Infrastruktur: Truslen fra cyberkriminalitet er MEGET HØJ
Klokken er 02.47 en decembernat. Bestyrelsesformandens telefon ringer. Beskeden er kort: Vandværket er hacket. Pumperne kører på fuld kraft, og ingen kan stoppe dem.
John Nielsen, Strategic Advisor & Tech Entrepreneur · Director & Founder, OnlineSynlighed.dk fortæller historien, der munder ud i gode tankevækkende spørgsmål til centrale infrastrukturaktører – besvar dem inden du står med problemerne, skriver han:
-
Hvornår fik din bestyrelse sidst en ærlig briefing om jeres digitale sårbarheder, ikke fra IT, men fra en ekstern specialist, der tør sige sandheden?
-
Hvilke systemer i din virksomhed er faktisk tilgængelige via internettet? Og
-
Hvis angrebet kom i nat, ved du så, hvem der skal ringes op klokken 02.47 for at afværge angrebet?
Baggrund:
Klokken er 02.47 en decembernat. Bestyrelsesformandens telefon ringer. Beskeden er kort: Vandværket er hacket. Pumperne kører på fuld kraft, og ingen kan stoppe dem. Få timer senere sprænger tre vandrør i en mindre by på Sjælland. 450 husstande står uden vand lige op til jul. Det var ikke et sofistikeret angreb. Hackerne fandt et styresystem, der var direkte eksponeret på internettet, uden VPN, uden segmentering, uden overvågning.
En pivåben dør ind til kritisk infrastruktur. Angrebet kom fra Z-Pentest. De er en pro-russisk hackergruppe, der ifølge cybersikkerhedseksperter bistår Putins hybridkrig mod Vesten. De pralede ligefrem med angrebet på X bagefter.
De valgte ikke målet, fordi det var strategisk vigtigt. De valgte det, fordi det var sårbart. Sådan fungerer hybridkrig i praksis. Ikke med præcisionsmissiler, men med automatiserede scanninger, der finder den svageste dør. Et vandværk i en dansk provinsby blev frontlinje, fordi ingen havde forestillet sig, at de kunne blive mål. Danske forsyningsselskaber oplever 6.000 hackingforsøg i timen ifølge DANVA. Center for Cybersikkerhed udgav i januar 2025 for første gang en trusselsvurdering specifikt for vandsektoren.
Konklusion: Truslen fra cyberkriminalitet er MEGET HØJ.
Danmark har omkring 2.600 vandværker. Over 2.000 er forbrugerejede og drevet af frivillige bestyrelser, der i årtier har fokuseret på vandkvalitet, ledningsnet og lokale boringer. Cybersikkerhed har sjældent stået øverst på dagsordenen. “Vi har sovet i timen,” erkender bestyrelsesformanden til TV2. “Det værste er, at det slet ikke er svært at sikre imod.” Reparationerne løb op i flere hundrede tusinde kroner. Men den virkelige omkostning var erkendelsen, at de havde haft fokus på fysisk sikkerhed i årevis med alarmer på døre, hegn om boringer, kontrol af vandprøver. Det digitale blev overset.
Og det er her, læringen rækker langt ud over vandsektoren. For hvor mange danske virksomheder har egentlig overblik over, hvilke systemer der er eksponeret på nettet?
- Hvor mange ved, om deres leverandører har fjernadgang, og hvordan den er sikret?
- Hvor mange har testet, om de kan drive forretningen videre, når systemerne går ned?
NIS2-lovgivningen stiller nu skærpede krav til de største forsyninger. Men truslen rammer bredt. Hackerne skelner ikke mellem virksomheder, der er omfattet af lovkrav, og dem der ikke er. De skelner mellem dem, der er sikret, og dem der ikke er.
Bestyrelsesformanden modtog senere Åbenhedsprisen for sin ærlige kommunikation. Hans budskab til Danske Vandværker er enkelt:
- “Køb den rigtige løsning og betal hvad det koster. Det vi beskæftiger os med, er levnedsmidler.”
