Tusentals säkerhetsbrister i svenska styrsystem

En kartläggning som SVT har genomfört visar att 3 809 ip-adresser med industriella styrsystem och tjänster i Sverige har varit åtkomliga från internet. Kartläggningen gjordes mellan maj och september. Systemen styr fysisk utrustning, och en angripare som tar sig in kan manipulera verksamheten i stället för att bara stjäla data. Flera av systemen används i samhällsviktig verksamhet.

Industriella styrsystem – ofta kallade ICS eller SCADA – är den digitala ryggraden i exempelvis elnät, vattenförsörjning, industrier och transporter. Till skillnad från vanliga it-system sitter de ihop med fysiska processer: pumpar, ventiler, motorer, kylaggregat och robotar. När de väl är nåbara från internet räcker det ofta med en webbläsare för att komma åt en inloggningssida. Har systemet dessutom ett svagt lösenord är vägen in kort.

SVT nämner ett norskt exempel från 2023. Vid en damm vid Risevatnet utnyttjade ryska hackare ett svagt lösenord i det digitala styrsystemet. Under fyra timmar strömmade 500 liter vatten per sekund ut från dammen innan intrånget upptäcktes. Händelsen visar hur sårbar infrastruktur kan vara även i en liten anläggning.

– När man exponerar sina system mot internet utan rätt lager av säkerhet får man de här sårbarheterna. Vi rekommenderar ingen att exponera på det här sättet, säger John Billow, chef för Nationellt cybersäkerhetscenter, till SVT.

I kartläggningen finns också system som i sig kan te sig mindre kritiska: kylsystem i mataffärer, kylsystem på IVF-laboratorier, avfrostningssystem på vindkraftverk, ventilation i vallokaler och utrustning för modernt lantbruk. Men även de kan få allvarliga konsekvenser. Ett kylsystem som manipuleras kan förstöra livsmedel eller biologiskt material. Ett avfrostningssystem som slutar fungera kan stoppa elproduktionen. Ventilation som slås ut i en vallokal kan störa ett val. Och lantbruksutrustning som angrips kan påverka livsmedelsproduktionen.

Säkerhetsforskare har länge varnat för att många av dessa system byggdes långt innan internet fanns. De är konstruerade för att hålla i årtionden, men säkerheten har ofta lagts till i efterhand. När de kopplas upp för fjärrstyrning och övervakning sker det ibland utan segmentering, brandväggar eller kryptering. Många system levereras också med standardlösenord som aldrig byts.

Svaga lösenord är en återkommande förklaring till intrång. Förra veckan blev Danmark skakat av att en hackare kunde ladda ner uppgifter om cirka 8,75 miljoner medborgare. Det skedde via en av de verksamheter som hade laglig tillgång till ett medborgarregister. Där hade minst tre personer lösenordet ”123456”.

Försvarets radioanstalt, FRA, och Myndigheten för samhällsskydd och beredskap, MSB, har i flera år varnat för riskerna med exponerade styrsystem. Enligt myndigheterna räcker det inte med en vanlig inloggningssida. John Billow är inne på samma linje.

– Nej. Det behövs något mer för att säkra sitt system. Även om det är ett system där konsekvenserna inte är så stora, säger han.

Kraven på säkerhet ökar också från EU. Genom NIS2-direktivet ställs tydligare krav på riskhantering och incidentrapportering för samhällsviktiga verksamheter. För företag handlar det inte bara om laglydnad. Ett driftstopp i en industriell anläggning kan kosta stora belopp, och försäkringsbolag har börjat ställa hårdare krav på dem som vill teckna cyberförsäkringar.

Säkerhetsföretag inom industriell it har vuxit snabbt under senare år, och marknaden för skydd av operativa system, så kallad OT-säkerhet, bedöms fortsätta öka. Men många anläggningar i Sverige är gamla och ägs av verksamheter med begränsade resurser. Det gör att arbetet med att täppa igen säkerhetshålen går långsamt.

SVT:s kartläggning visar att gapet mellan kunskap och praktik fortfarande är stort. Många system är en enda svag inloggning från att bli ett verktyg för en fientlig aktör. Och när väl det fysiska och digitala möts kan konsekvenserna bli betydligt större än en läckt databas.