Mener svak sikkerhet hos IT-leverandør kostet dem 65 millioner

Btec, som leverer høyteknologiske maskinkomponenter, saksøker sin tidligere IT-leverandør Nordlo etter hackingen som satt produksjonsbedriften ut av spill i april 2021.

Bømlo-selskapet mener Nordlo brøt kontrakten da IT-leverandøren ikke klarte å fremskaffe dataene deres etter løsepenge-angrepet.

I Haugaland og Sunnhordland tingrett i juni fjor fikk ikke Btec medhold, selv om tingretten mente Nordlo brøt egne driftsvilkår.

Tapte forrige sak

Da fikk produksjonsbedriften åtte tusen kroner i erstatning, men selskapet måtte likevel dekke Nordlos sakskostnader på 2,2 millioner kroner.

Som følge av hackingen mistet Btec sitt historiske grunnlag for maskineringsvirksomheten. Det rammet dem hardt.

Btec mener hackingen har kostet dem opp mot 65 millioner kroner. Bømlo-selskapet påstår at de overlot dataene sine til Nordlo i tro om at de ble oppbevart og håndtert på en trygg og sikker måte.

Det var hackerne fra gruppen Ryuk som tok seg inn i Nordlos systemer fra Østerrike og Taiwan via lekkede passord og brukernavn.

Krypterte alt innhold

Med tilgang til selskapets terminalservere, tok de kontroll over hele IT-selskapets driftsmiljø. Alt innhold på Nordlos servere ble kryptert, og tross gjentatte forsøk, klarte ikke IT-leverandøren å gjenopprette Btecs data.

Bømlo-selskapet mener derfor de har betalt for en tjeneste de ikke har fått levert. I sluttinnlegget hevder de at Nordlo sviktet på grunnleggende sikkerhet- og backup-rutiner og ikke fulgte NSMs prinsipper for sikkerhet.

De viser til en rapport fra Defendable som viser til at Nordlo ikke delte opp nettverket i trygge soner og at de manglet god tilgangsstyring.

Sviktet

Defandable-rapporten peker også på at Nordlo sviktet i overvåkningen av egen infrastruktur og at de ikke holdt programvaren godt nok oppdatert.

At angrepet ble oppdaget manuelt, og ikke av selskapets automatiserte varslingssystemer, mener Btec er illustrerende for det de mener er mangelfull sikkerhetskultur.

Btec påstår derfor at de har betalt for en tjeneste som leverte langt dårligere enn det de kunne forvente av en profesjonell IT-leverandør.

Nordlo er ikke enig i at de ikke overholdt sin side av avtalen. Alle Btecs data på filserveren var intakte etter angrepet, påpeker selskapet.

At selskapets virksomhetskritiske data likevel gikk tapt, mener Nordlo at Btec selv må bære ansvaret for.

Lagret feil

Bømlo-selskapet lagret disse dataene på feil filområde, sammenfatter de i sitt sluttinnlegg. Om Btech hadde oppbevart dataene på korrekt sted, ville de også blitt gjenopprettet.

Nordlo viser videre til egne vilkår hvor det heter at kunden selv er ansvarlig for å sikre egne data.

IT-leverandøren bemerker også at Btec kun betalte 3000 kroner i måneden for tjenestene de kjøpte hos dem.

Da får de heller ikke driftsleveranser med det aller høyeste sikkerhetsnivået. Det måtte i så fall Btec betalt ekstra for og bestilt som en tilleggstjeneste.

Nordlo poengterer samtidig at Btec unnlot å stille på oppstartsmøte da kundeforholdet ble overført til dem. Btec ytret heller aldri noe ønske om ekstra rådgivning eller sikkerhetstiltak, ifølge Nordlo.

«Worst case»

IT-leverandøren er heller ikke enig i at de ikke har gode sikkerhetsrutiner. De bemerker at de daglig sjekker både brannmur og backup-systemer.

Selskapet går også gjennom ulike «worst case»-scenarier regelmessig. De har egne kriseplaner for hvordan alt fra naturkatastrofer til brann og hackerangrep skal håndteres.

At de ikke har automatisk overvåkning av egen infrastruktur stemmer heller ikke, ifølge IT-selskapet.

Nordlo påpeker også at Btec aldri ga uttrykk for at de trengte ekstra rådgivning da tjenestene ble satt opp og konfigurert. At Btec lagret sine kritiske data på feil server, var helt ukjent for dem frem til angrepet.

Om driftsleverandøren satt på slik informasjon, ville de iverksatt ekstratiltak, påstår de.

Nordlo stiller seg også spørrende til Btecs påståtte tap på 65 millioner kroner. Driftsleverandøren sier de bare har sett tre fakturaer for salg av CNC-maskiner i tillegg til revisjonskostnader på 1,1 million kroner.

Digi har vært i kontakt med Btec og Nordlo. De har ikke besvart våre henvendelser.