Våbenkapløbet er tilbage – i cyberspace

For mange mennesker kloden over var sidste weekends cyberangreb en ubehagelig opvågnen til en ny digital trussel. Over 200.000 computere blev lagt ned af en hurtigt spredende orm, og angrebet, døbt WannaCry, gav gener og skader i 150 lande.

For eksperter var det endnu et eksempel på, at det digitale våbenkapløb er i fuld gang. Oprustningen vil medføre flere angreb, og slagene på den nye digitale slagmark vil komme til at påføre endnu mere skade på infrastruktur og sandsynligvis også mennesker i vores stadig mere netopkoblede verden.

Digitale spor fra cyberangrebet WannaCry peger mod en hackergruppe med tilknytning til diktaturet i Nordkorea, men det kan også være et såkaldt falsk flag – et røgslør. Ingen ved det med sikkerhed. Det er netop én af attraktionerne ved cyberspace, forklarer finske Jarno Limnéll, der har en baggrund i det finske militær og et doktorat i militærvidenskab.

»Fra et politisk synspunkt tilbyder cyberspace et nyt værktøj, når man skal forfølge sine politiske mål. I øjeblikket er det ret fristende at bruge cyberspace. På grund af anonymiteten og besværligheden ved at placere ansvaret. Det ser ud til, at den politiske risiko ved at bruge cyberfjendtlighed eller cyberangreb for landene er ret lav. Så min forudsigelse er, at vi vil se mere sofistikerede og mere skadelige cyberangreb fra staterne i de kommende år. Det er, som om staterne i øjeblikket tester grænserne for cyberslagmarken«, siger Jarno Limnéll, professor ved Aalto-universitetet i Finland.

Ingen kender fjendens styrker

Også på den digitale slagmark er USA supermagten. Fra 2014 til 2016 tredoblede USA sin cyberhær, og budgettet er steget til 126 milliarder kroner i 2017. Men over hele verden er der tale om en digital oprustning af eskalerende karakter, siger analytikere.

Studielektor Dorthe Bach Nyemann fra Forsvarsakademiet forklarer eskaleringen med, at de fleste stater, herunder Danmark, inden for de seneste år har indset, at det ikke er nok at have et cyberforsvar; man skal også selv have en angrebskapacitet for at kunne matche modparterne. En central årsag er, at staterne – i modsætning til på den traditionelle slagmark – går rundt i blinde. De ved simpelthen ikke, hvad fjenderne har at skyde med.

»I konventionel krigsførelse kan man følge troppebevægelserne ved grænsen. Det, der kendetegner cyberkrigsførelse, er, at der ikke er nogen forberedelsestid. Vi ved ganske enkelt ikke, hvad de andre har i arsenalet, eller hvor godt det er. Og fordi alting er så uklart, skal man i princippet være klar til alle mulige skridt lige nu, og det skaber dette våbenkapløb og behovet for også at udvikle offensive kapabiliteter«, siger Dorthe Bach Nyemann, der forsker i cyberkrigsførelse.

WannaCry anses for at være det største cyberangreb nogensinde, målt på udbredelse. Det kommer kort tid efter et andet opsigtsvækkende, men mere målrettet angreb: Omkring årsskiftet blev Rusland anklaget af USA for at have stået bag et såkaldt hack- og læk-angreb på Det Demokratiske Parti og den amerikanske præsidentvalgkamp. Ifølge en rapport fra tre amerikanske efterretningstjenester kom ordren om cyberoperationen direkte fra Putin.

Trusler mod freden er de seneste mange år kommet fra lokale konflikter, men cybervåbenkapløbet skaber ustabilitet og kan udløse fysiske konflikter kloden over, forklarer Dorthe Bach Nyemann:

»Jo længere vi går ned ad den vej, hvor stater blander sig i andre landes indre anliggender, kan det trigge nye typer af konflikter, som vi ikke har set i mange år. Det er et nyt vilkår, og det er noget, som cyberelementet fremkalder«.

Hemmelige slagmarker

Fra et historisk synspunkt er der ikke noget nyt i, at landene udkæmper en fordækt kamp om koder, propaganda og informationer, forklarer svenske Andreas Marklund, der er forskningschef på Enigma-museet for kommunikation i København. Det nye er teknologien og den hastighed, den udvikler sig med.

»Vi har altid haft hemmelige slagmarker. Anden Verdenskrig havde jo også en hemmelig side, som var informationskrigen. Det nye er, at informationskrigsdimensionen har fået overhånden. Den er vigtigere end den fysiske krig. Der er jo historikere, som mener, at vi lige nu befinder os midt i Tredje Verdenskrig. Myndighederne har bare ikke forstået, at den er i fuld gang i det virtuelle rum. Jeg ved ikke helt, om jeg skriver under på det«, siger Andreas Marklund.

Ordet ’krig’ er for stort, siger Jarno Limnéll og andre forskere, Politiken har talt med, men fjendtlighederne skifter karakter, siger han:

»Min opfattelse er, at der i øjeblikket sker det, at staterne i højere grad outsourcer deres forskellige cyberfjendtligheder. For eksempel cyberspionagekampagner. Så det beskidte arbejde vil blive udført af en eller anden hackergruppe, som får ressourcer og mål fra en regering. Hvis de bliver fanget, har regeringen deniability (kan benægte, red.). Det øger den politiske udfordring«.

Det mudrede billede skaber også nye problemer for de lande, der bliver ramt. I traditionel forsvarspolitik er afskrækkelse – frygten for gengældelse – med til at forhindre angreb. Men hvordan intimiderer man en hackergruppe i et andet land og den regering, som gruppen – måske – arbejder for? Det spørgsmål famler verdens lande efter svaret på.

Da filmgiganten Sony Pictures Entertainment i 2014 var blevet hacket, tog præsident Barack Obama et sjældent skridt og anklagede officielt Nordkorea, hvorpå han indførte sanktioner mod tre selskaber og ti personer. Efter hacket af Det Demokratiske Parti sidste år gik han videre og udviste 35 russiske diplomater.

Det var en prøveballon, mener Dorthe Bach Nyemann fra Forsvarsakademiet.

»Sådanne sanktioner og denne usikkerhed og afsøgen af grænser vil vi se et stykke tid endnu. Generelt mangler der et modsvar til de cyberangreb, der ikke er alvorlige nok til at besvare med konventionelle våben«.

Rusland har også spioneret mod både Forsvars- og Udenrigsministeriet i Danmark inden for de seneste to år, konkluderer Forsvarets Efterretningstjeneste, og forsvarsminister Claus Hjort Frederiksen (V) kaldte det i april for »en meget kritisk situation«. Regeringen gav Rusland skylden, men ingen diplomater blev ført over landegrænsen. Claus Hjort Frederiksen skriver i en mail til Politiken, at det »sender et stærkere signal at lægge rapporten frem offentligt og beskrive, hvad der er sket«.

Hvordan svarer man igen?

Også Nato leder efter passende repressalier og en troværdig type afskrækkelse. Alliancen har anerkendt cyberspace som en militær arena, men har ikke nogen cyberkommando- og kontrolstruktur på plads, forklarer Fabrice Pothier, tidligere leder af Nato’s kontor for Policy Planning og nu tilknyttet tidligere Nato-generalsekretær Anders Fogh Rasmussens tænketank, Rasmussen Global.

»Det rører ved noget centralt, nemlig troværdigheden ved Nato’s afskrækkelse. Nato’s afskrækkelse kan ikke bare handle om atomvåben og kampvogne og tropper. Det skal i stigende grad handle om, hvordan man reagerer på en cyberkrise. Man har brug for hele repertoiret af gengældelse. Det er cyber, økonomiske sanktioner eller konventionelle våben«, siger Fabrice Pothier.

Nato har udfærdiget en Tallinn Manual 2.0, som giver medlemslandene en guide til reaktioner, hvis de bliver angrebet af en anden stat. I 2016 bekræftede alliancens generalsekretær, Jens Stoltenberg, at Nato kan og skal reagere på et »alvorligt« cyberangreb.

»Hvordan, vil afhænge af angrebets alvor«, sagde han.

I yderste konsekvens er spørgsmålet derfor nu, hvornår Nato skal udløse sin musketered om, at et angreb på ét land er et angreb på alle – den såkaldte artikel fem. Det diskuteres meget i Nato bag lukkede døre, forklarer Jarno Limnéll.

I cyberspace kan det være svært at måle angrebs alvor i, om der er dødsfald eller ej.

»Hvis du for eksempel tænker på nogen, der trænger ind i dit sundhedssystem, så man ikke længere kan stole på, hvad folks blodtype er, så er der måske ikke nogen, der umiddelbart dør, men så kan det – i min opfattelse – måske godt udløse artikel fem. Den voksende betydning af cyberspace tvinger os til at overveje eller ligefrem redefinere, hvilke aktiviteter der kan udløse artikel fem«, siger han.

Ved det seneste angrebstilfælde, WannaCry, lammede hackerne blandt andet computere i det engelske sundhedssystem. Men kampagnen kvalificerer ikke som »et bevæbnet angreb«, konkluderer Nato’s kontor for cybertræning og -forskning, CCD COE. WannaCry kan foreløbig heller ikke tilskrives nogen stat, lyder vurderingen fra Nato-kontoret.

Da der i 1970’erne foregik et våbenkapløb mellem Nato og Warszawa-pagten, var befolkningerne udsat for en eksistentiel trussel. Sådan er det ikke med den digitale oprustning, siger Dorthe Bach Nyemann. Og så længe der ikke er menneskeliv på spil, vil det digitale våbenkapløb fortsætte uden kontrol.

»At skulle sætte sig ned og skabe institutionelle rammer for, hvordan man kontrollerer det her våbenkapløb, er ikke aktuelt, så længe der ikke er en brændende platform. Og den kommer ikke før et angreb med vold, død og ødelæggelse«, siger den danske forsker.