Firewallfabrikant SonicWall is zwaar getroffen door een datalek dat de beveiligingswereld opschudt. Wat aanvankelijk leek op een beperkt incident, blijkt nu een volledig compromis van alle cloudback-ups van klanten te zijn. Voor industriële organisaties die SonicWall inzetten als onderdeel van hun OT-securityarchitectuur, is dit nieuws ronduit verontrustend.

Midden september meldde SonicWall een inbraak in zijn cloudomgeving, waarbij configuratieback-ups van klanten zijn buitgemaakt. Aanvankelijk sprak het bedrijf van een beperkte impact: slechts zo’n vijf procent van de gegevens zou zijn getroffen. Inmiddels blijkt dat optimisme onterecht. In samenwerking met incidentresponse-specialist Mandiant, onderdeel van Google, heeft SonicWall vastgesteld dat alle gebruikers van de optionele cloudback-updienst zijn geraakt. Dit betekent dat de configuratiebestanden van duizenden firewalls – inclusief versleutelde inloggegevens en netwerkdetails – in handen van aanvallers zijn.

De optionele cloudback-upfunctie, bedoeld om beheerders gemak te bieden door configuraties automatisch op te slaan bij de fabrikant, blijkt nu de zwakke schakel. Hoewel de gegevens versleuteld zijn, kunnen ze in combinatie met andere kwetsbaarheden en bekende exploits worden gebruikt voor gerichte aanvallen. De risico’s zijn groot, zeker voor industriële omgevingen waar SonicWall-firewalls vaak een cruciale rol spelen in de bescherming van OT-netwerken en segmentatie tussen kantoor- en productiesystemen.

Onmiddellijke actie nodig

SonicWall roept alle klanten en partners met klem op om onmiddellijk in actie te komen. Beheerders moeten inloggen op het MySonicWall-portaal en controleren welke apparaten betrokken zijn. Daarbij adviseert het bedrijf om de prioriteit te leggen bij actief gebruikte systemen. Er zijn inmiddels herstelcategorieën opgesteld die richting geven aan patching en mitigatie. Firmware-updates, sterke wachtwoorden, Multi-Factor Authenticatie en het verwijderen van ongebruikte accounts zijn geen aanbevelingen meer, maar absolute noodzaak.

Daarbij komt dat SonicWall in de afgelopen maanden al te maken had met ernstige kwetsbaarheden, waaronder CVE-2024 – 40766 en CVE-2025 – 40599. Vooral Gen 7‑firewalls met ingeschakelde SSLVPN-diensten zijn het doelwit van actieve aanvallen. SonicWall adviseert om deze functie tijdelijk uit te schakelen of direct te updaten.

Er zijn inmiddels ook concrete aanwijzingen dat cybercriminelen de gestolen configuraties al gebruiken. Onderzoekers hebben sporen gevonden die wijzen op betrokkenheid van de ransomwaregroep Akira, mogelijk in combinatie met andere actoren. De eerste aanvalscampagnes lijken al te zijn gestart, wat de urgentie voor snelle actie verder vergroot.

Niemand is immuun

Het incident legt een pijnlijke realiteit bloot: zelfs fabrikanten van beveiligingsoplossingen zijn niet immuun voor fouten in hun eigen cloudketen. Voor veel bedrijven in de industriële sector is het een waarschuwing om kritisch te kijken naar waar hun meest gevoelige gegevens – zoals firewallconfiguraties – worden opgeslagen. Gebruiksgemak mag nooit belangrijker zijn dan controle over de beveiligingsinfrastructuur.