BROTTEN MOT FÖRETAGEN

Företaget efter hacker-attacken: ”Tog en vecka innan vi kunde komma igång”

Ett hackat lösenord räckte för att en hackergrupp skulle ta kontroll över tillverkningsföretagets it-system. Oron kvarstår även om systemet säkrats upp. "Det är förhoppningsvis tillräckligt för att slippa detta igen", säger företagaren till TN.

Det var en junimorgon för cirka tre år sedan som tillverkningsföretaget upptäckte att ett intrång hade skett i organisationens it-system.

– Det började med att jag inte kom ut på internet från min dator. Då gick jag in i serverrummet och loggade in därifrån. På servrarna såg jag en readme-fil där det stod att vi hade blivit attackerade. Då ryckte jag snabbt ut internetkabeln, säger företagaren som föredrar att vara anonym.

Företagaren kontaktade brandväggsleverantören för att ta reda på hur angriparna hade kunnat infiltrera systemet.

Tog över kontrollen

Det visade sig handla om en ransomwareattack. Angriparna hade tagit kontroll över organisationens så kallade domänkontrollant, som hanterar inloggningar, lösenord och identiteter och i praktiken fått administrativ behörighet över hela den uppkopplade it-miljön.

– Vi var precis vid övergången att byta till tvåstegsautentisering, men de hade tagit sig in den vägen där det fortfarande räckte att logga in med lösenord och raderat backupen på vår domänkontrollant, säger hen.

Företagaren lyckades dock återhämta säkerhetskopian (backupen) från annat håll på så sätt återfå behörighet av domänkontrollanten. Eftersom själva tillverkningsproduktionen inte var uppkopplad mot internet kunde produktionslinjerna komma igång efter 33 timmar.

– Sen tog det en vecka innan vi kunde komma igång med resten av administrationen och ekonomin och betala fakturor och löner igen.

Nya åtgärder vidtogs

Sedan angreppet har en säkrare lösenords-policy införts i verksamheten. Dessutom har de fysiska servrarna förstärkts med virtuella servrar (som fungerar som en buffert) medan de fysiska servrarna flyttats till ett separat, lokalt nätverk, utan internetanslutning.

– Om det skulle ske ett nytt intrång så kommer de bara åt de virtuella servrarna vilket skyddar oss i två lager. Det är förhoppningsvis tillräckligt för att slippa detta igen, säger hen.

”Det här gör alla företag mer sårbara”

Företagaren befarar dock att sårbarheten ökar när molnbaserade program kräver att allt fler system kopplas upp mot internet för licensverifiering. Det gäller även system som av säkerhetsskäl borde vara isolerade.

– Produktionen är fortfarande offline, men så småningom när vi uppdaterar, kommer vi att tvingas koppla upp dessa system mot internet också. Det här gör alla företag mer sårbara, säger hen.

Intrånget anmäldes till polisen, som tog emot informationen om attacken, däribland readme-filen och utpressningskraven. Hittills har inga belopp behövts betalas ut.

– Jag har inte hört nånting efter det. Jag har inte ens hört om de har lagt ned undersökningen. Men vi har säkrat upp vårt system nu så vi är inte oroliga, säger företagaren.