Cybersäkerhetscentrets veckoöversikt – 3/2025

Nato-toppmötet som ordnades i Finland förlöpte lugnt

Finland och Estland var tillsammans värd för toppmötet för Nato-medlemsländerna i Östersjöområdet som ordnades i Helsingfors denna vecka. På mötet diskuterades skyddet av den kritiska undervattensinfrastrukturen i Östersjön.

Cybersäkerhetscentret höjde sin beredskap för eventuella cyberavvikelser eller andra störningssituationer med anledning av toppmötet. I samband med liknande statsbesök på hög nivå har det tidigare förekommit till exempel överbelastningsangrepp med åsiktsyttringar eller nätfiskekampanjer, men denna gång var situationen normal på alla sätt i fråga om cybersäkerheten.

Som en del av den höjda beredskapen intensifierades informationsutbytet med andra myndigheter. Även andra nationella och internationella nätverk aktiverades efter att den särskilda uppföljningen inleddes. Samarbete och informationsutbyte med intressentgrupperna är en viktig del av Cybersäkerhetscentrets beredskapsmodell i olika situationer.

Undervattensinfrastrukturen har diskuterats livligt under de senaste månaderna i och med att flera havskablar skadats i Östersjön. Det offentliga uttalande som republikens presidents kansli publicerade som avslutning på toppmötet innehåller riktlinjer för ett flertal åtgärder för att skydda den kritiska infrastrukturen i Östersjöområdet. [1, 2]

[1] https://www.presidentti.fi/sv/sakerheten-i-ostersjoomradet-starks-genom-militar-narvaro-och-tekniska-innovationer/ (Extern länk) 
[2] https://www.presidentti.fi/joint-statement-of-the-baltic-sea-nato-allies-summit/ (Extern länk)

Nätenheternas administrationsgränssnitt bör tas bort från offentliga nät

Cybersäkerhetscentret rekommenderar att i synnerhet de som använder Fortinets nätprodukter genast kontrollerar och vid behov ser till att administrationsgränssnittet för de produkter de använder inte är tillgängligt i offentliga nät.

Under den gångna veckan meddelade Fortinet en kritisk nolldagssårbarhet [3], som informationssäkerhetsbolaget Arctic Wolf meddelade sig ha observerat redan tidigare [4]. Med hjälp av sårbarheten kan intrång göras i FortiGate-enheter via administrationsgränssnittet om det är fritt tillgängligt. Kampanjen har varit opportunistisk till sin natur och det finns skäl att anta att försök att göra intrång i alla administrationsgränssnitt som är tillgängliga på nätet har förekommit. De som har en Fortinet-enhet uppmanas att kontrollera sin enhet och dess omgivning för att upptäcka intrång och spår av intrång.

Den som upptäcker ovanlig eller oförklarlig verksamhet ombeds kontakta Cybersäkerhetscentret till exempel med vår blankett [5].

Uppmaningen att ta bort administrationsgränssnitten från det offentliga nätet gäller naturligtvis även andra än Fortinets produkter, eftersom denna åtgärd helt stänger en eventuell och riskfylld ingångsvektor för cyberbrottslingarna. Vi rekommenderar starkt att tillgången till administrationsgränssnitt avgränsas om det bara är möjligt.

[3] En kritisk sårbarhet i Fortinets FortiOS ja FortiProxy-produkter  (Extern länk)(CVE-2024-55591)
[4] https://arcticwolf.com/resources/blog/console-chaos-targets-fortinet-fortigate-firewalls/ (Extern länk)
[5] Anmäl en säkerhetsöverträdelse (Extern länk)

Se upp för förfalskade sökresultat

Brottslingarna matar in skadliga sökresultat i sökmotorerna genom att köpa reklamutrymme i sökmotorerna. De betalda sökresultaten leder till en falsk webbplats som liknar identifieringstjänsten och där brottslingarna försöker komma åt bankkoder. Denna vecka har förfalskade sökresultat rapporterats när Traficom använts som sökord. Traficom meddelade detta med ett störningsmeddelande. (Extern länk)  

Liknande betalda men förfalskade sökresultat har tidigare förekommit när olika banker och myndigheter använts som sökord. Cybersäkerhetscentret och de berörda har kontaktat företagen som ansvarar för sökmotorerna och de har lyckats få bort nätfiskesidorna och de skadliga reklamer som leder till dessa från nätet

Hur skyddar man sig mot nätfiske efter bankkoder?

Brottslingarna kan komma åt bankkoderna om man av misstag loggar in på en falsk webbplats som liknar den egna nätbanken. Man hamnar vanligen på en falsk webbplats genom att klicka på en falsk länk. Falska länkar sprids i allmänhet via falska e-postmeddelanden eller, som i detta fall, med manipulerade sökmotorresultat.

Webbläsarens adressrad är även input till sökmotorn om endast namnet anges som adress, t.ex. "Traficom" utan att skriva hela webbadressen som slutar med .fi. Webbläsaren ger automatiskt sökmotorresultat även när nätbankens adress har skrivits fel, t.ex. "tarficom.if" eller "pankkki.fi". Då går det att få in även nätfiskesidor bland resultaten.

Observera följande när du sköter ärenden på nätet:

• Skapa ett bokmärke i webbläsaren för de myndighetstjänster du använder ofta och för din nätbank
• Kontrollera att adressen på webbläsarens adressrad är tjänstens riktiga adress
• Lita inte blint på sökmotorns resultat 
• Gå inte till inloggningssidor via e-postlänkar eller textmeddelanden
• Använd din banks mobilapplikation för bankärenden
• Det är den lilla skillnaden som är avgörande: den falska bankens adress skiljer sig från den rätta adressen

Cybervädret i december 2024 har publicerats

• I december observerades försök till dataintrång och utpressningsprogram riktade mot edge-enheter i nätet. Dessutom gjordes nätfiske i myndigheters namn och olika bedrägerier förekom fortfarande. Vi fick igen ett bevis på myndigheternas effektiva samarbete och samhällets goda beredskap när skadan på undervattenskablarna den 25 december 2024 började redas ut. 

Kom med på CRA-morgonen torsdagen den 23 januari 

• CRA (Cyber Resilience Act) medför nya regleringskrav som påverkar många organisationer. Hur kan företagen förbereda sig på dessa förändringar?
• Kom med på vårt webbinarium torsdagen den 23 januari kl. 8.30–9.00.
• Santtu Ahonen, Director of Portfolio vid QT Group, ger praktiska tips för hur kraven i bestämmelsen kan uppfyllas.
• Anmäl dig! Du hinner lyssna på webbinariet till exempel på vägen till arbetet.

Aktuella bedrägerier

• I den här sammanfattningen berättar vi om aktuella bedrägerier som har rapporterats till Cybersäkerhetscentret under den senaste veckan.

Sårbarheter

CVE: CVE-2024-55591 (CVSS: 9.6)
Vad: Kritisk sårbarhet i Fortinets FortiOS- och FortiProxy-produkter
Produkt: Sårbarheten gäller FortiOS-versionerna 7.0.0–7.0.16, FortiProxy-versionerna 7.2.0–7.2.12 och 7.0.0–7.0.19
Korrigering: Uppdatering av en sårbar programversion till den senaste programversionen som tillverkaren tillhandahåller.

Mer information i sårbarhetsmeddelandet 3/2025  (Extern länk)(på finska). 

CVE: CVE-2024-12084 (CVSS: 9.8)
Vad: Kritisk rsync-sårbarhet kräver omedelbar korrigering
Produkt: Version 3.3.0 och äldre versioner av rsync för tjänsten med öppen källkod som är avsedd för synkronisering av filer
Korrigering: Uppdatera den sårbara programvaran enligt tillverkarens anvisningar.