Dustins säkerhetschef berättar: Så tog sig hackarna in

Hackergruppen FulcrumSec hävdade att den hade kommit över 6,2 terabyte data och börjat publicera material. Techtidningen rapporterade om riskerna för kunderna, men kunde inte verifiera materialets äkthet eller omfattning.

När Techtidningen träffar Dustins säkerhetschef Dennie Karlsson efter hans presentation på Dell Technologies Forum i Stockholm berättar han hur intrånget blev möjligt.

– Det var ett utvecklingsmisstag som ledde till att det fanns exponerade hemligheter som kunde utnyttjas.

Vägen in är kartlagd

Under presentationen beskriver Dennie Karlsson ett misstag i hanteringen av tokens, digitala uppgifter som ger åtkomst till system. Angriparna utnyttjade misstaget för att komma åt vissa system och föra ut data.

Dustin har kartlagt hela attackkedjan, stängt åtkomstvägarna, bytt ut digitala åtkomstuppgifter och genomfört sanering, berättar han.

Läckans omfattning utreds fortfarande. Bolaget jämför angriparnas påståenden med det material de faktiskt har publicerat.

Dennie Karlsson beskriver angreppet som datastöld och utpressning. Systemen krypterades inte. Driftstoppet följde av Dustins beslut att stänga delar av miljön och sedan återstarta dem under kontrollerade former.

Utan en synlig kryptering var det inledningsvis svårare att spåra angreppet. Säkerhetsorganisationen behövde hitta vägen in och kartlägga hur angriparna hade rört sig.

Vid återstarten hade Dustin hjälp av tidigare övningar och förberedda prioriteringar. De viktigaste systemen öppnades först. Andra fick vänta medan ytterligare kontroller gjordes.

”Man får inte vara naiv”

I Techtidningens tidigare uppföljning beskrev Dan Bergh Johnsson, säkerhetsexpert på Omegapoint, läckt information som råmaterial för nya attacker. Serviceärenden, kontaktuppgifter och teknisk dokumentation kan tillsammans ge en angripare en detaljerad bild av en verksamhet.

Dennie Karlsson bekräftar att information från ärendehanteringen har läckt. Den största risken ser han för Dustin självt.

– Det jag skulle vara mest orolig för är en attack mot oss själva.

Uppgifterna kan användas för social manipulation. Den som hänvisar till ett verkligt ärende, känner till personerna och vet hur arbetet brukar gå till kan få en falsk begäran att verka trovärdig.

Dustin tar nu upp detta i sitt interna säkerhetsarbete. Detaljer ur äldre ärenden i Atlassian-miljön kan vara offentliga. Att någon känner till dem betyder inte att personen går att lita på.

– Man får inte vara naiv. Vi kan ju aldrig veta hur många steg de hade tänkt.

Även för kunderna pekar Dennie Karlsson på risken för social manipulation. Han bedömer dock risken för nya angrepp utifrån materialet som mindre än för Dustin självt och säger att bolaget arbetar med kundriskerna.

Dustin granskar också varför flera år gamla uppgifter finns kvar i ärendehanteringen. Systemet har använts som kunskapsbank, trots att bolaget har en särskild lösning för det.

Gamla ärenden gör det lätt att hitta tidigare lösningar. Men de innebär också mer information att skydda.

AI-analysen missade uppenbara saker

Under incidentarbetet tog Dustin hjälp av AI för att granska stora mängder data. Mycket av materialet var ostrukturerat och saknade klassificering.

Medarbetare byggde AI-modeller för analysen. Först såg resultaten lovande ut. Modellerna hittade sådant man letade efter.

Efter några dagar upptäcktes däremot stora fel. Analysen missade uppenbara saker och gick inte att lita på, berättar Dennie Karlsson.

Han kopplar missarna till underlaget. Med strukturerad och klassificerad information hade det varit lättare att instruera modellerna om vad de skulle söka efter.

”Vem kan du lämna över till?”

På frågan om vad andra it- och säkerhetschefer kan lära av incidenten återkommer Dennie Karlsson till den egna utsattheten.

– Har du funderat själv på hur utsatt du kommer att bli?

Han syftar på arbetsmängden och risken att bli en flaskhals. Många frågor kräver besked samtidigt. Arbetet kan pågå i veckor.

– Vem kan du lämna över till om du dag tre måste lämna ifrån? Har du någon?

Det gäller också nyckelpersoner inom teknik, juridik och kommunikation. En dags krisövning ger begränsad förståelse för vad en utdragen incident kräver, menar han.

– En av lärdomarna är just att oj, vad jobbigt det är. Just arbetsmängden och allt som måste hanteras.

Dustin hade planer och följde dem. Men bemanningen behövde breddas. Den smalare organisationen höll inte när arbetet gick in på andra och tredje veckan, berättar Dennie Karlsson.

Han lyfter också balansen mellan tillit och kontroll. Tillit skapar en bra företagskultur, men blir en sårbarhet om ingen kontrollerar att regler och arbetssätt faktiskt följs.

Hans råd till andra säkerhetschefer är att prata med någon som har gått igenom en verklig incident. Inför nästa krisövning föreslår han dessutom ett test:

– Ta bort dina fem nyckelspelare och se vad som händer då.