Samtidig som de fleste hygget seg i solen med late dager og ferie, har det vært høytid for dataangrep. I USA ble 30 vannverk i Minnesota forsøkt kompromittert av det som trolig er cyberaktører fra Iran. FBI har bekreftet at syv delstater har opplevd liknende angrep. Operasjonene må leses inn i den pågående krigen mellom USA og Iran.
Selv om Norge ikke har opplevd tilsvarende koordinerte operasjoner, har flere norske virksomheter blitt utsatt for dataangrep. Blant annet tjenestenektangrepene mot Norsk Tipping og Digitaliseringsdirektoratet. Hos sistnevnte ble både ID- og maskinporten utilgjengelig. Maskinporten benyttes for deling og tilgang til data mellom virksomheter.
Dermed fikk verken norske borgere eller virksomheter tilgang til data i offentlige registre. Altså det som får forvaltningen til å fungere.
I tillegg ble sensitive personopplysninger fra datainnbruddet mot Lørenskog kommune publisert på det mørke nettet. Dataene inneholder bekymringsmeldinger til barnevernet og journaler fra psykologtjenester for barn og unge.
Irriterende, ikke farlig?
NSM uttalte i etterkant av angrepet mot Digitaliseringsdirektoratet at tjenestenektangrep er irriterende, men ikke farlig. Er det virkelig ikke alvorlig at flere tjenester i offentlig sektor blir utilgjengelige i over ett døgn? Hva avgjør egentlig om et dataangrep går fra å bare være irriterende, til å bli farlig?
Uten detaljkunnskap om hvilke tjenester som blir utilgjengelige og hva de brukes til, kan være fort gjort å innta et snevert teknisk perspektiv. Selv om tjenestenektangrep ofte er i den lavere enden av skalaen for hvor avansert et angrep er, kan det få betydelige konsekvenser at en viktig tjeneste er utilgjengelig når den virkelig trengs.
Nedetid kan være kritisk
Et fiktivt eksempel kan være at en ansatt i helsevesenet umiddelbart må ha tilgang på sykdoms- og medisinhistorikk på en person som ikke kan gjøre rede for seg. Da kan et tjenestenektangrep mot tjenesten i verste fall være dødelig. Da hjelper det lite å forklare de pårørende at angrepet teknisk sett var lite avansert, at det skjer til stadighet, og at det bare varte i under ett døgn.
Tilsvarende kan de sensitive personopplysningene fra dataangrepet mot Lørenskog kommune benyttes til utpressing. Dersom det skulle vise seg å være personer av spesiell interesse i materialet, for eksempel nøkkelpersonell i kritiske virksomheter, kan informasjonen bli brukt til å presse enkeltpersoner. For eksempel til å utlevere informasjon som er unntatt offentlighet. Med andre ord et typisk spionasje-scenario.
Undergraver tillit
Ved vurderingen av konsekvenser bør vi derfor fokusere mindre på hvor teknisk avansert en angrepsmetode er, og mer på de potensielle effektene for enkeltindivider, virksomheter, samfunn og stat.
.jpg)
Selv om tjenestenektangrep mot et fåtall virksomheters nettsider har begrenset skadepotensial, var ikke angrepet mot Digitaliseringsdirektoratets tjenester i denne kategorien. De er tvert imot sentrale autentiseringstjenester for offentlig forvaltning. Vil man vite hvem som benytter tjenestene er det bare å spørre ChatGPT eller Claude.
På lengre sikt er dataangrep mot sentrale virksomheter i offentlig sektor med på å undergrave tillitten til forvaltningen. Borgere som ikke vet om sensitive personopplysninger blir lagret forsvarlig, kan unngå å søke helsehjelp. Derfor er det kritisk at kommuner og offentlige etater etablerer sikre løsninger og beredskapstiltak slik at offentlige tjenester opprettholdes. Selv når de utsettes for ekstern, uønsket påvirkning.
NSM-sjefen vil ha nasjonal sky: – Ikke svaret på alt, advarer Tek Norge
