Cyberattacker mot svensk offentlig sektor

Intressant att Svedala utsätts för en allvarlig hackerattack och bara dagar senare går Region Sörmland upp i stabsläge på grund av IT-problem.

För tidigt att säga att det finns ett samband, men jag skulle inte bli förvånad om det visar sig handla om samma sårbarhet i ett system som båda använder. Alternativt malware som spridits via en gemensam leverantör eller betrodd anslutning.

Att symptomen ser olika ut säger inte särskilt mycket ännu och vi vet väldigt lite om vad som faktiskt hänt i Svedala och Sörmland.

Någon som vet vilka gemensamma IT-leverantörer eller VPN/brandvägg/remote-access-lösningar de använder?

Det är väl inte så svårt att attackera om fienden är på insidan.
Svenska myndigheter är naiva och anställer allt möjligt löst folk från 3e världen, den första attacken kom troligen från deras egna anställda som planterat in något virus eller så. Hela Försäkringskassan IT system drivs också av löst folk, är bara en tidsfråga innan det brakar ihop.

Insider är absolut en möjlig attackvektor, men det finns väl inget som pekar på det här ännu. Mer intressant är om Svedala och Sörmland visar sig ha någon teknisk gemensam nämnare.

Det som verkar ligga nere är främst "externa" system som officiella hemsidan.

https://www.expressen.se/nyheter/expressen-direkt/?post=cb3a10e5-3c7a-47c0-a63a-a44dc5561b0a

" Region Sörmlands hemsidor ligger nere. Det har fått regionen att gå upp i stabsläge.

"Denna webbplats har aktiverats på grund av en krissituation som påverkar vår ordinarie webbplats", står det på regionsormland.se.

Det handlar om hemsidorna Region Sörmland, Samverkanswebben, Sörmlands museum och Folktandvården Sörmland. Det är oklart vad IT-störningen beror på.

Även Mälarsjukhuset har drabbats, men patienterna påverkas inte.

– De som jobbade natt har ringt till it-supporten som berättat att det ligger nere. De ska höra av sig när de vet vad som har hänt och vad som går att åtgärda, säger en ledningsansvarig sjuksköterska till Sörmlands Nyheter.

– Det har ingen betydelse för patienter alls.

På fredagen utsattes Nyköpings kommun, som ligger i samma region, för en hackerattack. Då visades istället en bild på en manga-karaktär på hemsidan. Något liknande ska inte ha skett den här gången, enligt sjuksköterskan.

Expressen söker regionen. "


Så verkar som denna gång går det inte skylla på journalystemet Cosmic.

Flashback åker ju på cyberattacker med jämna mellanrum (två stycken de senaste två dagarna), och det brukar sammanfalla med att Rysstrollet dyker upp med sitt spam och får trådarna raderade. Gissar att han använder sina surt förvärvade rubler till att köpa DDOS-attacker från nån kiosk i S:t Petersburg.

"Hackerattack" kastas alltid fram och tillbaka i media. Jag säger inte att detta inte kan vara det men det skulle lika väl kunna vara att en webserver gått ner pga någon otestad uppdatering eller något sånt

https://en.wikipedia.org/wiki/Noname057(16)
https://en.wikipedia.org/wiki/L_(Death_Note)

Tandvårdens sida är inte ens ordentligt avstängd utan svarar fortfarande skräp vilket talar för det du säger.

Dementerat. Kommunikationschef Maria Karlsson har erkänt att de är klappmongon som inte sköter sina jobb ordentligt.

Enligt kommunikationschef Maria Karlsson gjorde en automatisk uppdatering på regionens hemsida om att man gått upp i stabsläge, något som inte stämmer.

– Vår kriswebb var inte uppdaterad sedan förra krisen, säger hon.

https://www.svt.se/nyheter/lokalt/sormland/region-sormland-i-stabslage-hemsidor-ligger-nere

Tog av sommardäck men glömde sätta på vinterdäcken på tjänstebil.
Försökte åkta till grannstaden i några timmar.

(tur det var lördag f m så inte så många märkte).

Det finns ett konkret problem med att kalla varje IT-störning i Sverige för en ”cyberattack”. En webbserver kan gå ned på grund av en misslyckad uppdatering, felaktig DNS-konfiguration, certifikat som löpt ut, trasigt API, överbelastning, beroenden hos en extern leverantör eller helt enkelt ett dåligt deployscript. Inget av detta kräver en angripare.

Och även om det faktiskt är en attack måste man skilja på DDoS, intrång, ransomware, komprometterade leverantörskonton och dataläckage. De kräver helt olika angreppssätt.

I just Sörmland-exemplet blev det dessutom extra tydligt och pinsamt: den första uppgiften om stabsläge visade sig enligt regionens kommunikationschef bero på att en gammal kriswebb automatiskt publicerades när ordinarie webbplats låg nere. Ett ganska bra exempel på varför man bör fastställa vad som faktiskt har hänt tekniskt innan man sätter etiketten ”hackerattack”.

Den intressanta frågan är därför inte ”var det Putin?”, utan vilken komponent som fallerade, varför, vad som ändrades före felet och om det finns faktiska bevis på extern åtkomst. Utan det är ”cyberattack” fortfarande en hypotes, inte en förklaring.

Men det är kanske också att börja i helt fel ände. När säkerhetspolitiken redan är etablerad kan en teknisk incidentrapport som pekar på den egna organisationens inkompetens vara betydligt mindre användbar än en rapport som pekar åt andra hållet.

Vi ser något komma som egentligen inte finns.