Hackerangrep mot energibransjen: – Kan «svært raskt gå fra å kopiere til å ødelegge data»

Farene ved hackerangrep, digital sabotasje, men også trusselaktørers snoking og kartlegging av kritisk infrastruktur er en konstant kilde til bekymring.

En rekke eksperter forteller om et kontinuerlig press mot systemer, som hvis de rammes kan få store konsekvenser for samfunnet.

Kraft- og energiforsyningen i Norge er intet unntak. Bransjen har siden 2015 hatt en egen overvåkningssentral på Lysaker kalt KraftCERT (computer emergency response team), som fanger opp alvorlige og uønskede hendelser.

– Vi kjenner til både en kontinuerlig rekognosering, og noen mer konkrete forsøk på inntrengning, sier lederen for KraftCERT, Margrete Raaum til digi.no.

En del forsøk på kartlegging skjer gjerne i kjølvannet av at sårbarheter i ulike produkter blir kjent. Eller ved at sårbarhetene tas inn som funksjonalitet i angrepsverktøy brukt og solgt av kriminelle.

– Angripere kan rett og slett kjøpe denne typen angrep som en standardtjeneste fra kriminelle, konstaterer Raaum.

Frykter destruktive angrep

Danske energiselskaper har ved flere anledninger vært rammet av målrettet russisk kyberspionasje, melder Jyllands-Posten.

Der blir hendelsene sett i sammenheng med angrep som tidligere har lammet deler av kraftforsyningen i Ukraina.

– Selv om vi ikke har klare eksempler på nedetid som følge av hackerangrep, har vi indikasjoner på rekognosering eller forstadier til mulige destruktive angrep, der uvedkommende har kartlagt sårbarheter i et nettverk, sier sjef ved Center for Cybersikkerhed i det danske Forsvarets Efterretningstjenste, Thomas Lund-Sørensen til avisen.

Videre sier han at det er påvist flere tilfeller der hackere har forsøkt å bryte seg inn med spionverktøy som, sitat «svært raskt kan gå fra å kopiere data, til å ødelegge data».

• BlackEnergy: Skadevare slo ut flere kraftselskaper

Skjer også i Norge

I Norge er det et utstrakt samarbeid blant de ulike sektorresponsmiljøene, inkludert myndighetenes eget NorCERT som drives av Nasjonal sikkerhetsmyndighet (NSM). Miljøene samarbeider også med kolleger i utlandet.

– Angrep blir diskutert på tvers av sektorene. Utifra denne utvekslingen kan vi ikke se at disse forsøkene har vært spesielt rettet mot energisektoren, sier Raaum i KraftCERT.

Men målrettede angrep har også skjedd. Amerikanerne har tidligere advart om avanserte datainnbrudd hos energiselskap, inkludert atomkraftverk.

– Når det gjelder den danske artikkelen er det nevnte angrepet tidligere omtalt i amerikansk media, og mer nylig i tyske medier, så var dette spesifikt rettet mot energisektoren. Norske selskaper ble også utsatt for dette, men sakene ble varslet og håndtert, sier Margrete Raaum til digi.no.

Roar Thon er direktør for sikkerhetskultur i NSM. Også han bekrefter at det er et kontinuerlig press på digitale systemer hos virksomheter som er en del av kritisk infrastruktur i Norge.

– Vi ser gjentatte forsøk på etablering av digital kontroll over og innhenting av sensitiv informasjon fra virksomheter som forvalter kritiske samfunnsfunksjoner. Dette inkluderer også kraftsektoren, sier Thon til digi.no.

• Slik beskytter Norges største strømleverandør seg mot IT-angrep

– Liv kan gå tapt

Forskning- og teknologidirektøren i Dansk Energi, som representerer majoriteten av danske kraft- og nettleverandører, bekrefter at medlemmene er utsatt for forsøk på innbrudd.

– Vi har også registrert noe aktivitet fra russiske IP-adresser, som Forsvarets Efterretningstjeneste har påpekt. Men de lyktes ikke å komme seg inn i våre systemer. Vi avverget forsøkene, sier Jørgen S. Christensen i Dansk Energi til Jyllands-Posten.

Avisen har også snakket med sikkerhetsrådgiver Jesper Lund Hedegaard i Accenture, som mener systemene er så sårbare at det kun er et spørsmål om tid før noen lykkes med å hacke energiforsyningen i landet.

– Danske kraftforsyningselskaper er svært sårbare, og jeg er svært bekymret. I ytterste konsekvens kan disse angrepene medføre tap av menneskeliv, sier rådgiveren.

– Russisk IP-adresse trenger ikke bety noe

Vi har spurt KraftCERT om også de har indikasjoner på om russiske IP-adresser har vært involvert i forsøk på angrep eller kartlegging av norske energiselskaper.

– Vi ser ingen spesifikk trend mot russiske IP-adresser, men dette behøver

ikke bety noe. Et av problemene man har i Russland er en manglende

mulighet til å slå ned på IP-nett som er arnested for kjeltringer av

alle slag, sier Margrete Raaum.

Hun legger til at dette ikke er unikt for Russland, men at landene som har

reguleringsutfordringer vil trone høyt på listene over

angripere, uavhengig av om er tilknyttet statsstøttet virksomhet eller ikke.

– Vi vil vel også understreke at virkelig avanserte angrep sjelden kommer

fra angripernes egne nettverk. Det kan komme for eksempel gjennom

kompromittert leverandør, noe som både gjaldt Stuxnet og flere senere

større angrep.

• Les også: Angrep kritisk infrastruktur – ny skadevare utløste nødstopp