Utpressningsvirus lamslår Lettlands skogssystem

När digitala kartor, jaktappar och virkesdata försvinner samtidigt blir cyberrisk plötsligt mycket konkret. Den 22 juni drabbades Latvijas valsts meži (LVM), Lettlands statliga skogsbolag, av en cyberattack som slog ut omkring hälften av bolagets IT-system under midsommarhelgen Jāņi, då bemanningen var lägre (LTV).

LVM tog offentliga tjänster offline som försiktighetsåtgärd: digitala kartor, jaktappen Mednis och datautbyten med partners. Bolaget började återställa systemen från säkerhetskopior och uppgav att det inte samarbetade med angriparen. Lettlands cyberinsatsstyrka CERT.LV bekräftade att stulet material hade publicerats på nätet, men att utredarna fortfarande granskade vilka uppgifter som faktiskt hade tagits. Bedömningen var att det rörde sig om en kommersiellt motiverad utpressningsattack, inte en statligt styrd operation (LTV). En kriminell aktör med vinstmotiv kunde därmed stoppa tjänster som människor använder i vardagen.

Gammal teknik bakom nya gränssnitt

En stor offentlig organisation kan se modern ut på ytan: webbportaler, mobilappar och interaktiva kartor. Bakom gränssnitten finns ofta äldre system kvar. Inloggningar som byggdes före dagens säkerhetskrav, fjärranslutningar för leverantörer som inte har granskats på länge och tekniska beroenden som få längre har full överblick över. För användaren syns de inte. För angriparen är de ofta första vägen in.

Utpressningsgrupper tar sig typiskt in med ett stulet lösenord eller genom ett system som inte har uppdaterats. Därefter försöker de stegvis höja behörigheten, från ett begränsat konto till administratörsåtkomst, och röra sig vidare genom organisationens nätverk. När lösennotan väl syns kan intrånget redan ha pågått i veckor (CISA). Enligt LTV började sonderingen mot LVM:s säkerhetssystem före den synliga attackdagen (LTV).

Offentliga aktörer är särskilt utsatta eftersom de har låg tolerans för avbrott och samtidigt måste hålla äldre och nyare teknik igång parallellt under långa uppgraderingscykler (CISA, CrowdStrike). Det är ofta i skarven mellan gammal och ny infrastruktur som skyddet brister.

Mönstret i närområdet

Attacken i Lettland passar in i ett bredare regionalt problem. I Litauen utreder myndigheterna stölden av fler än 600 000 utdrag ur fastighetsregistret, inklusive personliga identitetskoder, från den statliga registeroperatören Registrų centras (LRT). Vägen in gick via stulna medarbetarkonton, och de första otillåtna inloggningarna dateras till början av 2026. Allmänheten fick veta det först flera månader senare (TV3). Omkring 1 000 personer förberedde en stämning mot staten (Verslo žinios).

De två fallen skiljer sig tekniskt åt, men pekar på samma brist: civila digitala system som hanterar vardagliga offentliga tjänster har inte skyddats i nivå med sitt samhällsvärde. Tyskland visade redan 2021 vart det kan leda. Då utlyste distriktet Anhalt-Bitterfeld katastrofläge efter en ransomwareattack, och medborgartjänster låg nere i veckor (Landkreis Anhalt-Bitterfeld).

Nya EU-regler möter ett verkligt avbrott

NIS2 är EU-direktivet som gör cybersäkerhet till en fråga för ledningsnivån, inte bara IT-avdelningen. Operatörer av samhällsviktiga tjänster ska lämna en första varning inom 24 timmar efter att en incident har upptäckts, en mer detaljerad anmälan inom 72 timmar och en slutrapport inom en månad (EUR-Lex). Den högsta ledningen får ett personligt ansvar för hur cyberrisk hanteras (European Commission).

Lettland införde NIS2 i nationell rätt med verkan från september 2024, medan minimikraven för cybersäkerhet träder i kraft i juli 2025 (Business.gov.lv). Efter attacken mot LVM undertecknade Lettlands tillförordnade premiärminister fem beslut som kräver att departementen redovisar säkerheten i statliga system och hur information om incidenter rör sig genom regeringsapparaten (Kulbergs). Han kopplade händelsen till försenade cybersäkerhetsregler och medgav därmed att skrivna krav måste följas av praktisk beredskap.

Nu prövas den delen. Hur lång tid tar LVM:s återställning? Får medborgarna veta vilka personuppgifter som har exponerats? Var säkerhetskopiorna testade innan de behövdes? Kan en minister peka ut vem i ansvarskedjan som äger cyberrisken för varje offentligt system? Samma frågor gäller offentliga operatörer i hela Europa. Med NIS2 blir det svårare att lämna dem obesvarade.