Telia-lekkasjen: 2000 terminalserver-kontoer tømt av hackere

Nye funn i Telia-lekkasjen avslører at inntrengerne har kopiert hele skrivebord og private filer fra hundrevis av ansatte. Materialet som ligger ute på det mørke nettet, har i skrivende stund passert 11.000 besøk.

I dag vedgår Telia Norge at en halv million TV- og bredbåndskunder er omfattet av datainnbruddet.

Parallelt viser en overfladisk analyse Digi har gjort av de 2,5 terabyte med stjålne dataene bevis på en dyp kompromittering av det interne domenet GetAccess.

Totalt er det hentet ut data fra om lag 2000 unike brukerprofiler knyttet til Terminal Server. Dette ser ut til å være tilknyttet navngitte tidligere og nåværende Telia-ansatte, konsulenter og partnere.

Materialet inneholder kopier av innhold fra arbeidsstasjoner, dokumenter, nedlastinger og filer lagret på skrivebordet. Enkelte av filene er datert så sent som september 2025.

Telia bekrefter nå at et verktøy for fjerninnlogging inngår i hendelsen.

– Det vi kan bekrefte, er at informasjon om nåværende og tidligere ansatte fra et fjerninnloggingverktøy er omfattet av datainnbruddet , sier pressekontakt Daniel Barhom i Telia til Digi.

Dette inkluderer blant annet lønnsslipper, enkelte arbeidskontrakter og private filer, opplyser pressekontakten.

– Vi er også kjent med at andre brukere av verktøyet er nevnt i materialet. De berørte informeres fortløpende.

Avventer svar om dypere tilgang

Saken har også forgreininger til nasjonal beredskap. Bergens Tidende var først ute med å melde at tekniske kart over politiets og Direktoratet for samfunnssikkerhet og beredskaps (DSB) datanettverk ligger i materialet.

Dette omfatter detaljer om såkalt WAN-arkitektur, som forklarer hvordan ulike lokasjoner er koblet sammen digitalt. Politidirektoratet opplyser at de vurderer tiltak, selv om mye av informasjonen anses som historisk.

Digi har stilt Telia en rekke spørsmål knyttet til funn av konkret innhold i lekkasjen, inkludert det som kan være sentrale administrasjonssystemer og databaser.

Vi har blant annet spurt om inntrengerne har hatt mulighet til å operere på tvers av Telias IT-infrastruktur. Dette er forhold de foreløpig ikke ønsker å kommentere.

– Det pågår en omfattende teknisk gjennomgang av det publiserte materialet hos oss, i samarbeid med politiet og relevante myndigheter. Av den grunn er vi varsomme med å kommentere eller konkludere på grunnlag av enkeltfunn før dette arbeidet er ferdigstilt og verifisert, sier Barhom.

Han understreker at selskapet har iverksatt løpende sikkerhetstiltak internt og hos sine kunder. Ifølge informasjonssjefen er deres viktigste ansvar nå å få full oversikt over omfanget, følge opp berørte parter og samarbeide tett med myndighetene. Varsling av berørte skjer fortløpende etter hvert som dataene blir verifisert.