Cyberhot har blivit världspolitik på högsta nivå

På bara ett par månader har svenska Coopkunder, amerikanska bilister, irländska patienter och många andra fått känna på bristerna i cybersäkerheten. De ofta spårlösa cyberbrottslingarnas verksamhet är enorm och växande, med miljontals utpressningsförsök och kostnader som förra året beräknas till 8 000 miljarder kronor.

Att påstå att IT-experterna är oroliga är ett understatement. Minerna är mycket bistra när de diskuterar naiviteten hos vanligt folk, sårbarheten i åldrande datoranläggningar, företag som väljer att betala ut pengar istället för att stärka cyberskyddet och politiker i totalitära länder som – om de inte själva är direkt inblandade – låter cyberbrottslingar hållas med deras goda minne.

Bilister på USA:s östkust fick upp ögonen för vilka brister som finns i cybersäkerheten våren 2021 när hackare gick in och störde bränsleleveranser från jätten Colonial Pipeline. Lite senare hände samma sak i världens största slakterikoncern, brasilianska JBS – och i början av juli 2021 mot det amerikanska IT-företaget Kaseya, som bland andra Coop anlitar. I alla tre fallen rörde det sig om ”ransomware” eller utpressningsvirus med lösensummor på flera hundra miljoner. Ligan – ryska Revil – misstänks för JBS-attacken och har även sagt sig ligga bakom Kaseyaangreppet, en så kallad supply chain attack som gör att en hel kedja med kunder drabbas.

– Jag har talat om detta länge. Då och då dyker det upp något intrång som folk läser om eller hör talas om men är inte själva berörda – det ändrades i och med Colonial Pipeline och den irländska sjukvården, anmärkte senator Mark Warner, demokratisk ordförande i underrättelseutskottet, i ett digitalt seminarium på sajten Axios.

Inte betala lösen

President Joe Biden lade fram ett omfattande så kallat presidentdirektiv om cybersäkerheten efter Colonial Pipeline-incidenten, som innebar att bensinen tog slut på amerikanska östkusten.

Reaktionerna blev två. Föregångaren Donald Trumps kritiker påpekade att detta bara var ännu en viktig fråga han misskötte, han avskedade ju till och med sin egen – mycket välrenommerade – cybersäkerhetsexpert när denne fastslog att presidentvalet 2020 skötts exemplariskt.

Skakar hand på cybersäkerhet? Joe Biden lämnade, vid mötet i juni 2021 i Genève, över en lista till Vladimir Putin på mål som USA anser inte får angripas. Foto: Patrick Semansky/AP/TT

Cybersäkerhetsexperterna välkomnade direktivet med öppna armar. Äntligen erkändes problemet på högsta ort, men de poängterade att det krävs mer omfattande regler och mer medvetenhet bland alla inblandade, det vill säga privatpersoner, politiker, företag, sjukhusansvariga, myndigheter som övervakar infrastruktur, ideella organisationer och så vidare.

– Kongressen måste också ingripa. Vi arbetar nu med ett tvärpolitiskt lagförslag med bland annat obligatorisk anmälningsplikt vid cyberintrång och det är angeläget med internationellt samarbete, sade Mark Warner, som i likhet med politiker i flera länder manar företag att inte betala ut några lösensummor eftersom det bara uppmuntrar cyberbrottslingarna att fortsätta.

Ryssland, Kina, Iran och Nordkorea

Under pandemin har det varit fler som jobbat hemma, fler som shoppat på nätet, fler som har gjort allt från att sjunga i kör och lyssna på föreläsningar digitalt och fler företag som utvidgat datorkapaciteten utan att, kanske, försäkra sig om att säkerheten var vattentät. Kort sagt, attackytorna blev större.

– Fastän det är 2021 verkar det som om väckarklockorna upptäcks först e-f-t-e-r något hänt, sade Window Snyder, VD på säkerhetsföretaget Thistle Technologies, som särskilt inriktar sig på det som kallas IOT, internet of things, eller de alltmer sammankopplade apparater som fler och fler äger.

Den ryska ransomware-gruppen Conti framför sina krav sedan det irländska sjukvårdssystemet utsatts för ett angrepp i maj 2021. Foto: AP/TT

En tredje deltagare på Axiosseminariet, Royal Hansen, vice vd på Google, påpekade att digitaliseringen inte kommer att avta, tvärtom, samma sak gäller cyberbrottsligheten. Fastän man talar om stora attackytor är själva målet litet, kanske ett enda misstag i miljontals rader datakod. Det uppges vara relativt lätt att ta sig in i datasystem för den som vet hur och sedan komma över mängder av information på mycket kort tid. Det bästa sättet att stärka försvaret mot attacker är att bygga in det redan i koden, framhöll Royal Hansen. Han medgav dock att det är svårare än man skulle kunna tro och hjälper inte heller till exempel sjukhus, kraftverk eller fraktbolag med åldrande styrsystem.

Det finns åtskilliga stora cyberkonsultföretag och åtskilliga studier om hur utbredd cyberbrottsligheten är. Beträffande cyberspioneriet är kunskapen av förståeliga skäl mindre, men västerländska underrättelsetjänster pekar ut Ryssland, Kina, Iran och Nordkorea som de största syndarna. Det duggar också av rapporter om en pågående cyberkraftmätning mellan, inte minst, Israel och Iran.

Hotfull Biden

Att ryske presidenten Vladimir Putin med sin bakgrund i underrättelsetjänsten KGB sannolikt intresserar sig för cybervapen är inte så förvånande. På toppmötet i Genève i juni med Joe Biden nekade han som alltid blankt till alla anklagelser om rysk inblandning. Men ämnet togs i alla fall upp och Biden hade med sig en lista över 16 infrastrukturinrättningar han beskrev som förbjudet område.

– Jag påpekade att vi har betydande cyberkapacitet. Han vet det, sade Biden hotfullt vid sin presskonferens efter mötet, medan Putin talade i mer allmänna ordalag på sin långa pressträff om att USA och Ryssland borde inleda konsultationer.

Ögonöppnare. Den stora attacken mot företag Colonial Pipeline i USA i maj 2021 fick bensinen att ta slut vid mackar på östkusten. Foto: Chris Carlson/AP/TT

Idéer om en Genèvekonvention för att, liksom i krig, skydda civila har inte kommit någon vart. De stora makterna Ryssland och Kina är inte särskilt intresserade av öppenhet eller inskränkningar av sina egna göranden och låtanden. Däremot har en process om ett avtal mot cyberbrottslighet inletts i FN, med både en resolutionstext och en tidtabell för möten på global nivå. Bakom initiativet med den nätta titeln Countering the Use of Information and Communications Technologies for Criminal Purposes står inte direkt världens ledande demokratier, utan bland andra Ryssland, Kina, Nordkorea, Myanmar och Venezuela.

Amerikanska företag utsatta

Människorättsorganisationer hissar röd flagg. Human Rights Watch uttrycker extra stor misstänksamhet mot det ryska engagemanget i frågan, med varningen att totalitära regimer är angelägna om ett avtal för att ytterligare kunna öka kontrollen över internet och inskränka sådant som yttrandefriheten.

Sydkoreansk övervakning av eventuella cyberattacker från Nordkorea, som ofta beskylls av västliga makter i sammanhanget. Foto: Yun Dong-jin/Yonhap via AP/TT

Mycket av cyberbrottsligheten är riktad mot amerikanska företag för att de är stora och lönsamma, men också för att flera, som Colonial Pipeline, varit beredda att betala. I princip är cyberbrottsligheten fredlig, sägs det, men gränsdragningarna mot cyberspioneri och rent av cyberkrigföring kan vara svåra att dra. Det är ingen tvekan om att en del cyberattacker kunde ha klassificerats som krigshandlingar om det handlat om bombattacker – och likaså ingen tvekan om att det snart kan komma att krävas paralleller till kalla krigets terrorbalans och nedrustningsförhandlingar.

För att återigen citera Joe Biden i Genève:
– När jag talade om cybertillslaget mot oljeledningen [där de ville ha 5 miljoner dollar] vände jag mig mot honom och sade: Hur skulle ni känna er om era oljeledningar slogs ut med ransomware?

Enligt Biden hade Putin nickat och sagt att det skulle tas på största allvar.