Cyberattacken mot Kalix kommun

”Ingenting gick att använda. Det gick inte ens att skriva ut papper från skrivarna. Vår hemtjänstpersonal hade inte tillgång till journaler, ingen kom undan”

Mitt i natten den 16:e december drabbades Kalix kommun av en cyberattack.

Äldreomsorgen var de första som upptäckte felet. Plötsligt kunde de inte längre logga in i sitt journalsystem. När teknikerna kom till jobbet på morgonen för att undersöka driftproblemet såg de att hela databasen var ur funktion. Någon hade tagit sig in i nätverket, kommit åt servrarna och slagit ut dem. Det enda som hade lämnats kvar åt teknikerna var ReadMe-filer:

Ni har blivit krypterade

Blackout

Det bor omkring 16 000 invånare i Kalix. Kommunen har över 1600 anställda. Ett utslaget kommunalt IT-system får konsekvenser för samtliga.

– En attack av det här slaget påverkar allt i en kommun. Även fastigheters värme och ventilation. Men det som först måste hanteras är ju liv och hälsa, berättar Maria Henriksson, kommundirektör i Kalix.

Journaler och medicinlistor kunde inte nås och hemtjänstpersonal fick använda sig av papper och penna. Timanställda måste gå till banken och handmässigt skriva på lönedokument för att få sin lön. Ungefär som när man gick till lönekontoret och fick ett kuvert med pengar i.

Detta var en ransomware-attack, vilket betyder att den drabbade måste betala en lösensumma för att stoppa krypteringen. Kommunen vägrade gå den vägen.

– Det är utpressning på hög nivå. Och det är verkligen viktigt att vi inte stöttar den här typen av brottslighet genom att betala, säger Maria Henriksson.

Första steget

När teknikerna förstod att det rörde sig om ransomware drog de i gång det stora larmet. Konsulter insåg allvaret och omdisponerade direkt sina resurser. Under de första 48 timmarna behövde man agera snabbt.

– Vi fick stänga ned all internet, allting, och bli en isolerad ö. Hela nätverket var en brottsplats. Och första dagarna gick åt till att samla ihop bevis, berättar Kalix kommuns stabsansvarige Kenneth Björnfot.

Det behövdes en plan. Nu var det bråttom för IT-arbetslaget att få systemen i drift.

– Vi gick på höga adrenalinpåslag på IT naturligtvis. Vi var lediga jul- och nyårsafton. Annars var det tidig morgon till sena kvällar för att snabbt komma upp på banan. Tiden var en kritisk faktor här – vi var tvungna att jobba snabbt men ändå metodiskt och säkert, förklarar Kenneth Björnfot som i sin befattning ansvarar för information, IT och upphandlingar i kommunen.

Microsoft Sverige involverades i IT-arbetslaget bara någon dag efter att krypteringen upptäckts. I samlad trupp antog IT-teamet uppdraget att först och främst ta kontroll över miljön och återgå till normalläget. Samtidigt uppenbarades effekterna av angreppet i fler delar av det kommunala arbetet.

Kommunen och medborgarna

Av de verktyg som kommunikationsavdelningen normalt sett har till sitt förfogande fungerade inte många. Internt var det e-posten som drabbades värst. Sedan stängdes hemsida och intranät ned av säkerhetsskäl. Att kunna kommunicera var vitalt för att undvika misstro och ryktesspridning – och transparens mot media var det enda sättet.

– Transparensen är självklar – och nödvändig. Det handlar om trovärdighet gentemot kommunmedborgarna, menar Reine Sundqvist, kommunens kommunikationschef.

– Samtidigt som man är ärlig blottar man sig. Någon har tagit sig in i Kalix system, hur är det möjligt överhuvudtaget? Men det är möjligt.

Som på kommunikationsavdelningen fick anställda i kommunen hitta nygamla sätt att arbeta. Äldreomsorgen fick till exempel kikhål in till regionens medicinlistor.

– När du inte kan komma in i systemet, vad gör du då? Då tar du fram det där hjärtat och gör allt du kan för att se till att våra medborgare får den servicen de har rätt till. Det är svårt att sätta ord på vilket enormt jobb alla medarbetare har gjort, säger Reine Sundqvist.

Vägen tillbaka

Detta hjärta gav IT-arbetslaget den trygghet de behövde för att återställa läget. Nästa del av planen var att säkra upp systemen igen. Först behövde man se till att flera månaders dokumentation inte försvunnit i avgrunden. Man behövde kolla hur backupsystemen mådde och om de hade påverkats av attacken.

Det hade de inte.

– Och då fick vi ett lugn i maggropen. Vi kunde andas ut och planera på att komma tillbaka med förhöjd säkerhet, berättar stabschefen Kenneth Björnfot.

Servrarna gick nu att använda igen och man påbörjade resan mot ett nytt säkerhetssystem — rutiner, designa om nät, ladda in helt nya skyddsprogramvaror på pc-sidan och på serversidan. Microsoft bidrog med stöd och vägledning till IT-medarbetarna och anlitade konsulter.

– Programvaran Teams använde vi dygnet runt i en månad. Tillsammans med konsulterna från Microsoft och andra. Den har varit guld värd. Vi har som hela tiden haft ett pågående arbetsmöte digitalt. Den stängdes aldrig. Vi var in där hela tiden och skrev i loggarna och chattarna där vi kunde läsa vad som hänt, vad som gjorts och vad som behövde göras, förklarar Kenneth Björnfot.

En Microsoft-centrerad säkerhetslösning

Kommunen hade länge planerat för säkerhetshöjande åtgärder. Men Kenneth menar att tiden aldrig funnits för att stänga ned alla system och bygga upp på nytt. Ransomware-angreppet tvingade fram den tidsluckan. När incidenten inträffade såg kommunen också att de befintliga skydden uppenbarligen inte räckte till.

– Det finns andra leverantörer men vi märkte att de systemen inte fungerade som vi hade hoppats. Så därför har vi bytt, säger han, och idag arbetar kommunen med ett nytt, mer sammanhängande skydd.

– Vi har tänkt göra det länge men har inte fått den tiden. Nu är det gjort. På tre-fyra veckor gjorde vi tre års utvecklingsarbete när det gäller IT-säkerhet.

Ute på andra sidan

Med mycket möda, heroism och uppoffringar från kommunens medarbetare kunde alltså hemtjänsten ändå leverera sina tjänster. Folk kunde få sin lön. Påverkan var inte ödesdiger för dem som använder kommunens tjänster. Och samhället i stort hann aldrig fullt känna av problemet. Reine Sundqvist upplever också att förtroendet för kommunen till och med har stärkts efter attacken.

– Det skapades en värme och kärlek till Kalix kommun bland medborgarna som önskade att vi skulle lösa detta, berättar kommunikationschefen.

– Vart man än gick så pratades det om oss. ’Bra Kalix, stå på er, vilket jobb ni gör!’

Om IT-arbetslagets insats håller Reine inte tillbaka orden:

– De var ju våra hjältar helt ärligt. De jobbade ju fasiken dygnet runt med att lösa ett problem som rör inte bara Kalix utan hela Sverige.

Kenneth själv tillskriver framgångarna ”det väl genomförda arbetet som gjordes – och att man var så väldigt alert från första dagen”. Även ur ett cybersäkerhetsperspektiv kom kommunen ut starkare på andra sidan.

– Vi har märkt senare att de investeringar vi nu gör i Defender-programvaran fungerar på ett utomordentligt sätt. Vi får larm när nåt suspekt pågår på servernivå och PC- och klientnivåer i väldigt god tid. Vi kan agera innan nåt allvarligt är på väg att hända. Så det har blivit bra så mycket bättre, konstaterar han.

Idag har kommunens IT-miljö betydligt fler säkerhetsspärrar. Tidigare tillät kommunen enklare inloggningar av ren bekvämlighet. Men Kalix kommun har lärt sig att aldrig mer låta bekvämlighet gå före säkerhet.

_______________________________________________________________________

• Det tog över en månad innan alla system var i drift igen
• De sammanlagda kostnaderna för kommunen blev ca 2.5 miljoner kronor
• Kommunen betalade aldrig ut lösensumman till hackarna

Se hela videon på Youtube.