Hackerattacken skapar e-bokskaos på biblioteken

Många låntagare runt om i Sverige har drabbats av attacken mot Biblio. Mer än 100 000 användare har fått sina lån spärrade och fått nya pinkoder, bland annat alla användare i Stockholm.

E-bokappen Biblio stängdes av i tisdags efter en cyberattack, vilket Biblioteksbladet rapporterat. Enligt Wedobooks som ligger bakom Biblio är det fyra bibliotek där vissa låntagares inloggningsuppgifter har ”hamnat i fel händer”. Konton knutna till lånekort började systematiskt låna stora mängder medier och kommunernas och därmed bibliotekens kvoter för e-medier tog slut.

Flera av de drabbade biblioteken kommer att anmäla händelsen till polisen.

Biblio har dessutom haft kontakt med fler än 70 bibliotek för att informera dem om lånekortsnummer som ”kanske hade komprometterats”.

I ett meddelande förklarar Biblio och Jeppe Nyrup, marknadsdirektör på Wedobooks, att pusselbitarna börjar falla på plats. Han och Biblio understryker vikten av att bibliotek överväger att skapa nya pin-koder till sina användare, för att på så sätt säkerställa att det inte längre finns tillgång till användarnas inloggningsuppgifter.

I kommunikationen med biblioteken slår Biblio fast vid att de med 100 procents säkerhet kan säga att inloggningsuppgifterna inte har läckt från dem och att Biblio har varit målet för attacken och ”står lite oförskyllt i orkanens öga”.

Jeppe Nyrup förklarar i mejl till Biblioteksbladet att Biblio eller Wedobooks inte har kontaktats på något sätt av inkräktarna.

– Vi agerade snabbt och kunde stänga dem ute så att de inte kunde göra någon skada i vårt system. Men det stora problemet är att de har access till ett giltigt biblioteksinlogg och kan använda det överallt där det funkar. Jag antar att de till och med kan använda det till att, i någon annans namn, låna fysiska böcker på biblioteket, skriver Jeppe Nyrup.

Han konstaterar att mer än 8 000 konton skapades i tisdags och att Biblio sedan dess har analyserat lånekorten som användes för att skapa användare. Det visar sig att de flesta av dessa lånekort hade pinkoder som var lätta att avslöja. Det framgår också att de fyra drabbade biblioteken hade flera hundra tusen förfrågningar om inloggningar på sina hemsidor natten före attacken. De flesta misslyckades men några lyckades, och det betyder att de objudna gästerna fick reda på att de hade rätt inlogg. Nästa dag började de använda de giltiga lånekorten på Biblio.

– Vi vet inte om inkräktarna bara lyckades testa en liten del av den databas de fick tag på med den här metoden. De kanske hade gjort detta på alla biblioteks webbplatser, om vi inte hade vidtagit säkerhetsåtgärder. Det vet vi inte, menar Jeppe Nyrup.

Henrik Skovfoged är informationssäkerhetschef på Systematic som liksom Axiell tillhandahåller bibliotekssystem som används av bibliotek runt om i Sverige. I ett mejl till Biblioteksbladet skriver han:

– Då vi fick kännedom om händelsen inledde vi snabbt en grundlig undersökning i ett nära samarbete med de berörda biblioteken och med Wedobooks. Undersökningen pågår fortfarande men vi har inte hittat några tecken på att vårt system har blivit komprometterat.

Även Maria Wasing, vd för Axiell, har mejlsvarat på Biblioteksbladets frågor och konstaterar att Axiell har identifierat att låntagare i två kommuner har drabbats av obehörig åtkomst till sina konton i den webbaserade portalen Arena.

– Vi har samverkat med Wedobooks i utredningen för att förstå förloppet och i nuläget ser vi att attacken mot e-bokstjänsten möjliggjordes genom att berörda låntagare hade pinkoder baserade på delar av sina personnummer. Berörda kunder är informerade och incidenten hanteras enligt gdpr-praxis.

Maria Wasing förklarar att ingen data har läckt och att Axiell samverkar med kunderna för att snabbt ändra hanteringen av pinkoder och hur de används så att säkerheten förbättras.

På frågan om vad hon tror är syftet med attacken skriver hon att hon gärna skulle vilja förstå det, men att hon tyvärr inte kan svara på det och inte vill spekulera.

– Vad vi kan se i nuläget är att svenska verktyg har använts. Att attackera en samhällsviktig funktion som bibliotek är bara beklagligt, säger Maria Wasing.