7 000 lösenord läckta efter LVM-hack

Den 22 juni stängde Lettlands statliga skogsbolag LVM ned hela sin IT-infrastruktur för att stoppa en angripare från att kopiera fler filer. Virkesleveranserna till de flesta köpare återupptogs inom fyra dagar, och de flesta interna systemen var tillbaka den 29 juni. Men ungefär 44 gigabyte intern data hade redan publicerats på nätet, och den totala mängden stulen information kan vara större.

För ett statligt skogsbolag är fyra dagar en kort driftstörning. Köpare behöver fortfarande virke, entreprenörer behöver arbetsinstruktioner och ett offentligt ägt bolag måste fortsätta fungera medan utredningen pågår. LVM uppger att bolaget hade fungerande säkerhetskopior och att det inte fick något krav på lösensumma. Lettlands nationella cybersäkerhetsmyndighet CERT.LV bekräftade att säkerhetskopiorna gick att återställa, vilket motsäger tidiga uppgifter om att de hade förstörts. Verksamheten kunde alltså fortsätta. Problemet är vad som hann lämna systemen innan nedstängningen fick effekt.

En gammal server, två veckors åtkomst

Modern ransomware fungerar sällan som en dator som bara låses. Den liknar mer ett inbrott: angriparen hittar en svag ingång, rör sig vidare genom nätverket, samlar in behörigheter, kopierar dokument och hotar sedan att publicera materialet om betalning uteblir. CISA:s vägledning om ransomware beskriver just den kedjan: intrång, spridning i nätverket, stöld av inloggningsuppgifter, datakopiering och kryptering.

Cybersäkerhetsexperten Elvis Strazdiņš har sagt till lettiska medier att angriparen enligt uppgift fanns inne i LVM:s system i nästan två veckor efter att ha tagit sig in via en server med föråldrad mjukvara. Angriparen ska enligt samma uppgifter ha kommit åt omkring 7 000 anställdas lösenord och planterat skadlig kod. Det är expert- och medieuppgifter, inte officiella forensiska slutsatser. Men de pekar på en välkänd sårbarhet: en enda opatchad server kan räcka för att öppna ett annars uppdaterat nätverk.

Strazdiņš har också uppgett att han kontaktade hackaren och då fick beskedet att priset för dekryptering var cirka 618 600 euro, motsvarande 0,1 procent av LVM:s intäkter. LVM säger att inget krav nådde bolaget. CERT.LV:s chef Baiba Kaškina har beskrivit angriparen som mer ute efter uppmärksamhet än pengar, och påpekat att gruppen har riktat in sig på organisationer i flera länder. Det finns inga trovärdiga belägg för statlig inblandning. Mönstret passar bättre in på kommersiellt motiverad ransomware, kombinerad med jakt på publicitet.

Bytta lås, fotograferade dokument

LVM:s säkerhetskopior räddade driften. Den svårare delen är att säkerhetskopior bara löser krypteringsproblemet. De kan inte göra läckta filer oläckta. Lösenord, säkerhetscertifikat, alltså digitala bevis på att en server är den den utger sig för att vara, och interna dokument fortsätter vara exponerade när de väl har kopierats.

Att byta lås efter ett inbrott är nödvändigt, men det tar inte tillbaka dokumenten som inbrottstjuven hann fotografera. CERT.LV varnade för att komprometterade lösenord, certifikat och digitala nycklar måste ersättas, och att läckt data skapar fortsatta risker för tredje parter som är anslutna till LVM:s system.

När beredskap blir en juridisk fråga

Skillnaden mellan "systemen är återställda" och "informationen är skyddad" ligger i centrum för EU:s NIS2-direktiv, som omfattar 18 samhällsviktiga sektorer. Direktivet innebär en tydlig förskjutning: ledningar måste kunna visa att de hade förberett sig före ett angrepp, inte bara att verksamheten kom tillbaka efteråt. I direktivet görs ledningen direkt ansvarig för riskhantering och incidentrapportering.

Om LVM fullt ut omfattas av NIS2 beror på hur Lettland klassificerar bolaget. Tidsplanerna för full efterlevnad i medlemsländerna sträcker sig in i 2027 och längre, vilket innebär att många operatörer fortfarande bygger det skydd som de snart måste kunna redovisa.

LVM:s fall visar båda sidorna av det glappet. Den beredskap som fungerade, med säkerhetskopior, stegvis återställning och kontinuitetsplanering, gjorde att leveranserna kunde återupptas efter några dagar. Den beredskap som brast, med en gammal server och sen upptäckt av intrånget, lämnade tusentals inloggningsuppgifter och gigabyte av filer öppet exponerade. Kaškina sammanfattade obalansen krasst: försvararen måste skydda allt, medan angriparen bara behöver hitta en svag punkt. Det är fortfarande grundproblemet för Europas offentliga tjänsteoperatörer, oavsett om de hanterar skogar, sjukhus eller leveranskedjor.