Oljefondet om ny trussel: – Helt ned i 11-årsalderen

– Dette er ungdom født på 2000-tallet. Vi ser dem helt ned i 11-årsalderen, sa Haakon Fjelberg, teknologisjef i Oljefondet (NBIM), fra scenen under Attack-konferansen i Oslo torsdag.

Oljefondet ser nå en urovekkende fremvekst av en gruppe trusselaktører de kaller «APTeens». Mens APT-begrepet (Advanced Persistent Threat) vanligvis knyttes til tunge statsaktører, handler dette om svært unge mennesker, ofte fra Storbritannia eller USA.

Født i skyen

Ifølge teknologisjefen er disse ungdommenes fremste våpen at de behersker teknologien fondet selv satser på – bedre enn de fleste voksne.

– De er født i skyen, de kan moderne teknologi. Vi ønsker å være moderne og har brukt veldig mye tid på å være fremme teknologisk, men det er der de (tenåringshackerne) er best, forklarte Fjelberg.

Han påpekte at disse ungdommene også er svært dyktige på sosial manipulering.

– De har nå kommet opp som en stor trussel som vi ser, ikke bare mot oss, men også mot andre. En stor pengesekk som vår er en svær målskive, fastslo han.

Oljefondet rammet via Salesloft

I et intervju med Digi etter foredraget bekrefter Fjelberg at Oljefondet nylig har fått føle denne nye trusselen på kroppen.

Det skjedde gjennom et såkalt verdikjedeangrep rettet mot det amerikanske programvareselskapet SalesLoft.

– Det var gjennom et angrep på en av våre tredjeparter, hvor noe av vår informasjon ble lekket ut, sier Fjelberg til Digi.

Angrepet på Salesloft skal være beslektet med angrep som har berørt kunder av Salesforce den siste tiden.

I dette tilfellet skal hendelsen ha forplantet seg videre og til slutt berørt Oljefondets helpdesk-system.

Fjelberg forsikrer at informasjonen som kom på avveie viste seg å være «ufarlig», men han medgir at det i prinsippet kunne ha medført en mer alvorlig lekkasje.

– Det kunne ha ligget alt fra personopplysninger til andre ting. Vi er vare på hva vi legger inn i andre ticketsystemer. Men hvis du har en kritisk feil, og du må eskalere noen feil til en leverandør, så er det kanskje ikke det du har i tankene når du registrerer ticketen, sier han.

Fjelberg knytter trenden til angrepsbølger man begynte å se konturene av rundt 2021, men sier det er nylig at de ser aktivitet rettet direkte mot seg.

Jakter utro tjenere på Discord

Modusen til «APTeens» skiller seg fra tradisjonelle hackere. I stedet for bare å lete etter tekniske hull, oppsøker de ansatte direkte på plattformer som Discord og Telegram for å verve innsidere.

– Profilen er at de går bredt ut. De spør for eksempel om noen ønsker å være «innside» på Citrix. Hvis det er en som biter på, så har de faktisk også mye penger å tilby, forklarer Fjelberg.

Det som bekymrer teknologisjefen mest, er at den digitale trusselen nå begynner å få forgreninger til den fysiske verdenen.

– Det linker faktisk over i den fysiske verden ved at de spør om folk er interessert i en «IRL-jobb» (In Real Life, red.anm.), for eksempel for å true ansatte til å bli innsidere.

Frykter utpressing

Selv om Oljefondet har massive sikkerhetstiltak, er det nettopp den menneskelige faktoren som er vanskeligst å forsvare seg mot.

– Det vi frykter, er at de skal klare å rekruttere noen, eller presse noen, som faktisk har privilegert tilgang, og som vi ikke ser, sier han.

For å demme opp mot sosial manipulering og phishing, har fondet tatt grep rundt pålogging.

– Heldigvis har vi i stor grad kommet bort fra passord og over på «passkeys» og andre mekanismer. Det er nesten ikke passord igjen, sier Fjelberg.

– Arrogant å være skråsikker

Selv om Oljefondet, som i dag forvalter rundt 21 200 milliarder kroner, har store ressurser, manet Fjelberg til realisme fra scenen.

– Det er farlig å si at det ikke er mulig [å bli hacket], alt er mulig. Du blir aldri 100 prosent sikker, da er du ganske arrogant, sa Fjelberg.

Han understreket samtidig at forsvarsverkene er solide:

– Vi har mange lag med sikkerhet, så du skal være dyktig.