Proryska hackergruppens bevismaterial mot nederländska butiker är återanvända lösenord från gamla läckor
SVT-granskning slår fast att samtliga kontrollerade adresser fanns i äldre dataläckor, samtidigt uppger Danfoss att de attackerade kylsystemen körde fabriksinställda lösenord eller inga alls
Bilder
När den proryska hackergruppen NoName057(16) tog på sig ansvaret för attackerna mot butikernas kylsystem presenterade man bevis: två filer med e-postadresser och lösenord, publicerade på darkweb dagen efter angreppen. En granskning av SVT visar nu att materialet är återvunnet från äldre läckor — och alltså inte bevisar något alls.
SVT kontrollerade adresserna mot databaser med läckt material. Den första filen, som påstods innehålla uppgifter om anställda på danska Danfoss, listar 171 unika adresser med lösenord knutna till Danfosss domän; 168 av dem finns i äldre läckor, många i så kallade stealer-loggar — samlingar av data stulna från infekterade datorer och släppta i februari 2025. Den andra filen listar 1 161 adresser som påstås tillhöra Danfoss-kunder. De nio knutna till svenska .se-domäner förekommer alla i äldre läckor, liksom slumpmässiga urval som SVT tog från listan. Fyra säkerhetsanalytiker som SVT konsulterat drar samma slutsats: filerna kan inte användas som bevis för något nytt intrång.
Ett riktigt bevis, förklarar Sekoia-analytikern Maxime Arquillière för SVT, vore data som bara finns i offrens egna system — interna konfigurationer, butiksidentifierare, tidsstämplade skärmbilder. Sai Molige, chef för hotanalys på Forescout, pekar på samma sak: materialet visar inte att någon ändrade inställningar i kylsystemen. Gruppen själv förklarar inte hur lösenorden skulle ha använts.
Frågan är kanske ändå akademisk. Butikernas kylsystem styrs av mjukvara från Danfoss, som har haft kända säkerhetsbrister. Vissa enheter kan nås helt utan inloggningsuppgifter, och en talesperson för Danfoss berättade för nederländska NOS att de angripna systemen inte stod på ett skyddat nätverk och använde fabriksinställda lösenord. Redan i oktober hade Danfoss enligt uppgift uppmanat sina nederländska kunder att koppla ur systemen från internet och återansluta dem via ett säkert nätverk. En gruppens Telegram-inlägg beskrev metoden: ingen skadlig kod, ingen utpressning — bara användning av funktioner som tillverkaren redan byggt in i utrustningen.
NoName057(16) är mest känt för överbelastningsattacker mot europeiska mål, och enligt amerikanska myndigheter och oberoende granskningar drivs gruppen delvis av ledamöter i en rysk statlig myndighet, skapad av Vladimir Putin för att övervaka unga ryssar på nätet. Z-Pentest Alliance, som också nämns, specialiserar sig på intrång mot industriella styrsystem och samhällskritisk infrastruktur. För sådana aktörer kostar ett ansvarsanspråk ingenting och fungerar som propaganda i samma stund det publiceras; granskningen som undergräver det kommer veckor senare. Danfoss uppger för danska DR att man inte ser tecken på något lyckat angrepp mot den egna infrastrukturen och inte vill spekulera om vem som låg bakom butiksintrången.
Slutresultatet är nästan komiskt: lösenorden som presenterades som bevis hade legat i läckdatabaser i månader innan attackerna. Och de enheter de påstods låsa upp körde på fabrikslösenord — eller behövde inget lösenord alls.