I slutet av november 2022 ­drabbades Norrköpings kommun av en allvarlig cyberattack som påverkade många av kommunens IT-miljöer. Det var två professionella hackergrupperingar med hemvist i Ryssland som tagit sig igenom skyddet och skaffat sig kontroll som hotade kommunens alla verksamheter – men genom framgångsrika åtgärder och en kraftfull motattack avvärjdes hotet. På ett seminarium under Almedalsveckan berättar digitaliserings­direktör Anna Drotz om fallet och om den östgötasamverkan inom cybersäkerhet som startats för att bli starkare tillsammans inför kommande attacker.

En cyberattack syftar till alla former av attacker på internet och kan drabba såväl privatpersoner som företag och organisa­tioner. Målet är oftast att få obehörig åtkomst till datorsystem i syfte att komma över eller sabotera känslig data. Ett annat syfte kan vara att åstadkomma en samhälls­störning, minska förtroendet för våra samhällsfunktioner eller påverka opinion i känsliga frågor.

Antalet cyberattacker ökade med 38 procent under 2022 jämfört med 2021. I ­Sverige var statliga och militära mål de mest utsatta, med ett snitt på 1 440 ­attacker per verksamhet och vecka.

En av de som drabbades var Norrköpings kommun – och just det ska deras sem­inarium under Almedalsveckan handla om – torsdagen den 29 juni mellan klockan 8.30 och 9.10 under namnet När cyberattacken kom. Den leds av digitaliseringsdirektör Anna Drotz.

– Intresset har varit och är stort att höra om det vi drabbades av, hur vi hanterade situationen och vad vi gjort för att ytterligare stärka vårt IT-säkerhetsarbete. Och det är bara en tidsfråga innan fler kommuner råkar ut för samma sak. Professionella hackersligor är idag extremt skickliga och vid ett riktat intrångsförsök spelar det mindre roll hur starkt skydd man byggt upp. Det handlar om att snabbt upptäcka inkräktare, snabbt agera och att ha byggt sin IT-arkitektur på ett sådant sätt att det är svårt att ta sig vidare i miljön, berättar Anna.

Attacken upptäcktes i slutet av november 2022 genom att kommunens övervakningssystem larmade om onormal nätverksaktivitet.

– En kommun som vår utsätts dagligen för olika typer av attacker, allt från spam till överbelastningsattacker och seriösa intrångsförsök. Så kallade phishing mail (nätfiske – där du uppmanas att klicka på en länk och hamnar på en sida som är identisk eller snarlik den ursprungliga) eller spam (som oftast hamnar i skräpposten) hör till vardagen och många gånger kan det vara hemmahackare som försöker ta sig in. Men ibland är det riktiga proffs – som det var nu. 

Hon fortsätter:

– Vi insåg ganska fort att det är intrånget var betydligt allvarligare än vi först trodde. Inkräktarna hade skaffat sig full kontroll över vår IT-miljö och satt på huvudnyckeln. De förberedde för att stänga ner vår miljö och det hade såklart varit förödande för våra verksamheter som är beroende av fungerande IT-stöd. Vi har inte kunnat få svar på vad angriparna var ute efter, det vanliga är att de stänger ned och begär en lösensumma för att låsa upp – eller hotar med att läcka känsliga uppgifter om de inte får någon lösensumma. Det finns ju mycket konfidentiellt hos kommunen. Men vi som offentlig verksamhet kan också utsättas för attacker med samhällsstörande syfte och det förekom frekvent här under vintern och våren. 

Det var med andra ord extremt viktigt att snabbt agera och försöka hitta en lösning.

– Vi anmälde detta till både Myndigheten för samhällsskydd och beredskap (MSB), Polisen och Länsstyrelsen, både för att anmäla pågående brott men också för att varna andra. Problemet är att vi inte har någon myndighet som ansvarar för och koordinerar synkade cyberattacker i Sverige. Vi är väldigt dåligt förberedda på sådana händelser.

Kommunens digitaliseringsavdelning organiserade sig i incidentteam och kommunen gick upp i stabsläge. Man förberedde noga och en natt gick man till kraftfull motattack som slängde ut inkräktarna och säkerställde att de inte hade lämnat någon rest eller kunde ta sig in på nytt. 

Hela arbetet var mycket framgångsrikt och förklaringarna till detta var flera.

– Vi hade en snabb reaktion och eskalering, en mycket god intern kompetens och kunskap, ett klokt agerande på alla nivåer i organisationen, tog in extern experthjälp, vidtog kraftfulla åtgärder – samt att alla slöt upp, bidrog och verkligen jobbade tillsammans. Det visade sig vara två professionella hackersgrupperingar från Ryssland som låg bakom och vi gemensamt lyckades stoppa.

Därefter väntade ytterligare några dagars intensivt arbete med att bygga upp miljön igen och bland annat skapa nya konton och säkert distribuera nya lösenord till alla medarbetare.

Efteråt har Anna Drotz fått många förfrågningar om att berätta om händelsen – och snart står hon alltså på en scen på Almedalen.

– I våras startade vi i Östergötland en östgötasamverkan för cybersäkerhet – ett samarbete mellan alla kommuner i länet och Region Östergötland. Den hoppas vi kan inspirera andra regioner till liknande samarbeten. Det är inte en fråga om, utan när man blir drabbad och vi måste bli starka tillsammans över hela landet. Vi är väldigt stolta över hur vi framgångsrikt avvärjde hotet i Norrköping och delar gärna med oss om hur vi löste cyberattacken, berättar Anna Drotz. 

 

East Sweden Arena Almedalen 29 juni 2023

Arrangörer: Region Östergötland, Linköpings kommun, Norrköpings kommun.
Plats: S:t Hansgatan 16, innergård med plats för 80-100 sittande åskådare. Seminarierna livesänds.
Moderator: Henrik Johnsson.

08:30-09:10 När cyberattacken kom
I november 2022 larmades kommunledningen i Norrköping om en om­fattande cyberattack som påverkade många av kommunens IT-miljöer. Ett intensivt arbete inleddes för att stoppa attacken och med hjälp av cyber­säkerhetsföretaget Truesec lyckades man säkra upp kommunens IT-miljöer från pågående attack. Vilka lärdomar har dragits, och kunde kommunen ha agerat annorlunda? Hur arbetade man internt i detta kritiska händelseförlopp och hur samverkade man med extern aktör?

Seminariet inleds med kort trailer om cyberincidenten.

Medverkande:
Anna Drotz, digitaliseringsdirektör i Norrköpings kommun.
Anna Selander, kommundirektör Norrköpings kommun, ledde centrala krisledningen under attacken (var då tf kommundirektör).
Mats Hultgren, Director Of Operations CSIRT Incident Response, Truesec – cybersäkerhetsbolaget som hjälpte till att stoppa attacken.

 

 

Text: Joakim Löwing
Foto: Björn Lisinski