En gruppe, der kalder sig Barracuda, hævder at have stjålet 2,44 TB data fra Femern-byggeriets hovedentreprenør Femern Link Contractors (FLC) og haft adgang til fortrolige filer siden 17. september.
Gruppen påstår at have kopieret over 1,57 millioner filer ud af systemerne. Det skriver den i et opslag om FLC på sin hjemmeside, hvor den søger en køber til materialet og angiver en pris på 500.000 dollars.
Femern A/S oplyste den 27. oktober, at FLC havde meddelt selskabet, at data, herunder personoplysninger, var stjålet i forbindelse med cyberangrebet den 11. oktober. Udmeldingen fastslår hverken omfanget eller præcis hvilke oplysninger, der er taget.
Sikkerhedsvirksomheden Brandefense registrerede den 28. oktober opslaget om FLC på Barracudas lækside og gengiver også påstanden om adgang siden september.
Hverken gruppens ansvar, datamængden eller adgangens varighed er dog bekræftet i de offentlige udmeldinger fra FLC og Femern A/S.
Digitale spor skal give svar
FLC skriver i sin egen offentlige orientering, at systemer med persondata er blevet »påvirket«.
Det kan dække over flere forskellige forhold, forklarer Sofie Freja Christensen, Consulting Manager, Cyber Risk & Offensive Security hos Conscia.
- »Påvirket« kan betyde alt fra, at systemerne er låst, til at data er kopieret ud og sat til salg. Det finder man kun ud af gennem forensisk analyse af logs og netværkstrafik, og det tager typisk uger. Her har Femern A/S dog allerede bekræftet, at der er stjålet data. Så spørgsmålet er ikke længere om, men hvad og om hvem, siger hun.
Hun fortæller videre, at en sådan analyse undersøger de digitale spor efter angrebet. Eksperterne kan blandt andet se efter, hvilke konti der har åbnet bestemte mapper, og om store datamængder er sendt ud af virksomhedens netværk. Sporene kan dermed hjælpe med at afdække, hvilke oplysninger der faktisk er kopieret.
Medarbejderoplysninger kan være berørt
Ifølge Folketidende fremgår det af en intern medarbejderorientering, at blandt andet løn- og skatteoplysninger, bankoplysninger, identitetspapirer og helbredsoplysninger potentielt kan være berørt.
FLC oplyser i sin offentlige orientering den 27. oktober, at potentielt berørte medarbejdere er orienteret og har fået adgang til en juridisk hotline. Entreprenøren skriver også, at virksomheden ved opdagelsen af hændelsen den 11. oktober aktiverede sit beredskab, isolerede berørte servere og hentede eksterne cybersikkerhedseksperter ind. Efterforskningen er fortsat i gang, fremgår det af orienteringen.
Sofie Freja Christensen fremhæver generelt behovet for at få afklaret omfanget og give de berørte konkret information.
– Lige nu handler det om hurtigt at få klarlagt, hvis data er stjålet, og fortælle det konkret til de berørte. Medarbejdere, hvis pas og kontonumre måske er sat til salg, har brug for mere end »systemer er påvirket«, siger hun, og fortsætter.
- Fremadrettet er den vigtigste lære, at angriberne ifølge egne udsagn var inde i næsten en måned uden at blive opdaget. Det handler ikke kun om at holde dem ude, men om at opdage dem i tide.
FemernBusiness har forelagt oplysningerne for FLC, som ikke har nogen kommentarer.
