Bygget av jättetunneln under Östersjön står still efter cyberattack

Huvudentreprenören för Fehmarn Bält-tunneln meddelade den 13 oktober att verksamheten drabbats av en cyberincident. Det statliga danska infrastrukturbolaget Sund & Bælt uppger att det för en dialog med entreprenören, men har inte offentliggjort vilka system som nåtts eller hur incidenten började.

Fehmarn Bält-tunneln byggs mellan Rødbyhavn på danska Lolland och Puttgarden på den tyska ön Fehmarn. Den 18 kilometer långa väg- och järnvägstunneln blir världens längsta sänktunnel och är en central del av den framtida transportkorridoren mellan Skandinavien och Centraleuropa.

En sänktunnel byggs inte genom att borra under havsbotten. I stället tillverkas 89 stora betongelement på land, transporteras ut till havs och sänks ned i en grävd ränna på botten. Elementen sammanfogas sedan till en tunnel med separata rör för motorväg och järnväg.

Passerkort och centrala system ska ha slagits ut

Den drabbade entreprenören är Femern Link Contractors, FLC. Enligt NDR ska en säkerhetslucka ha gett angriparen omfattande åtkomst till konsortiets IT-system. Arbetsflöden på byggplatsen stördes och elektroniska passerkort uppges ha slutat fungera.

News Øresund skriver, med hänvisning till danska Folketidende, att problemen började under natten till måndagen. Centrala system ska ha slagits ut, personal ska ha uppmanats att hålla sig borta från datorerna och flera fartyg som används i bygget uppges ligga stilla.

Uppgifterna om säkerhetsluckan, systemåtkomsten och de stillaliggande fartygen är ännu inte tekniskt verifierade av FLC eller Sund & Bælt. Projektbolaget använder också den bredare formuleringen cyberincident, som inte i sig avslöjar om det handlar om ransomware, datastöld eller någon annan typ av angrepp.

Läs mer: Dustin.se varnar kunder efter intrång: personuppgifter kan vara drabbade

Entreprenörens IT blev en fysisk flaskhals

FLC ansvarar för att bygga själva tunneln, tunnelportalerna på båda sidor av Fehmarn Bält och fabriken där tunnelementen gjuts. Konsortiet bygger även det stora bostadsområdet för tunnelarbetarna i Rødbyhavn.

Det innebär att entreprenörens digitala miljö används för att samordna människor, fartyg, leveranser och arbetsmoment över ett mycket stort område. Byggplatsen vid Rødbyhavn motsvarar omkring 300 fotbollsplaner och sysselsätter fler än 2 000 personer från över 40 länder.

Ett intrång behöver därför inte ge kontroll över kranar eller andra maskiner för att få tydliga fysiska konsekvenser. Om system för identiteter, behörigheter och passerkontroll inte fungerar kan personal inte släppas in som vanligt. Problem med kommunikation och arbetsplanering kan samtidigt göra det svårt att genomföra komplicerade moment på ett säkert sätt.

Det förklarar hur ett angrepp mot vanliga IT-system kan bromsa ett bygge som till största delen består av betong, fartyg och tung utrustning. Den digitala infrastrukturen fungerar som ett nav mellan de fysiska delarna av projektet.

Inget belägg för intrång i industriella styrsystem

Det finns hittills inga offentliga belägg för att angriparen har nått industriella styrsystem, ofta kallade OT-system. Sådana system används för att övervaka och styra fysisk utrustning, medan traditionell IT omfattar exempelvis användarkonton, dokument, e-post och administrativa tjänster.

Skillnaden är avgörande när konsekvenserna ska bedömas. Utslagna IT-tjänster kan stoppa arbetet utan att någon har kunnat manipulera byggmaskiner, fartyg eller säkerhetskritisk utrustning. Det finns inte heller några uppgifter om fysiska skador på tunneln eller de nedsänkta tunnelementen.

EU cybersäkerhetsmyndighet Enisa har pekat ut just kopplingen mellan IT, äldre OT-miljöer och externa leverantörer som en central utmaning för den europeiska transportsektorn. Beroendet av många entreprenörer och leverantörer gör att en incident hos en enskild aktör kan påverka en större infrastrukturkedja.

Läs mer: MP vill lägga 100 miljoner extra på cybersäkerhet

Viktiga frågor saknar fortfarande svar

Varken FLC eller Sund & Bælt har berättat när den obehöriga åtkomsten började, vilka delar av nätverket som påverkats eller om information har kopierats. Det är också okänt om angriparen har krävt en lösensumma och hur lång tid återställningen väntas ta.

Ingen aktör har pekats ut som ansvarig. Det finns inte heller någon bekräftad uppgift om att incidenten påverkar tunnelns övergripande tidplan.

Det som redan går att se är hur beroende ett modernt infrastrukturbygge är av digitala stödsystem. När identiteter, passerkort och centrala IT-tjänster försvinner kan även arbetet med världens längsta sänktunnel tvingas sakta ned.