Kommunala fastigheters
cyberexponering
En djupanalys av hur kommunala byggnader hänger ihop nätverksmässigt, var de verkligt samhällskritiska sårbarheterna finns och vem som faktiskt bär ansvaret när något går fel.
Mellstads kommun
— systemkartan
Mellstads kommun har 45 000 invånare, 87 kommunala fastigheter och driver tre kommunala bolag: Mellstads Vatten AB, Mellstads Energi AB och Mellstads Bostäder AB. BMS för 71 av fastigheterna hanteras centralt via Siemens Desigo CC. OT och IT delar kommunens gemensamma fibernät utan segmentering.
Vattenverk och reningsverk
Vattenverket producerar 8 000 m³/dygn dricksvatten. SCADA styr klordosering, flöde och tryckreglering. Reningsverket hanterar avlopp för hela kommunen. Båda körs med Schneider Electric-PLC:er via Modbus TCP.
VA-pumpstationer
34 fjärrstyrda pumpstationer med 4G-uppkoppling mot central SCADA. Varje station kör lokal PLC, ofta med fabriksinställda lösenord. Avsaknad av central loggning eller anomalidetektion. En havererad pumpstation = avloppsbräddning.
Fjärrvärmecentral
Fjärrvärmecentralen försörjer 60 % av kommunens uppvärmning inklusive sjukhusanslutna äldreboenden. SCADA via OPC-UA. Understationernas PLC:er kommunicerar via kommunens fibernät — samma nät som skolor och förvaltning.
Äldreboenden
HVAC, brandlarm och låssystem kopplade till Desigo CC. Personuppgifter för 340 boende i lokal server. Tre av sex boenden värms direkt av fjärrvärmecentralen — ett energi-hack slår direkt mot dessa byggnaders temperatur.
Räddningstjänst
Eget kommunikationssystem (Rakel), men byggnads-BMS kopplad till kommunens Desigo CC-plattform. Fordonsspårning via kommersiell IoT-modul med MQTT mot leverantörens moln. Inga nätverks-loggar för OT-trafik.
Skolor
HVAC, belysning och passerkontroll via Desigo CC — samma plattform, samma credentials-domän som alla andra kommunala byggnader. Dessutom: 2 300 elev-Chromebooks, IoT-luftkvalitetssensorer (Netatmo) med defaultlösenord. Lägst teknisk skyddsförmåga — högst attackyta.
Kommunhuset och förvaltning
Kommunstyrelse, nämnder och IT-central. BMS i Desigo CC. IT-nät med Active Directory och ekonomisystem. Fysisk och digital åtkomstkontroll ej separerade — komprometterat BMS kan öppna serverhallens dörrar.
Parkeringsanläggningar och utomhus-IoT
Smart parkering (Flowbird) med MQTT mot kommersiellt moln. Trafikljusstyrning (Swarco) via kommunens fibernät. Gatubelysning (Echelon/Tridonic) med 4G-modem. Tre separata leverantörers molnuppkopplingar — ingen av dem loggade.
Hur allt hänger ihop
— och varför det är farligt
Det mest kritiska säkerhetsproblemet i Mellstads kommun är inte en specifik sårbarhet — det är nätverksarkitekturen. Kommunens fibernät binder samman alla verksamheter i ett i praktiken flatt nät utan segmentering mellan OT och IT.
Alla system i Mellstads kommun delar i praktiken samma nätverkssegment. Det innebär att en angripare som komprometterar en IoT-sensor i en skola kan lateralt förflytta sig till VA-SCADA som styr dricksvattnet, till Desigo CC som styr alla byggnader, och till kommunens Active Directory — allt utan att passera en enda brandvägg. Det är inte ett teoretiskt hot. Det är standardtopologin i svenska medelstora kommuner.
Från initial access
till samhällskonsekvens
Varje scenario bygger på dokumenterade tekniker (MITRE ATT&CK ICS) och verkliga sårbarheter i den utrustning Mellstads kommun kör. Ingen av attackerna kräver avancerad statsaktörförmåga.
Rekognosering — Shodan-scan
Angripare söker på Shodan efter "Netatmo" och Mellstads kommuns IP-block. Hittar 6 luftkvalitetssensorer i skolor med web-API exponerat. Standardlösenord "admin/admin" ger direkt åtkomst.
T0817 — Exploit Public-Facing AppInitial access — sensorn som brygga
Netatmo-sensorn kör Linux. Angriparen laddar upp reverse shell via sensorns debug-API (CVE-2023-XXXX). Shell-session etablerad från sensor i Mellstads Norra skola — direkt på kommunens fibernät.
T0866 — Exploitation of Remote ServicesLateral movement — nätverksskanning på fibernätet
Från sensorn körs nmap mot kommunens fibernät (10.x.x.x). Port 502 (Modbus) svarar på 10.4.2.1 — det är Schneider Electric PLC:n i vattenverket. Ingen brandvägg mellan skola och vattenverk.
T0840 — Network Connection EnumerationImpact — manipulation av klordosering
Modbus register 40001 styr klorhalt. Angriparen skriver ny set-point: 0.02 mg/L (under WHO:s minimigräns 0.2 mg/L). Förändringen sker tyst — ingen larm triggas. Vattenverkets operatörer märker inget förrän automatisk provtagning nästa dag.
T0855 — Unauthorized Command Message- Potentiell mikrobiell kontaminering av dricksvatten för 45 000 invånare
- Kommunen kan inte rekonstruera händelseförloppet — inga OT-loggar
- NIS2 art. 23: rapport till Livsmedelsverket och MSB inom 72h — omöjlig utan logg
- Ansvar: VD Mellstads Vatten AB personligen ansvarig under NIS2 art. 20
Phishing av Siemens fältingenjör
En fältingenjör på Siemens Building Technologies tar emot ett e-postmeddelande som ser ut att komma från intern HR: "Obligatorisk lösenordsuppdatering — klicka här." Ingenjören anger sina Siemens VPN-credentials på en phishing-sida.
T0865 — Spearphishing AttachmentVPN-åtkomst till Desigo CC
Siemens har en permanent VPN-tunnel till Mellstads Desigo CC-server (ingen MFA). Med stulna credentials loggar angriparen in. Desigo CC ger full grafisk kontroll över alla 71 byggnader i kommunen — karta, temperaturer, låsstatus, brandlarm.
T0859 — Valid AccountsKartläggning och förberedelse
Angriparen kartlägger kommunens alla byggnader i Desigo CC under 3 veckor. Identifierar alla äldreboenden, räddningstjänsten och fjärrvärmens understationer. Laddar ner komplett systemkonfiguration. Planerar koordinerad attack.
T0842 — Network Sniffing / ReconnaissanceKoordinerad vinterattack — kl. 02:00 fredag i januari
Angriparen sänker värmeset-points i alla 6 äldreboenden till 10°C. Stänger av ventilationen i kommunhuset och tre skolor. Låser upp alla dörrar i räddningstjänstens stationer. Allt via Desigo CC:s helt legitima styrfunktioner — ingen malware, inga larm.
T0855 — Unauthorized Command Message- 340 äldre på boenden utan värme vid -10°C — livsfara inom timmar
- Räddningstjänstens stationer fysiskt öppna — kör-stöld och intrång möjligt
- Kommunen har ingen logg på leverantörers VPN-åtkomst — kan inte bevisa vad som hände
- Siemens servicekonto var aldrig tidsbegränsat — aktiv åtkomst i 4 år
Shodan-fynd: energi-SCADA internet-exponerad
Mellstads Energi ABs Schneider EcoStruxure SCADA har en felkonfigurerad firewall-regel som exponerar OPC-UA port 4840 mot internet. Shodan indexerar servern. Angripare identifierar det via sökterm "opcua" + kommunens ASN.
T0817 — Exploit Public-Facing ApplicationInitial access via OPC-UA utan autentisering
OPC-UA-servern kör i Anonymous mode (fabriksinställning). Angriparen ansluter och läser alla processtaggar — temperaturer, flöden, effektuttag per stadsdel, tidschema. Inga larm. Ingen logg på kommunens sida.
T0860 — Wireless CompromisePersistent access och datainhämtning (6 månader)
Angriparen installerar ett lätt Python-skript på en exponerad Raspberry Pi i en av understationerna (funnen via OPC-UA-trädet). Skriptet exfiltrerar SCADA-data dagligen. Driftsrutiner, underhållsfönster och belastningsprofiler kartläggs.
T0889 — Modify ProgramKoordinerat angrepp: fjärrvärme + VA + strömavbrott
Med full driftskunskap exekverar angriparen koordinerat: stänger av fjärrvärmetillförseln till sjukhusanknutna äldreboenden, triggar nödstopp på vattenverkets högtryckspump (simulerat fel) och manipulerar effektbalansmätning i energi-SCADA. Tre separata system. Tre separata tillsynsmyndigheter. Ingen gemensam incidentkoordinering.
T0879 — Data Destruction · T0814 — Denial of Service- Samordnat infrastrukturangrepp: värme + vatten + energi ur funktion samtidigt
- Tre tillsynsmyndigheter (MSB, Livsmedelsverket, Ei) får separata rapporter — ingen samordning
- Attributionssvårigheter: är det ett angrepp eller tre parallella driftstörningar?
- 6 månaders oupptäckt infiltration — NIS2-brott som aktiverar personligt ledningsansvar
Ansvarskartan —
vem äger vad när det brinner
Det strukturella problemet i Mellstads kommun är inte tekniskt — det är organisatoriskt. OT-cybersäkerhet faller konsekvent mellan IT-avdelningens och Teknisk förvaltnings ansvarsområden. Ingen äger frågan. Alla berörs.
| System / byggnad | Kritikalitet | Operativ ägare | IT-ansvarig | OT-cyber-ansvarig | NIS2-ansvarig | MSB-rapport |
|---|---|---|---|---|---|---|
| Vattenverk / Reningsverk | Kritisk | Mellstads Vatten AB | IT-avd. (kommunen) | VA-ingenjör (ej certifierad) | Bolagets styrelse | VD Mellstads Vatten |
| 34 VA-pumpstationer | Kritisk | Mellstads Vatten AB | Ingen | Ingen | Bolagets styrelse | VD Mellstads Vatten |
| Fjärrvärme SCADA | Kritisk | Mellstads Energi AB | IT-avd. (kommunen) | Driftingenjör (ej OT-cyber) | Bolagets styrelse | VD Mellstads Energi |
| Äldreboenden (6 st) | Hög | Socialnämnden | IT-avdelningen | Teknisk förvaltning (ej OT) | Kommunstyrelsen | Kommundirektören |
| Räddningstjänst | Hög | RSBH / Kommunen | Räddningstjänst IT | Ingen definierad | Räddningschefen | Räddningschefen |
| Skolor (18 st) | Hög (entrypoint) | Utbildningsförvaltningen | IT-avdelningen | Teknisk förvaltning (ej OT) | Kommunstyrelsen | Kommundirektören |
| Kommunhus / Förvaltning | Medel | Kommunen | IT-avdelningen | IT-avdelningen (utan OT-mandat) | Kommunstyrelsen | Kommundirektören |
| Desigo CC (central BMS) | Kritisk (plattform) | Fastighetsavdelningen | IT-avdelningen | Siemens (leverantör!) | Oklart | Oklart |
Desigo CC — plattformen som styr 71 byggnader — har Siemens som de facto OT-säkerhetsansvarig via sitt serviceavtal. Kommunen har outsourcat cybersäkerhetsansvaret för sin mest kritiska OT-plattform till en extern part utan att det är definierat i NIS2-termer. Vid incident är ansvarsfördelningen omtvistad.
Mellstads Vatten AB och Mellstads Energi AB är egna juridiska personer med egna NIS2-skyldigheter. Deras styrelser bär personligt ansvar separat från kommunstyrelsen. Men de delar IT-infrastruktur och fibernät med kommunen — ett angrepp slår mot båda, men rapportering sker till tre olika myndigheter.
En kommun — fyra tillsynsmyndigheter
Mellstads kommuns samlade verksamhet faller under NIS2 i fyra separata sektorer med fyra separata tillsynsmyndigheter. Ingen enskild tjänsteperson i kommunen har översikt över samtliga krav och rapporteringskedjor.
Offentlig förvaltning
Kommunstyrelse, nämnder, förvaltningsbyggnader, skolor, äldreboenden och all kommunal IT-OT-infrastruktur. Den bredaste sektorn — täcker 71 fastigheter.
Dricksvatten och avlopp
Mellstads Vatten AB — vattenverk, reningsverk och 34 pumpstationer. Separat NIS2-entitet. Krav på SCADA-säkerhet, OT-inventering och 72h-rapport.
Energi — fjärrvärme
Mellstads Energi AB — fjärrvärmecentralen och 8 understationer. Separat NIS2-entitet under energisektorn. OPC-UA-SCADA kräver OT-cybersäkerhet och incidentrapportering.
Digital infrastruktur
Kommunens fibernät och datacenter kan klassas som digital infrastruktur om de tillhandahåller tjänster externt. Kommunens IT-outsourcing till Tieto Evry innebär ytterligare leverantörskedjekrav.
Vid ett koordinerat angrepp som träffar alla tre bolag (scenario 3) måste kommunen koordinera fyra parallella 72h-rapporter till MSB (offentlig förvaltning), Livsmedelsverket (vatten), Ei (energi) och eventuellt PTS (digital infrastruktur) — med delvis överlappande men inte identiska krav. Idag finns ingen tjänsteperson i Mellstads kommun med mandat och kunskap att koordinera detta. Mimir365 automatiserar OT-tidslinjen och genererar myndighetsmallarna parallellt.
Sex nyckelinsikter
om kommunal OT-säkerhet
Arkitekturen är problemet — inte en specifik sårbarhet
Det platta nätet som förbinder IoT-sensorer i skolor med VA-SCADA är den verkliga risken. Inga patchningsrutiner eller brandväggar hjälper om grundarkitekturen tillåter lateral förflyttning utan hinder.
Leverantörens åtkomst är kommunens exponering
Siemens, Schneider och JCI har mer operativ åtkomst till kommunens kritiska system än kommunens egna IT-avdelning. Denna åtkomst är sällan loggad, aldrig tidsbegränsad och juridiskt oklar vid incident.
Personligt ansvar är aktivt — men utan stöd
Kommunstyrelseledamöter och VD:ar i kommunala bolag är juridiskt ansvariga under NIS2 art. 20 redan nu. De flesta är omedvetna om att ansvaret är aktivt och att det kräver formella beslut, dokumentation och utbildning.
Fyra tillsynsmyndigheter — noll koordinering
En mellanstor kommuns samlade verksamhet faller under MSB, Livsmedelsverket, Ei och potentiellt PTS. Ingen av dessa myndigheter ansvarar för att koordinera krav eller incidentrespons mot kommunen som helhet.
Skolan är angriparens favoritentrypoint
Skolor har lägst teknisk försvarsförmåga (IoT, Chromebooks, öppna nätverk) men är fullt uppkopplade mot kommunens gemensamma BMS-plattform. De är den bredaste attackytan och den minst övervakade nätverksnoden.
Utan OT-logg finns inget brott — och inget försvar
Kommunen kan i dag inte rekonstruera en OT-incident. Det gör 72h-rapportering praktiskt omöjlig, rättsvårdande av incidents omöjlig och intern lärprocess omöjlig. Loggning är inte nice-to-have — det är kärnan i NIS2-efterlevnad.