niet kiest voor een slimme meter, krijgt een digitale meter.

Lees verder →

Lees ook

↑ Terug naar IoT