Det är fortfarande oklart vem eller vilka som låg bakom den omfattande IT-attacken mot flera svenska medier i går kväll. Angreppet sätter fingret på IT-samhällets sårbarhet, enligt en expert.

Nationella operativa avdelningen (NOA) inom polisen har börjat det omfattande arbetet med att spåra vem eller vilka som ligger bakom IT-attackerna.

Enligt Anders Ahlqvist, IT-brottsexpert på NOA, är det ett stort arbete som väntar.

– Det är en omfattande händelse, och det är möjligt att den fortfarande pågår. Vi vet inte, säger han.

Han säger att en av de viktigaste åtgärderna är att spåra vem som ligger bakom det anonyma Twitterkontot där attacken förannonserades.

– Att döma av det vi vet hittills pekar kontot österut. Men ingen tycks ännu ha tagit på sig ansvaret.
Inrikesminister Anders Ygeman (S) säger att regeringen noga följer utvecklingen.

– På måndagen kommer jag att bjuda in mediehusen till ett möte där vi avser att ta upp frågan om vad man kan ha för beredskap för den här typen av attacker och hur man kan skydda sig, säger Ygeman till TT.

Otillräckligt skydd?

Efter attackerna har frågan ställts om skyddet är otillräckligt på många håll i samhället. Ygeman vill dock inte generalisera:

– Det är svårt att skydda sig mot den här typen av överbelastningsattacker, säger han.

Han vill heller inte spekulera om vem eller vilka som kan tänkas stå bakom attacken.

– Vi vet inte varifrån den kommer. Oftast är den här typen av händelser någon form av manifestationer. Men vem eller vilka det rör sig om går det inte att ha någon rimlig uppfattning om, säger han.

Attacken pågick under flera timmar. Först efter klockan 23 fungerade de drabbade sajterna, bland annat Aftonbladet, Expressen, Dagens Nyheter, Svenska Dagbladet, Dagens Industri, Sydsvenskan och Helsingborgs Dagblad, igen.

Yrvakna myndigheter

David Jacoby, IT-säkerhetsexpert på företaget Kaspersky Lab, uppfattar det som att svenska myndigheter är lite yrvakna och tagna på sängen.

– Detta är ett säkert tecken på hur enormt sårbart vårt IT-samhälle är. Man har haft fel tänkesätt och riktat in säkerhetsarbetet på det nya, och glömt bort det som hänt förut. Detta var en gammal, klassisk attack, säger han.

– Lek med tanken att det hade varit något annat än medierna som angreps, exempelvis sjukhus, larmtjänsten, eller brandkåren. Man ser här hur lätt det är att göra Sverige oåtkomligt.

Jacoby påpekar att de ansvariga kan ha arbetat i ett års tid eller mer för att i slutändan kunna infektera kanske 100 000 maskiner.

– Det blir jättesvårt att få reda på källan. Ett enormt arbete väntar. Det hela är svårt, men inte omöjligt, säger han.

Maktdemonstration

Vem som helst kan köpa en överbelastningsattack på internets svarta marknad, men storleken och koordineringen av gårdagens angrepp pekar mot ett större nätverk eller organisation, enligt Roland Heickerö, adjungerad professor i informationssäkerhet vid KTH i Stockholm. Han förklarar att ryska nätaktivister har legat bakom liknande attacker tidigare, till exempel mot Estland 2007 i samband med statybråket, och under kriget mellan Georgien och Ryssland 2008.

– Man får gå tillbaka till vem som har intresse av det, och varför attackerna kommer just nu. Då får man titta på det storpolitiska maktspelet som pågår för tillfället, säger Heickerö till TT.

Attacken kan både ha varit en övning och en maktdemonstration.

– Dels kan det vara ett sätt att kontrollera skyddet av olika slags kritisk informationsinfrastruktur, i det här fallet medierna. Det andra är att man kanske vill påvisa att man har resurser och förmåga att påverka ett lands system, eller påverka debatten och förmågan att fatta beslut, säger Roland Heickerö.

Uttråkad tonåring

Erka Koivunen, cybersäkerhetsrådgivare åt datasäkerhetsföretaget F-secure, säger att det inte går att peka ut vilka som ligger bakom attackerna. Men det finns några få tecken på att det skulle kunna vara en ”uttråkad tonåring” eller flera.

-Det faktum att Twittermeddelandet skrevs på dålig engelska och inte på svenska och att attacken utfördes på kvällen under en helg, gör i alla fall att det inte finns tydliga eller uppenbara tecken på stor professionalitet eller att en stat ligger bakom, säger han.

Enligt Koivunen är det inte ovanligt under skollov eller helger att särskilt uttråkade pojkar eller unga män blir ”lite frustrerade” och bara gör något som de kan garva åt på någon annans bekostnad.

– Under senare år har vi vant oss vid att de gör sådant här för att framstå som att de protesterar mot något eller är skrämmande, tunga brottslingar.

Koivunen understryker också att det verkligen rör sig om brottslighet och att alla som drabbats bör polisanmäla.

– Anmäls det inte kommer sådana här attacker att vara tyst tolererade.

Attack från många datorer

En överbelastningsattack eller dos-attack (denial of service) innebär att ett eller flera datasystem attackeras med syfte att göra till exempel en webbplats otillgänglig. En ddos-attack (distributed denial of service) är en överbelastningsattack där man använder sig av flera datorer för att angripa målet. Genom att skicka en större mängd anrop mot samma mål ökar möjligheten att göra webbplatsen otillgänglig. Attackerna sker ofta via så kallade botnät, nätverk av datorer som kapats och fjärrstyrs med hjälp av virus eller andra program. Det sker då i bakgrunden utan att datorägaren märker det. Källa: MSB