Det var Abid Raja som skjulte seg inni NRKs nissedrakt, men verden er full av nisser. Er du en av dem? Ikke? Tja, vi får se på det. Det er en viss fare for at du kan føle deg avkledd, om du leser videre. Men ikke stopp! Det vil være verdt det. Etterpå kommer du til å gjøre noe smart.

I disse dager, hvor vi forsøker å balansere mellom effektiv julehandel og nye koronavirusvarianter, velger stadig flere av oss å gjøre julehandelen på internett. (Ingen ønsker vel omikron som julemiddagsgjest). Vi er på kort tid innom et stort antall nettbutikker for å handle gaver og bestille julemat og julepynt. I tillegg er det avgjørende å få dokumentert all denne julekosen på sosiale medier, hvor vi snør inne i stemningsfulle oppdateringer om julepyntede hus, lykkelige familiesamlinger og familiehunder utkledd som Rudolf. Med andre ord –vår digitale aktivitet intensiveres. Det meste av denne aktiviteten krever innlogging med brukernavn og passord, for å være helt sikker på at du faktisk er deg, og for at betalingsinformasjonen du oppgir skal bli tatt godt vare på. Muligheten for å bidra til å beskytte deg selv og dine data ligger derfor rett foran deg! Men i effektivitetens (og latskapens) navn forsøker vi å gjøre all denne tidkrevende innloggingen så enkel for oss selv som mulig. Ingen er vel interessert i hva jeg har handlet på Zalando uansett?

Hva er ditt favorittpassord?

Så vi gjenbruker våre enkle favorittpassord for å slippe å komme i den kjedelige situasjonen hvor vi må trykke «glemt passord». Juleinnkjop2020 oppgraderes til Juleinnkjop2021, Vinter2019 får holde et par år til, og Emilie21092001 går jo aldri ut på dato.

Er det ikke også slik at mye av julehandelen foregår i ledige stunder mellom digitale møter og andre jobbaktiviteter? På den bærbare pc-en, mens du er innlogget på jobbens interne nettverk via fjernaksessløsninger? Og du gjenbruker kanskje også de samme enkle passordene her? Eller?

I rapporten Risiko 2021 forklarer Nasjonal Sikkerhetsmyndighet (NSM) hvordan gjenbruk av passord mellom brukerkonti med ulikt tilgangsnivå eller gjenbruk av passord på private og jobbrelaterte konti, svekker virksomhetenes sikkerhet.

Microsoft har gjennomført en studie som viser at rundt 44 millioner brukere gjenbruker passordene fra og med 2020. I 2019 viste en studie at rundt 72 prosent av brukerne resirkulerte eller gjenbrukte passordene sine. 63 prosent av disse brukerne brukte nøyaktig samme passord for alle sine kontoer. (Les om studien på TechRadar: Millions of Microsoft users are reusing passwords | TechRadar)

Passordhumor

Komikeren Michael McIntyre harselerer med intens innlevelse i en Netflix-spesial om folks forhold til passord. Han mimrer om internettets liberale barndom, da det var fritt frem for oss å ha et passord med bare små bokstaver. Etter hvert som internettet ble mer populært, begynte virksomhetene der ute å legge føringer for passordene. Vi måtte ha minst én stor bokstav. Det ble som regel den første bokstaven i passordet vi allerede hadde. Så måtte vi ha tall, og alle plasserte et 1-tall etter det gamle passordet. Og når det etter hvert kom krav om minst ett spesialtegn, landet alles øyner på utropstegnet. Det passer fint til slutt, bak vårt kjære, trofaste passord. Hvordan kan det være så morsomt at salen bryter sammen i latter av en komikers passe unyanserte gjennomgang av passordhistorien? Fordi skremmende mange kjenner seg igjen i fortellingen.

Hackere har gjennom lang erfaring og analysering av våre passord-uvaner opparbeidet seg lister over våre 100, 1000 og kanskje 10 000 mest brukte passord. Disse passordlistene benyttes i målrettede og automatiserte angrep mot et stort antall virksomheter og privatpersoner samtidig – og kontinuerlig! Finnes ditt enkle passord på denne listen, er både du og muligens din arbeidsgiver et lett bytte for angriperne.

NCSC (Nasjonalt cybersikkerhetssenter) utførte en studie på villige organisasjoner for å teste hvor mottakelige de var for slike angrep. 75 prosent av organisasjonene hadde minst én konto, som brukte et av topp 1000-passordene. 87 prosent hadde minst én konto med et passord i topp 10 000.

Det svakeste leddet

NSM skriver at svake passord fremdeles er den letteste veien inn i virksomheters systemer. De rapporterer om utstrakte funn av korte passord som er lette å gjette, eller som lar seg knekke med automatiserte angrep. Som «Sommer2020» og «September2020». Jeg anbefaler å ta en kikk på NSMs tips for passord.

Microsoft uttaler at 99,9 prosent av alle identitetsrelaterte angrep kan stoppes ved bruk av tofaktorautentisering. Det betyr at man i tillegg til ordinært brukernavn og passord, benytter en ekstra «faktor», som bank-id eller SMS-kode på telefonen for å bevise sin identitet under påloggingen.

NSM anbefaler alle privatpersoner og virksomheter å innføre en slik ekstra autentisering der det er teknisk mulig.

Ligg unna lenka!

Vår uforsiktige og makelige uvane med å opprette og gjenbruke enkle passord, er ikke den eneste faren. Fremdeles blir vi urovekkende ofte forsøkt «fralurt» personlig informasjon, særlig påloggingsinformasjon og bank- og kontoinformasjon, fra angripere som utgir seg for å være noen som kunne ha vært en del av ditt nettverk.

På sosiale medier deler vi informasjon om hvem som er vår arbeidsgiver, hvor vi bor, hvem vi er i familie med, hvilket fotballag vi heier på eller hvilke organisasjoner og innsamlingsaksjoner vi donerer penger til. Alt dette er informasjon som kan brukes til å skreddersy et angrep nettopp mot deg. Vi hører stadig oftere om svindelforsøk hvor angriperne benytter eposter og SMS-er for å lure deg til å oppgi informasjon.

Telenor advarte nylig om et massivt svindelforsøk i forbindelse med at deres mobilkunder fikk en tekstmelding, der de ble bedt om å laste ned en applikasjon for å høre talebeskjeder. Hvis man lastet den ned, vil man få et virus på mobilen som gir kriminelle tilgang til å plukke opp brukernavn, passord, betalingsinformasjon, kontaktlisten din og andre personlige opplysninger som kan brukes til ytterligere svindelforsøk.

Også Oslo kommune måtte nylig advare mot falske SMS-er i forbindelse med 3 vaksinedose. I disse tekstmeldingene ble man bedt om å oppgi personnummer og navn. Ikke helt unaturlig i disse tider?

Og har du mottatt gunstige Black Friday-tilbud på epost, gjerne fra en kjent nettbutikk, og klikket på en lenke og bestilt varer? Du sjekket vel om nettsiden var den ekte?   

Kan du stole på IT-sjefen?

Angrepene blir stadig mer komplekse og vanskelige å oppdage for de fleste av oss. I det siste har det til og med dukket opp angrep hvor angriper utgir seg for å være IKT-avdelingen hos din arbeidsgiver. I en epost eller SMS ber de deg om å oppdatere ditt passord som et nødvendig tiltak etter en sikkerhetsoppdatering. Hadde du hatt samvittighet til å la være?

Ved å utgi seg for å være en troverdig avsender, er det større sannsynlighet for at vi lar oss lure til å åpne et vedlegg eller klikke på en lenke. Vanlige svindelmetoder og hva du kan gjøre for å oppdage og avverge dem, kan du blant annet lese mer om på Nettsvindel – Politiet.no.

Hvor ille kan det gå?

Men hackerne har da ingen interesse av meg? Eller den lille kommunen jeg jobber i? Spør Østre Toten! Der ble kommunen utsatt for datainnbrudd og krevd for løsepenger. De hadde ikke tilgang til sine egne datasystemer og saksarkiv, og store mengder dokumenter havnet på avveie. Innbruddet fikk både driften og økonomien til kommunen ned i knestående. Og Datatilsynet til å reagere.

I 90-tallsfilmene skjedde datainnbrudd ved at kriminelle først hadde brutt seg fysisk inn på arbeidsplassen, så fant de lappen med passord som lå skjult under tastaturet. Voilá! Så dumme er vi ikke lenger, tenker vi selvtilfreds. Vi gjemmer heller passordene våre i et notat på telefonen. Vel, da er det faktisk smartere å gjøre som idiotene i 90-tallsfilmene. (Ikke at jeg skal oppfordre til å legge lapp under tastaturet, altså!) For det er langt større fare for digitale innbrudd enn fysiske.

Føler du deg avkledd nå?

Om det er en trøst, du er ikke alene. Men det er et selskap du ikke vil være en del av.

Mange forbinder cyberkriminalitet utelukkende med tradisjonell hacking – å utnytte tekniske sårbarheter i datasystemene for å bryte seg inn i dem. Av den grunn er det også mange som knytter sikringstiltak til datamaskiner og IT-avdelingen, for eksempel ved installasjon av brannmurer, antivirusprogrammer og sikkerhetsoppdateringer. Man kan komme langt med tekniske sikringstiltak, men ofte forsøker angriperne å omgå den tekniske beskyttelsen ved å rette angrepet mot det svakeste leddet i systemet, nemlig deg. Dette kalles sosial manipulering.

Generelt sett er sosial manipulering utnyttelse av menneskelige sårbarheter for å oppnå ulovlige eller uetiske mål. I IT-sammenheng er typiske mål å få tilgang til datasystemer, informasjon eller penger. Ofte forsøker cyberkriminelle å oppnå dette ved å sende ut e-poster med skadevare eller lenker til nettsteder hvor man blir bedt om å oppgi brukernavn og passord, det som kalles phishing. I tillegg til e-post benyttes telefon og SMS.

Jo mer de cyberkriminelle vet om ofrene sine, jo mer målrettede kan angrepene være.

Målrettede angrep har mye høyere sannsynlighet for å lykkes, i tillegg til at de kan forbli uoppdaget svært lenge. I noen tilfeller blir de kanskje ikke oppdaget i det hele tatt. Sosial manipulering er en av de mest brukte metodene og grunnen er enkel: vi mennesker er nesten alltid det svakeste leddet i et informasjonssystem.

Mer sosial manipulering i koronatiden

Datatilsynet får daglig inn meldinger om brudd på personopplysningssikkerheten (avvik). Samlet kan disse meldingene si noe om hvilke trusler virksomheter står overfor og trendene hos ondsinnede aktører. I begynnelsen av koronapandemien ble det tydelig at slagordet «aldri la en god krise gå til spille» også ble omfavnet av cyberkriminelle. Vi opplevde en økning i antall meldinger om løsepengevirus og phishing, som kunne tyde på at trendene var i endring hos angriperne. Dette førte til at vi nylig publiserte en veileder om phishing.

Det var ikke bare vi som så at trusselbildet var i endring. I april kom NSM med en oppdatert advarsel om risiko i forbindelse med covid-19. I varselet skriver de at ondsinnede aktører blant annet utgir seg for å være WHO eller statlige helseinstitusjoner. Vi ser altså at angriperne nå benytter covid-19 som tema i angrepene sine, og fenomenet er verdensomspennende. Interpol fastslår i sin COVID-19 Cybercrime Analysis Report fra august at flere medlemsland melder om betydelig bruk av covid-19 som tema i phishing og nettsvindel. I ECHO-rapporten The COVID-19 Hackers Mind-set konkluderer de med at covid-19 gir cyberkriminelle en unik mulighet til å benytte eksisterende angrepsmetoder i ny kontekst, og dermed ha høyere sannsynlighet for å lykkes med angrepsforsøkene.

Det er neppe noen grunn til å tro at denne trenden vil avta med det første.

Helsedirektoratet meldte på Twitter senest 18. august om at svindlere ringer opp personer og forteller at de har blitt smittet, for deretter å be om betalingskortinformasjon for et test-kit. I tiden fremover kan vi tenke oss at de samme metodene vil benyttes for å lure folk til å betale for ikke-eksisterende tjenester eller vaksiner, eller foreta falske investeringer. Vi vil kanskje oppleve at cyberkriminelle utgir seg for å være representanter fra en bank, og tilbyr oss å kjøpe aksjer i selskaper som er kommet langt i utviklingen av en vaksine. Når det annonseres at vi har en vaksine klar er det sannsynlig at cyberkriminelle vil utgi seg for å være offentlige myndigheter og tilby personer prioritert vaksinering mot betaling. De vil også kunne utgi seg for å være ansatte i bedriftshelsetjenester og prøve å lure store virksomheter til å betale regninger for vaksinering av sine ansatte. Det er kun fantasien som setter begrensninger for hvilke tilnærming angriperne velger – og fantasien deres er ofte god.

Hvorfor blir vi mer sårbare under en pandemi?

Vi mennesker kan påvirkes i stor grad, spesielt av angripere som vet noe om oss. Vi styres i stor grad av følelser som frykt, usikkerhet, grådighet og tillit. Uavhengig av om vi er i en pandemi forsøker kriminelle å utnytte disse sidene ved oss. Følelsene som gjør oss til mennesker gjør oss dermed også sårbare for manipulasjon.

De iboende sårbarhetene våre er imidlertid enda lettere å utnytte i en pandemi, fordi svært mange deler de samme følelsene samtidig. Vi har nok alle kjent på både usikkerhet og frykt i løpet av koronapandemien. Mange har nok også kjent en dypere frykt for utviklingen i verdenssamfunnet, at verden som helhet oppleves som et mer usikkert sted.

Når samme tema angår svært mange mennesker kan cyberkriminelle gjøre en rekke antagelser med høy treffprosent. De kan for eksempel anta de fleste ønsker at det skal komme en vaksine, slik at samfunnet kan åpne helt opp igjen. Målgruppen for sosial manipulering med vaksinetematikk er dermed tilnærmet hele samfunnet. Så lenge angriperen er overbevisende nok i fremstillingen sin kan svært mange bli lurt.

En annen side av pandemien er manglende rutiner fra arbeidsgiver, eller at vi kanskje ikke er like nøye med å følge rutiner fra hjemmekontoret. Vi ble tross alt kastet inn i en arbeidshverdag de færreste hadde planlagt for på forhånd. Det er for eksempel vanskeligere å forhøre seg om mistenkelige e-poster, telefoner eller SMS-er på hjemmekontoret enn på kontoret. De fleste har ikke den samme nærheten til kollegaene sine fra hjemmekontoret, og kommunikasjonen flyter ikke på samme måte som før. Hvis kollegaene dine har mye å gjøre vil du kanskje nøle mer med å spørre over telefon enn om du kunne stukket innom kontoret.

Omgivelsene våre og utstyret vi bruker spiller også en rolle. Hvis du skal passe barn samtidig som du jobber er du sannsynligvis mer uoppmerksom, og kan lettere lures til å klikke på skadelige lenker eller godkjenne fakturaer fra svindlere.

Mange jobber kanskje også fra private datamaskiner hjemme, uten at virksomheten har tatt stilling til hvilke rutiner som skal gjelde for det. Vi skal heller ikke glemme at hjemmet er en sfære knyttet til fritid og trygghet, og at det i seg selv kan påvirke atferden vår.

Hva kan vi gjøre?

Konklusjonen er at risikoen for sosial manipulering under koronapandemien er større enn ellers. For å redusere risikoen må vi blant annet være nøye med å sjekke hvem som forsøker å kommunisere med oss og innholdet i kommunikasjonen. Vi må være spesielt oppmerksomme dersom vi mottar koronarelaterte tilbud, eller blir bedt om å betale regninger eller klikke på lenker. Vi må være veldig sikre på at kilden er autentisk dersom vi blir bedt om å oppgi brukernavn og passord eller åpne programmer og filer.

Som arbeidstagere må vi strebe etter å følge rutiner også på hjemmekontoret.

Om noe er usikkert er det bedre å kontakte en kollega eller sjefen enn å la det være. Dersom virksomheten ikke har gode rutiner bør vi si fra til lederne våre og være pådrivere for å få på plass disse. Samlet sett krever beskyttelse mot sosial manipulering årvåkenhet fra oss alle – både som privatpersoner, arbeidstagere og arbeidsgivere. Vi skal sannsynligvis utfordres på dette flere ganger i nær fremtid.