Tysiące mieszkańców Lørenskog mogą odczuć skutki jednego z najpoważniejszych w ostatnich latach cyberataków na norweski samorząd. Przestępcy twierdzą, że wykradli około 1,8 terabajta danych, które następnie opublikowali w darknecie. Wśród ujawnionych materiałów znalazły się szczegółowe informacje dotyczące dzieci i młodzieży korzystających z pomocy psychologicznej, dokumenty Barnevernet (norweski Urząd ds. ochrony dzieci i młodzieży) oraz dane o zdrowiu psychicznym mieszkańców.
Skala wycieku okazała się znacznie większa, niż początkowo przypuszczano. Jak ustaliło NRK, w opublikowanych dokumentach znajdują się informacje dotyczące najbardziej prywatnych i trudnych doświadczeń mieszkańców – przemocy, depresji, myśli samobójczych, mobbingu, problemów rodzinnych czy konfliktów między rodzicami a dziećmi.
Dziennikarze NRK dotarli do materiałów opublikowanych przez przestępców w darknecie i przeanalizowali ich zawartość. Według ich ustaleń wyciek obejmuje około 1400 spraw dzieci i młodzieży korzystających z pomocy psychologicznej. Dokumentacja zawiera pełne nazwiska oraz szczegółowe notatki z rozmów.
Wśród ujawnionych materiałów znajduje się również około 780 zapisów rozmów prowadzonych przez psychologiczną służbę pomocową z imiennie wskazanymi mieszkańcami oraz 264 decyzje Barnevernet. W części dokumentów nie podano pełnego nazwiska, ale zawarte w nich informacje mogą pozwalać na identyfikację konkretnych osób. Wyciekły również fotografie znajdujące się w dokumentacji
Skala problemu może być jeszcze większa, ponieważ dokumentacja dotycząca jednego dziecka często zawiera informacje o rodzicach, rodzeństwie i innych członkach rodziny. Oznacza to, że liczba osób, których prywatność została naruszona, może sięgać wielu tysięcy.
Od jednego kliknięcia do ogromnego wycieku
Początek cyberataku wyglądał niewinnie. Według rekonstrukcji przedstawionej przez gminę Lørenskog 7 kwietnia 2026 roku jeden z pracowników podczas wyszukiwania informacji w internecie trafił na stronę wyglądającą na legalną i pobrał znajdujący się na niej plik. W rzeczywistości zawierał on złośliwe oprogramowanie.
W ten sposób przestępcy uzyskali dostęp do komputera pracownika, a następnie zaczęli przedostawać się dalej do infrastruktury informatycznej samorządu. Gmina ustaliła, że 22 kwietnia hakerzy dotarli do serwerów. W kolejnych dniach prawdopodobnie analizowali sieć i przygotowywali dalszą część operacji.
8 maja rozpoczęła się właściwa faza ataku. Dzień później pojawiły się problemy z dostępem do sieci, które doprowadziły dział IT do wykrycia włamania. Systemy zostały wyłączone, a gmina rozpoczęła ich zabezpieczanie i odbudowę.
Zainfekowany komputer należał do grupy urządzeń, które nie zostały jeszcze objęte nowym systemem zarządzania bezpieczeństwem. Spośród około 3000 komputerów należących do gminy około 200 pozostawało wówczas poza tym systemem.
Początkowo sytuacja nie wydawała się aż tak poważna. W pierwszych tygodniach po ataku władze informowały, że przeprowadzone analizy nie wskazują na wykradzenie danych wrażliwych. Z czasem okazało się jednak, że rzeczywista skala zdarzenia jest znacznie większa.
Na początku lipca hakerzy poinformowali, że posiadają około 1,8 TB danych pochodzących z systemów Lørenskog. Wkrótce samorząd potwierdził, że rzeczywiście doszło do kradzieży dużej ilości informacji. 9 lipca gmina oficjalnie przyznała, że wśród skradzionych materiałów znajdują się dane wrażliwe dotyczące zarówno mieszkańców, jak i pracowników.
Według informacji ujawnionych po ataku wyciek obejmuje ponad 1,3 miliona plików. Gmina informowała jednocześnie, że monitorowany ruch wychodzący z jej systemów nie wskazywał wcześniej na transfer tak dużej ilości informacji. Jedną z rozważanych możliwości jest więc stopniowe wyprowadzanie danych w sposób, który nie uruchomił systemów alarmowych.
Po przeprowadzeniu ataku przestępcy pozostawili wiadomość sugerującą możliwość dalszego kontaktu. Nie przedstawili jednak, według informacji gminy, konkretnej kwoty okupu. Po konsultacji ze specjalistami ds. cyberbezpieczeństwa oraz Kripos władze Lørenskog zdecydowały, że nie będą prowadzić negocjacji z grupą. Kripos prowadzi śledztwo w sprawie ataku.
Datatilsynet: szczególnie poważna sprawa
Największy niepokój budzi charakter ujawnionych informacji. Są to dane, które powinny podlegać szczególnie silnej ochronie – dotyczą zdrowia psychicznego, przemocy, sytuacji rodzinnej, pomocy psychologicznej oraz działań Barnevernet.
Jak podaje NRK, Datatilsynet, norweski Urząd Ochrony Danych Osobowych, zwraca szczególną uwagę na fakt, że część informacji dotyczy dzieci i młodzieży oraz opisuje ich życie z bardzo dużą szczegółowością.
Pytania budzi również sposób przechowywania dokumentacji. Według ustaleń NRK część materiałów znajdowała się w postaci niezaszyfrowanych plików na starym serwerze. Zdaniem Datatilsynet tak wrażliwe informacje powinny być przechowywane w specjalistycznych systemach, wyposażonych w odpowiednie mechanizmy uwierzytelniania i dodatkowe zabezpieczenia.
Gmina podkreśla, że hakerzy nie uzyskali dostępu do obecnie używanych systemów specjalistycznych i aktualnej dokumentacji. Skradzione informacje pochodziły m.in. ze starszego, wspólnego obszaru plików, który był stopniowo wycofywany z użytkowania.
Wiele dokumentów pochodzi sprzed 2015 roku, co nie oznacza jednak, że utraciły wrażliwy charakter. Informacje dotyczące przemocy, zdrowia psychicznego, interwencji Barnevernet czy sytuacji rodzinnej mogą mieć poważne konsekwencje dla osób, których dotyczą, również wiele lat po ich zapisaniu.
Sytuację dodatkowo komplikuje fakt, że dane zostały już opublikowane w darknecie. Nie ma możliwości zagwarantowania, że wszystkie ich kopie zostaną usunięte, a materiały mogły zostać pobrane i zapisane przez nieznaną liczbę osób.
Gmina ostrzega przed kradzieżą tożsamości i oszustwami
Konsekwencje ataku mogą wykraczać daleko poza samo naruszenie prywatności. Szczegółowe informacje o mieszkańcach mogą zostać wykorzystane do kradzieży tożsamości, phishingu lub innych prób oszustwa.
Przestępca, który zna nazwisko, sytuację rodzinną czy wcześniejsze kontakty danej osoby z urzędem, może stworzyć znacznie bardziej wiarygodną wiadomość, telefon lub SMS i łatwiej zdobyć zaufanie potencjalnej ofiary.
Gmina Lørenskog apeluje dlatego do mieszkańców o szczególną ostrożność. Sygnałem alarmowym mogą być m.in. nieznane transakcje na rachunku bankowym, faktury za niezamówione towary, informacje o kredytach, których dana osoba nie zaciągała, niespodziewane kontrole zdolności kredytowej czy zawiadomienia o zmianie adresu.
W przypadku podejrzenia kradzieży tożsamości samorząd zaleca jak najszybszy kontakt z bankiem lub firmą obsługującą kartę, zmianę haseł oraz zgłoszenie sprawy policji.
Szczególną ostrożność warto zachować również wobec telefonów, SMS-ów i e-maili, których nadawca zna nasze dane osobowe. Sam fakt, że rozmówca zna nazwisko, adres czy informacje dotyczące wcześniejszego kontaktu z gminą, nie oznacza, że rzeczywiście jest urzędnikiem.
Jak sprawdzić, czy moje dane wyciekły?
Lørenskog kommune zapowiada, że będzie kontaktować się z osobami, których wrażliwe dane zostały ujawnione. Ze względu na ogromną liczbę dokumentów proces identyfikowania poszkodowanych może jednak potrwać.
Jak informuje NRK, władze utworzyły specjalny zespół zajmujący się konsekwencjami cyberataku. Docelowo ma w nim pracować około 20 osób. Ich zadaniem jest analizowanie skradzionych materiałów, ustalanie, kogo dotyczą, odpowiadanie na pytania mieszkańców oraz ocena, w których przypadkach ewentualne wykorzystanie ujawnionych informacji może stanowić szczególne zagrożenie.
Ze względów bezpieczeństwa gmina nie przekazuje telefonicznie ani zwykłym e-mailem informacji o tym, czy konkretne wrażliwe dane znalazły się w rękach przestępców.
Uruchomiono natomiast specjalną infolinię pod numerem 67 49 50 81, czynną od poniedziałku do piątku w godz. 9.00–15.00, oraz adres e-mail dataangrep@lorenskog.kommune.no.
Na stronie internetowej gminy Lørenskog dostępny jest również specjalny formularz, za pomocą którego można zwrócić się z pytaniem, czy nasze dane zostały objęte wyciekiem. Tożsamość osoby składającej zapytanie potwierdzana jest przez ID-porten, m.in. za pomocą BankID lub MinID.
Koszty cyberataku liczone są już w milionach
Atak uderzył nie tylko w bezpieczeństwo i prywatność mieszkańców, lecz także w finanse samorządu.
Według informacji NRK Lørenskog wydało już około 12 milionów koron na działania związane z cyberatakiem, zabezpieczeniem infrastruktury i odbudową systemów. Ostateczny koszt może okazać się znacznie wyższy.
Historia innych norweskich samorządów pokazuje, jak poważne mogą być finansowe i prawne konsekwencje podobnych zdarzeń.
W styczniu 2021 roku ofiarą dużego cyberataku padła gmina Østre Toten. Przestępcy zaszyfrowali dane, usunęli kopie zapasowe, a część skradzionej dokumentacji została później opublikowana w darknecie.
Datatilsynet stwierdził wówczas poważne braki w zabezpieczeniach gminy, dotyczące m.in. rejestrowania i analizowania zdarzeń w systemach informatycznych, ochrony kopii zapasowych oraz uwierzytelniania. Østre Toten otrzymało karę administracyjną w wysokości 4 milionów koron.