Hacket mot Hof van Twente (2020): fem lärdomar för kommuner

Vad som hände

Angriparna tog sig in via ett svagt lösenord på ett administratörskonto, där dessutom tvåfaktorsautentiseringen var avstängd. Dessutom stod sedan en längre tid en åtkomstport (RDP) till en server öppen mot internet. Så kunde brottslingarna kryptera systemen och, avgörande nog, även göra säkerhetskopiorna oanvändbara. Återställning från en ren säkerhetskopia var därmed inget alternativ. Kommunen fick bygga upp mycket på nytt; samhällsservicen till invånarna var störd i veckor. Den totala skadan uppskattades till omkring fyra miljoner euro, medan angriparna krävde en mycket lägre lösensumma. Kommunen betalade inte.

Lärdom 1: Säkerhetskopior är säkerhetskopior först när de står offline

Den mest smärtsamma lärdomen: om era säkerhetskopior hänger på samma nät krypterar ransomware dem också. Se till att ha säkerhetskopior som är offline eller oföränderliga (immutable) och som inte går att nå från det vanliga nätet. Testa dessutom regelbundet om ni verkligen kan återställa från en säkerhetskopia. En säkerhetskopia som ni aldrig har återställt är ett antagande, inte en säkerhet.

Lärdom 2: Grunderna i ordning förebygger de flesta bekymren

Attacken var ingen bragd. Det gick fel på grunderna. Den grunden är uppnåelig för varje kommun.

• Starka, unika lösenord och obligatorisk tvåfaktorsautentisering, särskilt på administratörskonton.
• Ingen administratörsåtkomst (som RDP) direkt öppen mot internet.
• Patcha i tid och stäng av onödiga tjänster.
• Nätverkssegmentering, så att en infektion inte kan sprida sig överallt.

Lärdom 3: Kommunicera med invånarna om bortfallna tjänster

För invånarna är det inte tekniken som räknas, utan frågan: kan jag ansöka om mitt pass, min ersättning, mitt tillstånd? Var snabb och ärlig med det: vilka tjänster ligger nere, vilka alternativ finns och när kommer det mer nyheter. Erbjud där det går en nödlucka eller en telefonväg. Och upprepa budskapet konsekvent på alla kanaler. Otydlighet ökar missnöjet mer än själva avbrottet.

Lärdom 4: Involvera juridik och integritet från första minuten

Vid ett hack har ofta personuppgifter kommit på avvägar. Det gör det inte bara till en IKT-kris, utan också till en integritetsfråga. Involvera därför dataskyddsombudet och juridisk expertis omedelbart, och bedöm om det rör sig om en personuppgiftsincident. En personuppgiftsincident anmäler ni inom 72 timmar till Autoriteit Persoonsgegevens, och vid hög risk informerar ni berörda invånare. Externa forensiska experter hjälper till med utredningen; dokumentera vem som gör vad när.

Lärdom 5: Styrning och anmälningsplikter (NIS2, BIO2, GDPR)

En viktig slutsats i Hof van Twente var att signaler om informationssäkerhet i otillräcklig grad nådde ledningen. Placera därför informationssäkerheten på ledningsnivå, med en CISO och en egen budget, och se till att riskerna är synliga. Kommuner arbetar enligt BIO2 och GDPR och omfattas av cybersäkerhetslagen (NIS2). En cyberincident anmäler ni till NCSC och den sektoriella CSIRT:en; en personuppgiftsincident inom 72 timmar till Autoriteit Persoonsgegevens. Koppla in Informatiebeveiligingsdienst (IBD) för kommuner och dokumentera alla anmälningar.

Så hjälper CrisisRadar

CrisisRadar för samman ledning, CISO, dataskyddsombud, kommunikation och externa experter i en gemensam lägesbild. Ni dokumenterar fakta med källa, formulerar på några minuter ett meddelande till invånarna och en anmälan till tillsynsmyndigheten, och bevakar med anmälningsplikt-timers GDPR- och NIS2-tidsfristerna. Externa forensiska parter medverkar via en säker, tillfällig gäståtkomst. Vill ni se hur en cyberattack med personuppgiftsincident ser ut steg för steg i plattformen? Titta då på det tillhörande praktikscenariot.

Stappenplan

Veelgestelde vragen

Hur kunde kommunen Hof van Twente hackas?

Angriparna tog sig in via ett svagt lösenord på ett administratörskonto utan tvåfaktorsautentisering, samtidigt som en administratörsport (RDP) stod öppen mot internet. Så kunde de kryptera systemen och till och med säkerhetskopiorna.

Varför kunde kommunen inte bara återställa från en säkerhetskopia?

Eftersom säkerhetskopiorna hängde på samma nät och därför krypterades med. Det visar varför säkerhetskopior måste vara offline eller oföränderliga och varför ni regelbundet måste testa återställningen.

Vilken anmälningsplikt gäller vid en cyberattack mot en kommun?

En personuppgiftsincident anmäler ni inom 72 timmar till Autoriteit Persoonsgegevens; vid hög risk informerar ni invånarna. En cyberincident anmäler ni enligt cybersäkerhetslagen (NIS2) till NCSC och CSIRT:en. Kommuner kopplar också in Informatiebeveiligingsdienst (IBD).