”Ryska hackare har övat cyberkrig på Ukraina i åratal”

Klockan halv fyra på eftermiddagen, dagen före julafton 2015, inträffade en rad storskaliga strömavbrott i Ukraina. Orsaken: ryska hackare hade infiltrerat styrsystemen och stängt av ett 30-tal ställverk.  

Händelsen blev snart en världsnyhet, och en väckarklocka. Ett storskaligt cybersabotage som direkt drabbade civilbefolkningen, och spåren ledde raka vägen till Kreml.  

Men det var inte där det började. 

Statligt understödda ryska hackare har övat cyberkrigföring på Ukraina i snart tio år.

Lång historia av it-angrepp mot Ukraina

Det första kända exemplet, Operation Armageddon, var en storskalig spionkampanj riktad mot Ukrainas civila myndigheter och militär som tros ha inletts under 2013. 

Därefter följer ett pärlband av angrepp mot landets valsystem, elnät och myndigheter. Kulmen blev ransomwareangreppet NotPetya som inträffade 2017 och lamslog inte bara Ukraina, utan stora globala transportflöden när den danska rederikoncernen Maersk drabbades.  

Samtidigt har försvarsföretag och it-säkerhetsföretag pratat ihärdigt om ett allt mer etablerat begrepp: den femte domänen. Efter krig på land, till sjöss, i luften och rymden tillkommer krig som utspelar sig i cyberrymden. 

För några år sedan satte jag mig ner med den finska it-säkerhetsgurun Mikko Hyppönen, grundare av F-Secure, för att diskutera fenomenet. 

Då varnade han för en kapprustning inom cyberkrigföring som kunde liknas vid kärnvapenkapprustningen under kalla kriget. Men han ville inte säga att hackerstriderna mellan Ryssland och Ukraina eller USA och Nordkorea var krig, de åtföljdes inte av någon krigsförklaring eller av några fysiska militära angrepp. 

Efter nattens invasion av Ukraina kan vi konstatera att cyberkrig, enligt alla definitioner, är verklighet. 

Invasionen ackompanjeras av cyberangrepp

Under onsdagseftermiddagen började ett nytt virus infektera datorer i Ukraina, enligt it-säkerhetsföretagen Eset och Symantec.

Hundratals enheter ska ha infekterades av skadlig kod som raderar allt innehåll den kommer över, och sedan startar om datorn. Viruset är sedan tidigare okänd och har döpts till Hermetic Wiper.  

Bland de bekräftade måltavlorna finns ett finansiellt institut i Ukraina och företag i Lettland och Litauen som är viktiga underleverantörer för ukrainska myndigheter. Företag inom flera sektorer ska ha utsatts.  

I januari genomfördes ett liknande angrepp, kallat Whispergate, med skadlig kod avsedd att förstöra data. Men angreppet 23 februari anses vara betydligt mycker mer sofistikerat. 

Det får WhisperGate att se ut att vara skrivet av script kiddies (amatörhackare, reds. anm.), säger Juan Andrés Guerrero-Saade på säkerhetsfirman Sentinel One till Politico. 

Samtidigt pågår överbelastningsattacker mot myndigheter, tidningar och banker vilket gör deras hemsidor och tjänster svåra eller omöjliga att använda.  

Många bedömare skriver att cyberattackerna bara börjat.

Risk att svenska organisationer drabbas

Och precis som med NotPetya-attacken 2017 finns det stor risk att angreppen sprider sig utanför Ukraina. Faktiskt har de ju redan gjort det, i och med de infekterade datorerna i Lettland och Litauen.  

Risken att fler organisationer utanför Ukraina kommer att drabbas är överhängande.  

EU har mobiliserat en cyberförsvarsgrupp, och både USA och Storbritannien har gått ut och varnat företag och myndigheter för att de kan hamna i korselden.  

Även det svenska it-säkerhetscentret Cert-se publicerade förra veckan en uppmaning till organisationer i Sverige att se över sin cybersäkerhet och listar ett antal viktiga punkter för både anställda, driftansvariga och it-chefer. De nämner inte explicit Ukraina-krisen, men talande nog länkar de till de amerikanska varningarna som pekar ut Ryssland. Det är inte svårt att läsa mellan raderna.