Irananknutna hackare ska ha lyckats stoppa elproduktionen vid en mindre brittisk anläggning i fyra dagar. Den brittiska regeringen bekräftar att en cyberincident slog ut en småskalig elproducent – men har inte offentligt slagit fast att Iran låg bakom. Om attributionen håller kan angreppet ändå markera en viktig ny tröskel i cyberkonflikten kring Iran.

Det är inte mängden förlorad el som gör händelsen anmärkningsvärd. Den angripna anläggningen var liten och den brittiska energiförsörjningen som helhet var aldrig hotad.

Det uppseendeväckande är i stället att en cyberattack enligt uppgifterna faktiskt lyckades få fysisk elproduktion i Storbritannien att stanna.

Regeringen bekräftar cyberattacken – men inte Iran

Det brittiska energidepartementet DESNZ har bekräftat att en småskalig elproducent utsattes för en cyberincident.

Myndigheterna har däremot inte offentliggjort vilken anläggning som drabbades, var den ligger eller vem som äger den. Regeringen har också betonat att incidenten aldrig innebar någon risk för den bredare brittiska energiförsörjningen.

Uppgifterna om att anläggningen stod stilla i fyra dagar och att angriparna hade koppling till Iran kommer från brittiska medier.

Det är en viktig skillnad.

Det går alltså att slå fast att en brittisk elproducent utsattes för ett cyberangrepp och att produktionen påverkades. Däremot är det ännu inte offentligt bekräftat av brittiska myndigheter att den iranska staten, revolutionsgardet eller någon specifik Irananknuten hackergrupp låg bakom attacken.

Beskrivs som första gången brittisk elproduktion stängts

Händelsen beskrivs som det första kända fallet där en cyberattack faktiskt har fått en brittisk elproducerande anläggning att stänga.

Storbritannien har tidigare utsatts för stora cyberangrepp mot företag, myndigheter och viktig infrastruktur. Men det är en sak att stjäla data, slå ut en webbplats eller störa administrativa IT-system.

Att påverka en fysisk produktionsprocess är något annat.

Om en angripare kan få en generator eller annan energianläggning att sluta producera el har attacken fått en direkt effekt utanför datorerna.

Det är just den gränsen som gör incidenten viktig trots att anläggningen var liten.

Ingen vet ännu exakt hur attacken gick till

Det finns fortfarande stora luckor i den offentliga informationen.

Brittiska myndigheter har inte berättat om hackarna tog sig in i industriella styrsystem, om vanlig företags-IT slogs ut eller om någon annan del av verksamheten gjorde att produktionen måste stoppas.

Det finns heller inga offentliga uppgifter om vilket skadeprogram som kan ha använts, vilken sårbarhet som utnyttjades eller om angriparna hade direkt kontroll över utrustning vid anläggningen.

Därför går det inte att slå fast att hackarna exempelvis tog över ett SCADA- eller PLC-system.

Det enda säkra är att cyberincidenten fick en faktisk operativ konsekvens för elproduktionen.

Skillnaden blir tydlig jämfört med exempelvis cyberattacken mot Philips och Shell, där fokus låg på intrång och uppgifter om stulen information. I Storbritannien handlar den nya incidenten i stället om att en fysisk verksamhet enligt uppgifterna faktiskt blev stående.

Iran har tidigare kopplats till attacker mot industriella system

Det finns samtidigt en bakgrund som gör Iran-spåret trovärdigt nog för att tas på stort allvar.

Irananknutna grupper har tidigare visat intresse för industriella kontrollsystem och samhällsviktig infrastruktur. Brittiska cybersäkerhetsmyndigheten NCSC har dessutom under året varnat organisationer för ett förhöjt hot från Irananknutna aktörer i takt med att konflikten i Mellanöstern hårdnat.

I NCSC:s officiella varning om Irananknutna cyberhot uppmanades brittiska organisationer att stärka sitt skydd och förbereda sig på att cyberaktörer kan reagera på utvecklingen i konflikten.

Det är dock fortfarande inte samma sak som att den brittiska regeringen har pekat ut Iran som ansvarigt för den nya attacken.

Den skillnaden lär bli central om Storbritannien senare väljer att göra en formell attribution.

Parallella attacker mot amerikansk vatteninfrastruktur

Händelsen får extra tyngd eftersom den inträffar under en period då även amerikansk kritisk infrastruktur utsatts för cyberangrepp.

I USA har internetanslutna styrsystem hos vatten- och avloppsaktörer angripits i flera delstater. I vissa fall har driften påverkats och operatörer har tillfälligt förlorat möjligheten att övervaka eller kontrollera utrustning på normalt sätt.

Även där har Irananknutna aktörer förekommit i rapporteringen.

Det finns däremot inga offentliga belägg för att attackerna i USA och Storbritannien utfördes av samma grupp, använde samma teknik eller ingick i en gemensamt samordnad operation.

De ska därför ses som parallella varningssignaler snarare än som en och samma bekräftade kampanj.

Kan markera en ny fas i Iran-konflikten

Om uppgifterna om Irananknytningen bekräftas blir den brittiska incidenten betydligt större politiskt än den var tekniskt.

Ett mindre kraftverk som är ur drift i fyra dagar förändrar inte Storbritanniens elförsörjning.

Men en Irananknuten aktör som lyckas orsaka ett faktiskt produktionsstopp på brittiskt territorium skulle visa att konflikten kan flytta ytterligare ett steg från digital påverkan till fysisk störning.

Det skulle inte automatiskt innebära att Iran har inlett ett organiserat cyberkrig mot Storbritannien. Det är fortfarande oklart om en eventuell Irananknuten grupp agerade på direkt order från staten, med indirekt stöd eller helt på eget initiativ.

Men själva effekten är viktig.

Storbritannien och Iran befinner sig redan i ett kraftigt försämrat säkerhetsläge, samtidigt som konflikten kring USA, Iran och Hormuzsundet har ökat risken för att konfrontationen sprids till fler områden.

Cyberangrepp är ett attraktivt verktyg i just ett sådant läge eftersom de kan användas för att skapa ekonomisk och fysisk störning utan att omedelbart passera samma tydliga gräns som ett konventionellt militärt angrepp.

Mindre energibolag har blivit en växande säkerhetsfråga

Incidenten träffar dessutom en fråga som den brittiska regeringen redan arbetar med.

Energisystemet blir allt mer decentraliserat, med fler mindre producenter och fler digitalt anslutna delar. Det gör att en anläggning kan vara för liten för att ensam betraktas som avgörande för nationens energiförsörjning men ändå vara ett attraktivt mål för en angripare.

Storbritannien har därför diskuterat skärpta gemensamma cybersäkerhetskrav inom energisektorn och om fler aktörer bör omfattas av hårdare regler.

Den nya attacken visar varför frågan är svår.

Ett enskilt mindre kraftverk kan vara obetydligt för det nationella elsystemet. Men om många liknande anläggningar har samma sårbarheter förändras riskbilden snabbt.

Nästa besked kan bli avgörande

Det som nu saknas är framför allt en offentlig brittisk attribution.

Om regeringen eller säkerhetstjänsterna pekar ut en specifik Irananknuten grupp får händelsen en helt annan diplomatisk och säkerhetspolitisk betydelse.

Lika viktigt blir besked om hur angriparna lyckades påverka produktionen och om fler brittiska energianläggningar utsatts.

Tills dess är den säkra slutsatsen smalare men ändå betydande: en cyberattack har lyckats slå mot faktisk brittisk elproduktion.

Om uppgifterna om Iran håller är det inte bara ännu ett intrång.

Då kan det vara ett första tydligt tecken på att cyberdelen av Iran-konflikten gått från störningar och datastöld till fysisk påverkan på brittisk kritisk infrastruktur.