Så stoppade Lidingö utpressningsförsöket – ”It arbetade dygnet runt”

”En dubbelriktad strid”, kallar Per-Johan Gelotte it-attacken mot Lidingö stad i mars 2019, då angriparen dels försökte kryptera data, det vill säga låsa information, dels fiska ut data från verksamheten. 

– Första upptäckten gjordes på onsdagskvällen. Vi kopplade då bort och isolerade den utsatta maskinen från nätverket, men upptäckte på torsdagsmorgonen att viruset ”lagt ägg” som spridit sig till hundratals datorer. I sju dagar arbetade vi dygnet runt, berättar han.

Hur spreds attacken i ert system?
– Den kom in genom Microsoft Outlook, när en medarbetare klickade på ett phishingmejl, och spreds sedan till andra Windowsdatorer och Microsoftsystem. Spridningen tog bara två timmar. Även om vår brandvägg såg till att det inte läckte data hade vi det kämpigt. Våra inre kärnsystem var attackerade och hela vår klientpark slogs ut. Även de kommunala skolverksamheterna och deras Chromebooks stoppades inledningsvis.

Kallade ni in extern hjälp?
– Det fanns inte tid att lämna över allt till en extern aktör, utan vår drift- och it-personal arbetade dygnet runt. Vi har ett avtal med ett säkerhetsföretag som agerade som en övervakare – en ”second opinion” som såg till att vi inte tog beslut som förvärrade situationen. Vi kontaktade även MSB och CERT-SE.

Lidingö stad lyckades denna gång stoppa angreppet och hann inte få några krav på eventuell lösensumma. Ståndpunkten inför framtida ransomwareattacker är dock att kommunen aldrig ska betala sig ur liknande situationer. 

– Vi har rutiner för hur vi ska gå tillväga vid en attack. Det är viktigt att säkra våra back-up-system och på så sätt inte vara beroende av det material som hackarna kan tänkas komma över, säger Per-Johan Gelotte. 

Att som enskild medarbetare ha råkat orsaka en attack kan vara traumatiserande. Hur tog ni hand om personen som öppnade det infekterade mejlet?
– För att inte skapa onödig belastning och skuld bestämde vi oss för att inte avslöja för hen eller andra i organisationen vem som var ”patient zero”. Vi har informerat alla om vad som hände, vilket gjorde att vi i början såg en hög grad av överanmälningar. Många var rädda för att orsaka en ny attack.

Vilka lärdomar har ni tagit med er?
– Tidigare var vi lite naiva vid upphandlingar. Vi köpte en molntjänst och förlitade oss på att allt var säkert, men nu ställer vi med hjälp av informationssäkerhetsklassificeringsverktyg hårda krav som leverantörerna måste uppfylla. Rent tekniskt är det viktigt att ha automatiserade processer som genomför första isoleringssteget av en utsatt enhet.  

Tidigare var Lidingö stad också ”lite väl öppna” för hemelektronik, exempelvis Google Home-prylar och diverse streamingenheter, tillstår Per-Johan Gelotte. Deras krav på öppna miljöer var dock ett av skälen till att virusangreppet fick så snabb spridning. 

– Under attacken såg vi hur värdefullt det är med alla dokument, rutiner och krishantering som vi och kommunen har tagit fram. Det vore en katastrof för en redan stressad organisation om personalen var oense om hur de ska gå tillväga. Nu visste alla vilka steg som skulle genomföras och hur vi skulle benämna saker. 

LÄS MER: Utpressningattackerna eskalerar - ”Människoliv i vågskålen”. 

– Tack vare våra rutiner kunde vi koncentrera oss på vårt uppdrag och annan personal i kommunen ansvarade för kommunikation, krishantering och att förse oss med mat. I efterhand har vi även insett vikten av att ha kunnig och engagerad it-personal som är så tillfreds med sitt jobb och arbetsgivaren att de jobbar övertid för att lösa en sådan här kris, berättar Per-Johan Gelotte.

Många kommuner och regioner vill inte berätta att de har utsatts för en attack. Varför är ni så öppna?

– Det är viktigt att utvärdera vad som hänt och dela information. Som offentligt finansierad verksamhet, som dessutom har blivit utsedd till Sveriges digitaliseringskommun, ser vi det som en skyldighet att dela med oss av kunskap och erfarenheter. 

Bland annat har Per-Johan Gelotte föreläst på MSB:s säkerhetsdag och tidigare i år medverkade han på en informationssäkerhetsutbildning för offentlig sektor. 

Och hans budskap är tydligt: 

– Ransomwareattackerna kommer inte att upphöra. Frågan är inte om det sker utan när det sker. Då måste vi alla vara så väl förberedda som det går. 

LÄS MER: Robotattack lamslog bostadsbolaget: ”Ryckte ut sladdarna”.