Ett land slutade skriva in fastigheter en tisdag

Natten till den 13 juli slutade systemen hos Rumäniens nationella myndighet för fastighetsregistrering att svara, och tisdagen den 14 juli var fastighetsplattformen e-Terra, myndighetens webbplatser och dess e-postservrar samtliga onåbara. ANCPI beskrev senare händelsen som den allvarligaste tekniska incidenten i institutionens historia. Rumäniens nationella direktorat för cybersäkerhet, DNSC, bekräftade ett cyberangrepp och beskrev det som ekonomiskt motiverat, genomfört med läckta inloggningsuppgifter och kända sårbarheter och inte av en statlig aktör. En vecka senare var plattformen fortfarande inte tillbaka.

Den praktiska effekten var omedelbar och rikstäckande. Notarier kunde inte bestyrka köp, skriva in överlåtelser eller registrera inteckningar, eftersom just de handlingarna i Rumänien går genom det register som angriparen slog ut. En angripare under namnet ByteToBreach tog på sig dådet, och från den 15 juli bjöds material som uppges komma från myndigheten, däribland interna databaser och källkod, ut till försäljning på ett forum. Säkerhetsföretaget KELA kopplade namnet till Zakaria Mahdjoub, en misstänkt cyberbrottsling bosatt i Oran i Algeriet.

Två berättelser om samma vecka

ANCPI:s eget meddelande är försiktigt och snävt hållet. Det slår fast att institutionens tekniska och juridiska databaser inte påverkades, och det varnar för att de uppgifter som cirkulerar offentligt om angreppets påstådda följder inte kommer från officiella källor. Det är myndighetens hållning, publicerad på dess egen webbplats, och den har inte dragits tillbaka.

Säkerhetsforskare och angriparen berättar den hårdare versionen: inträde med giltiga inloggningsuppgifter, kartläggning av interna system och därefter förstörelse av system och säkerhetskopior sedan ett utpressningsförsök misslyckats, med en återställning som vilar på en kopia som förvarats offline. Båda berättelserna kan delvis stämma, för ett register kan förlora sin produktionsmiljö och ändå behålla sitt juridiska bestånd intakt. För alla utanför myndigheten ändrar den skillnaden ingenting väsentligt den här månaden. Det var tillgängligheten som stoppade affärerna, inte riktigheten.

Återstarten är villkorad. Skattedatumet är det inte.

Den som läser myndighetens återställningsplan noga hittar inget datum i den. ANCPI uppger att applikationerna migreras till statens moln med beräknat avslut onsdagen den 22 juli, varefter behöriga institutioner kontrollerar systemen och upprättar en rapport, varefter driften återkommer i faser efter operativ prioritet. Berörda system förblir isolerade tills varje upptäckt brist är åtgärdad. Det är en kedja av villkor, inte ett åtagande, och det är rätt sätt att leda en återställning. Den är samtidigt obegränsad.

Mot den obegränsade kedjan står en fullständigt avgränsad. Förhandsavtal tecknade under Rumäniens nedsatta sats på 9 procents moms för nyproduktion löper ut vid månadsskiftet, varefter standardsatsen 21 procent gäller för berörda affärer. Ingen förlängning har aviserats. Tolv procentenheter av en köpeskilling hänger nu på en förvaltningsåtgärd som ingen i landet kan utföra. Samma stat styr både avbrottet och tidsfristen, och hittills har den flyttat bara den ena av dem, alltså ingen.

Ett monopolregister har ingen failover

Företagare köper redundans för de delar av infrastrukturen de själva råder över. De håller en andra molnregion, en andra nätoperatör, en andra betalleverantör. De enskilda felkällor som faktiskt stoppar en affär ligger oftast utanför den perimetern: ett fastighetsregister, ett bolagsregister, en momsnummerkontroll, en nationell slutpunkt för e-fakturering, ett identitetssystem. Inget av detta går att köpa från två håll, eftersom staten är enda leverantör och den motståndskraft du räknar med helt och hållet är någon annans. I Sverige löper samma beroende genom Lantmäteriets fastighetsinskrivning, och en svensk köpare har lika lite ett alternativ som en rumänsk.

Det är inte heller en engångshändelse. Fastighetsregister i Polen, Slovakien, Grekland, Marocko, Ryssland och Ukraina har angripits under de senaste tre åren, vilket gör driftstopp i ett offentligt register till en planerbar risk och inte till force majeure. Under NIS2 faller de som driver sådana register tydligt inom tillämpningsområdet som offentliga myndigheter, men direktivet ålägger dem att hantera risken, inte att ersätta dig för den vecka de var borta.

Vad du skriver ner innan din egen vecka kommer

Ta en timme och lista varje offentligt register som någon av dina affärer inte kan slutföras utan. Anteckna för vart och ett vilken rättslig utväg som finns när det ligger nere, oavsett om det är pappersinlämning, notariell deponering, en preliminär anteckning eller ingenting alls, och peka ut den person som får utlösa den. Ställ sedan frågan som rumänska köpare ställer just nu till ditt juridiska ombud: vilar en lagstadgad frist när det register som krävs för att hålla den inte fungerar? I Rumänien kommer svaret efter fristen, vilket är sämsta tänkbara tidpunkt att få det på.

På din egen sida är lärdomen snävare och äldre. Vägen in var läckta inloggningsuppgifter plus sårbarheter som redan var kända, alltså den kombination som på åratal inte har krävt en enda ny teknik. Kräv nätfiskeresistent flerfaktorsautentisering på varje administratörskonto, låt inloggningsuppgifter som dyker upp i läckta samlingar förfalla utan att invänta bevis på användning, och håll minst en återställningsväg som lever utanför den uppsättning uppgifter produktionen körs med. Offlinekopian är precis den som en angripare med dina lösenord inte kan nå.

Läs vidare: nginx-fixen är ute, exploiten kommer i augusti  |  ServiceNow patchade sitt eget moln först, dig 103 dagar senare