Tusentals vitala kontrollsystem i Sverige exponerade på internet

En granskning utförd av SVT identifierade cirka 3800 IP-adresser till industriella kontrollsystem som var synliga via det publika internet. Av dessa saknade omkring 2000 system identifierbara skyddsåtgärder utöver användarnamn och lösenord. Dessa kontrollsystem används för att hantera eller övervaka fysisk utrustning, ofta på distans via internet, och en störning eller manipulering av dem kan få allvarliga konsekvenser beroende på anläggningens typ. John Pålsson, chef för Nationellt cybersäkerhetscenter vid Försvarets radioanstalt (FRA), förklarar att dessa sårbarheter uppstår när system exponeras online utan tillräckliga skyddslager.

Bland de system som upptäcktes fanns kylsystem i livsmedelsbutiker, laboratorier för in vitro-fertilisering (IVF), avisningssystem för vindkraftverk, ventilationssystem i lokaler som används för röstning samt utrustning kopplad till moderna jordbruk. Många av dessa system är tillgängliga via en vanlig webbläsare och kräver endast ett användarnamn och lösenord. Farorna med sådana brister illustreras av en incident i norska Bremanger kommun förra året, där hackare kunde kringgå inloggningssidor och fjärrstyra grindarna till Risevatnet-dammen, vilket ledde till att en grind öppnades och 500 liter vatten per sekund strömmade ut.

Undersökningen fann även system i Sverige som var åtkomliga helt utan krav på användarnamn eller lösenord. Ett exempel var ett system i en byggnad som inrymmer Västra Götalandsregionens kontor i Skövde, där öppna data visade att värme och ventilation kunde styras utan lösenord. Efter att SVT kontaktade fastighetsägaren stängdes åtkomsten omedelbart. Fastighetsägaren förklarade att det rörde sig om ett äldre system som integrerats i ett nyare, och att det nya systemet varnar vid fel, varför situationen inte ansågs utgöra en säkerhetsrisk.

Myndigheter som FRA och MSB har under flera år varnat för riskerna med internetexponerade kontrollsystem och betonat vikten av att eliminera onödiga internetanslutningar. Pålsson understryker att skydd enbart med användarnamn och lösenord inte är tillräckligt, utan att ytterligare åtgärder krävs för att säkra systemen, även de vars konsekvenser vid intrång inte bedöms som allvarliga.