Moster Agda blir cyberkrigare

En gång en av många överstar i massarmén. Utbildad för
att möta en annan massarmé. Nu chef för informations-säkerhetsenheten vid Krisberedskapsmyndigheten, KBM. Ingvar Hellquists massarmér i dag består inte av kött och blod utan av ettor och nollor.

I skriften Sveriges beredskap mot nätangrepp beskriver Krisberedskapsmyndigheten, KBM, hur Estland förra året utsattes för ett cyberanfall. Termerna är anfall, försvar, motåtgärder, manöverutrymme. Det märks att det är en överste som tagit över.

– Inte alls, säger Ingvar Hellquist. Det är så man talar i den här branschen. Jag har inte skrivit ett ord mer än förordet.

Medan massarméns soldater hade sina inkallelseorder liggande i översta byrålådan, munspelet och ett ombyte varma kläder snabbt gripbara, så är cyberarméns soldater ovetande om att de står i beredskap. Och när armén anfaller så är det inget som moster och de andra i ledet märker.

– Det kallas för botnet, säger Ingvar Hellquist och anspelar på ordet robot, arbetare.

– Man kapar helt enkelt en dator. Lättast är det att komma åt hemmadatorer som står på ofta och dessutom är sårbara. Det är en hel industri att infektera datorer.

Ingvar Hellquist berättar om hur ”tjänstemän” i låglöneländer och med tillgång till internet ger sig ut på jakt efter datorer på nätet. När en dator infekterats säljs den vidare till nästa led som samlar på kapade datorer som sedan hyrs ut. Hur många och för vilken tid? Det är bara att beställa och betala. Priserna för botnet varierar. Just nu är det dyrare i Australien än i Sverige. Man räknar med att mellan 20 000 och 50 000 datorer är kapade i Sverige.

Hur får man sin dator kapad?

– Ingången är säkerhetshålen, säger Ingvar Hellquist.

– Det kan till exempel finnas i webbläsaren Explorer eller något Office-program. Microsoft skickar ut säkerhetsuppdateringar, så kallade patchar. Men så enkelt är inte saken ur världen. I och med att Microsoft talar om att en uppdatering är på väg avslöjar man också att det finns ett säkerhetshål. Och då gäller det att passa på innan luckan stängs. Vanligaste sättet att komma in i en dator har varit att skicka en fil med mejlen. När man icke ont anande öppnar filen är det klippt.

– Nu har busarna anpassat sig och gått ett steg längre och infekterar hemsidor. Det räcker med att gå in på en webbplats för att få datorn infekterad. När man väl kommit in i en dator finns det ett batteri av saker att göra, som att registrera tangenttryckningar och på det viset komma åt koder och lösenord och stjäla pengar. Men vanligast är att datorn finns där som en vilande agent, beredd att handla på ett kommando. Det var det som skedde i Estland.

Cyberattacken i maj 2007 var inte en enskild händelse. Konflikten om den sovjetiska soldatstatyn som esterna tänkte flytta på fick förbindelserna mellan Estland och Ryssland att kärva. Det demonstrerades utanför Estlands ambassad i Moskva och så kom cyberanfallet. Massarméerna hade mobiliserats och den stora stöten sattes in – från USA.

– Tusen och åter tusen datorer började anropa datorer i Estland, förklarar Ingvar Hellquist. Enligt reglerna ska en anropad dator svara; det är ping och ping. Men nu skickade en dator inte ett ping som vanligt utan tusentals. Och den estniska datorn försökte att svara och hänga med och på så vis överbelastades nätet. Bandbredden smalnade. Denial of service, dos, kallas det. En attack kunde utlösas med att någon på en rysk hemsida klickade på en knapp. De operatörer som sköter hela internet stoppade trafiken från USA. Då kom nästa angrepp i stället från Vietnam som står utanför det globala skyddsnätet. Det visar hur välplanerad attacken var. Det kunde inte röra sig om en liten grupp. Angreppet var alltför avancerat.

Parallellen med en militär operation (eller fotbollsmatch) är lätt att göra. Det ska finnas ett motiv, en organisation, en plan och ett mål. I fallet Estland vet man inte så mycket. Motivet var naturligtvis att på något sätt skada Estland. Organisationen är okänd liksom planen och vad som var målet med attacken. Vem vann? Ebbade anfallet ut därför att försvararna hade hunnit samla styrka eller åstadkom man det man ville? Att skaka om Estland ordentligt.

– Vi hade aldrig sett något tidigare, säger Ingvar Hellquist. Det var första gången ett land attackerades med cybervapen riktade mot samhället. Men det var till största delen ett anfall som utspelade sig på den lägsta nivån, en sorts cyberklotter. Nästa nivå är att inte bara angripa med överbelastning utan att även ta över och kontrollera motståndarens dator. Då kan man sprida falsk information, stjäla pengar. Den farligaste nivån som är riktigt obehaglig är när någon försöker ta över en dator som i sin tur kontrollerar vitala system som eldistribution, flygtrafikledning eller vattenförsörjning. Anfallet mot Estland var som ett krig med attacker och motåtgärder. Man försökte göra intrång i banksektorn och lyckades till viss del. Vad vi vet kom man dock inte åt några pengar.

Enligt CIA har några lyckats kapa elförsörjningen i latinamerikanska städer och sedan slagit på strömmen när de fått sina pengar.

– Vi väntar bara på större exempel. Man måste förstå att nu hackas det inte längre för skojs skull och för att väcka uppmärksamhet. Det var några arga äldre hackare som surt klagade över att de hackat Aftonbladets hemsida utan att det blev något väsen, men sådant hör i dag till undantagen. Nu är det brott som sker. Man slår till mot få och utvalda. Snabbt in, ta pengarna och snabbt ut igen och sopa igen spåren. Ingen verkar tänka på att cyberbovarna har skäl till vad de gör. Som att gå in i sjukvården, förfalska recept och hämta ut knark på apoteket i stället för att köpa det på gatan. Detta har inte hänt, jag förklarar bara vad som kan hända om man kommer in i styr- och kontrollsystemen.

Den som gör något brott dolt riskerar knappast att åka dit. Inte heller den som avslöjas riskerar speciellt mycket.

– Det ska vara bra högt på straffskalan för att polisen ska kunna göra en utredning. Då närmar man sig barnporr. Om det försvinner en miljon kanske polisen börjar utreda. Och så går spåren till en vanlig datoranvändare. Men det är ju svårt att visa att den personen är skyldig som inte ens vet om sin delaktighet. Nu kommer man in i ett träsk av bulvaner. Det är lager på lager. I det yttersta lagret kan man till och med ha betalt för att åka dit. Det kan vara en tiondel av bytet. Resten har försvunnit utom räckhåll för samhället. Det är en global verksamhet utan globala lagar.

Så bovarna får man leva med. Återstår att skydda sig och sin dator.

– Man kan till att börja med vara sparsam med att vara på nätet. En dator som sällan är ute är mindre attraktiv för bovarna, säger Ingvar Hellquist. Och så ska man givetvis ha bra och aktuella säkerhetsprogram. För om man är oskyddad när man går ut på nätet så hugger de direkt när man kopplar upp sig. Både de som vill uppdatera dina virusprogram och de som ser att här finns det en med säkerhetsluckorna på vid gavel. Och så kan man ju fråga sig varför man ska vara på sin vakt om man inte själv personligen är utsatt. Vilken aktsamhet kan samhället kräva av en datoranvändare. Glömmer man lägga i handbromsen och bilen löper amok så åker man dit. Lämnar man datorn utan handbroms i så händer inget.

– Ett skydd för samhället är att ha en gemensam lägesbild. I Estland fick man igång en sådan väldigt fort. I Sverige skulle det ha tagit längre tid. Det behövs också en gemensam lagstiftning. Men alla länder vill inte vara med. Vi hade en debatt om att statliga cyberattacker skulle betraktas som en folkrättsbrott därför att attackerna drabbar civila. Det lät ju bra. Då skulle staterna lägga korten på bordet och tala om vilka vapen de har. Ryssarna tyckte det var jättebra att få insyn i den amerikanska cyber-arsenalen, och då sjönk naturligtvis det amerikanska intresset.

Samhället borde enligt Ingvar Hellquist tänka sig för innan man kopplar ihop vitala styrsystem på nätet.

– Men det är lättare sagt än gjort. Det är enormt kostnadseffektivt att göra så. Ta som exempel de som utvinner olja till havs. I stället för att skicka ut en specialutbildad och dyr reparatör med helikopter för att fixa felet kan man ordna det från en central i land. Som alltid är det en fråga om vad man vill betala för att minska en risk. De svenska vitala systemen är än så länge så säkra att de inte låter sig störas i första taget. Det är blanktråd och strömbrytare som gäller. Och vill man slå ut el-nätet är det ju inte så svårt att ta med sig lite dynamit och ladda upp matarledningarna i Mellansverige som skickar kraften från nord till syd. Bara för att en sak kan göras innebär det ju inte att det måste ske. Det måste finnas ett skäl också. Hur många år har vi inte talat om att någon ska förgifta vattnet och det har aldrig hänt.

När ingvar hellquist tittar in i framtiden så ser han en värld av fler cyberattacker.

– Jag tror inte att ett land angriper ett annat land. Snarare rör det sig om grupper och dessvärre blir det nog mer av terrorister. Ju mer inkopplad vår vardag blir, desto sårbarare blir den. Nu talar man om att det inte bara är mjukvaran som angrips utan även hårdvaran, som till exempel den nya generationens mobiltelefoner. I vårt arbete här på KBM ligger vi på framkant. Sverige har inte utsatts för en attack på den värsta nivån men vi betonar att det är viktigt att skydda sig.

Hur det är ställt med cybersäkerheten prövas när vi talar med Ingvar Hellquist. Regeringskansliet och finanssektorn och många myndigheter övas gemensamt i en cyberattack, övningen SAMÖ 08. I spelet har Sverige stiftat en lag mot penningtvätt som tagits illa upp av en viss mr John Smith som har stora finansiella intressen. Det går inte längre att betala över nätet. Förtroendet rasar för bankerna. All verksamhet som bygger på snabba betalningar upphör. Kontanterna räcker inte. Folk byter varor. Regeringen kommer med motåtgärder och när läget verkar vara under kontroll spelas något nytt elände in.

– Förhoppningsvis har det gått så dåligt på sina ställen, att man lär sig något, säger Ingvar Hellquist. Lika dåligt som i Pakistan för en tid sedan kan det nog inte gå. Regeringen gillade inte vissa inslag på Youtube och lät sin nätmyndighet stoppa trafiken från denna sajt.

Dessvärre råkade någon programmera fel. Under några minuter kom alla som ville till Youtube till Pakistan innan felet kunde rättas till. •

Jan-Ivar Askelin,text, Martin Ek, grafik,  Framsyn 2008/2