Cyberatak na norweską agencję. „Wyciek budżetu” nieporozumieniem?

Wymierzone w kraje zachodnie operacje stały się jednym z podstawowych zagrożeń w cyberprzestrzeni. Mowa nie tylko o działaniach w stylu ataków phishingowych wykorzystujących hotelowe sieci Wi-Fi; jak opisywaliśmy na naszych łamach, w 2025 roku powiązani z Rosją aktorzy zagrożeń byli bardzo aktywni w polskiej cyberprzestrzeni. Intensyfikacja działań nastąpiła po pełnoskalowej inwazji Rosji na Ukrainę.

Rozbieżności Ukraińców i Norwegów

Tymczasem w ostatnią niedzielę sierpnia ukraińskie Centrum Przeciwdziałania Dezinformacji podało, że norweska Agencja Cyfryzacji (Digitaliseringsdirektoratet, DigDir) padła ofiarą cyberataku. W wyniku działania hakerów, „wiele usług publicznych” miało nie działać przez trzy dni; miało również dojść do wycieku danych o państwowym budżecie.

Odpowiedzialność za atak przypisali sobie aktorzy zagrożeń z grupy Server Killers. Jako powód wskazali podpisanie w niedzielę 23 sierpnia umowy o współpracy między Norwegią oraz Ukrainą.

Z komunikatu DigDir z 25 sierpnia wynika jednak, że atak miał charakter DDoS. Według dyrektora agencji Frode’a Danielsena, celem operacji było zakłócenie dostępności, a nie przełamanie zabezpieczeń. Dodatkowo, miało to być trzecie zdarzenie tego rodzaju w ostatnim czasie.

„Nie ma żadnych przesłanek wskazujących, że atak doprowadził do naruszenia bezpieczeństwa lub wycieku danych osobowych” – podkreślił Danielsen. Niemniej, powiadomienie dotyczące incydentu zostało przekazane m.in. do norweskiego organu nadzoru w zakresie danych osobowych.

DigDir: systemy działały normalnie

Wobec rozbieżności między informacjami podawanymi przez obie strony, zdecydowaliśmy się skierować pytania do DigDir w sprawie przeprowadzonego cyberataku. Doradca ds. komunikacji potwierdził naszej redakcji, że incydent dotyczący DigDir zaklasyfikowano jako atak DDoS; rozpoczął się on w poniedziałek 21 sierpnia w godzinach porannych, i trwał do wieczora w środę 23 sierpnia.

„W tym okresie wszystkie systemy funkcjonowały normalnie, z drobnymi wyjątkami” – podkreślił przedstawiciel agencji. Zapowiedziano również publikację dokumentu post-incydentalnego, który ma zawierać szczegóły całej sprawy.

Skąd ten wyciek?

Informacji o wycieku danych norweskiego budżetu próżno jednak szukać zarówno w komunikatach DigDir, jak również informacji norweskiego radia i telewizji (NRK) o wszczęciu przez Krajową Jednostkę ds. Zwalczania Przestępczości (Kripos) śledztwa w sprawie ataku DDoS. Tymczasem 26 sierpnia telewizja TV2 podała, że sprawcy w uzasadnieniu ataku mogli odnosić się do informacji przekazanej Norweskiej Agencji Prasowej (Norsk Telegrambyrå, NTB) przez premiera Jonasa Gahra Støre.

„(Premier – red.) stwierdził wówczas, że rząd przeznaczy dla Ukrainy 85 miliardów koron w ramach przyszłorocznego budżetu państwa. Budżet nie został jeszcze przyjęty” – czytamy w artykule TV2.

Oznacza to, że informacja o „wycieku informacji dotyczących norweskiego budżetu” mogła być zwykłym nieporozumieniem.

ABW: DDoSy budują konkretny przekaz

Warto przypomnieć, że w najnowszym Raporcie o stanie cyberbezpieczeństwa cyberprzestrzeni RP za 2025 rok, Agencja Bezpieczeństwa Wewnętrznego wskazała, iż ataki DDoS mają zwykle ograniczony wpływ długofalowy. W zeszłym roku były one „intensywnie nagłaśniane w przestrzeni informacyjnej”.

„Ich znaczenie polegało przede wszystkim na oddziaływaniu psychologicznym i propagandowym — budowaniu przekazu o rzekomej skuteczności sprawców oraz podatności atakowanych instytucji” – zaznaczono w raporcie, który omawialiśmy na naszych łamach.