Analys av hackerattacken mot Svenska kraftnät

Liksom många stora cyberattacker som tidigare har skakat världen stod det globala samfundet inför ytterligare en incident lördagen den 25 oktober 2025 - denna gång riktad mot Svenska kraftnät. Svenska kraftnät är den myndighet som ansvarar för att Sveriges transmissionssystem för el är säkert, miljöanpassat och kostnadseffektivt - i dag och i framtiden.

Vid tidpunkten för denna text är inte mycket känt om det exakta innehållet i den data som stulits av cyber gruppen. Liksom hos vissa hotaktörer verkar kravet på lösensumma vara dagens ordning.

Det är viktigt att inse att dessa typer av hot sannolikt inte kommer att försvinna, och världen kan förvänta sig att möta ännu fler i takt med att allt mer sofistikerade AI-verktyg fortsätter att utvecklas. Även om mänskliga misstag fortfarande utgör den svagaste länken i utvecklingen av robusta säkerhetsinfrastrukturer, kör många SCADA-system (Supervisory Control and Data Acquisition) på föråldrad eller ej längre stödd programvara och firmware, vilket skapar återkommande möjligheter för hotaktörer att utnyttja sårbarheter.

Vad hände egentligen

Svenska kraftnät har offentligt rapporterat ett dataintrång där en hacker grupp påstår sig ha exfiltrerat cirka 280 GB data. Angriparen publicerade en nedräkning på darknet och hotade att offentliggöra den stulna datan senast lördag kväll – den 25 oktober 2025 – om kraven inte uppfylldes. Svenska kraftnät uppger att man för närvarande inte har några indikationer på att elöverföringen har påverkats, arbetar tillsammans med andra myndigheter och har gjort en polisanmälan. MSB / CERT-SE övervakar situationen och bistår vid behov.

Länk: https://www.svt.se/nyheter/inrikes/svenska-kraftnat-utreder-hackerattack

Allvarlighetsgrad för intrånget

Intrånget utgör en allvarlig nationell risk och en informations säkerhetshändelse av mycket hög magnitud. Det rör sig om ett utpressnings baserat data exfiltrerings angrepp mot en samhällskritisk infrastrukturaktör.

Eftersom intrånget redan har inträffat är det lämpligt att granska hur Grit Scales AB har analyserat situationen och inleda med en grundlig praktisk/teknisk genomgång av: ”Vad som borde ha funnits på plats” för att antingen ha förhindrat intrånget eller för att förhindra framtida intrång.

Vad hade kunnat göras för att förhindra intrånget

Identitet- och åtkomsthantering (IAM)

• Minsta privilegium tillämpat via attribut baserad åtkomstkontroll (ABAC), vilket möjliggör tydlig ansvarsfördelning mellan administratörer och operatörer.

• Multi-faktorautentisering (MFA): Bör vara obligatoriskt för alla administrativa konton och fjärråt-komst konton (helst hårdvaru-baserade FIDO2-nycklar).

• Privilegierad åtkomsthantering: Just-in-time-åtkomst (JIT), sessionsinspelning och automatisk rotation av autentiserings uppgifter för privilegierade konton.

• Inga långlivade tjänstekonton i script: Alla hemligheter ska lagras i en hanterad hemlighetslösning (vault, KMS).

Styrning och policy

• Obligatorisk policy för dataklassificering: Alla dataset och dokument ska klassificeras (Publik / Intern / Konfidentiell / Hemlig) vid skapande eller lagring. Klassificeringen styr skyddsnivåer och detektionsgränser.

• Formellt tredjepartsriskprogram: Säkerhetskrav för leverantörer, regelbundna säkerhetsintyg och utbildningar, avtalsenlig rätt till revision samt tekniska begränsningar för filutbyte och fjärråtkomst.

• Incidenthantering och tabletop-övningar: Regelbundna övningar som involverar IT, OT, juridik, kommunikation och nationella myndigheter. Etablerade playbooks och en bemannad 24/7-incident respons plan.

Dataskydd

• Obligatorisk kryptering av data i vila och under överföring för alla känsliga tillgångar. Hårdvarubaserade säkerhetsmoduler (HSM) kan användas för nyckelhantering och regelbunden nyckelrotation.

• Data Loss Prevention (DLP) på klienter, e-post och nätverksutgångar för att stoppa mass-exfiltrering av klassificerade filtyper (mönster, regex, ML-fingeravtryck).

• Säker filöverföring: All tredje parts fil överföring ska initieras från en härdad bastion, använda tillfälliga autentiserings uppgifter och omfattas av DLP och loggning.

Nätverk och arkitektur

• Zero Trust-arkitektur: Varje begäran ska verifieras oavsett nätverksplats. Stark mikrosegmentering mellan IT och OT. Direkt internetåtkomst från OT-nät bör blockeras.

• Jump hosts och bastion hosts för fjärråtkomst för leverantörer: Extern åtkomst ska styras genom kontrollerade och övervakade gateways med explicita tillåtelse listor.

• Utgående filtrering: Strikta brandväggs regler som endast tillåter godkända destinationer och portar samt blockerar okända uppladdningar.

Detektion och övervakning

• Fokus på beteende snarare än enbart signaturer. Alla endpoints bör ha EDR eller XDR som identifierar misstänkta beteendemönster.

• Centraliserad loggning av endpoint-, nätverks-, moln- och applikationsloggar samt automatiserade åtgärdsflöden vid avvikelser som ovanligt stora utgående överföringar.

• Trafikanalys och TLS-inspektion vid utgående trafik (inom lagliga och integritets mässiga ramar) för att identifiera anomalier och exfiltrerings mönster.

• Loggretention anpassad för forensiska utredningar (90+ dagar beroende på regelverk).

Backup och återställning

• Oföränderliga, luft gapade säkerhetskopior med testade återställnings rutiner. Säkerställ att backuper är skyddade mot manipulation och exfiltrering. Regelbundna återställnings övningar.

Leverantörer och fjärråtkomst

• Säkerställ att leverantörers fjärrsessioner spelas in och granskas samt att åtkomst är tidsbegränsad.

• Regelbundna tredje parts-penetrations tester och red-team-övningar som fokuserar på verkliga angreppsytor.

Mänskliga och organisatoriska kontroller

• Utbildning i phishing-resistent MFA och uppföljning av deltagande. Kontinuerliga simulerade phishing kampanjer och utbildning i säker datahantering.

• Kris­kommunikations utbildning för ledning samt förgodkända kommunikationsmallar.

• Övningar: Säkerställ att alla medarbetare vet hur de ska agera vid en attack och stärk säkerhetskulturen i organisationen.

Vad som bör prioriteras nu

• Förstå vilken typ av data som har läckt, exempelvis videor, dokument, löneuppgifter eller konfigurationsfiler. Detta avgör hur incidenten ska hanteras.

• Fortsätt och utöka samarbetet med myndigheter och polis.

• Snabbt begränsa incidenten och säkra forensiskt bevismaterial – rotera autentiserings uppgifter och återkalla misstänkt komprometterade nycklar.

• Förstärk strategier för DLP och utgående filtrering för att förhindra att konfidentiell data lämnar organisationen. Blockera kända skadliga destinationer.

• Återställ eller ominstallera påverkade system från betrodda avbildningar. Ersätt komprometterade tjänstekonton.

• Påbörja en prioriterad åtgärdsplan med mätbara milstolpar.

• Förbered GDPR-anmälningar om risk för person uppgiftsintrång bekräftas - detta är mycket viktigt.

• Engagera extern incidentrespons-partner och leverantör för övervakning av darknet.

Avslutningsvis, cybersäkerhet handlar inte bara om verktyg - det handlar om kultur, styrning och skalbar motståndskraft. Att betala en lösensumma bör aldrig vara vägen framåt. Operativt visar incidenten skillnaden mellan reaktiv och proaktiv säkerhet. Även om Svenska kraftnäts samverkan med CERT-SE och MSB efter upptäckt var korrekt, hade en mer proaktiv hållning - byggd på kontinuerlig övervakning, regelbunden hotmodellering och red-team-övningar - kunnat identifiera potentiella sårbarheter tidigare. Framtida strategi bör därför betona cyberresiliens framför cyberresistens: att acceptera att intrång kan ske, men bygga system som snabbt och säkert kan återhämta sig.

På Grit Scales AB fortsätter vi att följa utredningen och står till förfogande om våra erfarna cybersäkerhetskonsulter behövs. För oss är cybersäkerhet mer än skydd - det är precision. Våra experter hjälper organisationer att skydda digitala tillgångar, hantera hot och bygga motståndskraft i ett ständigt föränderligt digitalt landskap. Kontakta oss – låt oss lära känna din verksamhet och hjälpa din organisation att vidta proaktiva åtgärder mot cyberattacker.

Email: info@gritscales.com