FSB bröt sig in i Slovakiens försvarsnät

Routern på kontoret och företagets VPN för distansarbete är sällan det som får störst uppmärksamhet i säkerhetspolitiken. Ändå fungerar de som entréer till modern infrastruktur. I Slovakien tycks ryska statsanknutna hackare ha prövat just sådana ingångar mot system kopplade till energinät, vapenproduktion och myndigheter.

Slovakiens utrikesdepartement har bekräftat att landet utsatts för cyberoperationer med koppling till den ryska säkerhetstjänsten FSB (Topky/TASR). Investeringsdepartementet uppgav att aktiviteten riktades mot kritisk infrastruktur, försvarsindustrin och energisektorn (TA3). Inga kraftverk slogs ut. Inga tåg stannade. Skillnaden är avgörande: det offentliga underlaget pekar på kartläggning och underrättelseinhämtning, inte på genomförd sabotageverksamhet.

Inbrottstjuven som lämnar tv:n

Gruppen bakom operationen, känd som Turla, är ingen utpressningsgrupp på jakt efter snabba pengar. Enligt CISA drivs den av FSB:s enhet Centre 16 och är byggd för att ta sig in i nätverk, stanna kvar obemärkt och samla information under lång tid (CISA). Det liknar en inbrottstjuv som låter tv:n stå kvar men fotograferar elcentralen, noterar kamerornas placering och gör avtryck av nycklarna.

Ingångarna är ofta vardagliga. En gemensam varning från CISA och FBI beskriver hur aktörer kopplade till Centre 16 utnyttjar felkonfigurerade routrar, svaga inställningar i nätverksadministration och föråldrade VPN-gateways, alltså utrustning som ligger mellan en organisation och internet (CISA AA26-194A, FBI/IC3). En VPN-gateway kan samtidigt fungera som besökslogg och karta: den visar vem som ansluter, varifrån och vilka interna system personen når. Konfigurationsfiler kan avslöja betrodda kopplingar och vägar längre in i nätverket (AttackIQ).

För ett departement eller ett energibolag innebär det att en angripare kan lära sig var svagheterna finns utan att nödvändigtvis utlösa larm. Utifrån det som är känt handlar intrånget om att bygga framtida handlingsutrymme, inte om bevis för ett nära förestående angrepp.

Därför bryr sig grannländerna

Europeisk infrastruktur fungerar mindre som fristående hus och mer som ett flerfamiljshus med gemensamma ledningar. Slovakien och Österrike delar ett gastransmissionsnät och har tät trafik på järnvägskorridoren Wien–Bratislava (Gas Connect Austria, ÖBB). Tjeckien delar kanaler för försvarsrelaterat datautbyte och system i gränsregionerna (Novinky). Det betyder inte att dessa system har brutits upp. Det förklarar varför regeringar ser ett slovakiskt intrång som en gemensam sårbarhet.

Inget grannland har rapporterat en bekräftad kompromettering från den här händelsen. Oron gäller i stället att stulna konfigurationer, leverantörsuppgifter eller kunskap om svaga punkter kan hjälpa angripare att planera senare operationer mot sammankopplade system. Österrike kallade upp Rysslands ambassadör efter relaterade cyberattacker. EU och Storbritannien införde sina första gemensamma sanktioner mot Centre 16 och Turla-operationen (Sabr Cyber & Tech News, formiche.net). Reaktionen visar att hotet bedöms som gränsöverskridande även när det saknas bevis för faktisk skada över gränserna.

En byggnorm kan inte uppdatera en router

Det är den här typen av scenario som NIS2-direktivet är tänkt att hantera. Direktivet fungerar i praktiken som en byggnorm för samhällsviktiga digitala tjänster: operatörer av kritisk infrastruktur ska hantera cyberrisker, rapportera incidenter snabbt och säkra sina leverantörskedjor (EUR-Lex). Slovakiens agerande prövade den logiken. Enligt medier bekräftade regeringen attackerna först efter frågor från journalister (TA3), och oppositionsföreträdare anklagade regeringen för farlig passivitet (Aktuality).

En byggnorm kan kräva nödutgångar och brandvarnare. Den kan inte hindra någon från att ställa upp dörren. NIS2 kan ange rapporteringsfrister och krav på riskbedömningar. Det kan inte på egen hand uppdatera en gammal router eller byta ut en läckt VPN-nyckel.

Det som hittills är känt från Slovakien visar inte att Ryssland kan paralysera europeisk infrastruktur. Det visar att ryskanknutna aktörer riktade in sig på system som kan användas för att förstå, kartlägga och förbereda påtryckningar mot kritiska tjänster. Tillgången är tyst, arbetssättet tålmodigt och tidshorisonten lång. Europas prövning är om sådan dold närvaro behandlas lika allvarligt som synliga avbrott.