Oppdatert 12.07.2024.
Over 250 indonesiske etater ble satt ut av spill etter et løsepengeangrep i juni 2024. De fleste etatene hadde ikke backup!
Noe lignende kan skje i Norge, om enn ikke i så stort omfang, og sannsynligvis ikke med like alvorlige følger.
20. juni 2024 ble Indonesia rammet av et alvorlig cyberangrep som har blitt beskrevet som det verste på flere år. Angrepet avslørte kritiske svakheter i landets IT-policy og datasikkerhet, for å si det mildt.
Hva skjedde?
En «ikke-statlig» aktør saboterte Indonesias midlertidige nasjonale datasenter (PDNS) ved hjelp av en variant av løsepenge-verktøyet LockBit 3.0. Skurkene krevde en løsepengesum på 8 millioner dollar, noe regjeringen nektet å betale. Dermed forble dataene kryptert slik at myndighetene ikke lenger hadde tilgang til dem.
Oppdatert 12.07.2024: Det har versert ubekreftede rykter om at skurkene angret seg og frafalt løsepengekravet, i tillegg til å overlevere dekrypteringsnøkkel. Nå ser det ut til at dette muligens kan stemme.
Omtrent 280 offentlige etater ble påvirket, inkludert departementer. Kritiske nasjonale tjenester ble alvorlig forstyrret, spesielt immigrasjon og drift av større flyplasser.
Oppdatert 12.07.2024: Tallet på berørte etater har variert en del. Nå kan det virke som det var snakk om 160 etater.
Mangel på sikkerhetskopier
I ett av de to kompromitterte datasentrene var praktisk talt ingen av dataene sikkerhetskopiert. Årsaken til manglende backup er hovedsaklig at datasenteret ikke hadde kapasitet til å lage sikkerhetskopier, og at sikkerhetskopiering ikke var ikke påkrevd. Mange statlige etater brukte ikke sikkerhetskopieringstjenesten på grunn av budsjettbegrensninger.
Sikkerhetskopiering vil heretter bli obligatorisk, ikke valgfritt.
Etterforskning
Indonesias president har beordret en revisjon av landets datasentre. Lederen for etterforskningskommisjonen har kalt mangelen på sikkerhetskopier for idioti.
Noen har krevd at kommunikasjonsministeren går av. Lederen for informatikk-avdelingen i Direktoratet for kommunikasjon og IT (Communications and Information Technology Ministry) har allerede gått av.
Kan slik skje i Norge?
Selv om norske myndigheter ser ut til å ta datasikkerhet litt mer alvorlig enn indonesiske, viser det seg at Norge ikke briljerer innen datasikkerhet.