Hvordan startet angrepet?
Tirsdag 7. april gjennomførte en ansatt et nettsøk. I søkeresultatene lå en nettside som framsto som legitim, og den ansatte klikket seg inn og lastet ned en fil derfra. Filen inneholdt skadevare som ga kriminelle hackere tilgang til den ansattes PC.
Onsdag 22. april kom hackerne seg videre inn i kommunens servere. Deretter brukte de tid på å rekognosere og kartlegge kommunens nettverk før de gjennomførte angrepet fredag 8. mai.
Da angrepet ble oppdaget
Lørdag 9. mai avdekket kommunen dataangrepet. IT-avdelingen stengte umiddelbart ned nettverk og servere for å hindre videre spredning. Kommunen varslet også Datatilsynet, politiet og Nasjonal sikkerhetsmyndighet (NSM) i tråd med gjeldende rutiner.
Samtidig startet kommunen, sammen med eksterne sikkerhetseksperter, et omfattende arbeid for å undersøke hva angriperne hadde hatt tilgang til og hvilke konsekvenser angrepet kunne få.
Hva vet kommunen i dag?
Da dataangrepet ble oppdaget startet kommunen sammen med eksterne sikkerhetseksperter et omfattende arbeid for å kartlegge hva angriperne hadde hatt tilgang til og hva som kunne være hentet ut. De undersøkelsene og analysene som forelå på det tidspunktet ga ikke grunn til å tro at personsensitive opplysninger var på avveie. Først da hackerne publiserte en filoversikt på det mørke nettet ble det klart at de hadde hentet ut store mengder data.
Oversikten viste at angriperne hadde hentet ut store mengder data fra et eldre fellesområde som hadde vært brukt av flere kommunale tjenester. Da ble det klart at situasjonen var mer alvorlig enn de første analysene hadde vist.
Kommunen vet i dag at store mengder data ble stjålet i angrepet og at de kriminelle hackerne har gjort de stjålne dataene tilgjengelig på det mørke nettet. Kommunen arbeider fortsatt med å kartlegge hvilke opplysninger materialet inneholder og hvilke personer som er berørt.
Hvilke opplysninger er berørt?
Informasjonen som hackerne stjal omfatter blant annet personsensitive opplysninger om både innbyggere og ansatte. Dette inkluderer opplysninger knyttet til skole og barnehage, helse- og omsorgstjenester, barnevern og ansattinformasjon.
Filoversikten viser også at hackerne har hatt tilgang til dokumentasjon knyttet til vann- og avløpstjenester, inkludert Nedre Romerike Vann- og Avløpsselskap (NRVA). Kommunen har ikke informasjon som tilsier at dataangrepet har påvirket den daglige driften av vann- og avløpstjenestene.
Hackerne har ikke hatt tilgang til dagens journalsystemer.
Hva har kommunen gjort etter angrepet?
Kommunen har arbeidet med å håndtere konsekvensene av dataangrepet, kartlegge hvilke opplysninger som ble stjålet og følge opp innbyggere og ansatte som kan være berørt. Kommunen har også fått bistand fra eksterne sikkerhetseksperter, Kripos og Nasjonal sikkerhetsmyndighet (NSM) i arbeidet med å undersøke hendelsen.
Hackerne fikk ikke tilgang til kommunens sikkerhetskopier. Dette gjorde det mulig å gjenopprette systemer og tjenester etter angrepet.
For å lære av hendelsen og styrke sikkerheten framover bestilte kommunen en uavhengig gjennomgang av dataangrepet. Her kan du lese mer om gjennomgangen, rapporten fra Deloitte og kommunens videre oppfølging av rapporten.
Oppfølging av berørte innbyggere og ansatte
Etter at det ble kjent at store mengder data var stjålet, opprettet kommunen et eget innsynssenter for å håndtere innsynsbegjæringer og følge opp personer som kan være berørt av dataangrepet.
Arbeidet med å kartlegge hvilke opplysninger som ble stjålet er omfattende. Det stjålne materialet består av om lag 1,3 millioner filer, og hvert enkelt treff må gjennomgås og vurderes manuelt. I mange tilfeller kreves det grundige vurderinger for å avgjøre hvilke opplysninger som gjelder hvilke personer.
Kommunen har derfor fortsatt ikke full oversikt over alle personer som er berørt av dataangrepet. Innsynsbegjæringer behandles fortløpende etter hvert som informasjonen gjennomgås og kvalitetssikres.
Du kan lese mer om dette arbeidet i artikkelen «Slik arbeider innsynssenteret etter dataangrepet».
Hva kan du gjøre hvis du er bekymret?
Dersom du er bekymret for at opplysninger om deg kan være berørt av dataangrepet, kan du kontakte kommunens innsynssenter. På telefon og e-post kan innsynssenteret gi generell informasjon om dataangrepet og veilede deg, men av hensyn til personvern kan ikke kommunen svare over e-post eller telefon på om opplysninger om deg er på avveie.
Ønsker du å vite om opplysninger om deg finnes i det stjålne materialet, må du sende inn en innsynsbegjæring gjennom et digitalt skjema og identifisere deg med MinID eller BankID.
Kartleggingen av det stjålne materialet er omfattende, og hver innsynsbegjæring krever manuelle vurderinger. Derfor kan det ta tid før du får svar.
Her kan du lese mer om arbeidet vi gjør for å følge opp de som er berørt av dataangrepet.
Hvordan sikre seg mot ID-tyveri
Du trenger ikke vente på et varsel for å ta grunnleggende forholdsregler.
Vi har lagt ut en liste med tips som er smarte å følge uavhengig av om du er berørt av dataangrepet vårt.
Kontakt innsynssenteret
E-post: dataangrep@lorenskog.kommune.no
Telefon: 67 49 50 81 (mandag–fredag kl. 09.00–15.00)