Hackergruppen Revil, som låg bakom den globala hackerattack som bland annat tvingade Coop att stänga nästan alla sina butiker, är nu spårlöst försvunnen från nätet.

– En teori är att USA fått Ryssland att stänga ner gruppen, säger Robert Lagerström, forskare och lärare inom cybersäkerhet, till nyhetsbyrån TT.

Den så kallade supply chain-attacken var riktad mot mjukvaruföretaget Kaseya, vars verktyg används för fjärrstyrning och drift av klienter och servrar inom detaljhandeln. Attacken den 2 juli drabbade 60 av företagets kunder direkt och 1 500 kunder i senare led, inklusive Visma Esscom som är Coops leverantör av kassasystem. 

– Kaseya kände till att deras system var sårbart och höll faktiskt på att fixa det. Men hackarna hann före, säger Robert Lagerström.

Hackergruppen krävde mellan 50 och 70 miljoner dollar för den krypteringsnyckel som skulle låsa upp alla system. Svenska Coop säger sig inte ha betalat någon lösesumma, men det är oklart hur många andra företag som gjort det.

19 dagar efter attacken fick i alla fall Kaseya tillgång till krypteringsnyckeln och kunde låsa upp alla system. En talesperson för bolaget har sagt till Guardian att krypteringsnyckeln levererades av en “betrodd tredje part”, men vill inte svara på vem det är eller om pengar var inblandade.

Nu är Revil, även känd som känt som Sodinokibi, sedan en tid försvunnet från nätet. Gruppens webbplatser har stängts ned. Spekulationerna pågår om vad som hänt. De främsta teorierna:

• Hackades av en rysk brottsbekämpande myndighet.
• Hackades av en amerikansk brottsbekämpande myndighet.
• Bestämde sig för att gå under jorden av oklar anledning.

Om Revil är ryskt är det möjligt att ryska staten stoppat attacken på begäran från USA:s president Joe Biden.

– Vi vet inte säkert att Revil är ryskt även om allt tyder på det. Deras metoder och programkoder påminner om hack från tidigare ryska grupper och de angriper inte företag inom den gamla Sovjetunionen, inklusive Ryssland. Vi vet inte heller om Revil i så fall är en fristående grupp eller en del av den ryska staten, säger Robert Lagerström till TT.

Läs om hackerattacken dag för dag och hur Coop drabbades här.