LAGET GIGANTISK «TOGSETT»: En 14 år gammel gutt skapte kaos da i byen Lodz etter at han fikk kontroll over styringssystemet til byens trikker. Foto: Europics / All Over Press
LAGET GIGANTISK «TOGSETT»: En 14 år gammel gutt skapte kaos da i byen Lodz etter at han fikk kontroll over styringssystemet til byens trikker. Foto: Europics / All Over PressVis mer

14-åring fjernstyrte trikker, fire sporet av og 12 personer ble såret

Internasjonale skandaler viser konsekvensene av at industrielle styringssystemer er koblet til Internett.

Hei, denne artikkelen er over ett år gammel og kan innholde utdatert informasjon

CAMBRIDGE/OSLO (Dagbladet): Dagbladet har avdekket hvordan over 2500 norske styringssystemer er koblet til nett - med liten eller ingen sikkerhet.

Og når systemer som brukes til å styre kraftverk, oljerigger, offentlig transport og annen kritisk infrastruktur kobles til Internett, kan disse fort falle i hendene på uvedkommende.

Internasjonale erfaringer viser at dette kan få store konsekvenser.

- Jeg tror de aller fleste ville blitt svært sjokkert over å se hva slags tilstand disse systemene er i, og hvor dårlig beskyttet de kan være, sier Eireann Leverett ved det internasjonale datasikkerhetsselskapet Ioactive til Dagbladet.

14-åring styrte trikker En hendelse i Polen i 2003 gir et bilde av hvor galt det kan gå. Da tok en 14 år gammel gutt kontroll over et trikkesystem i byen Lodz, og brukte trikkene som et slags gigantisk, virkelig «togsett».

14-åringen hadde studert trikkene og trikkesporene i lengre tid og deretter bygget et apparat som så ut som en tv-kontroll.

Denne brukte han så til å styre trikkene, noe som skapte fullt kaos i den polske byen. Til sammen fire trikker sporet av og 12 personer ble skadd, ifølge Daily Telegraph.

- Dette viser at potensialet er at selv mennesker uten teknisk utdannelse og masse ressurser kan lage en del skade. Det er derfor viktig å sikre disse systemene så ikke uautoriserte får tilgang, sier forsker Niklas Vilhelm ved Nasjonal Sikkerhetsmyndighet (NSM) til Dagbladet.

Stengte telenettet Hendelsen i Polen var ikke første gang en tenåring med datakunnskaper har skapt problemer.

Så tidlig som i 1997 klarte en tenåring ved hjelp av sin private PC å stenge ned deler av telefonnettverket i Worcester i Massachusetts.

Han skal samtidig ha klart å avskjære kommunikasjonssystemene som kontrollerte flytrafikken på den lokale flyplassen, ifølge Washington Post.

Bruker standardpassord De siste åra har hackere stadig oftere klart å få kontroll over slike systemer. Ofte er det ikke spesielt mye datakunnskap disse «hackerne» har. Ofte gjetter de bare riktig på et svært enkelt passord.

I fjor fikk amerikanske sikkerhetsmyndigheter inn meldinger om 198 hendelser som involverte kritisk infrastruktur, 65 prosent mer enn i 2011.

En av hendelsene som fikk mye omtale sistnevnte år, var da en mann i 20-åra tok seg inn i styringssystemet til et kloakkanlegg i Houston i USA - ved bruk av et standardpassord på tre karakterer, som sto oppført i brukermanualen.

Han gjorde imidlertid ingen skade på anlegget, fordi målet var å vise hvor sårbare disse systemene er.

- Dette krevde nesten ingen kunnskap, og kunne blitt utført av en to-åring med litt kjennskap til systemet, skrev han i en e-post til Houston Chronicle like etter.

Hevngjerrige jobbsøkere Tidligere har også forsmådde jobbsøkere og eks-ansatte brukt kritiske kontrollsystemer for å gjøre skade.

Verst gikk det kanskje i Australia i 2000, da rådgiver Vitek Boden i et australsk teknologifirma var bitter fordi han ikke fikk jobb hos lokalmyndighetene i et fylke på østkysten.

Han tok seg derfor inn i kontrollsystemene til kloakken i Queensland ved bruk av en radiosender, og slapp ut flere hundre tusen liter kloakk i lokale bekker og parker. Mye av dyrelivet døde ut som følge av dette, og stanken fra utslippet var uutholdelig for innbyggerne, skriver Washington Post.

Vannkraftverk I tillegg er dette noen av systemene funnet på nett som har vakt internasjonal oppsikt:

PLANLA NØYE: 14-åringen som skapte kaos i Polen, hadde studert trikkene og trikkesystemene nøye før han slo til. Foto: Europics / All Over Press
PLANLA NØYE: 14-åringen som skapte kaos i Polen, hadde studert trikkene og trikkesystemene nøye før han slo til. Foto: Europics / All Over Press Vis mer

• En partikkelakselerator ved universitetet Berkley i USA.
• Et vannkraftverk i Frankrike
• Vannpumpene til de nederlandske dikene.
• Et glukoseovervåkingssystem på et sykehus i USA
• Flere sensorer for rørledninger

Strømbrudd i flere byer CIA har også informasjon om at dataangrep har forstyrret kraftforsyninger i en rekke regioner utenfor USA, og at disse forstyrrelsene i minst ett tilfelle førte til et strømbrudd som rammet flere byer, ifølge amerikanske sikkerhetsmyndigheter.

Den store frykten er nå at terrorister, ondsinnede hackere eller andre lands myndigheter angriper kritiske systemer koblet til nett.

Historisk sett er det ofte virus som er brukt i angrep på denne type systemer.

Allerede i 1999 ble det russiske energiselskapet Gazprom utsatt for et angrep på ett av deres kontrollsystemer, ved at hackere ga en insider i selskapet en såkalt trojansk hest, et datavirus som ofte inneholder spionprogramvare.

Kontrollerte gassrør Da vedkommende hadde åpnet viruset, kunne hackerne infiltrere systemene som kontrollerte gassflyten i gassrørene. I flere timer hadde de kontroll over det sentrale systemet, men motivene deres er ikke kjent.

Samme år brøt en gruppe hackere seg inn i systemene som kontrollerte Skynet, en britisk militærsatelitt, og endret sikkerhetsinnstillinger.

TIDLIG ANGREPET: Det russiske energiselskapet Gazprom ble utsatt for et dataangrep allerede i 1999. Foto: Maxim Shemetov / Reuters / NTB scanpix
TIDLIG ANGREPET: Det russiske energiselskapet Gazprom ble utsatt for et dataangrep allerede i 1999. Foto: Maxim Shemetov / Reuters / NTB scanpix Vis mer

I 2003 skapte dataviruset SoBig store problemer for den amerikanske togtrafikken, da et signalsystem ble angrepet. Dette førte til store forsinkelser og flere kanselleringer.

Oljeplattformer stengt ned Året etter ble flere oljeplattformer satt ut av spill i to dager som følge av dataormen Sasser, ifølge amerikanske sikkerhetsmyndigheter, mens 13 av Daimler-Chryslers fabrikker ble stengt ned i bortimot en time i 2005 på grunn av en dataorm. Dette kostet selskapet anslagsvis 14 millioner dollar (over 80 millioner kroner med dagens kurs).

Også virusangrepene kan være tilfeldige.

I 2006, for eksempel, tok hackere seg inn i datasystemet til et renseanlegg for drikkevann i Harrisburg i USA ved å installere et spionprogram på laptopen til en ansatt. Hackerne befant seg utenfor USAs grenser og visste angivelig ikke at de hadde angrepet et renseanlegg.

Trolig var de bare ute etter en pc de kunne bruke til å sende ut spam.

Angrep atomprogram Det aller mest kjente virusangrepet var sannsynligvis planlagt ned til minste detalj: I 2009 angrep dataormen Stuxnet Irans atomprogram.

Ormen ble plantet i det iranske atom­utviklingsprogrammet, hvor den angrep et Siemens-system og klarte­ å forsinke landets utvikling av atomvåpen.

ANGREP IRAN: Stuxnet er det hittil aller mest kjente angrepet på et industrielt kontrollsystem. Israel og USA mistenkes å stå bak dataormen, som angrep Irans atomsystem. Foto: Presidential official website / Reuters / NTB scanpix
ANGREP IRAN: Stuxnet er det hittil aller mest kjente angrepet på et industrielt kontrollsystem. Israel og USA mistenkes å stå bak dataormen, som angrep Irans atomsystem. Foto: Presidential official website / Reuters / NTB scanpix Vis mer

Seinere spredte den seg også til andre maskiner.

Angrepet gjorde at verden fikk øynene opp for datasikkerhet og kritisk infrastruktur. Mange spør seg imidlertid fortsatt om problemet tas nok på alvor.

TAPTE OVER 80 MILLIONER: I 2005 ble 13 av Daimler-Chryslers fabrikker stengt ned på grunn av et dataangrep. Dette kostet selskapet over 80 millioner kroner. Foto: Mike Segar / Reuters / NTB scanpix
TAPTE OVER 80 MILLIONER: I 2005 ble 13 av Daimler-Chryslers fabrikker stengt ned på grunn av et dataangrep. Dette kostet selskapet over 80 millioner kroner. Foto: Mike Segar / Reuters / NTB scanpix Vis mer
Tips oss på nullctrl@dagbladet.no
Tips oss på nullctrl@dagbladet.no Vis mer