Den 7. april 2025 satte en gruppe russiske hackere seg inn i styringssystemet til en norsk demning i Bremanger kommune i Vestland og \u00e5pnet en flomport til full kapasitet. I fire timer rant 500 liter vann per sekund ukontrollert nedstr\u00f8ms, totalt 7,2 millioner liter, f\u00f8r operat\u00f8rene oppdaget inntrengeringen og gjenopprettet kontrollen. Ingen ble skadet. Men hendelsen avdekket noe langt mer alvorlig enn en enkelt feil: et usikret kontrollpanel koblet direkte til internett, beskyttet av ett svakt passord.<\/p>\n\n\n\n
Seks m\u00e5neder senere, i august 2025, sto Beate Gangaas, sjef for Politiets sikkerhetstjeneste (PST), offentlig frem og pekte finger mot Russland. Det var f\u00f8rste gang norske myndigheter formelt tilskrev et cyberangrep p\u00e5 norsk kritisk infrastruktur til sin \u00f8stlige nabo. Hendelsen ved Bremanger er n\u00e5 et ankerpunkt i en bredere debatt om Norges s\u00e5rbarhet mot statsst\u00f8ttet sabotasje og spionasje, og om hva som faktisk skiller en nesten-ulykke fra en katastrofe.<\/p>\n\n\n\n
Tidlig om morgenen den 7. april 2025 fikk hackere tilgang til styringspanelet for en ventil ved Risevatnet-demningen i Bremanger, vest i Norge. Demningen eies og driftes av det lokale selskapet Breivika Eiendom. Angriperne brukte det internetteksponerte HMI-grensesnittet (Human-Machine Interface) til \u00e5 sette avl\u00f8psventilen til 100 prosent \u00e5pen, langt over den p\u00e5krevde minimumsstr\u00f8m.<\/p>\n\n\n\n
Resultatet: 497 liter per sekund ekstra vannmasse ble sluppet ut over det som var normalt tillatt minimum. Innen angrepet ble oppdaget og stoppet, hadde omtrent 7,2 millioner liter vann forlatt reservoaret. Demningens flomkapasitet er beregnet til rundt 20 000 liter per sekund, slik at utslippet ikke ble ansett som en akutt flomsituasjon. Men Bjarte Steinhovden, teknisk sjef i Breivika Eiendom, innr\u00f8mmet overfor norske medier at et svakt passord sannsynligvis var det eneste som skilte hackerne fra full kontroll over anlegget. \u00abEt svakt passord har sannsynligvis gjort det mulig for inntrengerne \u00e5 f\u00e5 tilgang til systemet\u00bb, uttalte Steinhovden kort etter hendelsen.<\/p>\n\n\n\n
NSM (Nasjonal sikkerhetsmyndighet) og NVE (Norges vassdrags- og energidirektorat) ble varslet 10. april 2025, tre dager etter selve angrepet. Saken ble overlevert Kripos, den nasjonale kriminaletterretningsenheten, for etterforskning.<\/p>\n\n\n\n
Angrepet p\u00e5 Bremanger-demningen trengte ingen avansert skadevare, ingen nulldagss\u00e5rbarhet og ingen sofistikert spionprogramvare. Det trengte bare en nettleser og ett svakt passord.<\/p>\n\n\n\n
Breivika Eiendoms kontrollpanel for demningsventilene var koblet direkte til internett via et web-tilgjengelig HMI-system. Slike grensesnitt er vanlige i vannkraft, kraftnett og industri. De er designet for fjernoverv\u00e5king, men representerer en alvorlig sikkerhetsrisiko n\u00e5r de eksponeres uten nettverkssegmentering, flerfaktorautentisering eller sterke passordkrav.<\/p>\n\n\n\n
Sikkerhetsselskapet Claroty, som analyserte hendelsen i detalj, konkluderte: \u00abAngriperne kompromitterte et svakt passord og klarte \u00e5 manipulere ventilene ved Risevatnet-demningen, og \u00e5pnet dem til full kapasitet. Angrepet forble uoppdaget i fire timer, men for\u00e5rsaket ingen fysisk skade eller fare for offentlig sikkerhet.\u00bb Claroty pekte spesielt p\u00e5 den initial tilgangsvektoren: et web-tilgjengelig kontrollpanel som administrerte ventilens minimumsstr\u00f8m, eksponert uten hensiktsmessig nettverksisolering.<\/p>\n\n\n\n
Hackergruppen som trolig sto bak, Z-PENTEST, publiserte til og med en video p\u00e5 Telegram der de demonstrerte tilgangen de hadde til kontrollpanelet. Det er en klassisk taktikk for hacktivistgrupper som \u00f8nsker oppmerksomhet og som \u00f8nsker \u00e5 sende et signal snarere enn \u00e5 for\u00e5rsake katastrofal skade.<\/p>\n\n\n\n
Z-PENTEST er en pro-russisk hacktivistgruppe med spesiell interesse for industrielle kontrollsystemer (ICS). Gruppen er kjent for \u00e5 dokumentere og dele angrep p\u00e5 OT-infrastruktur via Telegram, og har tidligere rettet seg mot vannforsyning, kraftanlegg og produksjonsfasiliteter i vestlige land.<\/p>\n\n\n\n
Gruppen regnes ikke som en tradisjonell statlig APT-gruppe (Advanced Persistent Threat) som Sandworm eller APT28, men opererer med tydelig pro-russisk agenda og deler m\u00e5l med Kremls bredere strategi om \u00e5 destabilisere vestlig infrastruktur og skape usikkerhet i befolkningen. Norske etterretningstjenester beskrev hendelsen som et eksempel p\u00e5 s\u00e5kalt \u00abproxy-sabotasje\u00bb: angrep utf\u00f8rt av hacktivistgrupper som virker i tr\u00e5d med statens interesser uten direkte statlig kommando.<\/p>\n\n\n\n
Radiflow, et selskap spesialisert p\u00e5 ICS-sikkerhet, beskrev angrepet som et kritisk varselskudd: \u00abAngriperne hadde faktisk sanntidskontroll over fysiske prosesser, og sikkerheten berodde p\u00e5 ren flaks og at operat\u00f8rene oppdaget dem i tide. Angrepet viste at Bremanger ikke var et m\u00e5l for avansert spionasje, men for demonstrasjon av kapabilitet og evne til frykt.\u00bb<\/p>\n\n\n\n
Den 13. august 2025 holdt Beate Gangaas, sjef for PST, et foredrag der hun for f\u00f8rste gang offentlig la skylden for Bremanger-angrepet p\u00e5 russiske hackere. Det var en historisk erkl\u00e6ring: Oslo hadde aldri tidligere formelt tilskrevet et cyberangrep p\u00e5 norsk infrastruktur til Russland.<\/p>\n\n\n\n
\u00abHensikten med denne typen operasjoner er \u00e5 p\u00e5virke og skape frykt og kaos i befolkningen\u00bb, sa Gangaas if\u00f8lge Reuters. Hun beskrev angrepet p\u00e5 Bremanger som ett eksempel i et bredere m\u00f8nster av \u00f8kt aktivitet fra pro-russiske cybergrupper det siste \u00e5ret, og sa den offentlige attribusjonen var ment som en advarsel til allmennheten og som en avskrekkende faktor mot fremtidige russiske anslag.<\/p>\n\n\n\n
Den russiske ambassaden i Oslo avviste anklagene umiddelbart. \u00abDet er \u00e5penbart at PST sliter med \u00e5 bekrefte den konstruerte trusselen om russisk sabotasje mot norsk infrastruktur, som de diktet opp i sin februarrapport\u00bb, het det i en uttalelse til Reuters. Gangaas sto fast ved attribusjonen og la til at hun bevisst valgte \u00e5 g\u00e5 ut offentlig for \u00e5 sende et avskrekningssignal til statlige og proxy-akt\u00f8rer som vurderer fremtidige operasjoner mot norsk infrastruktur.<\/p>\n\n\n\n