SVT:s kartläggning av industriella styrsystem och -tjänster som är åtkomliga från internet landade i 3 809 ip-adresser mellan maj och september. Systemen kontrollerar fysisk utrustning och med sådana säkerhetsluckor skulle en fientlig aktör ha lättare att ta sig in och manipulera verksamheten.
Flera av de identifierade styrsystemen används för samhällsviktig verksamhet, konstaterar SVT, och nämner cyberangreppet mot det digitala styrsystemet till en damm vid norska Risevatnet förra året. Det visade sig vara ryska hackare som utnyttjade ett svagt lösenord till styrsystemet och 500 liter per sekund strömmade ut i fyra timmar innan intrånget upptäcktes.
– När man exponerar sina system mot internet utan rätt lager av säkerhet får man de här sårbarheterna, säger John Billow, chef för Nationellt cybersäkerhetscenter, till SVT. Vi rekommenderar ingen att exponera på det här sättet.
Bland de exponerade ip-adresserna har kartläggningen bland annat noterat kylsystem i mataffärer och ivf-laboratorier, avfrostningssystem på vindkraftverk, ventilation i vallokaler och utrustning kopplad till moderna lantbruk. Dessa har varit tillgängliga genom gängse webbläsare och ofta lett till vanliga inloggningssidor.
Svaga lösenord är inte sällan förklaringen till dataintrång. Förra veckan skakades exempelvis det digitala Danmark av att en anonym hackare kunnat tanka ner cirka 8,75 miljoner medborgares personuppgifter via en av det dryga tusentalet verksamheter som hade laglig tillgång till registret – på verksamheten hade minst tre personer lösenordet ”123456”.
SVT påpekar att FRA och Myndigheten för civilt försvar varnat för den här sortens risker i flera år. Det räcker inte att skydda styrsystem med vanliga inloggningssidor, enligt myndigheterna.
– Nej. Det behövs något mer för att säkra sitt system. Även om det är ett system där konsekvenserna inte är så stora, säger John Billow.