7.000 adgangskoder lækket hos LVM

Den 22. juni lukkede Letlands statsejede skovselskab LVM hele sin IT-infrastruktur ned for at forhindre en angriber i at kopiere flere filer. Træleverancerne til de fleste købere var i gang igen efter fire dage, og de fleste interne systemer var tilbage senest 29. juni. Men omkring 44 GB interne data var allerede blevet lagt online, og den samlede mængde stjålne data kan være større.

For en statslig skovoperatør er fire dages nedetid en hurtig genstart. Køberne har stadig brug for tømmer, entreprenører skal stadig have instrukser, og et offentligt selskab skal fungere, mens efterforskerne arbejder. LVM oplyser, at selskabet havde fungerende sikkerhedskopier og ikke modtog noget krav om løsesum. Letlands nationale cybersikkerhedsmyndighed CERT.LV bekræftede, at sikkerhedskopierne kunne genskabes, i modstrid med de første meldinger om, at de var blevet ødelagt. Driften overlevede. Problemet er det, der nåede ud, før døren blev lukket.

Én gammel server, to ugers adgang

Moderne ransomware ligner mindre en låst computer og mere et indbrud. Angriberen finder én svag indgang, bevæger sig fra rum til rum, samler nøgler op, kopierer papirer og truer derefter med offentliggørelse, hvis der ikke bliver betalt. CISA’s vejledning om ransomware beskriver forløbet sådan: skaf adgang, spred dig i netværket, stjæl legitimationsoplysninger, kopier data, krypter systemer.

Cybersikkerhedseksperten Elvis Strazdiņš har sagt til lettiske medier, at angriberen angiveligt opholdt sig næsten to uger i LVM’s systemer, efter at være kommet ind via en server med forældet software. Ifølge de samme oplysninger fik angriberen adgang til omkring 7.000 medarbejderadgangskoder og placerede malware. Det er ekspert- og medieberetninger, ikke officielle tekniske konklusioner. Men de peger på en velkendt svaghed: Én upatchet server kan give adgang til et ellers moderne netværk.

Strazdiņš har også sagt, at han kontaktede hackeren og fik oplyst, at prisen for dekryptering var omkring 618.600 euro, svarende til 0,1 % af LVM’s omsætning. LVM fastholder, at intet krav nåede frem til selskabet. CERT.LV’s chef, Baiba Kaškina, beskrev angriberen som en aktør, der søgte opmærksomhed mere end penge, og bemærkede, at gruppen har ramt organisationer i flere lande. Der er ikke troværdige tegn på statslig styring. Mønstret passer bedre på kommercielt motiveret ransomware med en tydelig appetit på omtale.

Skiftede låse, fotograferede dokumenter

LVM’s sikkerhedskopier reddede driften. Det sværere problem er, at sikkerhedskopier kun løser krypteringsdelen. De kan ikke gøre lækkede filer ulækkede. Adgangskoder, sikkerhedscertifikater, interne dokumenter og digitale nøgler bliver ved med at være eksponeret, når de først er kopieret.

Det svarer til at skifte lås efter et indbrud. Det er nødvendigt, men det får ikke de dokumenter tilbage, som tyven fotograferede på vej ud. CERT.LV advarede om, at kompromitterede adgangskoder, certifikater og digitale nøgler skal udskiftes, og at lækkede data kan skabe vedvarende risiko for tredjeparter, der er forbundet med LVM’s systemer.

Når forberedelse bliver et juridisk spørgsmål

Forskellen mellem »systemerne virker igen« og »data er beskyttet« ligger centralt i EU’s NIS2-direktiv, som omfatter 18 kritiske sektorer. Direktivet flytter tyngdepunktet: Ledelser skal kunne dokumentere, at de havde forberedt sig før angrebet, ikke kun at de kunne komme op igen bagefter. Direktivet gør ledelsen direkte ansvarlig for risikostyring og indberetning af hændelser.

Om LVM klart falder ind under NIS2, afhænger af Letlands nationale klassifikation. De fulde efterlevelsesfrister i medlemslandene strækker sig ind i 2027 og senere, så mange operatører er stadig ved at opbygge de forsvar, de snart skal kunne dokumentere.

LVM’s sag viser begge sider af den overgang. Det, der virkede, var sikkerhedskopier, trinvis gendannelse og kontinuitetsplanlægning. Derfor kunne leverancerne genoptages efter få dage. Det, der ikke virkede, var at holde alle servere opdaterede og opdage en ubuden gæst tidligere. Derfor ligger tusindvis af adgangskoder og mange gigabyte filer nu uden for selskabets kontrol. Kaškina formulerede ubalancen enkelt: Forsvareren skal sikre det hele, mens angriberen kun behøver ét svagt punkt. Det er stadig grundvilkåret for europæiske operatører af samfundsvigtige tjenester, uanset om de driver skove, hospitaler eller forsyningskæder.