Rusland bruger kameraer mod NATO

Et billigt overvågningskamera på muren ved et europæisk lager, stadig med fabrikkens standardkode, blev ifølge hollandsk efterretningstjeneste overtaget af russiske statshackere og brugt til at følge våbentransporter til Ukraine. Ejeren opdager det måske aldrig. Tidligere på måneden beskrev de hollandske tjenester, hvordan IP-kameraer i NATO-lande var blevet kompromitteret langs militære logistikruter (AIVD, DW). Det siger noget om den erkendelse, europæiske regeringer nu formulerer mere åbent: Russiske cyberoperationer mod civil infrastruktur er ikke enkeltstående hændelser. De kører hele tiden.

I Finland beskriver myndighederne det som “arkipäivää”, hverdag, altså en fast baggrundstilstand (Yle). Da NATO den 13. juli fordømte Ruslands “vedvarende ondsindede cyberaktiviteter”, pegede formuleringen i samme retning (NATO). Det er ikke ét indbrud, der kan undersøges og lukkes. Det er en stående operation, som skal opdages, begrænses og leves med.

Som at kopiere alle nøgler i bygningen

Den gamle forestilling om et cyberangreb ligner et indbrud: Nogen bryder ind, tager noget og forsvinder igen. Det, flere europæiske tjenester nu beskriver, ligner snarere en person, der kopierer alle nøgler i en bygning, lærer vagtplanen, kortlægger leveringsruterne og af og til udløser brandalarmen for at se, hvor hurtigt systemet reagerer.

Indgangen er ofte kedelig: en gammel router, en svag adgangskode, et apparat, ingen har opdateret i årevis. Finlands efterretningstjeneste Supo siger, at Ruslands FSB 16. center netop bruger den slags åbninger til at spionere mod energi- og forsvarsvirksomheder (Supo). Der skal ikke nødvendigvis avancerede værktøjer til.

Det strategisk alvorlige begynder efter indgangen. Angriberne stjæler loginoplysninger, altså de kopierede nøgler, og bruger dem til at bevæge sig fra ét system til det næste: fra forhallen til lagerrummet og videre til kontrolrummet. De følger intern kommunikation, lærer organisationens arbejdsgange at kende og bevarer adgangen i måneder eller år. Spionage kortlægger terrænet. Store mængder junktrafik kan lægge hjemmesider ned og skabe støj. Destruktiv malware kan ligge stille, klar til brug, hvis konflikten skal skrues op (ENISA).

Forskellige lande, samme kampagne

Hvert land ser truslen gennem sin egen sårbarhed. I Finland handler fortællingen om netværkets yderkant: energi- og andre kritiske virksomheder er mål for langvarig spionage. Udenrigsminister Elina Valtonen fordømte aktiviteten og indkaldte Ruslands ambassadør (MTV Uutiset). I Polen handler den om logistik. Som en hovedrute for støtten til Ukraine møder landet cyberoperationer side om side med fysisk sabotage. Udenrigsminister Radosław Sikorski advarede om troværdige efterretninger om nye russiske planer og nævnte brandstiftelse, angreb på jernbaner og rekognoscering af infrastruktur i samme åndedrag som digitale indbrud (RMF24, Rzeczpospolita).

De forklaringer modsiger ikke hinanden. De viser forskellige flader af samme kampagne: skaf adgang, overvåg netværk, kortlæg afhængigheder, forstyr udvalgte mål og påfør omkostninger for de lande, der støtter Ukraine.

Der er et forbehold. En del af advarslerne bygger på klassificerede efterretninger, som regeringer ikke kan lægge frem. Tilskrivningen er en officiel vurdering, ikke offentlig bevisførelse i en retssal. Det polske udenrigsministerium henviste til en EU-position, der knytter destruktive operationer til FSB 16. center (WP). Det er plausibelt og institutionelt forankret, men ikke fuldt efterprøvbart udefra.

Lovene er klar, routerne er det ikke

Europas juridiske svar er kommet hurtigt. Grundideen i de to vigtigste instrumenter, NIS2-direktivet og cyberrobusthedsforordningen, er at flytte ansvaret opad: væk fra en presset IT-afdeling og over på virksomhedsledelser og producenter af digitale produkter (NIS2 Directive). NIS2 gør topledelsen juridisk ansvarlig for cybersikkerhed og strammer kravene til indberetning af hændelser i flere sektorer. Cyberrobusthedsforordningen går direkte efter kamera- og routerproblemet ved at kræve, at producenter sender produkter på markedet med ordentlige sikkerhedsindstillinger i stedet for fabriksadgangskoder (EUR-Lex CRA).

Hullet ligger i gennemførelsen. Et direktiv kan ikke straks opdatere alle gamle routere eller fjerne alle standardkoder. Medlemslandenes gennemførelse af NIS2 er stadig ujævn. Arkitekturen giver mening. Ledningerne er ikke færdigtrukket.

For europæiske borgere er skiftet lige så meget mentalt som teknisk. Cybersikkerhed er ikke længere oprydning efter et spektakulært angreb. Det er infrastrukturvedligeholdelse: løbende overvågning, opdateringer, kontrol med leverandører og beredskab, når noget går galt. Det er mindre opsigtsvækkende end ét stort angreb, men sværere at holde fast i. Den næste prøve bliver ikke, om Europa har de rigtige love på papiret. Den bliver, om gamle kameraer, uopdaterede routere og bestyrelser uden tilstrækkelig cybersikkerhedsviden faktisk er blevet ændret, før Rusland bruger den adgang, det allerede har opbygget.