IBM Italys dotterbolag drabbat av intrång med statsunderstödda kopplingar

Ett cyberangrepp riktat mot Sistemi Informativi, ett dotterbolag till IBM Italy som förvaltar IT-infrastruktur för både offentliga och privata institutioner, har väckt allvarliga farhågor om säkerheten hos kritisk nationell infrastruktur. Säkerhetsforskare och tjänstemän har pekat på möjliga kopplingar till kinesiska statsunderstödda cyberoperationer, vilket gör denna incident till ett betydelsefullt ögonblick i den pågående diskussionen om nationsstaters hot mot västliga IT-system.

Sistemi Informativi är inget känt namn för gemene man, men företagets roll i den italienska infrastrukturen är betydande. Företaget hanterar IT-tjänster för organisationer som är beroende av tillförlitliga och säkra system, vilket innebär att ett intrång av detta slag kan få spridningseffekter långt bortom en enskild organisation. När en leverantör som förvaltar infrastruktur åt flera kunder komprometteras, blir varje institution som förlitar sig på den leverantören en potentiell exponeringspunkt.

Vad vi vet om intrånget

Detaljerna är fortfarande begränsade då utredningarna pågår, men kärnproblemet är tydligt: en angripare fick obehörig åtkomst till system som förvaltas av ett företag som är djupt inbäddat i Italiens IT-ekosystem. Den påstådda kopplingen till kinesiska cyberoperationer placerar denna incident i ett bredare mönster av statsunderstödda intrång riktade mot kritisk infrastruktur i Europa och Nordamerika.

Detta är inte ett isolerat fenomen. Underrättelsetjänster i USA, Storbritannien och Europeiska unionen har upprepade gånger varnat för att statsaktörer, särskilt sådana med kopplingar till Kina, systematiskt har undersökt och penetrerat infrastrukturleverantörer, telekommunikationsföretag och statliga IT-leverantörer. Att bryta sig in hos en leverantör som Sistemi Informativi kan ge angripare ihållande åtkomst till flera nedströmsaktörer utan att behöva kompromettera dessa direkt.

Användningen av betrodda tredjepartsleverantörer av IT som intrångspunkt – ofta kallat en försörjningskedjeattack – har blivit en av de mest effektiva taktikerna för sofistikerade hotaktörer. När en angripare komprometterar en infrastrukturförvaltare ärver de de förtroendeförhållanden som förvaltaren har med sina kunder.

Varför intrång i kritisk infrastruktur är annorlunda

De flesta dataintrång involverar stulna inloggningsuppgifter, läckta kundregister eller utpressningstrojaner. Statsunderstödda intrång mot infrastrukturförvaltningsföretag tenderar att ha andra mål: underrättelseinhämtning, ihållande åtkomst och förmågan att störa system vid ett strategiskt lämpligt tillfälle.

Denna distinktion är av enorm betydelse för hur organisationer och individer bör tänka kring risk. Ett intrång hos en detaljhandlare kan exponera ditt kreditkortsnummer. Ett intrång hos ett företag som förvaltar statlig och institutionell IT-infrastruktur kan påverka offentliga tjänster, känslig statlig kommunikation eller den operativa kontinuiteten hos kritiska system.

För Italien specifikt inträffar denna incident vid en tid då europeiska regeringar i allt högre grad granskar säkerhetspraxis hos leverantörer som är inbäddade i nationell infrastruktur. EU:s NIS2-direktiv, som trädde i kraft 2023, är utformat för att införa strängare cybersäkerhetskrav på just denna kategori av företag. Intrånget hos Sistemi Informativi fungerar som ett verklighetsnära testfall för huruvida dessa standarder efterlevs.

Vad detta innebär för dig

För de flesta kan ett intrång hos ett IT-infrastrukturdotterbolag i Italien kännas avlägset. Men det finns praktiska lärdomar här som direkt kan tillämpas på hur individer och organisationer skyddar sina egna data och sin kommunikation.

För det första är försörjningskedjeproblemet universellt. Varje gång du anförtror en tredjepartsleverantör dina data eller system, litar du också på den leverantörens säkerhetspraxis. Oavsett om du är ett litet företag som använder en molnbaserad bokföringsplattform eller en statlig myndighet som använder en outsourcad IT-förvaltare, bestämmer den svagaste länken i kedjan din faktiska exponering.

För det andra spelar säkerhet på nätverksnivå stor roll. Organisationer som får åtkomst till känsliga system, särskilt via fjärranslutningar, behöver krypterade och autentiserade kommunikationsvägar. VPN och nollförtroende-nätverksarkitekturer finns just för att begränsa skadeverkningarna när en inloggningsuppgift stjäls eller en leverantör komprometteras. Om din organisations fjärråtkomst enbart förlitar sig på kombinationer av användarnamn och lösenord kan ett intrång hos en betrodd leverantör vara allt en angripare behöver.

För det tredje är riskbedömningar av leverantörer inte valfria. Företag och institutioner bör regelbundet granska säkerhetsläget hos varje tredje part som har tillgång till deras system. Detta inkluderar att se över rutiner för incidenthantering, fråga om praxis för penetrationstestning och säkerställa att avtalsförpliktelser kring incidentanmälan finns på plats.

Konkreta åtgärder

  • Granska dina leverantörsrelationer. Identifiera varje tredjepartsleverantör med tillgång till dina system eller data, och utvärdera om deras säkerhetsstandarder matchar din egen risktolerans.
  • Kräv krypterad kommunikation. All fjärråtkomst till känsliga system bör ske via autentiserade, krypterade anslutningar. Att förlita sig på okrypterade eller dåligt säkrade kanaler lämnar dig exponerad om en leverantörs inloggningsuppgifter stjäls.
  • Inför multifaktorautentisering överallt. Stulna inloggningsuppgifter är betydligt mindre användbara för angripare när en andra faktor krävs. Detta gäller dina egna system och bör vara ett krav du ställer på leverantörer.
  • Följ NIS2 och liknande ramverk. Även om din organisation inte är juridiskt skyldig att följa NIS2 eller motsvarande standarder, är det ett praktiskt sätt att mäta ditt säkerhetsläge att behandla dem som en miniminivå.
  • Utgå från att intrång sker, planera därefter. Insikten om att även välresurserade IT-infrastrukturleverantörer kan komprometteras innebär att organisationer bör planera för scenariot där en betrodd leverantör har vänts mot dem. Segmentera åtkomst, logga aktivitet och ha en färdig plan för incidenthantering.

Intrånget hos Sistemi Informativi påminner oss om att de organisationer som sköter rörledningarna i vår digitala infrastruktur är högvärdiga mål. Att skydda sig själv innebär att utvidga sitt säkerhetstänkande bortom den egna perimetern till alla man anförtror åtkomst till sina system.