Ryssland kapar kameror för vapenövervakning

En billig övervakningskamera på en lagerbyggnad i Europa, fortfarande skyddad av fabrikslösenordet, kunde kapas av ryska statliga hackare och användas för att följa vapentransporter till Ukraina. Ägaren märker kanske aldrig något. Nederländsk underrättelsetjänst uppgav tidigare i juli att IP-kameror i flera Natoländer hade komprometterats längs militära logistikrutter (AIVD, DW).

Det säger något om hur europeiska regeringar nu beskriver den ryska cyberverksamheten mot civil infrastruktur. Den behandlas inte längre som en rad enskilda incidenter, utan som ett löpande tryck mot samhällen som stödjer Ukraina.

I Finland beskriver myndigheterna läget som "arkipäivää", vardag (Yle). När Nato den 13 juli fördömde Rysslands "ihållande skadliga cyberaktiviteter" använde även försvarsalliansen ett språk som pekar i samma riktning (NATO). Det handlar inte om ett intrång som kan utredas, stängas och läggas till handlingarna. Det är en pågående operation som måste hanteras under lång tid.

Som att kopiera alla nycklar i huset

Den gamla bilden av en cyberattack är ett inbrott: någon tar sig in, stjäl något och försvinner. Det flera europeiska myndigheter nu beskriver liknar mer någon som kopierar alla nycklar i en byggnad, lär sig vakternas schema, kartlägger leveranserna och ibland utlöser brandlarmet för att se hur snabbt organisationen reagerar.

Ingången är ofta odramatisk: en gammal router, ett svagt lösenord eller en uppkopplad enhet som inte har uppdaterats på flera år. Finlands säkerhetspolis Supo uppger att ryska FSB:s 16:e centrum använder just sådana öppningar för att spionera mot energi- och försvarsbolag (Supo). Det krävs inte alltid avancerade verktyg.

Det strategiskt viktiga börjar efter intrånget. Angriparna stjäl inloggningsuppgifter, alltså de kopierade nycklarna, och använder dem för att röra sig vidare mellan system: från entrén till lagret och vidare till kontrollrummet. De följer intern kommunikation, kartlägger hur organisationen fungerar och försöker behålla åtkomsten i månader eller år.

Spionaget ritar kartan. Överbelastningsattacker, där webbplatser slås ut av stora mängder skräptrafik, skapar störningar och brus. Destruktiv skadlig kod kan ligga vilande tills en politisk eller militär upptrappning gör den användbar (ENISA).

Olika länder, samma kampanj

Varje land ser hotet genom sin egen exponering. I Finland handlar det mycket om nätverkens ytterkanter: energibolag och andra samhällsviktiga aktörer utsätts för långsiktigt spionage. Utrikesminister Elina Valtonen fördömde verksamheten och kallade upp Rysslands ambassadör (MTV Uutiset).

I Polen ligger tyngdpunkten på logistiken. Landet är en av de viktigaste transitrutterna för stödet till Ukraina och möter därför cyberoperationer vid sidan av fysisk sabotageverksamhet. Utrikesminister Radosław Sikorski har varnat för trovärdiga underrättelser om nya ryska planer och nämnt mordbrand, järnvägsangrepp och rekognosering mot infrastruktur tillsammans med digitala intrång (RMF24, Rzeczpospolita).

Det är inte motsägande bilder. Det är olika angreppsytor i samma kampanj: skaffa åtkomst, övervaka nätverk, kartlägga beroenden, störa selektivt och öka kostnaden för stater som hjälper Ukraina.

En brasklapp behövs. En del av varningarna bygger på hemligstämplade underrättelser som regeringar inte kan lägga fram offentligt. Tillskrivningen är en myndighetsbedömning, inte bevisning prövad i domstol. Polens utrikesdepartement hänvisade till en EU-position som kopplar destruktiva operationer till FSB:s 16:e centrum (WP). Det är plausibelt och institutionellt förankrat, men inte fullt granskbart utifrån.

Lagarna finns, routrarna släpar efter

Europas juridiska svar har kommit snabbt. Grundtanken i de två viktigaste instrumenten, NIS2-direktivet och cyberresiliensakten, är att flytta ansvaret uppåt: från en överbelastad IT-avdelning till bolagsledningar och tillverkare (NIS2 Directive).

NIS2 gör företagsledningar rättsligt ansvariga för cybersäkerhet och skärper rapporteringskraven vid incidenter i fler sektorer. Cyberresiliensakten angriper kamera- och routerproblemet vid källan genom att kräva att tillverkare levererar produkter med rimliga säkerhetsinställningar, inte med fabrikslösenord som standard (EUR-Lex CRA).

Glappet ligger i genomförandet. Ett direktiv kan inte omedelbart uppdatera varje gammal router eller byta varje standardlösenord. Införandet av NIS2 är fortfarande ojämnt mellan medlemsländerna. Arkitekturen är rimlig. Det praktiska arbetet är inte färdigt.

För europeiska medborgare är skiftet lika mycket begreppsligt som tekniskt. Cybersäkerhet är inte längre städning efter ett uppmärksammat intrång. Det är infrastrukturunderhåll: löpande upptäckt, uppdateringar, kontroll av leverantörer och övade incidentrutiner. Mindre slagkraftigt än en enskild attack, men svårare att hålla i över tid.

Nästa prövning blir därför inte om Europa har rätt lagar på papperet. Den blir om gamla kameror, ouppdaterade routrar och företagsledningar utan tillräcklig cyberkompetens faktiskt har förändrats innan Ryssland använder den åtkomst som redan har byggts upp.