Het klinkt als een slechte film: een medewerker plugt een USB-stick in een werkstation op de fabrieksvloer, en binnen vier uur staat de hele productielijn stil. Geen ransomware-e-mail, geen phishing-link, geen zero-day exploit via het internet. Gewoon een klein stukje plastic met een USB-connector. Toch is dit scenario geen fictie. Het gebeurt vaker dan u denkt, en de gevolgen zijn verwoestend.
Removable media, en dan vooral USB-sticks, zijn al jaren de nummer één infectievector in operationele technologie-omgevingen. Dat is geen mening, maar een feit dat keer op keer wordt bevestigd door onderzoeksrapporten van Honeywell, Dragos en het ICS-CERT. In 2023 rapporteerde Honeywell dat 52% van alle malware die werd gedetecteerd in industriële omgevingen via USB-apparaten binnenkwam. Meer dan de helft. Laat dat even bezinken.
De les van Stuxnet die niemand heeft geleerd
Het meest beruchte voorbeeld van een USB-aanval op OT is natuurlijk Stuxnet. In 2010 werd de Iraanse uraniumverrijkingsfaciliteit in Natanz geïnfecteerd via een USB-stick. De malware was zo geavanceerd dat hij specifiek de Siemens S7-300 PLC's targette die de centrifuges aanstuurden. Het resultaat: honderden centrifuges werden onherstelbaar beschadigd, terwijl de operators op hun schermen zagen dat alles normaal functioneerde.
U zou denken dat de wereld na Stuxnet wakker was geschud. Dat organisaties met OT-omgevingen onmiddellijk hun USB-beleid zouden aanscherpen. Maar dat is niet wat er gebeurde. In de praktijk zien we dat de meeste industriële organisaties in 2026 nog steeds geen effectief beleid hebben rondom removable media. Sterker nog: veel organisaties zijn er slechter aan toe dan tien jaar geleden, omdat de complexiteit van hun OT-netwerken is gegroeid terwijl het beveiligingsbeleid stilstond.
Hoe het in de praktijk misgaat
Laten we eerlijk zijn: de meeste USB-incidenten in OT-omgevingen worden niet veroorzaakt door spionnen die stiekem malafide sticks achterlaten op parkeerplaatsen. De werkelijkheid is veel banaler en daardoor moeilijker te bestrijden.
De servicemonteur die langskomt voor onderhoud aan een PLC heeft een laptop bij zich die ook op andere locaties wordt gebruikt. Op die laptop staan configuratiebestanden, firmware-updates en diagnostische tools, allemaal uitgewisseld via USB. Diezelfde laptop was vorige week verbonden met het kantoornetwerk van een andere klant. Niemand controleert of die USB-stick schoon is voordat hij in het OT-werkstation wordt gestoken.
Of de operator die thuis een presentatie heeft voorbereid op zijn persoonlijke computer, waar zijn kinderen games op downloaden van dubieuze websites. De presentatie staat op een USB-stick die de volgende ochtend in het HMI-werkstation op de fabrieksvloer belandt. Dat werkstation draait Windows 7, want de SCADA-leverancier heeft nog geen update uitgebracht die compatibel is met een nieuwer besturingssysteem.
Realiteit: Volgens Honeywell's 2023 USB Threat Report was 26% van de gedetecteerde USB-malware in staat om ernstige verstoringen te veroorzaken in industriële processen, waaronder verlies van zichtbaarheid op operaties en verlies van controle over systemen.
Anatomie van een USB-aanval: stap voor stap
Om te begrijpen waarom USB-aanvallen zo effectief zijn in OT-omgevingen, is het belangrijk om het verloop van zo'n aanval te begrijpen. Hieronder een realistische tijdlijn van hoe een USB-stick een productielijn kan platleggen:
De USB-stick wordt aangesloten
Een monteur plugt een geïnfecteerde USB-stick in een engineering workstation om een PLC-configuratie te uploaden. Windows herkent het apparaat en voert automatisch een autorun-script uit, of de monteur opent een bestand dat een verborgen payload bevat.
Malware nestelt zich op het werkstation
De malware installeert zich op het werkstation. Omdat het systeem geen actuele antivirus draait (gebruikelijk in OT), wordt de infectie niet gedetecteerd. De malware scant het lokale netwerk op zoek naar andere systemen.
Laterale verspreiding binnen het OT-netwerk
Via het platte OT-netwerk (zonder segmentatie) verspreidt de malware zich naar HMI-werkstations, historians en andere engineering stations. Omdat OT-netwerken zelden monitoring hebben, merkt niemand iets.
Eerste symptomen op de productievloer
Operators merken dat HMI-schermen traag reageren of vreemde waarden tonen. Dit wordt aanvankelijk afgedaan als een softwareprobleem of netwerkstoring. Niemand denkt aan een cyberincident.
Productie valt stil
PLC's ontvangen incorrecte commando's of de communicatie met de SCADA-server valt uit. Veiligheidsprotocollen treden in werking en schakelen processen af. De productielijn staat stil.
Crisisteam wordt bijeengeroepen
Pas nu wordt een cybersecurity-incident vermoed. Het crisisteam begint met onderzoek. Maar zonder forensische tools, zonder logbestanden en zonder netwerk-monitoring in de OT-omgeving is het zoeken naar een speld in een hooiberg.
Herstel en herbouw
Systemen moeten handmatig worden gecontroleerd, schoongemaakt en herbouwd. PLC-programma's worden opnieuw geladen vanuit backups (als die bestaan). De productie ligt stil totdat elk systeem is geverifieerd. Kosten: honderdduizenden euro's aan verloren productietijd.
Waarom air-gapped systemen niet veilig zijn
Een van de hardnekkigste mythes in OT-security is dat air-gapped systemen, systemen die fysiek niet verbonden zijn met het internet, veilig zijn. Dit is een gevaarlijke misvatting, en USB-sticks zijn precies de reden waarom.
Een air-gapped systeem heeft per definitie behoefte aan een fysiek transportmechanisme voor data. Software-updates, configuratiewijzigingen, receptuurbestanden, logbestanden die moeten worden geëxporteerd: al deze data wordt via USB-sticks of externe harde schijven getransporteerd. De air gap creëert dus niet minder, maar juist meer afhankelijkheid van removable media.
Stuxnet bewees dit op spectaculaire wijze. De uraniumverrijkingsfaciliteit in Natanz was volledig air-gapped. Maar omdat updates en configuraties via USB werden geladen, was de air gap precies het mechanisme waardoor de aanval succesvol was. De air gap gaf de operators een vals gevoel van veiligheid: zij controleerden de USB-sticks niet, want het systeem was immers niet verbonden met het internet.
Inzicht: Een air gap is geen beveiligingsmaatregel. Het is een netwerkarchitectuurkeuze die de aanvalsvector verschuift van het netwerk naar fysieke media. Zonder aanvullende controles op die fysieke media bent u kwetsbaarder dan een systeem met internetverbinding én goede monitoring.
Wat u vandaag nog kunt doen
Het goede nieuws is dat USB-dreigingen in OT-omgevingen beheersbaar zijn, mits u bereid bent om beleid en technologie samen in te zetten. Hier zijn de maatregelen die wij bij onze klanten implementeren:
1. Stel een formeel removable media beleid op. Dit klinkt voor de hand liggend, maar het ontbreekt bij de meerderheid van onze klanten bij de eerste assessment. Het beleid moet specifiek zijn: welke USB-apparaten zijn toegestaan, wie mag ze gebruiken, op welke systemen, en onder welke voorwaarden.
2. Implementeer USB-kiosken. Een USB-kiosk is een standalone systeem waarop elke USB-stick verplicht wordt gescand voordat hij in het OT-netwerk mag worden gebruikt. Alleen goedgekeurde bestanden worden overgezet naar een schone, bedrijfseigen USB-stick. Dit breekt de infectieketen op het meest kritieke punt.
3. Blokkeer USB-poorten technisch. Waar USB niet nodig is, schakelt u de poorten uit via groepsbeleid, BIOS-instellingen of fysieke USB-blokkers. Dit is de meest effectieve maatregel, maar vereist een grondige inventarisatie van welke systemen wel USB nodig hebben voor operationele doeleinden.
4. Segmenteer uw OT-netwerk. Als een USB-infectie toch plaatsvindt, moet de schade beperkt blijven. Netwerksegmentatie voorkomt dat malware zich lateraal kan verspreiden van het geïnfecteerde werkstation naar de rest van de productieomgeving. Denk aan zones en conduits conform IEC 62443.
5. Train uw mensen. Medewerkers moeten begrijpen waarom ze niet zomaar een USB-stick in een OT-werkstation mogen steken. Dit geldt voor eigen personeel, maar vooral voor externe leveranciers en monteurs. Maak USB-beleid onderdeel van uw toegangs- en veiligheidsinstructies.
6. Monitor en detecteer. Implementeer endpoint detection op OT-werkstations waar mogelijk, en monitor in elk geval het netwerkverkeer op ongebruikelijke patronen. Als u niet kunt zien wat er op uw netwerk gebeurt, kunt u een USB-aanval niet detecteren totdat de productie stilstaat.
De werkelijke kosten van nalatigheid
Een gemiddelde productiestilstand in de maakindustrie kost tussen de 10.000 en 50.000 euro per uur. Een USB-incident dat 48 uur duurt, en dat is realistisch als u geen incident response plan heeft voor OT, kan dus eenvoudig oplopen tot meer dan een miljoen euro. Tel daarbij op: forensisch onderzoek, hervalidatie van processen, mogelijke milieuschade, reputatieschade bij klanten en eventuele NIS2-meldplichten.
Een USB-kiosk kost een fractie hiervan. Een goed removable media beleid kost nog minder. De vraag is niet of u het zich kunt veroorloven om deze maatregelen te nemen. De vraag is of u het zich kunt veroorloven om het niet te doen.
Bij Resotech zien we wekelijks organisaties die denken dat hun OT-omgeving veilig is omdat er een firewall staat en het netwerk niet direct aan het internet hangt. Wij vragen dan: heeft u gecontroleerd wat er de afgelopen maand via USB uw productieomgeving is binnengekomen? Het antwoord is vrijwel altijd stilte.
Laat die stilte niet het voorspel zijn van een productiestilstand.