Kinesiska hackare vänder Öresund till centrifuga: 47 fartyg kastade upp på land – ”Vi testade bara rotorerna”
En APT-grupp knäckte Vattenfalls SCADA-system på Lillgrund. I stället för att stjäla data vände de på polariteten. Vindkrafterna blev motorer. Onsdag kväll drev en syntetisk cyklon Stena Danica upp på Skanörs strand. Expressbladet har läst loggarna, sett satellitbilderna och hört rådet från Säpo: ”Sluta blåsa på vindarna.”
LILLGRUND / SKANÖR. På kontrollrummet i Vattenfalls driftcentral i Malmö sitter tre ingenjörer och tittar på en skärm som visar 48 vindkraftverk som alla visar minus 3 200 kW.
De producerar inte el. De äter el. Och de snurrar med 400 varv per minut.
– Det är inte ett fel, säger driftledare Mats Holmqvist och drar av sig hörluren. Någon har vänt polariteten på generatorerna – alla samtidigt, via fjärrkommando.
Loggarna visar en inloggning klockan 18:17 från en IP-adress i Shenyang, Liaoning-provinsen.
Användarnamnet var "admin". Lösenordet var "Vattenfall2024!". Det hade varit detsamma sedan 2019.
Från generator till motor – en knapptryckning
Vindkraftverk på Lillgrund är variabelhastighetsmaskiner med dubbeltmatade asynkrongeneratorer.
Normalt drivs rotorerna av vinden. Generatorn producerar växelström som likriktas, omvandlas till nätfrekvens och matas ut till elnätet.
Men om man matar in växelström i generatorstatorn blir maskinen en motor. Rotorn börjar snurra. Den är knuten till vingarna.
– Det är fysik 101, säger professor Anders Eriksson vid KTH, expert på vindkraftsystem. Om du matar spänning i en generator snurrar den. Om du gör det på 48 krafter samtidigt skapar du en tryckgradient. En lågtryckskärna mitt i Öresund.
Hackarna matade in 12 MW per kraftverk. Totalt 576 MW effekt drivs in i vingarna.
Vindarna blåser inte. Vingarna blåser.
Cyklonen som inte finns på karta
Klockan 18:43 bildas ett öga mitt över Lillgrund.
SMHI:s radar visar en 12 kilometer bred lågtryckszon med vindhastigheter upp till 42 m/s i kärnan. Runt om: 28 m/s. Utanför: 3 m/s.
– Det är inte meteorologi, säger väderprognostiker Lisa Andersson på SMHI. Det är en gigantisk fläkt. 48 fläktar i formation.
Cyklonen rör sig inte. Den står stilla över vindparken. Men vattnet runt om dras mot centrum.
Vågor på sex meter byggs upp. Strömmar drar mot mittpunkten.
Fartyget Stena Danica, på väg från Göteborg till Köpenhamn, försvinner från AIS klockan 19:12.
Klockan 19:47 hittar en promenadgäst på Skanörs strand en 300 meter lång färja uppslängd på dygnssanden, bredvid en glasburk och en förfallen badbåt.
Inga döda. Besättningen, 120 passagerare och 45 bilförsäkringar evakueras av räddningstjänsten med hjältemod.
– Jag trodde vi var i en film, säger kapten Erik Lindström. Vi drog inte av. Vi drog upp.
Tre containervagnar och en rysk fregatt
Totalt 47 fartyg kastas upp på land under fyra timmar.
Bland dem: tre containervagnar från Maersk, en dansk fiskebåt, två kajaker och en rysk fregatt av klassen Admiral Gorsjkov som "hade blivit vilse" enligt besättningen.
Fregatten Admiral Kasatonov ligger nu på sidan i ett åkeri nära Falsterbo kanal. Ryska ambassaden har nekat att den finns där.
– Det är ett fotomontage, säger pressattachén. Våra skepp seglar inte på land. Utan inbjudan.
Säpo har identifierat hackargruppen som APT41-Öresund, en underavdelning av kinesiska Winnti Group.
Enligt en klassificerad rapport har gruppen sedan 2021 kartlagt alla svenska vindparker med SCADA-system anslutna till internet via ovägar.
– De sökte inte efter data, säger en källa på Säpo. De sökte efter moment.
Vattenfall: ”Vi trodde luftgapet skyddade oss”
Vattenfalls CISO, Helena Bergqvist, medger att Lillgrunds styrsystem var anslutet till företagets intranät via en VPN-tunnel som delades med kontorsnätverket.
– Vi hade en brandvägg, säger hon. Men brandväggen hade ett undantag för leverantörens supportkonto. Siemens. De behövde fjärråtkomst för firmware-uppdateringar.
Supportkontot hade inte bytt lösenord sedan 2016.
Hackarna loggade in som Siemens-tekniker, laddade upp en firmware-modul som vände polariteten på alla 48 generatorer, och loggade ut.
Tiden: 26 minuter.
– Det var inte ett angrepp, säger Helena Bergqvist. Det var en funktionsdemo.
Energimyndigheten kräver luftgap – nu
Energimarknadsinspektionen har gett Vattenfall 30 dagar att fysiskt separera alla SCADA-system från internet.
– Luftgap är inte ett förslag. Det är lagen, säger generaldirektören. Vi har sagt det sedan 2018. Ni lyssnade inte.
Vattenfall uppskattar kostnaden för att dra fiber till varje kraftverk, installera separata servrar och utbilda personal till 1,2 miljarder kronor.
– Eller vi kan bara byta lösenord, föreslår en ingenjör anonymt. Till något som inte står på en post-it på skärmen i kontrollrummet.
Cyklonen avstängs – men vinden står kvar
Klockan 22:18 lyckas driftteamet klippa fiberkabeln till Lillgrund med en sax och en trappa.
Generatorerna stoppar. Vingarna bromsas ner med mekaniska bromsar.
Men lågtrycket över Öresund försvinner inte omedelbart.
En stor volym luft har satts i rörelse. Det tar timmar innan vattnet lugnar sig.
SMHI varnar för "restturbulens" under resten av veckan.
– Vi har skapat ett väder, säger professor Eriksson. Och vi kan inte stänga av det med en sax.
Kinesiska ambassaden: ”Vindkraft är grön energi. Vi stödde grön omställning.”
En kommentar från Pekings ambassad i Stockholm lyder:
"Vi förstår att vissa i Sverige är missnöjda över att deras vindkraftverk blev effektivare. Under en kväll producerade Lillgrund mer energi än under hela juli. Vi ser detta som ett bidrag till klimatomställningen. Att fartyg hamnar på land är ett litet pris för en grönare framtid. Vi fakturerar inga konsultavgifter."
Utrikesdepartementet har kallat in ambassadören.
Han kom inte. Han skickade ett mejl med emojin 🌬️💨🇨🇳.
Säkerhetsexpert: ”Nästa gång är det kärnkraft”
En senior analytiker på FOI, som vill vara anonym, varnar:
– Vindkraft är lätt. De har inga säkerhetsventiler. Inga fysiska bromsar som inte styrs av programvara. Kärnkraftverk har fysiska skyddssystem. Men de har också SCADA. Och leverantörer. Och supportkonton med lösenord från 2016.
Han drar efter andan.
– Om de vänder polariteten på en cirkulationspump i en tryckvattenreaktor... Då får vi inte en cyklon. Då får vi en Chernobyl som flyger.
Lillgrund står stilla – men vingarna följer solen
I dag står de 48 krafterna stilla. Rotorerna är låsta med mekaniska spärrar.
Men varje morgon, när solen går upp över Öresund, börjar de snurra. Långsamt. Som om de minns.
Ingen ström matas in. Ingen hackare är inloggad.
Men vindarna blåser fortfarande in mot mitten.
Lokalbefolkningen på Skanör har börjat höra ett lågt sus efter midnatt.
– Det låter som om havet andas, säger en pensionär som bott där i 60 år. Men det är inte havet. Det är vingarna. De drömmer om att snurra.
Vattenfall har beställt 48 nya generatorer. Från Siemens.
Lösenordet till supportkontot har bytts.
Till "Vattenfall2025!".
– Den här gången är det säkert, säger Helena Bergqvist. Vi la till ett utropstecken.