HRP er et norsk byggkonsulentkonsern med 440 ansatte, som etter at det ble etablert av Helge Rustand i 2005 har vokst fra 0 til nærmere en halv milliard kroner i omsetning.
I fjor ble 51 prosent av selskapet solgt til det svenske investeringsselskapet Broviken, til en prising på mellom 500 og 600 millioner kroner. Børsnotering er neste etappe i selskapets utvikling.
Tross økt oppdragsmengde, større stab og fin vekst på både topp- og bunnlinje, har ikke alt gått på skinner for konsernet de siste årene.
Rammet av datainnbrudd
I desember 2016 ble selskapet utsatt for ulovlig inntrengning i sine datasystemer. Det skapte store utfordringer for de ansatte og HRPs kunder og påførte konsernet millioner av kroner i tap.
Etter en komplisert og langvarig etterforskning, klarte politiet til slutt å identifisere en tidligere ansatt som gjerningspersonen.
Han møtte nylig i Oslo tingrett, tiltalt for datainnbruddet samt tyveri av fem PC’er verdt 100.000 fra en annen tidligere arbeidsgiver. Det siste forholdet innrømmet han i retten, men ikke hackingen av HRP.
Han er likevel dømt på bakgrunn av bevisene aktor la frem for retten, og de fremstår temmelig overbevisende.
Datainntrengingen mot HRP skjedde ved 77 ulike anledninger i tidsrommet 1. til 30. desember 2016. Domfelte jobbet i konsernets IT-avdeling frem til sommeren samme år. Han kom tidlig i politiets søkelys etter at HRP ga etterforskerne en liste med navn på mulige gjerningspersoner fra egne rekker.
Men å bevise at den eks-ansatte sto bak datainnbruddet tok tid.
Fant spor til svigermor
Gjennombruddet kom da man fant en IP-adresse i loggene til HRP som kunne spores til en boligadresse i Våler i Østfold. Etterforskningen avdekket at moren til mannens kjæreste bodde på adressen.
Metadata i noen trivielle bilder på mannens beslaglagte mobiltelefon, viste at de var tatt i romjulen 2016.
Bildefilene inneholdt også GPS-koordinatorer, og de samsvarte med boligadressen til kjærestens mor.
Selv om 30-åringen ikke erkjente straffskyld i retten, har han innrømmet at han tilbrakte deler av julen 2016 hos det som i dag er hans svigermor.
I retten sto han likevel fast på at han var uskyldig, og de tekniske bevisene ikke nødvendigvis avdekker at han sto bak hackingen.
Skyldte på andre personer
I retten forklarte han at noen må ha tatt over hans elektroniske enheter og fjernstyrt disse, og fått tilgang til svigermorens IP-adresse. Hvem det skulle være, og eventuelt motiv, hadde han derimot ingen anelse om.
I forbindelse med politiets etterforskning undersøkte man faktisk tiltaltes teori.
Skulle noen ha klart det 30-åringen påsto, måtte eventuelle ukjente gjerningspersoner hatt fysisk tilgang til tiltaltes SIM-kort på mobilen og klonet dette. De måtte også ha kjent både brukernavn og passord til ulike sosiale kontoer som politiet har funnet spor på, og hatt tilgang til svigermorens IP-adresse.
Det måtte ha skjedd ved at de kjente til hennes brukernavn og passord eller brutt seg inn trådløst på hennes nett ved å være i nærheten av svigermorens bolig da datainnbruddene hos HRP fant sted.
Retten mener det er utenkelig at andre kan ha fjernstyrt tiltaltes ulike dataenheter ved 71 anledninger i løpet av 28 dager på ulike steder i Norge. Det er selvsagt teknisk mulig, men etterforskningen avdekket ingen dataspor eller andre indikasjoner som underbygger en slik hypotese fra tiltalte.
En slik tvil som tiltalte har skapt gjennom sin forklaring ser retten på som rent hypotetisk og konstruert. Det skal domstolene reglene om bevisbedømmelse, se bort fra.
Endret og lagde brukerkontoer
Ifølge dommen fra Oslo tingrett klarte 30-åringen å komme seg inn i HRPs datasystemer med tidligere kollegaers brukernavn og passord. Når han var inne i systemet, kunne den tidligere IT-ansatte opprette nye brukerkontoer.
Vel inne i systemene maktet han også å reaktivere brukerkontoen til en tidligere ansatt, som han deretter brukte for innlogging flere ganger.
Selv om den domfelte tok seg inn i datasystemene til sin eks-arbeidsgiver allerede 1. desember, så var det først andre juledag 2016, klokken to om natten, at han begikk alvorlig grovt skadeverk.
Slettet masse viktig data
Den natten formaterte han en disk i HRPs datasystemer, noe som førte til at all informasjon på denne ble slettet.
Da gikk også alarmen internt, men man klarte ikke å hente ut noen aktivitetslogger.
Mens folk flest feiret romjul, jobbet ansatte og innleide dataeksperter på spreng i HRPs lokaler med å gjenopprette data som var borte og systemer som var nede.
Da slo 30-åringen til igjen.
Natt til 28. desember var han inne på nytt, og denne gangen stanset han en påbegynt backup-prosess og formaterte all backup-data på to disker. Men ved dette besøket lå det igjen spor i en logg, som ledet etterforskerne til 30-åringen.
Millioner i tap
For HRP førte datainnbruddet til et vanskelig rekonstruksjonsarbeid som kostet bedriften flere hundre tusen kroner i direkte kostander. Opprydningsarbeidet tok flere uker, og nedetiden på datasystemet gjorde at de ansatte ikke kunne jobbe som de er vant med.
I retten har HRP dokumentert at selskapet tapte over syv millioner kroner i ikke-fakturerte timer til kunder i tiden etter hackingen. I 2017-regnskapet anslår HRP tapet til rundt 10-11 millioner kroner, noe Finansavisen har omtalt tidligere.
Datainnbruddet påfører også HRP et omdømmesår, spesielt fordi konsernet selv leverer tjenester til sine kunder innen datasikkerhet og cyberkriminalitet.
Det er helt tydelig, når man leser dommen, at det ikke har vært særlig utfordrende for en tidligere ansatt i IT-avdelingen å komme seg inn i bedriftens systemer via daværende ansattes brukerkontoer. Vedkommende klarte å logge seg inn flere ganger i løpet av en måneds tid, via flere kontoer og selv opprette nye brukerkontoer, uten at det ble oppdaget.
Lavere straff for lang etterforskning
Oslo tingrett mener at 30-åringen skal dømmes til ti måneders fengsel for sine lovbrudd.
Men siden saken har blitt liggende i nesten to og et halvt år, uten at det ble foretatt konkret etterforskning, så har 30-åringen krav på strafferabatt.
Dermed dømmes han bare til syv måneders fengsel, hvorav 90 dager av straffen gjøres betinget og ikke trenger å sones i fengsel.
