Trusselanalytiker om dataangrepet mot Norad: – Kan være verdifull etterretningsinformasjon

– Det finnes foreløpig for lite informasjon om angrepet mot Norad til å knytte det til en kjent trusselgruppe. Ingen har påtatt seg ansvaret i kildene vi overvåker, sier den britiske trusselanalytikeren Adam Price til Panorama.

I oktober ble det kjent at informasjon om 20 614 brukere av Norads tilskuddsportal kan ha kommet på avveie. Som Panorama tidligere har omtalt, skal innbruddstyvene også ha stjålet sensitiv informasjon fra minst tre organisasjoner som hadde søkt Norad om støtte.

– Basert på den informasjonen som er kjent, er prorussiske trusselaktører med geopolitisk motivasjon blant de sannsynlige mistenkte. Dette kan være hacktivister eller såkalte advanced persistent threats (APTs). Samtidig er offentlige virksomheter verdifulle mål også for økonomisk motiverte aktører, sier Price på linje fra ukjent sted i Storbritannia.

CYJAX, selskapet Price jobber for, har registrert at Norad-e-postadresser og tilknyttede personopplysninger om 70 personer tidligere er lekket på cyberkriminelle forum.

– Lekkasjene stammet fra løsepengevirusgrupper, direkte angrep og stealer logs i perioden 2023 til 2025. Slike opplysninger kan brukes som inngangsvei eller til å identifisere brukere som kan bli mål for nye angrep, forklarer Price, men påpeker at han ikke kan fastslå om det er en forbindelse mellom disse og det nylige dataangrepet.

– Tyder på betydelig kapasitet

Price er cybertrusselanalytiker i Cyjax, et britisk selskap som leverer etterretning som skal hjelpe kundene med å identifisere, forstå og håndtere nye cybertrusler. Som del av jobben overvåker Price det cyberkriminelle landskapet, blant annet det mørke nettet.

Price har tidligere analysert angrep mot ulike norske nettsteder.

– Hacktivister er først og fremst kjent for såkalte tjenestenektangrep, men har også stått bak hendelser der data har kommet på avveie eller har blitt slettet.

Han forklarer at grupperingene ZPentest og NoName057(16), kjent for å være tilknyttet russiske ServerKillers, har påtatt seg ansvaret for det nylige kjøleanlegg-angrepet i Europa, samt at NoName057(16) nylig publisert lekkede data fra det danske selskapet Danfoss.

– Dette viser at hacktivister ikke bare forstyrrer drift, men også kan hente ut data.

– Hva forteller metoden angriperne har brukt mot Norad om hvem som kan stå bak?

– Misbruk av et stort antall brukerkontoer tyder på at aktøren har betydelig kapasitet, sier analytikeren om angrepet mot Norad.

Price forklarer at tilgangen til navn, adresser og søknadsopplysninger fra de tre ikke navngitte organisasjonene, kan ha hatt som formål å legge til rette for nye angrep.

– Personidentifiserende opplysninger kan brukes til å rette angrep mot enkeltpersoner, mens søknadsdata kan lette angrep mot organisasjonene.

En statsstøttet trusselaktør?

Han forklarer at statsstøttede aktører generelt har størst kapasitet og mest ressurser.

– De kan ha som mål å drive cyberspionasje og gi dataene til staten de er tilknyttet, uten å offentliggjøre dem. Hacktivister er mer tilbøyelige til å publisere informasjonen for å påføre skade. Men den begrensede offentlige informasjonen gjør at vi ikke kan fastslå hvilken type aktør som sto bak datainnbruddet mot Norad, sier Price.

– Hvem ville ha nytte av å stjele informasjonen i Norads tilskuddsportal, tror du?

– Opplysningene kan brukes til å identifisere direkte mottakere av bistand, særlig i konfliktområder eller autoritære land, slik Norad selv har omtalt. Dette kan være verdifull etterretningsinformasjon for en statsstøttet APT-aktør. Motivasjonen kan imidlertid også være økonomisk, politisk eller opportunistisk, sier Price.

– Finnes det absolutt ingen spor av angrepet i kildene dere overvåker?

– Angrepet er foreløpig ikke omtalt på fremtredende cyberkriminelle fora, i Telegram-kanalene vi overvåker, eller på nettsteder for datalekkasjer. Det kan bety at aktøren ennå ikke har påtatt seg ansvaret offentlig, eller at dataene brukes i videre ondsinnet aktivitet. Dataene kan også bli solgt eller delt privat, eller overlevert til andre aktører for videre misbruk, forklarer sikkerhetsanalytikeren.

– Har erklært krig mot Norge

I tillegg til at CYJAX fant Norad-e-postadresser og personopplysninger om godt over 70 personer på et cyberkriminelt forum, forteller Price at gruppen ShinyHunters i august hevdet å ha gjennomført et datainnbrudd hos franske Questel SAS.

Les også:

Norad-angrepet: Sensitiv informasjon om søkere i konfliktområder kan være stjålet

– Dette omfattet også e-postadresser fra Norad og kan peke mot en annen aktør.

– Men hva kan egentlig tidligere cyberangrep fortelle oss om trusselbildet nå?

– Tidligere i år kunngjorde ServerKillers en «Cyber War» mot Norge. Gruppen gjennomfører hovedsakelig DDoS-angrep og har særlig rettet seg mot Ukraina og land som støtter Ukraina.

Price forteller at ServerKillers tidligere har påtatt seg ansvaret for en DDoS-kampanje mot Digitaliseringsdirektoratet.

– Det er det største registrerte angrepet som har forstyrret driften i norsk offentlig forvaltning til nå. Gruppen ser ikke ut til å ha vært offentlig aktiv siden 20. september 2026, da den sist kunngjorde et angrep, mot Utenriksdepartementet. Dette var et DDoS-angrep, ikke et datainnbrudd.

– Målet kan være å svekke tilliten

ServerKillers ble nylig også utpekt som ansvarlig for angrepet mot en demning i Norge i 2025, der operasjonell teknologi ble kompromittert for å fjernåpne ventiler.

– Et angrep mot en offentlig tjeneste kan passe inn i det samme mønsteret, med et mulig mål om å svekke tilliten til myndighetene. Men hacktivister er ikke den eneste trusselen.

Han påpeker at Travel Retail Norway og Alpha IT har vært utsatt for løsepengevirusangrep, samt at Russland-tilknyttede CozyBear tidligere har rettet seg mot norske departementer, Arbeiderpartiet og PST gjennom spear-phishing.

– Norge utsettes altså for angrep fra aktører med ulike motiver og kapasiteter. Tidligere angrep kan gi bakgrunn, men uten teknisk informasjon er det vanskelig å fastslå hvem som står bak angrepet mot Norad, sier Price.

Panorama har stilt en rekke spørsmål til Norad om dataangrepet som har ført til at direktoratet har satt krisestab. Foreløpig er det lite digitaliseringsdirektør Torger Kjeldstad kan svare på, da man jobber på spreng for å få klarhet i omfanget.

 – Vi tar dataangrepet på alvor og følger tett opp for å få en forståelse av omfanget. Det er ikke grunnlag for å si hvem som står bak angrepet og deres intensjoner, sier Kjeldstad.

Han påpeker at Norad har stor oppmerksomhet rundt sikkerhet og det er gjennomført flere tiltak for at ansatte selv skal være oppmerksomme på risiko rundt datasikkerhet.

– Vi jobber fortsatt med å kartlegge dataangrepet og kan på nåværende tidspunkt ikke gå inn på hvilke e-postadresser som har kommet på avveie. Vi er opptatt av at vi ikke bidrar til å spre ytterligere usikkerhet og oppmerksomhet rundt det som her har skjedd, noe slike aktører som nevnes av den britiske analytikeren ofte ønsker å oppnå, sier Kjeldstad.