En ny forskningsartikkel publisert i det vitenskapelige tidsskriftet Forensic Science International: Digital Investigation gir et unikt innblikk i den fem år lange etterforskningen av løsepengevirus-angrepet mot Norsk Hydro i 2019. Basert på intervjuer med etterforskningsteamet i Kripos belyser studien de kritiske suksessfaktorene, samarbeidsutfordringene og lærdommene fra en av norgeshistoriens største cyberetterforskninger.
Bakgrunn: Da lammelsen traff industrien
Den 19. mars 2019 ble industrigiganten Norsk Hydro rammet av et koordinert og ødeleggende dataangrep med løsepengeviruset LockerGoga. Kritiske systemer på tvers av kontornettverk og produksjonsanlegg i en rekke land ble kryptert, og selskapet ble tvunget over i manuell drift. De økonomiske tapene ble enorme – estimert til over 800 millioner kroner.
Angrepet viste seg raskt å ha internasjonale forgreininger, med over 1800 ofre i 71 land. Saken ble den første store cyberkrim-etterforskningen ledet av det nyetablerte Nasjonalt cyberkrimsenter (NC3) hos Kripos.
Fra medieoppslag til unntakstilstand
Studien, som er forfattet av Odin Heitmann (Kripos/NTNU) og Jan William Johnsen (NTNU), anvender det teoretiske rammeverket Integrated Cyber Investigation Process (ICIP) for å analysere etterforskningen. ICIP er en modell som integrerer tradisjonell kriminaletterforskning med digital kriminalteknikk (digital forensics).
Et av de mest oppsiktsvekkende funnene i artikkelens innledende del er hvordan etterforskningen startet. I motsetning til ordinære straffesaker, der politiet settes i sving etter en formell anmeldelse, startet Hydro-etterforskningen som følge av at politiet leste om angrepet i media.
Flere av informantene i studien innrømmer ærlig at NC3 på dette tidspunktet hadde svært begrenset erfaring med løsepengevirus. En av etterforskerne siteres på: «Det var nesten som om vi måtte Google hva løsepengevirus var da Hydro-saken traff oss». Til tross for manglende erfaring handlet Kripos-miljøet proaktivt. Ledelsen instruerte teamet om å opprette kontakt, og under ett døgn etter angrepet satt representanter fra NC3, inkludert etterforskingsleder, teknikere og påtaleansvarlig, i krisemøte i Hydros lokaler på Vækerø.
Håndteringen av 80 terabyte med bevis
Etterforskningen utviklet seg til et gigantprosjekt som strakte seg over fem år. Totalt måtte politiet håndtere og analysere over 80 terabyte (TB) med digitale data. Dette innebar blant annet:
- Sporing av intrikate internasjonale infrastruktur- og servernettverk.
- Analyse av komplekse kryptovalutastrømmer for å kartlegge pengestien.
- Koordinering med internasjonale politimyndigheter og Europol.
For å strukturere denne enorme mengden informasjon peker forskerne på en faktor som ofte tas for gitt, men som viste seg å være helt avgjørende: et solid og veltilpasset saksbehandlingssystem (case management system). Dette sikret strukturen i arbeidsflyten og bevarte den nødvendige bevisintegriteten gjennom et halvt tiår med komplekst analysearbeid.
Utfordringer på tvers av sektorer: Det offentlig-private spenningsfeltet
Etterforskningen avdekket også fundamentale forskjeller i prioriteringer mellom de involverte aktørene under en digital krise. Tidligere forskning har vist at:
- Den berørte virksomheten (Hydro) prioriterer driftssikkerhet og å få hjulene i gang igjen.
- De private hendelseshåndtererene (Incident Responders) fokuserer på skadebegrensning og fjerning av trusler.
- Politiet (NC3/Kripos) har som hovedfokus å sikre bevis som kan holde i en rettssak, og avdekke hvem som står bak.
Fordi politiet er helt avhengige av systemeiernes samtykke og samarbeid for å få tilgang til digitale spor, ble relasjonen mellom NC3, Hydro og de private IT-sikkerhetsselskapene helt kritisk. Studien viser at samarbeidet i Hydro-saken var tett, men at fremtidige saker krever langt mer standardiserte og forhåndsavtalte protokoller for informasjonsdeling. Dette er nødvendig for å navigere i det juridiske landskapet knyttet til taushetsplikt og personvern, uten at viktig bevis- og etterretningsinformasjon går tapt.
Veien videre: Foreslår ny modell for beredskap
Basert på erfaringene fra LockerGoga-angrepet foreslår Heitmann og Johnsen å utvide det eksisterende ICIP-rammeverket med en egen forberedende fase (preparatory phase). De tar til orde for at både politi og private selskaper må utvikle en felles «tverrorganisatorisk etterforskningsberedskap».
I tillegg presenterer de en konseptuell modell for retningsstyrt og betinget informasjonsflyt. Målet er at private aktører og politiet raskt og lovlig skal kunne dele tekniske indikatorer og bevis i sanntid under et pågående angrep, uten at det går på bekostning av rettssikkerheten eller selskapets forretningsmessige hensyn.
Konklusjon
LockerGoga-angrepet på Norsk Hydro ble et vendepunkt for norsk politi i møte med organisert digital kriminalitet. Studien gir et sjeldent og verdifullt innblikk «bak kulissene» hos NC3. Den viser tydelig at fremtidens cyberforsvar og etterforskningssuksess ikke bare handler om avanserte tekniske verktøy, men i minst like stor grad om proaktiv beredskap, robuste saksbehandlingsrutiner og et tillitsbasert, avklart samarbeid mellom offentlig og privat sektor.
Legg igjen en kommentar