Kina utnytter sårbarheter i vestlig teknologi for å utføre cyberangrep

Sett fra Beijings ståsted vil det på kort sikt være mer fordelaktig å utnytte sårbarheter i vestlig teknologi enn å utnytte egne selskaper til skadelige handlinger, skriver innleggsforfatteren. Bildet av Kinas president Xi Jinping er fra 2022. Foto: Andy Wong, AP/NTB

Vi har få konkrete holdepunkter for at Kina i dag utnytter sine egne selskaper til slik skadelig aktivitet.

Aftenposten har i flere artikler den senere tiden hatt fokus på norske virksomheter som tar i bruk teknologi fra kinesiske selskaper. Statnetts bruk av DJI-droner og Oslo kommunes samt Forsvarets bruk av Yutong-busser, for å nevne tre konkrete saker.

Teknologi fra kinesiske selskaper kan i teorien benyttes av myndighetene i Beijing til å utføre spionasje og sabotasje. Men vi har få konkrete holdepunkter for at Kina i dag utnytter sine egne selskaper til slik skadelig aktivitet. Vi har derimot mange eksempler på at kinesiske aktører utnytter sårbarheter i vår egen vestligproduserte teknologi for å utføre cyberangrep.

Sentrale institusjoner som Statsforvalterne, Sykehuspartner og Helse Sør-Øst, IT-selskapet Visma og ikke minst Stortinget, er i de senere årene blitt rammet.

Attraktive mål for hackere

Også i dataangrepet mot departementene sommeren 2023 utnyttet det som trolig var «statstilknyttede aktører», sårbarheter i departementets Ivanti-programvare.

Kinesiske cyberaktører har i både 2024 og 2025 fortsatt å utføre cyberoperasjoner mot selskaper som benytter IT-produkter fra Ivanti. Sist i midten av mai i år. I likhet med Stortingets e-post-servere fra Microsoft er Ivanti et amerikansk selskap.

Kinesiske myndigheter har det siste tiåret nemlig utviklet et system hvor de tar i bruk både incentiver og lovverk for å samle inn nulldagssårbarheter i vestlige IT-produkter. Nulldagssårbarheter er sårbarheter som ikke er kjent for produsenter av IT-produkter, som for eksempel Microsoft eller Ivanti.

Alle som er bundet av kinesisk lovverk, plikter å rapportere sårbarheter til myndighetene innen 48 timer. Og det er opprettet «hacker-konkurranser» for å samle dem inn effektivt.

Fordi disse vestlige IT-produktene utgjør de kritiske komponentene som vi i dag bygger våre viktigste IT-systemer med, enten de er tilknyttet kritisk infrastruktur eller statsforvaltningen, så er de attraktive mål for hackere.

Utnytter sårbarheter

Dette skiller vestlige IT-produkter fra teknologi fra kinesiske selskaper. Sistnevnte er sjelden tilknyttet IT-systemer med høyere kritikalitet. Det er fremdeles begrenset hva en DJI-drone som samler inn åpent tilgjengelige data fra Statnetts kraftnett eller en Yutong-buss som kjører inn på Lutvann leir, kan foreta seg.

Selv om heller ikke jeg vil anbefale å kjøre en kinesisk sensorplattform inn på Etterretningstjenestens hovedkvarter, så er jeg mer bekymret for kinesiske hackere som utnytter sårbarheter i kritisk infrastruktur for å forberede sabotasje. Slik de ifølge amerikanske sikkerhetsmyndigheter har gjort i USA.

Vil kunne endre seg

Sett fra Beijings ståsted vil det på kort sikt være mer fordelaktig å utnytte sårbarheter i vestlig teknologi enn å utnytte egne selskaper til skadelige handlinger. Fordi aktiviteten kan virke negativt inn på selskapenes omdømme og markedsposisjon.

På lengre sikt vil dette kunne endre seg. Spesielt dersom teknologi fra kinesiske selskaper kobles til kritiske samfunnsfunksjoner eller systemer som forvalter sensitiv informasjon.