Svindeleposten inneholdt et dokument med en lenke til en falsk innloggingsside for kommunen. NSM mener problemet kunne vært unngått. Det skriver NRK.
Hacket
Kommunen mener bakmennene prøvde å fiske til seg brukernavn og passord fra andre kommuneansatte. Så langt viser kommunens undersøkelser at ingen data er på avveie, men kommunen vil heller ikke utelukke det, sier IT-sjef Marita Tiller i Tromsø kommune til statskanalen.
Kontoen som er brukt til utsendelsen skal ha blitt hacket, ifølge NRK.
– Det kan ha vært skadevare på maskinen, eller så har vedkommende eksponert passordet sitt til noen andre. Det kan også være at den ansatte har trykket på en link, sier Tiller.
Kommunen har enda ikke anmeldt hendelsen til politiet.
Ifølge Tiller benyttes tofaktorautentisering i mange av kommunes IT-systemer, men dette er ikke pålagt praksis i alle systemene. Den hackede ansatte skal ikke ha benyttet sikkerhetsløsningen på sin epostkonto.
– Vi kan ikke ha så kompliserte påloggingsprosesser at man ikke får tak i viktig informasjon når man trenger den, men på de systemene det er påkrevd, er det påslått, sier Tiller til NRK.
Generell anbefaling om tofaktor
Nordland Fylkeskommune utsatt for datainnbrudd. Etter fire dager er nettsidene ennå nede
Nasjonal sikkerhetsmyndighet anbefaler alle norske virksomheter å innføre tofaktorautentisering i alle løsninger.
De mener det ekstra sikkerhetslaget gjør det mye vanskeligere for hackere å komme seg inn i systemporteføljen.
Fagdirektør Lars Strand i NSM sier til NRK at de er bekymret for at mange norske virksomheter ikke jobber systematisk med sikkerhet.
Ifølge ham gjør det det enklere for hackere å hente ut sensitive data, ta ned løsninger og tjenester og benytte virksomhetens egen infrastruktur som et brohode for videre kriminell aktivitet.
Strand vil ikke kommentere denne enkelthendelsen til NRK, men sier på generelt grunnlag:
– Dersom tofaktor er støttet og man ikke har gjort gode vurderinger for bruk av det, så er det kanskje en mangel ved risikovurderingen, poengterer han.
Datasenteret nekter å stenge og fjerne anlegget
