Følsom info om tusenvis av innbyggere ble funnet på det mørke nettet

Følsom info om tusenvis av innbyggere ble funnet på det mørke nettet

Svært sensitive opplysninger om tusenvis av innbyggere ble stjålet av kriminelle. NRK fant dem på det mørke nettet.

Illustrasjon: Frida Wattne Lindland / NRK

Hun ble utsatt for overgrep som barn, men har prøvd å late som alt er bra. «Emma» har ofte selvmordstanker.

Illustrasjon: Frida Wattne Lindland / NRK

«Christian» har sterk skyldfølelse. Faren har ofret så mye for at han skulle få en god skolegang, men han klarer ikke å prestere.

Illustrasjon: Frida Wattne Lindland / NRK

«Nora» forteller at hun har slitt med depresjonsplager i flere år. Hun knytter det til mobbing og utestenging på skolen.

NRK kan bla seg gjennom over 1300 journaler av denne typen. Barn, unge og foreldre som har betrodd seg til helsepersonell med taushetsplikt. Mange av disse er fra før 2015.

Ingen trodde at referater fra samtalene der de forteller om det aller vondeste, flere år senere skulle bli stjålet og delt på nett.

I vår brøt nemlig hackere seg inn i Lørenskog kommunes dataservere.

Der stjal de enorme mengder data, til sammen 1,8 terabyte.

Det kan være det største datainnbruddet som noen gang har rammet en norsk kommune.

En ansatt i kommunen gjør et vanlig nettsøk. Vedkommende klikker seg inn på en nettside, som ser legitim ut, og laster ned en fil. Denne inneholdt skadevare, og ga hackere tilgang til PCen.

Via den ansattes PC, kom hackerne seg videre til kommunens servere. Kommunen tror at de deretter brukte tid på å kartlegge nettverket.

Hackerne går til angrep inne i kommunens systemer. De får tilgang til et begrenset antall servere.

Ansatte melder om problemer med nettilgang. De varsler IT-avdelingen, som oppdager angrepet. Hackerne har lagt igjen et brev med krav om løsepenger. Kommunen velger å ikke gå i dialog.

Lørenskog kommune sender ut en pressemelding. De forteller om angrepet og at de har satt krisestab. De skriver at det foreløpig ikke er tegn til at sensitiv informasjon er på avveie.

Kommunen legger ut en ny pressemelding der de informerer om at angrepet er større enn først antatt. De bekrefter at store mengder sensitive data er på avveie.

Kommunen etablerer et innsynssenter for å håndtere henvendelsene fra bekymrede innbyggere. Per nå er det 5-8 ansatte som jobber med dette, men etter ferien skal det opp i 20.

Tyveriet er over 10 ganger større enn det som rammet Østre Toten kommune i 2021.

Det inkluderer flere hundre tusen kommunale dokumenter, tusenvis av e-poster og databaser og en stor mengde geografiske datasett.

Dette er nok til å fylle omtrent 2500 CD-plater. Printer du ut informasjonen på A4-ark, vil papirbunken bli tre ganger høyere enn Eiffeltårnet.

Høyere enn eiffeltårnet, eller som 2500 CD-er.

Etter at kommunen, i samråd med Kripos, nektet å forhandle om løsepenger, dumpet hackerne hele materialet ut på det mørke nettet.

Der har det ligget tilgjengelig for kriminelle som måtte ønske å utnytte situasjonen.

Og der blir det liggende – det er nemlig ikke mulig å slette.

NRK har funnet og lastet ned hele det stjålne materialet.

I time etter time flimrer linjene nedover skjermen. Det tar flere dager før PC-en har klart å pakke ut alt.

Romerikes Blad har fulgt saken tett, og funnet at det blant annet dreier seg om 1200 journaler tilhørende barn og unge som har fått hjelp fra kommunens psykiske helsetilbud.

Avisen skriver at den ikke har hatt tilgang til selve innholdet, men har basert seg på en oversikt over de stjålne filene.

Vår gjennomgang viser at lekkasjen inneholder enda flere sensitive og taushetsbelagte dokumenter enn det som har vært kjent.

Blant annet finner vi:

• 264 enkeltvedtak fra barnevernet. De fleste uten fullt navn, men med andre identifiserende opplysninger.

• 780 loggførte samtaler mellom kommunens psykologiske hjelpetjeneste og navngitte innbyggere

• 1400 saker fra psykologhelsetjenesten for barn og unge med fullt navn og detaljerte journaler

Journalnotatene inneholder personsensitiv info om flere personer enn bare barnet, som for eksempel foreldre og søsken.

Derfor er det mange tusen innbyggere som er direkte rammet av lekkasjen.

I mappene til barnevernet finner vi bilder av et hjem i totalt kaos. I hjørnet sitter en gutt.

Bildene er hentet fra bildemappa til barnevernvakta inne i datalekkasjen.

– Det er alvorlig. Dette er opplysninger som definitivt ikke skulle vært på avveier.

Det sier Eirik Gulbrandsen i Datatilsynet, etter å ha sett nærmere på materialet i et avstengt rom hos NRK på Marienlyst.

Han reagerer sterkt på det NRK viser han.

– Jeg ser jo at det er veldig detaljerte opplysninger, som vi ikke var kjent med før nå. At det handler om barn og unge gjør det særlig sensitivt.

Han mener informasjonen burde vært bedre beskyttet.

– Sånne opplysninger bør ikke lagres som filer i et filsystem. Det bør være lagret i det vi kaller et fagsystem, hvor man må logge på og kanskje ha ekstra beskyttelse.

– Her ligger det ukryptert på en gammel server, og det burde det ikke gjøre.

Kommunen hevdet først at det ikke fantes personsensitive opplysninger i det stjålne materialet.

Men, som Romerikes Blad kunne avsløre i juli, viste dette seg å ikke stemme.

Nå bygger kommunen opp et innsynssenter som skal besvare spørsmål fra innbyggerne, sier kommunedirektør Ragnar Christoffersen.

– Her er det tjue personer som jobber, og til enhver tid er det ti ansatte som skal håndtere henvendelser fra innbyggerne, enten de ringer, skriver e-post eller møter opp personlig.

Så langt har nesten 500 personer tatt kontakt.

Et eget innsynsteam skal jobbe med saken og informere berørte innbyggere. Fra neste uke vil 20 personer jobbe i teamet.

– De er selvsagt opptatt av om det er opplysninger om dem selv som er på avveier eller på nettet, sier Christoffersen.

Kommunedirektør Ragnar Christoffersen sier kommunen er lei seg for at mange innbyggere nå føler seg utrygge.

Samtidig jobber kommunen med å analysere det stjålne materialet. Dette for å skaffe seg oversikt over hvilke opplysninger som er stjålet, hvilke personer som er berørt og hvem som kan være særlig utsatt dersom opplysningene skulle bli misbrukt.

Hackere brøt seg i vår inn i kommunens servere og stjal sensitiv info om tusenvis av innbyggere. De fikk med seg tusenvis av journalnotater fra kommunens helsetjeneste. Mange av disse er fra 2014 eller eldre.

Kommunen advarer nemlig om faren for at kriminelle kan prøve å misbruke informasjon som om er lekket ut

På kommunens hjemmeside har de også lagt ut råd om hvordan innbyggerne og ansatte best skal beskytte seg.

Kommunedirektøren medgir at han synes det er vondt at innbyggere nå føler seg utrygge fordi kommunen ikke har klart å trygge dataene deres.

– Det er jeg veldig lei meg for, sier han.

I saken om Østre Toten ga Datatilsynet kommunen en klekkelig bot.

Les også Varsel sendt: Østre Toten kommune får fire millioner i bot etter dataangrepet

Å bestemme konsekvensene for Lørenskog ligger et stykke frem i tid, men det er ingen tvil om at opprydningen blir ressurskrevende.

Så langt er 12 millioner brukt på saken, opplyser kommunen til NRK.

– Dette kommer til å bli dyrt. Vi vet fra Østre Toten kommune at vi snakker om titalls millioner i arbeid med å rydde opp og få ting opp og kjøre igjen, sier Gulbrandsen i Datatilsynet.

– Kostnaden ved å beskytte seg i forkant ville vært langt lavere enn kostnaden ved å rydde opp i ettertid.

LES MER:                  ©NRK.NO