Ryska ransomware-gruppen Clop har bekräftat attacker mot både Shell och Philips, och hävdar sig ha stulit 89 gigabyte tekniska ritningar. Hackar-gruppen slår historiskt inte mot utvalda offer, utan mot sårbara affärssystem som används av tusentals bolag samtidigt. Frågan svenska styrelser bör ställa sig är inte om de är måltavlan – utan om de kör samma sårbara mjukvara.
Shell vägrade förhandla: Hackare la ut bolagets data på nätet
Clop, en rysk-baserad grupp känd för utpressning snarare än traditionell krypteringsransomware, hävdade i onsdags ansvar för attacker mot både Shell och Philips. Båda bolagen erkände i efterhand att de drabbats av en säkerhetsincident.
Shell säger sig vara ”medvetna om en potentiell incident” och utreder tillsammans med säkerhetsteam och externa experter. Philips beskriver händelsen som ”ett försök till cyberattack mot en specifik företagsserver med intern data”, som sedan dess bringats under kontroll, och betonar att kundmiljöer inte påverkats.
Hackare publicerade stulna filer
Eftersom Shell vägrat förhandla har Clop enligt NL Times placerat bolaget överst på sin mörka webb-sida och publicerat stulna filer under rubriken ”SHELL.COM DO NOT WANT TO NEGOTIATE – DATA POSTED!!!”. Clop hävdar sig ha kommit över 89 gigabyte tekniska ritningar.
Mönstret är välbekant. Clop har historiskt inte primärt riktat sig mot enskilda, utvalda offer, utan mot sårbarheter i utbrett använd affärsmjukvara. Det kan i ett enda slag drabba hundratals eller tusentals kunder samtidigt.
Tog sig in i Oracles system
2023 drabbade en sårbarhet i filöverföringsprogrammet MOVEit över 2 700 organisationer och exponerade personuppgifter för uppskattningsvis 93 miljoner människor, enligt amerikanska myndigheter CISA och FBI.
Sedan i höstas har gruppen på samma sätt utnyttjat en sårbarhet i Oracles affärssystem E-Business Suite, med bekräftade offer som Estée Lauder och Washington Post.
Fokus på affärskritiska system
Ur ett lednings- och styrelseperspektiv är den springande punkten inte om det egna bolaget är ett medvetet utvalt mål, utan om organisationen använder någon av de affärskritiska system Clop väljer att exploatera.
Svenska storbolag med global närvaro, komplexa leverantörskedjor och stora installationer av vanligt förekommande affärssystem passar in i profilen.
Inga svenska företag utsatta än
Orsaken är att det är den typ av teknikprofil Clop historiskt gynnat. Som industrikoncerner, teknikbolag och detaljhandelsjättar med verksamhet i dussintals länder,
Ingen svensk organisation finns i dagsläget bekräftad bland offren i den aktuella vågen, men erfarenheten från MOVEit och Oracle EBS visar att sårbarheten sällan stannar vid ett enda land eller en enda bransch.
Hackare: Tre saker att tänka på
För styrelser är den praktiska lärdomen tredelad: för det första kräver ansvarsfördelningen att IT-säkerhet och tredjepartsrisker regelbundet lyfts på styrelsenivå, inte bara hos it-avdelningen. För det andra bör inventeringen av vilka affärskritiska system som är internetuppkopplade, och hur snabbt de patchas, vara en stående punkt i revisionsutskottets arbete.
För det tredje visar Shells hårda linje, att inte förhandla trots hotet om publicering, att beredskapsplaner för hur bolaget ska agera vid utpressning måste finnas beslutade i förväg. Inte improviseras fram under pressen av en pågående kris.
