Novo-hackere rammer it-leverandør til Københavns Kommune

Det er ikke altid det direkte angreb mod en offentlig myndighed, der udgør den største risiko. Nogle gange er det leverandøren i baglandet, der bliver det svage led. Det er præcis, hvad der ser ud til at være sket, efter en hackergruppe, der går under navnet Novo-hackerne, i begyndelsen af september slog til mod den svenske it-leverandør Dustin.

Dustin er et børsnoteret svensk selskab, der leverer mobiltelefoner, computere og software til både private og offentlige kunder — heriblandt Københavns Kommune. Ifølge de oplysninger, der er kommet frem, har hackerne formået at lække omkring 6,2 terabyte data fra selskabets systemer. Det er en betragtelig mængde, som potentielt kan indeholde alt fra interne dokumenter til kundeoplysninger.

Forhandlinger, der brød sammen

Hackerne selv hævder, at et stort it-sikkerhedsfirma er skyld i, at forhandlingerne om angrebet endte med at bryde sammen. Det er et mønster, man ofte ser i ransomware-sager: Når en virksomhed bliver ramt, hyrer de typisk et sikkerhedsfirma til at håndtere krisen og eventuelt forhandle med angriberne. Når de forhandlinger kuldsejler, vælger hackerne ofte at offentliggøre eller sælge det stjålne materiale som en form for pressionsmiddel — og det er tilsyneladende det, der er sket her.

Dustin har siden angrebet arbejdet på at genåbne sine it-systemer og kundeportal, hvilket typisk er en langsommelig proces efter et angreb af denne størrelse. Systemerne skal ikke bare genstartes — de skal først renses grundigt for at sikre, at angriberne ikke stadig har adgang.

Kommunen kender ikke det fulde omfang

For Københavns Kommune er den umiddelbare konsekvens begrænset, men usikkerheden er til at tage og føle på. Kommunens økonomiforvaltning oplyser, at man endnu ikke kender det fulde omfang af hændelsen, men understreger samtidig, at kommunens egen it-drift ikke er blevet påvirket af angrebet.

Sagen er et godt eksempel på, hvorfor forsyningskæde-sikkerhed er blevet et centralt begreb i cybersikkerhedsverdenen. En kommune kan investere massivt i at sikre sine egne systemer, men hvis en ekstern leverandør med adgang til data eller udstyr bliver kompromitteret, opstår der alligevel en risiko, som kommunen ikke selv har fuld kontrol over. Det er en påmindelse om, at offentlige myndigheders it-sikkerhed i praksis strækker sig langt ud over egne servere og firewalls — og at leverandørers sikkerhedsniveau i stigende grad bør være en del af den samlede risikovurdering.