Venäjä kaappaa valvontakameroita asekuljetusten seurantaan

Eurooppalaisen varaston seinällä oleva halpa valvontakamera voi näyttää harmittomalta. Jos se käyttää yhä tehdassalasanaa, se voi samalla olla osa Venäjän tiedusteluverkkoa, joka seuraa Ukrainaan kulkevia ase-erien reittejä.

Alankomaiden tiedustelupalvelut kertoivat heinäkuun alussa, että Venäjän valtiolliset hakkerit ovat murtautuneet IP-kameroihin Nato-maissa sotilaslogistiikan reittien varrella (AIVD, DW). Kameran omistaja ei välttämättä huomaa mitään.

Tapaus tiivistää sen, mistä Euroopan viranomaiset puhuvat nyt aiempaa suoremmin. Venäjän kybertoiminta siviili-infrastruktuuria vastaan ei ole sarja irrallisia tapauksia, vaan pysyvä toimintatapa.

Suomessa viranomaiset kuvaavat tilannetta sanalla arkipäivää (Yle). Nato käytti samaan suuntaan viittaavaa kieltä 13. heinäkuuta tuomitessaan Venäjän "jatkuvan haitallisen kybertoiminnan" (NATO). Kyse ei ole yhdestä murrosta, joka tutkitaan ja suljetaan. Kyse on pitkästä operaatiosta, jonka kanssa Euroopan on elettävä.

Kaikki rakennuksen avaimet kopioidaan

Vanha mielikuva kyberhyökkäyksestä muistuttaa murtoa: joku tunkeutuu sisään, vie jotakin ja poistuu. Eurooppalaisten viranomaisten kuvaama toiminta näyttää enemmän siltä, että joku kopioi kaikki rakennuksen avaimet, opettelee vartijoiden vuorot, kartoittaa toimitusreitit ja vetää välillä palohälyttimestä nähdäkseen, kuinka nopeasti talo reagoi.

Sisäänpääsy on usein arkinen. Vanha reititin, heikko salasana tai laite, jota kukaan ei ole päivittänyt vuosiin. Suojelupoliisin mukaan Venäjän turvallisuuspalvelu FSB:n 16. keskus käyttää juuri tällaisia aukkoja energia- ja puolustusalan yritysten vakoiluun (Supo). Erikoistyökaluja ei aina tarvita.

Strategisesti vakavaa on se, mitä tapahtuu sisäänpääsyn jälkeen. Hyökkääjät varastavat kirjautumistietoja, eli kopioivat avaimia. Niiden avulla liikutaan järjestelmästä toiseen: aulasta varastoon ja sieltä valvomoon. Samalla seurataan sisäistä viestintää, opetellaan organisaation toimintatapa ja pidetään pääsy avoinna kuukausia tai vuosia.

Vakoilu piirtää kartan. Roskaliikenteellä kuormitetut verkkosivut tuottavat häiriötä ja peittävät muuta toimintaa. Tuhoava haittaohjelma voidaan jättää lepäämään, jos eskalaatiota halutaan myöhemmin (ENISA).

Eri maat, sama kampanja

Jokainen maa näkee uhan oman altistuksensa kautta. Suomessa painopiste on verkon reunoilla: energia-alan ja muiden kriittisten sektorien yritykset ovat pitkäaikaisen vakoilun kohteita. Ulkoministeri Elina Valtonen tuomitsi toiminnan ja kutsui Venäjän suurlähettilään kuultavaksi (MTV Uutiset).

Puolassa kyse on myös logistiikkakäytävästä. Maa on keskeinen reitti Ukrainalle menevälle tuelle, ja siksi siihen kohdistuu kyberoperaatioiden lisäksi fyysisen sabotaasin uhkaa. Ulkoministeri Radosław Sikorski varoitti uskottavista tiedustelutiedoista, joiden mukaan Venäjä suunnittelee uusia toimia. Hän mainitsi tuhopoltot, rautatieiskut, infrastruktuurin tiedustelun ja digitaaliset murrot samassa yhteydessä (RMF24, Rzeczpospolita).

Selitykset eivät sulje toisiaan pois. Ne kuvaavat samaa kampanjaa eri pinnoilta: hankitaan pääsy, seurataan verkkoja, kartoitetaan riippuvuuksia, häiritään valikoivasti ja kasvatetaan Ukrainan tukemisen kustannuksia.

Rajaan kuuluu silti varaus. Osa varoituksista perustuu salaiseen tiedustelutietoon, jota hallitukset eivät julkaise. Tekijän nimeäminen on viranomaisarvio, ei julkinen oikeudenkäyntiaineisto. Puolan ulkoministeriö viittasi EU-kantaan, jossa tuhoisat operaatiot yhdistettiin FSB:n 16. keskukseen (WP). Arvio on uskottava ja institutionaalisesti tuettu, mutta ulkopuolinen ei voi tarkistaa sitä kokonaan.

Lait ovat valmiimpia kuin reitittimet

Euroopan oikeudellinen vastaus on edennyt nopeasti. Kahden keskeisen välineen, NIS2-direktiivin ja kyberkestävyyssäädöksen, perusajatus on siirtää vastuuta ylöspäin: pois yksin jääneeltä IT-tuelta yritysten johdolle ja laitevalmistajille (NIS2 Directive).

NIS2 tekee yritysjohdosta oikeudellisesti vastuullisen kyberturvallisuudesta ja tiukentaa häiriöilmoituksia aiempaa useammalla toimialalla. Kyberkestävyyssäädös puuttuu suoraan kamera- ja reititinongelman lähteeseen. Valmistajien on toimitettava tuotteita, joissa turvallisuusasetukset ovat kunnossa eikä tehdassalasana ole käytännössä ensimmäinen puolustuslinja (EUR-Lex CRA).

Aukko on toimeenpanossa. Direktiivi ei päivitä kerralla vanhoja reitittimiä eikä vaihda oletussalasanoja. NIS2:n kansallinen täytäntöönpano etenee jäsenmaissa epätasaisesti. Rakenne on järkevä, mutta johdotus on vielä kesken.

Eurooppalaisille muutos on yhtä paljon käsitteellinen kuin tekninen. Kyberturvallisuus ei ole enää näyttävän murron jälkisiivousta. Se on infrastruktuurin ylläpitoa: jatkuvaa havainnointia, päivityksiä, toimittajavalvontaa ja häiriöihin varautumista.

Se kuulostaa vähemmän dramaattiselta kuin yksittäinen suurhyökkäys. Se on myös vaikeampaa ylläpitää. Euroopan seuraava koe ei ole se, löytyvätkö oikeat lait paperilta. Ratkaisevaa on, ovatko vanhat kamerat, päivittämättömät reitittimet ja liian vähän koulutetut yritysjohdot muuttuneet ennen kuin Venäjä käyttää jo rakentamaansa pääsyä.