FSB brød ind i Slovakiets forsvarsnet

Routeren på kontoret og virksomhedens VPN-forbindelse til hjemmearbejde er sjældent det, nogen bygger en sikkerhedspolitisk debat på. Men de er hoveddøre til moderne infrastruktur. I Slovakiet ser russiske statstilknyttede hackere ud til at have afprøvet netop de døre omkring systemer med forbindelse til energinet, våbenproduktion og ministerier.

Slovakiets udenrigsministerium har bekræftet, at landet blev ramt af cyberoperationer knyttet til Ruslands efterretningstjeneste FSB (Topky/TASR). Investeringsministeriet præciserede, at aktiviteten var rettet mod kritisk infrastruktur, våbenindustrien og energisektoren (TA3). Ingen kraftværker gik ned. Ingen tog standsede. Netop den forskel er central.

Indbrudstyven, der lader fjernsynet stå

Operationen bag angrebene, kendt som Turla, er ikke en ransomware-gruppe på jagt efter hurtige penge. Den drives ifølge CISA af FSB’s Center 16-enhed og er bygget til at komme ind i netværk i stilhed, blive skjult og indsamle oplysninger over måneder eller år (CISA). Det svarer til en indbrudstyv, der lader fjernsynet stå, men fotograferer sikringsskabet, noterer kameraernes placering og tager aftryk af alle nøgler.

Indgangene er ofte banale. En fælles advarsel fra CISA og FBI beskriver, hvordan Center 16-aktører udnytter dårligt konfigurerede routere, svage indstillinger i netværksstyring og forældede VPN-gateways, altså de enheder der står mellem en organisation og internettet (CISA AA26-194A, FBI/IC3). En VPN-gateway kan fungere som gæsteliste og kort på samme tid: Den viser, hvem der logger på, hvorfra, og hvilke interne systemer de når ind til. Konfigurationsfiler kan afsløre betroede forbindelser og veje længere ind i netværket (AttackIQ).

For et ministerium eller et energiselskab betyder det, at en angriber kan lære, hvor svaghederne ligger, uden nødvendigvis at udløse en alarm. Ud fra de offentligt kendte oplysninger ligner sagen rekognoscering med henblik på senere pres, ikke dokumentation for nært forestående sabotage.

Derfor følger naboerne med

Europæisk infrastruktur fungerer mindre som en række fritliggende huse og mere som en opgang med fælles installationer. Slovakiet og Østrig deler gastransmissionsnet og en travl jernbanekorridor mellem Wien og Bratislava (Gas Connect Austria, ÖBB). Tjekkiet deler kanaler for forsvarsdata og systemer i grænseregioner (Novinky). Det betyder ikke, at de systemer blev kompromitteret. Det forklarer, hvorfor regeringer behandler et slovakisk indbrud som en fælles sårbarhed.

Ingen nabolande har meldt om bekræftede kompromitteringer som følge af denne sag. Bekymringen er, at stjålne konfigurationer, leverandøradgange eller viden om svage punkter kan hjælpe angribere med at planlægge senere angreb mod forbundne systemer. Østrig indkaldte den russiske ambassadør på grund af relaterede cyberangreb. EU og Storbritannien indførte deres første fælles sanktioner mod Center 16 og Turla-operationen (Sabr Cyber & Tech News, formiche.net). Reaktionen viser, at truslen vurderes som fælles, også uden bevis for grænseoverskridende skade.

En byggelov kan ikke opdatere en router

Det er denne type hændelse, NIS2-direktivet er skrevet til. Direktivet fungerer som en slags byggelov for samfundsvigtige digitale tjenester: Operatører af kritisk infrastruktur skal styre cyberrisici, indberette hændelser hurtigt og sikre deres leverandørkæder (EUR-Lex). Slovakiets håndtering satte den logik på prøve. Ifølge medier bekræftede regeringen først angrebene, da journalister spurgte ind til dem (TA3), og oppositionspolitikere beskyldte regeringen for farlig passivitet (Aktuality).

En byggelov kan kræve brandudgange og røgalarmer. Den kan ikke forhindre nogen i at sætte en kile i døren. NIS2 kan fastsætte frister for indberetning og krav om risikovurderinger. Det kan ikke opdatere en gammel router eller udskifte en lækket VPN-nøgle.

Ud fra de offentlige oplysninger viser sagen ikke, at Rusland kan lamme europæisk infrastruktur efter behag. Den viser, at russisktilknyttede aktører går efter systemer, som kan hjælpe dem med at forstå, kortlægge og forberede pres mod kritiske tjenester. Adgangen er stille, tålmodigheden lang, og målet rækker ud over den enkelte hændelse. Europas prøve består i at tage skjult adgang lige så alvorligt som synlige nedbrud.