Kripos bekrefter: – Hydro var ikke eneste norske offer

Tirsdag denne uken kunne Kripos fortelle at de hadde arrestert en av hovedmennene i gruppen som stod bak Hydro-angrepet i 2019.

Flere norske ofre

Dataangrepet mot Hydro kostet selskapet nær en milliard kroner, og totalt skal minst 1800 virksomheter i 71 land ha vært utsatt for angrep av den samme gruppen.

Men Hydro er ikke eneste norske offer for dette kriminelle nettverket.

Politiadvokat i Kripos Knut Jostein Sætnan, som er påtalemessig etterforskningsleder på saken, har enn så lenge ikke svart på spørsmål omkring hvilke andre virksomheter det gjelder, hvor mange eller hvilken bransje de er i.

Han bekrefter imidlertid overfor Digi at det er snakk om flere andre enn Hydro som har en tilknytning til Norge.

– Det har i løpet av etterforskningen vært avdekket andre norske offer, som enten har vært rammet av løsepengeangrep begått av de samme gjerningspersonene, eller som har vært kompromitterte. Kripos har vært i kontakt med disse, og i noen tilfeller varslet og veiledet om tiltak for å unngå skader på datasystemer.

Flere mistenkte i kikkerten

Sætnan bekrefter også at de har flere mistenkte i nettverket som ennå ikke er pågrepet, men vil heller ikke her gå i detalj:

– Det er fortsatt personer fra nettverket som politiet vil pågripe. Vi ønsker per nå ikke å si noe om dem, av hensyn til den videre etterforskningen, utover at de har sentrale roller i nettverket.

Han vil heller ikke oppgi et estimat for hvor mange medlemmer nettverket har, men sier Kripos og samarbeidspartnerne har identifisert en rekke personer med forskjellige typer roller.

– Det er alt fra utvikler av skadevare til de som hvitvasker pengene i etterkant, sier Sætnan.

Oppløst?

I sin pressemelding bruker Europol ordet «dismantled» («demontert» eller «oppløst») om hackergruppen som stod bak.

Sætnan svarer ikke direkte på Digis spørsmål om det stemmer at gruppen nå kan ses på som oppløst, men bekrefter at Ukraina har et mål om å straffeforfølge flere personer:

– Nettverket har fått et betydelig slag for baugen som følge av etterforskningen, og Ukraina har mål om å straffeforfølge flere sentrale aktører som er identifisert og anholdt som følge av etterforskningen.

– I tillegg har Sveits og Norge én person hver i varetekt som vi mener har vært sentrale for nettverkets kriminelle virksomhet, og som begge etterforskes med tanke på straffeforfølgelse, sier Sætnan.

Etterforskning i krig

Arrestasjonene i forrige uke kom som et resultat av et samarbeid mellom flere land, deriblant Ukraina. Norge, ved Kripos, hadde en koordinatorrolle i etterforskningen, forteller Sætnan og fortsetter:

– Det har vært en bratt lærekurve. Denne rollen har vi ikke tidligere hatt i en slik sak.

Etterforskningen har gått ut på gjennomgang og analyse av store mengder data, som stammer fra bevis og beslag både hos de fornærmede, fra servere og tjenester benyttet i angrepene og fra tidligere aksjoner.

– Før Hydro ble angrepet, hadde ikke norsk politi etterforsket en slik sak noen gang. Vi har hatt cyberkriminalitet tidligere, men ikke i dette omfanget, sier Sætnan.

Skryter av Ukraina

Sentralt i dette samarbeidet har Ukraina stått, sammen med Norge.

Ukraina har bokstavelig talt tusenvis av krigsforbrytelser å etterforske, men likevel har de altså prioritert å bruke etterforskningsressurser på denne internasjonale saken. Norge har samarbeidet tett med landet siden 2020.

– Det er all grunn til å skryte av ukrainsk politi og påtalemyndighet. Uten den omfattende innsatsen Ukraina har gjort, hadde ikke dette vært mulig, sier Sætnan.

Første gang i en norsk domstol

Leder for Nasjonalt cyberkrimsenter (NC3), Olav Skard, sier at de nå har arrestert totalt fire personer i det kriminelle nettverket som sto bak skadevare-angrepet på Hydro. Det dreier seg om en armener og tre ukrainere, hvorav én ble arrestert i Sveits.

– Vi anser både armeneren og den ene ukraineren for å være blant hovedmennene bak angrepet på Hydros datasystemer. Armeneren ble pågrepet av tysk politi i august og utlevert til Norge, sier Skard.

Det er første gang en person i et så stort kriminelt nettverk vil bli straffeforfulgt i en norsk domstol.

Kripos mener nå at den internasjonale etterforskningen trolig har klart å avsløre dette nettverkets oppbygging. Målet er å sette det helt ut av spill.

Viktig gjennombrudd

Skard sier at dette gjennombruddet er viktig fordi nettverket som sto bak angrepet på Hydro for fem år siden, har tatt i bruk ny skadevare som man også rammer når man klarer å pågripe hovedmennene i nettverket.

– Selv om etterforskningen fortsetter, mener vi at politiaksjonen i Kiev var et gjennombrudd for oss, sier Skard.

– Det blir ofte sagt at etterforskningen av slike saker er for kompleks og nærmest håpløs, men nå mener vi at vi har klart å avsløre og arrestere noen av bakmennene, sier han.

Hydro fornøyd

Informasjonsdirektør Halvor Molland i Hydro uttaler til Digi at arrestasjonene er gledelig.

– Vi valgte tidlig å anmelde angrepet, og samarbeidet med Kripos fra første stund. Likevel ville ikke engang den mest optimistiske av oss trodd at vi noensinne skulle havne her, med flere hovedmenn arrestert, sier han.

Like etter angrepet begynte Hydro med gjenoppretting av data fra sikkerhetskopier, så at man i 2022 fant nøkkelen som lot selskapet låse opp krypterte data, var ikke av avgjørende viktighet, kan Molland fortelle.

– Likevel var det viktig for oss, i den forstand at det gjorde oss i stand til å komplettere data. I tillegg var det en bekreftelse av at etterforskningen var på riktig spor, da man fant utstyr med kodenøkkelen og fikk bekreftet at den faktisk fungerte, sier han.