Svensk infrastruktur del i kinesiska cyberangrepp

Mellan 2020 och 2021 bedrevs omfattande cyberangrepp mot mål över hela Europa. Angreppen var en del av en större kampanj som bedrevs av en kinesisk cybergruppering kallad APT31. En del av angreppen skedde från infrastruktur i Sverige.

Säkerhetspolisen arbetar med att förhindra främmande makts under­rättelseinhämtning mot svenska mål. Främmande makt använder agenter på plats i Sverige, men inhämtning görs även av statliga hackare via elektroniska angrepp. Historiskt har Kina inriktat sin cyberinhämtning mot framför allt forskning, teknologi och innovationer i syfte att främja den egna industrin och ekonomin. Sedan något år tillbaka har de dock i högre grad riktat in sig mot politiska mål. Med denna nya inriktning och ett delvis nytt tillvägagångssätt angreps flera europeiska parlament och myndigheter mellan 2020 och 2021. I Sverige byggde en kinesisk gruppering, som bland annat kallas APT31, upp infrastruktur som förberedelse för framtida angrepp.

Från att till en början ha använt sig av hyrda virtuella servrar ändrade hackergruppen sitt tillvägagångssätt till att istället använda ett helt nätverk av hackade routrar som i första hand tillhörde privatpersoner i hela Europa. En stor del av den infrastruktur som APT31 byggde upp fanns i Sverige, och i vissa fall skedde angrepp mot andra länder från routrar i Sverige.

Säkerhetspolisen har haft en omfattande samver­kan både nationellt och internationellt med andra säkerhets- och underrättelsetjänster för att kartlägga cyberangreppen från APT31. Genom att bygga upp ett nätverk av hackade routrar kan de infekterade routrarna kommunicera med varandra, samtidigt som det försvårar för utredning och spårning av infrastrukturen.

I samband med att certifikaten för den typ av routrar som hackats löpte ut avslutade APT31 angreppen. Även om hackad infrastruktur har använts vid angrepp tidigare var detta den första större kam­panjen där främmande makt använde denna metod. Tillvägagångssättet är något som bedöms kommer att användas även framöver. I samband med angrep­pen mot Europa gick bland annat EU och flera länder ut och namngav APT31 för att ligga bakom angreppen.

Artikeln publicerades i Säkerhetspolisens lägesbild 2022-2023 under februari 2023.