Rysk cyberkampanj riktades mot Nato-länders övervakningskameror

Ryska aktörer har enligt nederländska underrättelsetjänster tagit kontroll över civila övervakningskameror i flera Natoländer för att följa militära leveranser till Ukraina. De nederländska underrättelse- och säkerhetstjänsterna AIVD och MIVD beskriver operationen som storskalig och uppger att organisationer med internetanslutna kameror längs transportvägar till Natobaser har varnats för att kunna stärka sitt skydd.

Enligt de internationella säkerhetsmyndigheter som utfärdat en gemensam varning har kampanjen pågått sedan 2022 och pekats ut som ett arbete av den ryska militärunderrättelsetjänsten GRU:s enhet 26165, även känd som APT28, Fancy Bear, Forest Blizzard och BlueDelta. USA:s NSA och FBI deltog tillsammans med flera europeiska och andra nationella säkerhetsmyndigheter i bedömningen. Kampanjen ska inte bara ha riktats mot övervakningskameror utan även mot bland annat försvarsindustri, hamnar, flygplatser, sjöfart, flygledning och it-företag med kopplingar till stödet till Ukraina. Säkerhetsmyndigheterna uppgav också att angriparna använde nätfiske, lösenordsattacker, stulna inloggningsuppgifter och sårbarheter i bland annat Microsoft Outlook, WinRAR och webbpostsystem för att ta sig in i målnätverk. I vissa fall ska de därefter ha försökt nå transportföretag med affärskontakter till redan angripna organisationer.

De hackade kamerorna ska främst ha funnits vid privata bostäder nära transportleder till Natobaser och varit anslutna till internet med bristfälligt skydd, exempelvis standardlösenord och föråldrad programvara. Storbritanniens nationella cybersäkerhetscenter NCSC uppgav dessutom att gruppen utnyttjade kommunala trafikkameror samt kameror vid gränsövergångar, järnvägsstationer och militära anläggningar för att följa materieltransporter. Enligt Radio Free Europe/Radio Liberty identifierades omkring 10 000 berörda IP-adresser, varav närmare 1 000 tillhörde övervakningskameror i Rumänien. Den bredare cyberkampanjen ska enligt säkerhetsmyndigheterna ha drabbat organisationer i bland annat Bulgarien, Tjeckien, Frankrike, Tyskland, Grekland, Italien, Moldavien, Nederländerna, Polen, Rumänien, Slovakien, Ukraina och USA.

AIVD och MIVD uppgav också att de identifierat en annan Rysslandskopplad grupp, Laundry Bear, som sedan minst 2024 ska ha samlat information om västländers inköp och produktion av militär utrustning samt vapenleveranser till Ukraina. Enligt de nederländska underrättelsetjänsterna avslöjades gruppen efter ett intrång i september 2024 där konfidentiella uppgifter om anställda inom den nederländska polisen kom åt.

Att använda övervakningskameror för underrättelseinhämtning beskrivs som en metod som är billig, effektiv och svår att upptäcka. Enligt The Telegraph använde Ukraina tidigare samma tillvägagångssätt för att lokalisera en rysk ubåt i Novorossijsk innan den attackerades med en undervattensdrönare. Tidningen skriver också att CIA och den israeliska underrättelsetjänsten uppges ha använt ett nätverk av övervaknings- och trafikkameror för att lokalisera Irans högste ledare Ali Khamenei under krigets första dagar.