Ransomware lammer Letlands skovsystemer

Når et jagttegn, et skovkort eller data om tømmerleverancer pludselig ikke kan hentes, bliver cybersikkerhed meget konkret. Den 22. juni ramte et cyberangreb Latvijas valsts meži (LVM), Letlands statslige skovselskab. Omkring halvdelen af selskabets it-systemer blev sat ud af drift midt under Jāņi, den lettiske midsommerferie, hvor færre medarbejdere sad foran skærmene (LTV).

LVM lukkede selv offentlige tjenester ned som en sikkerhedsforanstaltning: digitale kort, jagtappen Mednis og dataudveksling med partnere. Selskabet begyndte at gendanne systemer fra backup og afviste at samarbejde med gerningsmanden. Letlands cyberberedskab, CERT.LV, bekræftede, at stjålet materiale var blevet offentliggjort online, men efterforskerne arbejdede fortsat på at fastslå, hvilke data der faktisk var taget. Vurderingen lød, at der var tale om et økonomisk motiveret afpresningsangreb, ikke en statsstyret kampagne (LTV). En kriminel gruppe på jagt efter penge lukkede altså tjenester, som borgere og virksomheder bruger i hverdagen.

Gammel el bag nye vægge

En stor offentlig organisation kan ligne en nyrenoveret bygning. Facaden er moderne: webportaler, mobilapps og interaktive kort. Bag væggene ligger de gamle installationer stadig. Login-systemer fra før de nyeste sikkerhedskrav. Fjernadgange til leverandører, som ingen har gennemgået i årevis. For borgerne er svaghederne usynlige, men for angribere er de ofte de første døre, der bliver prøvet.

Ransomware-grupper kommer typisk ind via et stjålet password eller et system, der ikke er opdateret. Derefter arbejder de stille på at forvandle en begrænset adgang til fulde administratorrettigheder. De bevæger sig fra system til system, indtil de reelt har hovednøglen. Når løsesedlen først dukker op, kan angriberen have været inde i ugevis (CISA). Ifølge LTV begyndte sonderingen mod LVM’s sikkerhedssystemer før den dato, hvor angrebet blev synligt (LTV).

Offentlige organisationer er særligt udsatte. De kan dårligt tåle nedetid, og de skal ofte holde gamle og nye systemer kørende side om side gennem lange opgraderingsforløb (CISA, CrowdStrike). Det er i overgangen mellem ældre infrastruktur og nyere digitale tjenester, at sikkerheden ofte knækker.

Mønstret hos naboerne

Angrebet i Letland passer ind i et bredere regionalt problem. I Litauen efterforsker myndighederne tyveriet af mere end 600.000 udtræk fra ejendomsregistret, blandt andet med personlige identifikationskoder, fra den statslige registeroperatør Registrų centras (LRT). Adgangen skete via stjålne medarbejderkonti, og de første ulovlige logins går ifølge de foreliggende oplysninger tilbage til begyndelsen af 2026. Offentligheden fik først kendskab til sagen flere måneder senere (TV3). Omkring 1.000 personer forberedte et søgsmål mod staten (Verslo žinios).

De to sager er teknisk forskellige, men de viser samme hul: civile digitale systemer, som bærer almindeligt samfundsliv, er ikke beskyttet efter den betydning, de faktisk har. Tyskland viste i 2021, hvor det kan ende. Distriktet Anhalt-Bitterfeld erklærede katastrofetilstand, efter ransomware ramte, og borgerrettede tjenester var forstyrret i flere uger (Landkreis Anhalt-Bitterfeld).

Nye EU-regler møder et konkret nedbrud

NIS2 er EU-direktivet, der gør cyberrobusthed til et ledelsesansvar. Operatører af væsentlige tjenester skal sende en tidlig advarsel senest 24 timer efter, at en hændelse er opdaget, give en mere detaljeret indberetning inden 72 timer og aflevere en slutrapport inden en måned (EUR-Lex). Den øverste ledelse får personligt ansvar for håndteringen af cybersikkerhedsrisici (European Commission).

Letland gennemførte NIS2 i national lov med virkning fra september 2024, mens minimumskrav til cybersikkerhed træder i kraft i juli 2025 (Business.gov.lv). Efter angrebet på LVM underskrev Letlands fungerende premierminister fem beslutninger, der pålægger ministerierne at rapportere om sikkerheden i statslige systemer og om, hvordan information om hændelser bevæger sig gennem regeringsapparatet (Kulbergs). Han koblede hændelsen til forsinkede cybersikkerhedsregler og erkendte dermed det, som alle store digitaliseringsprojekter før eller siden rammer: regler på papir hjælper kun, hvis de også virker i driften.

Prøven er nu praktisk, og den rækker langt ud over Baltikum. Hvor lang tid tager det LVM at komme tilbage? Får borgerne klar besked om, hvilke persondata der er eksponeret? Var backup-systemerne testet, før de blev nødvendige? Kan en minister pege på, hvem der konkret ejer cyberrisikoen for hvert offentligt system? De samme spørgsmål ligger på bordet for offentlige operatører i hele Europa. Med NIS2 kan de ikke længere parkeres i teknikafdelingen.