De tager ansvar for angrebet: Her er den russiske gruppe bag FLC-hack

”Trust us and work with BARRACUDA; we will keep your secret safe.”

Salgstalen på Barracudas hjemmeside kan lyde næsten beroligende, men skal ses i lyset af, at den taler direkte til de virksomheder og stater, hvis systemer organisationen er brudt ind i.

Barracuda er de påståede aktører bag hackerangrebet på Femern Bælts hovedentreprenør FLC, hvor virksomheden fik stjålet følsomme data. Ifølge Folketidendes oplysninger kan det blandt andet dreje sig om løn- og skatteoplysninger, bankoplysninger, identitetspapirer og helbredsoplysninger.

Læs også: 

Femern-byggeriet ramt af stort hackerangreb: Skibe ligger stille

Hackergruppen hævder at have stjålet 2,44 TB data, eller cirka 1,57 millioner filer, fra FLC’s systemer. På gruppens hjemmeside kan man se et salgsopslag, hvor man, hvis man skal tro sælgeren, kan købe de interne filer for 500.000 dollars - eller cirka 3,35 millioner danske kroner.

Hackerangrebet på FLC kan have konsekvenser for virksomheden og dens ansatte, men i det store billede er pengene involveret en dråbe i havet.

Straf er en by i Rusland

Peter Kruse er ekspert i IT-sikkerhed, og han kender udmærket til Barracuda. Det er én af omkring 200 hackergrupper, der opererer fra Rusland. Af samme grund kan man vide sig næsten sikker på, at hackerne ikke bliver retsforfulgt.

- De har frit slag i bolledejen, havde jeg nær sagt. De får lov til at gøre det, og de får lov til at gøre det uden strafansvar. Selvom vi i branchen måske nok ved, hvem de er, så får vi dem aldrig udleveret, siger Peter Kruse.

Det er et samarbejde, som hackerne og den russiske stat begge drager fordel af, forklarer han.

Hackerne gør det efter eget udsagn alene for økonomisk vinding. Det er Barracuda helt åben om på sin hjemmeside, hvor der står, at det er en "rent økonomisk motiveret gruppe". Hvad den skriver derefter, anfægter Peter Kruse til gengæld.

Ifølge hjemmesiden angriber gruppen "alle virksomheder på tværs af alle sektorer og alle lande."

- Det kan godt være, at de ikke kalder sig selv politisk motiverede, men de er i hvert fald nogle, der ikke angriber mål inden for Rusland, og de angriber heller ikke mål i nogen af de lande, der støtter Rusland.

Peter Kruse betegner grupperne som en slags digitale aktivister, der før mest var politisk motiverede, men som nu også tjener penge på gerningen.

- Der var hacktivister, som hackede et mål, fordi man havde en politisk observans på et eller andet punkt. Det er nu flyttet over i et spor, hvor man gør det samme, men nu er målet så også at tjene penge på det.

I 2026 er cyberkriminalitet den mest indbringende form for kriminalitet i verden. Hvis det var en økonomi på lige fod med stater som Danmark, ville det være den tredjestørste. Kun overgået af USA og Kina.

Sådan kommer de ind

Når hackerne vil ind bag virksomhedernes forsvar, er der to hovedveje, de kan benytte sig af.

Den første er gennem udstyr, som er koblet på internettet. Peter Kruse forklarer, at det ofte kan være selvsamme sikkerhedsudstyr, der ellers skulle holde uvedkommende fra døren.

Læs også: 

Hackergruppe hævder enormt datatyveri hos FLC

- Det er simpelthen det udstyr, som vender ud mod internet. Hvis det ikke bliver opdateret efter anvisningen, og der kommer kritiske sårbarheder i det, så kan der ligge sårbarheder i de her sikkerhedsprodukter, som de så kan bruge til adgangen.

Et sådant angreb sås i oktober. Hackere trængte ind i kølesystemer i supermarkeder Frankrig over - og så skruede de op for varmen. Op mod 400 butikker blev ramt, og flere måtte smide varer for mange tusinde kroner direkte i skraldespanden.

Ifølge Danfoss, som er leverandør på de hackede termostater, var systemerne forældede, og den danske virksomhed havde gennem flere år anbefalet butikkerne at udskifte systemerne.

I FLC’s tilfælde kan lignende sårbare systemer have været en indgang for hackerne til andre systemer.

Den anden hovedvej er gennem virksomhedens ansatte. En bruger kan have klikket på et link eller lignende, og malware er kommet ind i systemet. I dette tilfælde kan det være hackere som Barracuda selv, der har installeret det, men gruppen kan også have købt data fra en anden aktør og på den måde skaffet oplysninger, som kunne give adgang.

FLC selv har ikke bekræftet, hvordan angrebet blev muliggjort eller præcis hvilke data, hackerne fik fat i.

Ligger på lur

11. oktober er ifølge FLC datoen for hackerangrebet, og ifølge Barracuda har gruppen siden 17. september haft adgang til virksomhedens systemer.

- Det minder om alt det andet, som foregår derude, når man kigger på ransom-angreb. Det tager tid at opdage, fordi de er snu. De gemmer sig, og de er dygtige til at gemme sig. Også fordi overvågningen i mange virksomheder ikke er tilstrækkelig i forhold til det risikolandskab, vi bevæger os i, siger Peter Kruse.

Han kender ikke til FLC's sikkerhed eller forholdene omkring angrebet, og udtaler sig derfor ikke om, hvorvidt virksomheden i dette tilfælde har slækket på sikkerheden.

Hackerne ligger på lur i dage eller uger. De trækker data ud, alt imens de planlægger angrebet, hvor de låser virksomhedens data, så de kan kræve penge for at låse dem op igen. De lærer systemerne at kende for så at slå til.

Når de endelig slår til, kan hammeren falde hårdt. Især hvis de har haft god tid til det.

- Det er virkeligheden for de her grupper, at de arbejder dybt professionelt. De har prøvet det mange gange før, så de kender hele rumlen, og de ved udmærket godt, hvad der skal til. Derfor kan der gå alt fra dage til uger, afhængig af, hvordan de føler, at deres tilstedeværelse bliver monitoreret, siger han. 

Hvis hackerne, som de hævder, har haft adgang til systemerne i næsten en måned, kan det have haft alvorlige konsekvenser for FLC.

- På det tidspunkt står virksomheden rigtig skidt, fordi de så har fået alt det, de har brug for. Når så de siger, at "nu har vi fået alt det, vi har brug for", så igangsætter de angrebet.

- Det er det helt tydelige tilfælde her, siger Peter Kruse.