Hackers stelen 30 miljoen euro uit EU-systemen

Op alle nationale sites, dus ook de Nederlandse, is de mogelijkheid om direct te handelen in de certificaten onmogelijk gemaakt. De handelsstop geldt zeker tot komende woensdag. Eurocommissaris Connie Hedegaard (Klimaat) heeft inmiddels een bijeenkomst gehad met de 27 nationale overheden. Na de bijeenkomst zei ze dat haar indruk was dat elke lidstaat de ernst van de situatie inzag en dat de noodzaak van optimale beveiliging werd ingezien voordat alle nationale registersites weer in de lucht mogen komen.

De certificaten zijn bedoeld voor vervuilende bedrijven, die deze 'aflaten' gratis krijgen. Wie zuinig met de eigen koolstofuitstoot omspringt, kan de overtollige certificaten verkopen aan bedrijven die hun limieten overschrijden. De bedoeling is de vervuilers te stimuleren te investeren in schonere technologie. De handel werd eind vorige week stopgezet nadat een Tsjechische handelaar zijn account bekeek en niets meer terugvond van zijn 6,9 miljoen euro aan certificaten.

Dit jaar al drie cyberaanvallen

Naar nu blijkt zijn er vanaf begin deze maand minstens drie beveiligingsincidenten geweest, waarbij de nationale registers van vijf landen mikpunt waren. De EU spreekt zelf van cyberaanvallen en heeft voor alle gedupeerden een vraag- en antwoordpagina in de lucht gebracht. De handelsstop geldt alleen voor de zogeheten spothandel, waarin certificaten direct van eigenaar wisselen en er gelijk een financiële transactie wordt gemaakt.

Vorig jaar werden al incidenten gemeld rond de emissiehandel. In november verdween voor 1,6 miljoen aan emissierechten van een Roemeens bedrijf en eerder dat jaar was er een incident met hackers in Oostenrijk. Bijna een jaar geleden werd er voor 3 miljoen euro aan emissierechten gestolen via de phishingmethode. Daarvan waren zeven Duitse bedrijven het slachtoffer. Verder werd de website van de ruilhandel in juli 'defaced' door milieuactivisten.

'Verandering is nodig'

"Hopelijk is dit een hard signaal dat dingen toch echt moeten veranderen", zei Louis Redshaw, een Britse handelaar van Barclays Capital, tegen financieel persbureau Bloomberg, als reactie op de beveiligingsincidenten. De Nederlandse Emmissieautoriteit (NEa) heeft vorige maand een rapport uitgebracht waarin het stelt dat de handel in emissiecertificaten door criminelen wordt gezien als witwasmiddel. De ministeries van Milieu en Financiën werken aan een meldingsplicht voor ongebruikelijke transacties.

De NEa zal verder investeren in de benodigde hard- en software en kennis en expertise, zo heeft het in december beloofd. De EU heeft aan de deelnemende landen de eis gesteld dat er vooral maatregelen moeten worden genomen op het gebied van beveiligde toegang tot de systemen. De Europese emissieautoriteit denkt daarbij aan een tweede authorisatieplicht, zoals elektronische certificaten of identiteitskaarten. Dat systeem moet vergelijkbaar zijn met dat van internetbankieren.

Te laat met beveiligingupdate

De helft van de 27 Europese landen missen een dergelijk systeem. Tsjechië is er daar een van. Juist vorige week wilde het bedrijf dat zorgt voor die nationale database een hoger niveau aan beveiliging implementeren, maar kwam er toen achter dat het te laat was. Een aantal emissiecertificaten was al gestolen en in het lopende onderzoek worden nog steeds meer vermissingen opgegeven.