Over 240 forældede Exchange-mailservere uden Microsofts sikkerhedsopdateringer er stadig tilgængelige fra internettet hos danske myndigheder, teleudbydere og finanshuse — og det udgør en konkret og målbar trussel mod kritisk infrastruktur.
Konklusion
Mere end 240 Exchange-mailservere hos danske myndigheder, teleudbydere og finansielle institutioner kører på software, som Microsoft ikke længere opdaterer med sikkerhedsrettelser. Serverne er tilgængelige direkte fra internettet. Det betyder, at kendte sårbarheder — som hackere og cyberkriminelle har adgang til detaljerede angrebsvejledninger for — ikke bliver lukket. Problemet er ikke hypotetisk. Det er dokumenteret, målbart og eksisterer i strid med de krav, som Rigsrevisionen allerede i 2021 påpegede over for de statslige myndigheder. Efterslæbet handler om manglende prioritering, ressourcer og styring — og det koster potentielt langt mere at udbedre, når skaden er sket, end at opgradere nu.
De vigtigste pointer:
- Over 240 Exchange-servere hos danske offentlige og private aktører i kritisk infrastruktur kører uden aktiv Microsoft-support
- Forældede servere modtager ikke sikkerhedsopdateringer og er sårbare over for kendte angrebsmetoder
- Rigsrevisionen har allerede slået fast, at statslige myndigheder er forpligtet til at holde serversoftware opdateret
- Problemet er ikke nyt — det er et vedvarende efterslæb, som myndighederne ikke har løst
Baggrund
E-mail er rygraden i stort set al offentlig og privat kommunikation. Bag de e-mails, der sendes til og fra kommuner, ministerier, energiselskaber og banker, sidder mailservere — computere der modtager, sorterer og videresender beskeder. Microsoft Exchange er verdens mest udbredte mailserversoftware i enterprise-segmentet (virksomheder og organisationer), og den bruges i stor stil i den danske offentlige sektor og i kritisk infrastruktur.
Problemet opstår, når en version af Exchange når sin "End of Life" (ophør af support på dansk: slutdato for livscyklus). Det betyder, at Microsoft stopper med at udgive sikkerhedsopdateringer til den pågældende version. Opdateringer er det primære forsvar mod nye og kendte sårbarheder. Uden dem er serveren frossen i den sikkerhedsmæssige tilstand, den havde på ophørsdatoen — men trusselsbilledet fortsætter med at udvikle sig.
Exchange har historisk været et yndet mål for angribere. I 2021 udnyttede statslige hackere fra Kina fire kritiske sårbarheder i Exchange — de såkaldte ProxyLogon-sårbarheder — til at kompromittere titusindvis af organisationer globalt. Angrebene ramte i høj grad servere, der enten ikke var blevet opdateret eller kørte forældede versioner. Mønsteret er ikke unikt for Exchange, men softwarens udbredelse og dens rolle som indgang til organisationers kommunikation gør den til et oplagt mål.
Hvad sker der
En ny undersøgelse, offentliggjort af Ingeniøren, kortlægger omfanget af problemet i Danmark. Resultatet er nedslående: Over 240 Exchange-mailservere er identificeret som kørende på versioner, Microsoft ikke længere støtter med sikkerhedsrettelser — og disse servere er tilgængelige direkte fra det åbne internet.
Det er ikke tale om servere gemt bag særlige sikkerhedslag eller isolerede testmiljøer. Det er produktionssystemer, som modtager og håndterer reel kommunikation for organisationer inden for kategorier, der normalt forbindes med skærpede krav til it-sikkerhed: statslige og kommunale myndigheder, teleudbydere, finansielle institutioner og virksomheder inden for kritisk infrastruktur.
Undersøgelsen benytter en metode, der er tilgængelig for enhver med basale it-kundskaber: Man scanner det åbne internet for kendte porte og protokoller, som Exchange-servere bruger, og tjekker hvilken version serveren rapporterer. Det er præcis den samme fremgangsmåde, som cyberkriminelle og statslige hackergrupper bruger, når de leder efter svage punkter. Når en forsker kan finde disse servere på få timer, kan en angriber det samme.
Eksperter citeret af Ingeniøren beskriver situationen som "en stående invitation til cyberkriminelle." Formuleringen er ikke overdreven. En server, der kører Exchange 2013 eller 2016 uden opdateringer, er sårbar over for sårbarheder, som Microsoft har offentliggjort sikkerhedsbulletiner om. Sikkerhedsbulletiner er per definition offentlige — de fortæller verden, herunder angribere, præcist hvilke svagheder der eksisterer og ofte også, hvordan de kan udnyttes.
De centrale spørgsmål
Hvad er den faktiske risiko?
En forældet Exchange-server, der er tilgængelig fra internettet, udgør et angrebspunkt på flere niveauer. For det første kan en angriber udnytte kendte sårbarheder til at overtage serveren og dermed få adgang til al mailkommunikation, der passerer igennem den. For det andet kan serveren bruges som brohoved til at trænge dybere ind i organisationens netværk. For det tredje kan den bruges til at sende spam eller phishing-mails med organisationens identitet, hvilket underminerer tilliden til afsendere.
For myndigheder og kritisk infrastruktur er konsekvenserne potentielt alvorligere end for en gennemsnitlig virksomhed. Statslig kommunikation kan indeholde fortrolige oplysninger. Energiselskabers og teleselsskabers it-systemer er knyttet til den fysiske infrastruktur, som samfundet er afhængigt af.
Hvad kræver loven og retningslinjerne?
Rigsrevisionen undersøgte i 2021 fem statslige myndigheders efterlevelse af 20 tekniske minimumskrav til it-sikkerhed, som Digitaliseringsstyrelsen har fastsat. Et af kravene er direkte relevant her: Myndigheder skal benytte regelmæssigt opdateret serversoftware. Rigsrevisionens beretning konkluderede, at myndighederne ikke efterlevede kravene fuldt ud.
Digitaliseringsstyrelsen har ansvaret for at understøtte den digitale udvikling i den offentlige sektor og fastsætter minimumsstandarder for it-sikkerhed. Kravene er ikke vejledende anbefalinger — de er bindende for statslige myndigheder. Alligevel viser det aktuelle billede, at software-kravene ikke er omsat til praksis hos et betydeligt antal aktører.
Det er værd at understrege, at undersøgelsen fra Ingeniøren også dækker aktører uden for den statslige sektor: private teleudbydere, finanshuse og operatører af kritisk infrastruktur. Disse er ikke nødvendigvis underlagt de samme specifikke minimumskrav fra Digitaliseringsstyrelsen, men er til gengæld underlagt sektorspecifikke krav — eksempelvis fra Finanstilsynet for finansielle virksomheder og fra Energistyrelsen for energisektoren.
Hvorfor er problemet ikke løst?
Det er det oplagte spørgsmål. Svaret er sandsynligvis sammensat. Opgradering af Exchange er teknisk komplekst og kræver grundig planlægning, test og i mange tilfælde migration til en ny platform. Mange organisationer er tøvende over for at røre velfungerende systemer, og mailsystemer er netop systemer, der typisk "bare virker" — lige indtil de bliver kompromitteret. Hertil kommer ressourcespørgsmålet: Offentlige it-afdelinger er ikke kendte for at have overdrevne budgetter, og Exchange-opgradering konkurrerer med andre prioriteter.
Men forklaringen er ikke en undskyldning. Problemet er ikke opstået natten over. Microsofts ophørsdatoer for Exchange-versioner er offentliggjort år i forvejen. En organisation, der kørte Exchange 2013, vidste i god tid, at supporten ville ophøre i april 2023. At serverne stadig kører i dag — tilgængelige fra internettet — tyder på, at opgaven ikke er blevet prioriteret tilstrækkeligt.
Analyse
Det centrale problem i denne sag er ikke teknisk — det er styringsmæssigt.
Den tekniske løsning er veldefineret: Opgrader til en understøttet version af Exchange, eller migrer til en cloud-baseret mailløsning. Microsoft tilbyder selv Exchange Online som en del af Microsoft 365, og den opdateres løbende uden at organisationen selv skal håndtere opdateringer. Andre cloud-løsninger findes. Ingen af delene er teknisk umulige, men begge kræver beslutning, ressourcer og gennemførelse.
Det, der mangler, er åbenbart ikke viden om problemet. Rigsrevisionens beretning fra 2021 dokumenterede allerede dengang, at statens myndigheder ikke efterlevede krav om opdateret software. Fem år senere viser en mediescanning, at over 240 servere stadig er eksponerede. Det antyder, at konsekvenserne af manglende efterlevelse ikke er tilstrækkeligt mærkbare for de ansvarlige.
Her er der en strukturel udfordring: Ansvaret for it-sikkerhed er i høj grad decentraliseret i den offentlige sektor. Hver myndighed har sit eget it-ansvar, og selvom Digitaliseringsstyrelsen fastsætter minimumskrav, er håndhævelsen begrænset. Rigsrevisionen kan konstatere mangler og anbefale forbedringer, men har ikke beføjelse til at pålægge bøder eller sanktioner.
I den private sektor — teleudbydere og finanshuse — er billedet anderledes, men ikke nødvendigvis bedre. Finanstilsynet og andre sektortilsyn fører tilsyn med operationel it-risiko, men tilsynenes fokus er bredt, og konkrete krav om specifikke softwareversioner er ikke altid eksplicitte.
Der er også et spørgsmål om incitamentsstrukturer. En it-chef, der bruger et kvart år og et millionbudget på at opgradere Exchange — et projekt, der ikke leverer nye funktioner eller synlige forbedringer for brugerne — har svært ved at vise resultater. En it-chef, hvis organisation rammes af et databrud som følge af en forældet server, har til gengæld et meget tydeligt problem. Men det incitament aktiveres for sent.
Det er ikke nyt, at sikkerhedsefterslæb opstår. Det er heller ikke unikt dansk. Men Danmarks position som et af verdens mest digitaliserede samfund — og den deraf følgende afhængighed af velfungerende og sikre it-systemer i den offentlige sektor — gør sårbarheden mere alvorlig end i lande med lavere digitaliseringsgrad. Jo mere kritisk infrastruktur afhænger af digitale systemer, jo større er den potentielle skade ved et vellykket angreb.
Et andet aspekt fortjener opmærksomhed: Kortlægningen er foretaget af journalister ved hjælp af offentligt tilgængelige scanningsværktøjer. Det er positivt, at problemet på den måde bringes frem i lyset. Men det illustrerer samtidig, at information om disse sårbare servere ikke er hemmelig. Alle med samme værktøjer — og det er ikke avanceret udstyr — kan identificere de samme servere. Angribere behøver ikke bruge ressourcer på at finde dem. De er allerede kortlagte, mange gange over.
Endelig er det værd at bemærke, hvad undersøgelsen ikke besvarer: Vi ved ikke, om nogen af disse servere allerede er kompromitteret. En forældet server med adgang fra internettet kan have været angrebspunkt i uger eller måneder uden, at organisationen har opdaget det. Mange angreb — særligt de målrettede og professionelle — er designet til at forblive usynlige. Fraværet af kendte hændelser er ikke det samme som fraværet af hændelser.
Konklusion
Over 240 forældede Exchange-mailservere hos danske myndigheder og operatører af kritisk infrastruktur udgør en konkret og dokumenteret sikkerhedsrisiko. Serverne kører software uden aktiv Microsoft-support, modtager ingen sikkerhedsopdateringer og er tilgængelige fra det åbne internet. Det er i strid med de minimumskrav, Digitaliseringsstyrelsen har fastsat for statslige myndigheder, og Rigsrevisionen konstaterede allerede i 2021, at disse krav ikke blev efterlevet fuldt ud.
Problemet er ikke mangel på viden. Det er mangel på prioritering og effektiv håndhævelse. Den tekniske løsning er tilgængelig. Det, der kræves, er politisk og ledelsesmæssig vilje til at gennemføre den — og et tilsynssystem, der giver reel konsekvens, når kravene ikke efterleves.
Så længe serverne er eksponerede, er de en invitation. Det er kun et spørgsmål om, hvornår nogen accepterer den.
Kilder
Hundreder af usikre mailservere blotlagt i Danmark: »En stående invitation til cyberkriminelle« — Ingeniøren
Digitaliseringsstyrelsen — Digitaliseringsstyrelsen
Beretning om 5 statslige myndigheders efterlevelse af 20 tekniske minimumskrav til it-sikkerhed — Rigsrevisionen / Statsrevisorerne