Salasana "123456" paljasti koko Tanskan väestön – onko Ruotsi seuraavaksi?
Se kuulostaa 90-luvun huonon IT-trillerin juonelta, mutta viimeiskinä päivinä Tanskan ravistelleen tapahtunut on todellisuudessa aivan todellinen. Tanskan henkilörekisteri (Central Person Register), joka vastaa Ruotsin väestörekisteriä, on joutunut valtavan tietomurron kohteeksi. Seuraukset ovat valtavat: yli 5 miljoonan elävän ja 3 miljoonan kuolleen tanskalaisen henkilötiedot ovat päätyneet vääriin käsiin. Tämä tarkoittaa, että käytännössä koko kansakunnan henkilöllisyystiedot ovat vuotaneet.
Skandaalia vieläkin huolestuttavampaa tekee ei itse kyberhyökkäyksen monimutkaisuus, vaan sen puute. Tanskan Ritzau-uutistoimiston mukaan tietoturvaongelma johtui suoraan erittäin heikoista salasanoista. Vähintä kolme käyttäjätiliä, joista yksi kuului laajoja oikeuksia saavalle järjestelmäylläpitäjälle, oli suojattu klassisella ja äärimmäisen turvattomalla salasanalla "123456". Tanskan väestörekisterijärjestelmän lamauttamiseen ei siis tarvittu edistyksellistä tekoälyä tai valtion tukemaa venäläistä hakkeriryhmää – riittiin tuli maailman yleisin salasana arvaaminen.
Voiko vastaava katastrofi tapahtua Ruotsissa?
Kun naapuri joutuu ongelmiin, katseet kääntyvät luonnollisesti itseensä. Voiko Skatteverketin väestörekisteri vuotaa samalla tavalla? Lyhyt vastaus on kyllä, mutta vivahteet ovat tärkeitä.
Ruotsin viranomaiset ovat yleisesti ottaen edenneet pitkälle monivaiheisen tunnistautumisen (MFA) ja niin sanotun Zero Trust -arkkitehtuurin toteutuksessa, jossa käyttäjää ei koskaan luoteta pelkän salasanan perusteella. Tämä tarkoittaa, että vaikka ruotsalainen järjestelmäylläpitäjä epäilyttävää kyllä käyttäisi salasanaa "123456", valtion kriittisimpiin tietokantoihin pääsyyn vaaditaan yleensä fyysisiä turvakortteja, älykortteja (SITHS-kortteja) tai sovelluspohjaisia kirjautumisia.
Mutta historia opettaa meille, että järjestelmät ovat harvoin vahvempia kuin niiden heikoin inhimillinen lenkki. Ruotsin julkinen sektori nojaa suurelta osin valtavaan ulkoisten IT-palveluntarjoajien, konsulttien ja alihankkijoiden verkostoon. Riittää, että ulkoinen yritys, jolla on etäyhteys kunnan tai valtion tietokantaan, laiminlyö sisäisiä turvakäytäntöjään, jotta takaportti avataan. Näimme vastaavia rakenteellisia haavoittuvuuksia Ruotsin liikenneministeriöskandaalin aikana, jolloin turvallisuustarkastuksen puute alihankinnassa sai valtavat mittasuhteet.
Tällaisen tason ruotsalainen tietovuoto saisi lisäksi erilaisia seurauksia kuin Tanskan tapauksessa. Suuri osa Ruotsin rekisteristä – nimet, osoitteet ja henkilötunnukset – on jo valmiiksi julkisia asiakirjoja julkisuusperiaatteen ja verkkohakupalveluiden ansiosta. Ruotsin täydellisen rekisterihaveron todellinen vaara piilee sen sijaan suojatun henkilöllisyyden omaavien henkilöiden, sukulaissuhteiden (joita voidaan hyödyntää kohdistetussa petoksessa läheisiä kohtaan) ja syvällisempien verotietojen paljastumisessa.
Tanskan kriisi on karu herätyskello. Se muistuttaa jokaista ruotsalaista IT-johtajaa ja viranomaistoimijan siitä, ettei kyberturvallisuus voi koskaan rajoittua vain kauniisiin käytäntöasiakirjoihin. Riippumatta siitä, kuinka monta miljardia investoidaan edistyksellisiin palomureihin, koko puolustus murenee, jos perushygienia on puutteellista.