SÄKERHETSKOLL Det råder nu öppet krig mellan Klippans kommunchef Tomas Rikse på ena sidan och AB Bjuvsfastigheter på den andra. Skälet är ett säkerhetstest som man i Bjuv lät göra en lördag och som Rikse polisanmält som en ”hackerattack”.
EttIT är en gemensam kommunal IT-driftsorganisation som i dagsläget servar fem kommuner: Bjuv, Klippan, Perstorp, Åstorp och Örkelljunga. EttIT tillhör organisatorisk Klippans kommun och kontoret finns också där.
Lördagen den 9 maj gjorde det kommunägda AB Bjuvsfastigheter, med hjälp av en egen datakonsult på kontoret, ett säkerhetstest av det kommungemensamma datasystemet. Kommunens IT-miljö har ju vid tidigare tillfällen (januari 2024) haft ”inbrott” och nu ansåg man att det var dags för ett test hos fastighetsbolaget.
Testet fungerar på så sätt att det automatiskt söker efter vägar och eventuella ”dörrar som är olåsta”. Alltså ställen i dataskyddet där inga spärrar för åtkomst finns.
”Kom inte in”
En sådan väg hittades också och då kunde söksystemet ”stå och knacka på dörrar” under den tid sökprogrammet är inställt på.
I det här fallet ”knackades” det enligt uppgift från EttIT till HD på olika dörrar 4 000 gånger. Men eftersom ”ingen” öppnade dörren avslutades sedan sökningen.
Det av Bjuvs kommun upphandlade EttIT som har i uppgift att underhålla kommunens IT-miljö upptäckte inte vad som hänt förrän på måndagen eftersom man inte arbetar på helgerna. Och när det som de ansvariga för testet i Bjuv kallar ”såbarhetstest” blev känt för Klippans kommunchef Tomas Rikse blev han rasande och kallade det ”en hackerattack”. Som han därefter polisanmälde. Och så var kriget igång.
”Oacceptabelt intrångsförsök”
Till Helsingborgs Dagblad säger Tomas Rikse bl.a. att säkerhetstestet som Bjuvsfastigheter genomförde mot det gemensamma it-systemet har polisanmälts.
IT-systemet stod emot attacken, men kan, i värsta fall, stänga ner delar av sig automatiskt som säkerhetsåtgärd. Ett system som utsattes var kommunernas administrativa verktyg för vårdplanering. Om det stängs ner kommer hemtjänst, sjuksköterskor och omsorgspersonal inte åt information om medicinlistor och vårdinsatser.
- Attacken kunde ha påverkat drift och invånares hälsa och säkerhet. Sådana intrångsförsök är oacceptabla.
”Det var inget intrång”
I Bjuv säger såväl Christofer Bernebring, VD för AB Bjuvsfastigheter, som styrelseordförande och tillika kommunalrådet Matthias Åkesson (M) att testet absolut INTE är att se som en hackerattack.
- Bjuvsfastigheter arbetar kontinuerligt med informationssäkerhet och riskhantering för att säkerställa att vår information och våra system hanteras på ett tryggt och säkert sätt, säger Bernebring.
- Som en del av detta arbete genomför vi sårbarhetsanalyser av vår IT-miljö tillsammans med extern cybersäkerhetskompetens. Och vi kommer även fortsättningsvis att genomföra oberoende sårbarhetsanalyser som en naturlig del av vårt ansvar för informationssäkerhet och skyddet av vår verksamhets information.
Det fanns en svag länk
- Redan 2023 ville vi genomföra ett test av vår säkerhet i fastighetsbolaget, men då blev vi nekade av EttIT att göra det. Sedan blev ju Bjuvs kommun hackad 2024, vilket i vår mening hade undvikits om vi fått göra testet 2023 som då avslöjat vilka brister som fanns, säger ordförande Matthias Åkesson. Sedan dess har tjänstepersonerna arbetat vidare med säkerheten och beställde nu ett test.
- Och nu visade det sig dessvärre att det fanns svagheter i systemet. Men när kontrollen också visade att det INTE gick att komma vidare, så hände inget mer. Inget intrång är därför begånget. Det har INTE varit någon ”hackerattack”. INGEN har varit inne i den gemensamma IT-miljön och tagit del av något av dess innehåll.
Däremot frågar sig Matthias Åkesson VAD som hade hänt om svagheterna som upptäcktes släppt igenom ”besökaren”. Om testet alltså varit en riktig hackerattack.
- Vi testade på lördagen – EttIT hörde av sig först på MÅNDAGEN! Under mellantiden hade en riktig hacker hunnit plocka ut allt hen ville ha. För att därefter lämna. Utan att lämna spår efter sig, säger Matthias Åkesson.
Extern rapport ger Bjuv rätt
Bjuvsfastigheter meddelade på fredagen i en pressrelease att man nu tagit del av teknisk rapport och händelseredogörelse från den externa cybersäkerhetskonsult som även genomförde den aktuella sårbarhetsanalysen inom bolagets IT-miljö. Rapporten har tagits fram i syfte att tydliggöra fakta i ärendet samt analysera och bemöta det som framförts av Klippans kommun/EttIT.
Enligt Bjuvsfastigheter ledning bekräftar rapporten bolagets tidigare uppgifter om att det varit fråga om en standardiserad sårbarhetsanalys och inte något penetrationstest, intrångsförsök eller någon IT-attack. Ingen information har exponerats, extraherats eller komprometterats i samband med analysen.
- Det framgår även att den externa granskning som Klippans kommun/EttIT själva beställt från oberoende säkerhetsföretag beskriver den observerade aktiviteten som förenlig med en riktad sårbarhetsanalys (“targeted vulnerability scan”). Samtidigt konstateras att inga inloggningar genomförts, ingen åtkomst erhållits och att ingen påverkan skett på system eller information, heter det vidare.
”Skadat vårt varumärke”
- Den genomförda sårbarhetsanalysen har däremot identifierat ett antal betydande säkerhetsbrister och förbättringsområden inom IT-miljön, fortsätter uttalandet från Bjuvsfastigheter. Fokus från leverantörens sida de senaste veckorna har trots det i stor utsträckning lagts på att beskriva händelsen som en attack, snarare än att hantera de säkerhetsbrister som faktiskt identifierats.
Christofer Bernebring avslutar med en känga:
- Leverantörens oförmåga att korrekt tolka innehållet i sin egen konsultrapport belyser samtidigt betydande kunskapsbrister. Vi förutsätter att leverantören offentligt korrigerar sina tidigare ogrundade uttalanden, vilka orsakat skada på Bjuvsfastigheters varumärke och genom oövervägd kommunikation utsatt både oss och andra kunder för onödiga risker.
- Därmed förutsätter vi att dessa slutsatser sätter punkt för misstänkliggörandet av vårt informationssäkerhetsarbete och att fokus framöver istället riktas mot att hantera de brister som identifierats.
”Möte resten av dagen”
Bjuvsweek.se har sökt Klippans IT-chef Thomas Nilsson för kommentarer i ärendet. Han har dock hittills inte varit anträffbar. Till HD har han dock tidigare sagt att ”tittar man på samverkansavtalet vi har mellan våra fem kommuner och de kommunala bolag som finns med så står det att man ska göra detta i överenskommelse med it-chefen”. Vilket alltså är Nilsson själv. Som säger att han inte informerats av Bjuvsfastigheter före testet.
Oppositionen reagerar
Den uppståndelse som händelsen förorsakat har gjort att den politiska oppositionen i Bjuv, ledd av Socialdemokraterna, hakat på begreppet ”hackerintrång”. Vilket bl.a. lett till att oppositionsrådet Ulrika Thulin (S) lämnat in ett sk initiativärende till senaste mötet i Kommunstyrelsen den 27 maj.
Oppositionen påpekar ofta i t.ex. Fullmäktigesammanhang att man inte får den information från det politiska styret SD-M som man anser är behövlig. Också i fråga om denna s.k. hackerattack har man fått kännedom om den via en artikel i HD och inte från Bjuvs politiska ledning. Därför kräver man nu att Kommunstyrelsen ska få mer – och direkt - information om vad som har inträffat.
- Det som går att utläsa i (HD-)artikeln är att det kommunalt helägda Fastighetsbolaget ska ha köpt in en konsulttjänst på IT-säkerhetsområdet och detta inköp av konsulttjänst ska ha initierats av bolagsstyrelsen presidie, skriver oppositionsrådet. Presidiet består enbart av representanter ifrån majoriteten, ordförande Matthias Åkesson (M) och vice ordförande Pia Trollehjelm (SD).
- För att denna information ska bli så omfattande som möjligt ska båda parter ges möjlighet att informera Kommunstyrelsen, fortsätter hon. Genom att kalla både Bjuvsfastigheter och EttIT till ett extra Kommunstyrelsesammanträde. Innan juni månads utgång.
Ärendet avslogs
Ulrika Thulin ville ha svar redan i juni, men Kommunstyrelsen skickade ärendet på beredning.
Vad Klippans polisanmälan mot Bjuv leder till vet vi inte än. Men det lär vi såklart återkomma till.
Marianne Rönnberg Galmor
