Ruotsissa tehtailtiin kyberrikossarja julkisyhteisöihin – Suomi varuillaan
Suomalaisten eettisten hakkerien tyhmä Team Rot tarjoaa ilmaiseksi yhdelle suomalaiselle kunnalle penetraatiotestauksen, jonka tarkoituksena on etsiä mahdollisia haavoittuvuuksia kunnan tietojärjestelmistä. Kyseinen turvatestaus, ammattikielellä Bug Bounty, tulee kreivinaikaan, sillä Ruotsissa käynnistetään juuri muun muassa kuntien ja puolueiden järjestelmiin tietotomurtoja tehtailleen krakkeriliigan vastaista oikeudenkäyntiä.
Kyberrikollisliigan röyhkeä ryöstösarja Ruotsissa olisi voitu estää tai pysäyttää paremmalla ennakkovalmiudella. Kyseessä näyttää olevan, ellei pahin niin ainakin Ruotsin laajin kyberrikosvyyhti. Järjestelmiin tunkeutumismenetelmät olivat monelta osin tunnettuja. Tosin jotain uutta, todella röyhkeääkin pääsi tapahtumaan. Haittaohjelmien ja erilaisten etähallinnan työkalujen kanssa operoinut liiga sai haltuunsa tärkeitä käyttäjätunnuksia ja salasanoja, ja levisi kuin syöpä organisaatioissa. Sisäänpääsy onnistui monessa murtokohteeksi valikoituneessa tapauksessa, koska ne olivat kyberhyökkäyksiin huonosti varautuneita.
Tämä, rangaistusvaatimuksen mukaan kahdeksasta ruotsalaisesta ja puolalaisesta rikollisesta koostunut liiga, huijasi 60 yritykseltä tai yhteisöltä vähintään 40 miljoonaa kruunua, noin neljä miljoonaa euroa meikärahassa.
Tyypillisimmillään käyttäjät saatiin klikkaamaan haitallisia linkkejä ja tiedostoja, avaten näin ovet suojattuihin järjestelmiinsä.
Ruotsalaislähteiden mukaan tapauksen erittäin törkeä erikoisuus on, että kyberrikolliset pääsivät siirtämään sivustoja ja järjestelmiä fyysisesti omaan palvelinosoitteeseensa, oman rikollisen pääkäyttäjänsä alaisuuteen.
Tutkinta-aineisto käsittää nyt 20 000 sivua. Rikoksen uhreina on yhteisöjä, kuten puolueita, kuntia ja laitoksia mutta myös pörssiyhtiötä ja rahalaitoksia.
Rangaistusvaatimus ennakoi vastaajille ankaria, vuosien mittaisia vankeustuomiota.
Case kokonaisuutena tämä on käypä esimerkki kiristyvästä ja kohta yhä professionaalistuvammasta ilmapiiristä kyberavaruudessa.
Hyvä ja paha ottavat mittaa entistä rajummin ja entistä laajemmissa mittasuhteissa.
Tapaustutkinnassa hätiin tuli Ruotsiin toimintaansa laajentanut suomalainen tietoturvayhtiö Nixu Oyj. Se arvioi, että hyökkääjät pääsivät sisälle tietojärjestelmiin verrattain tavanomaisin keinoin. Sen sijaan hyökkäyksen strategia ja järjestelmien takaportteja aukoneen rynnistyksen laajuus oli sitäkin kehittyneempi.
Entistä kehittyneempi tulee olla myös eettisten hakkerien toiminta, muuten ei hyvä seuraa. Kunnissa ja laitoksissa Bug Bounty -testit ovat oiva tapa varustautua pahimman varalle kyberavaruudessa.
