Hoppa till huvudinnehåll

Det är lätt att komma åt skyddade uppgifter på nätet: "Varje gång vi gör ett simulerat intrång kommer vi åt hemliga uppgifter", säger datasäkerhetsexpert i Ingå

Jonas Lundberg står utomhus. I bakgrunden syns en dimmig åker.
Jonas Lundberg tror att en läcka i storleksklass med Vastaamo-läckan gör att folk får upp ögonen för ett ökat behov av datasäkerhet. Jonas Lundberg står utomhus. I bakgrunden syns en dimmig åker. Bild: Maria Wasström / Yle Västnyland,dataskydd,f-secure

För en person som är insatt i dataskydd är det inte särskilt svårt att komma åt information som borde vara skyddad för utomstående.

Det här säger Ingåbon Jonas Lundberg som jobbar som regiondirektör på datasäkerhetsföretaget F-Secure.

F-Secure jobbar bland annat med att hitta svagheter i olika företags datasäkerhet. Simulerade dataintrång visar med all önskvärd tydlighet att det går relativt lätt att komma åt hemliga uppgifter.

- Varje gång vi gör ett simulerat intrång kommer vi åt sådana uppgifter, säger Lundberg.

Vissa attacker går att förhindra

Lundbergs uppfattning är att speciellt när det gäller hälsorelaterade uppgifter borde lagstiftningen vara strängare.

Det går att förbättra säkerheten för att undvika de lättaste och till och med medelsvåra intrången, menar han.

Den aktuella cyberattacken mot psykoterapiföretaget Vastaamo utmärker sig däremot inte för sin professionalism, anser Lundberg.

Enligt honom har förövaren använt sig av relativt lätta medel för att komma åt informationen.

Jonas Lundberg går vid en gångbro i trä.
Jonas Lundberg blev inte särskilt överraskad när han hörde om Vastaamo-intrånget. Det sätt som förövaren använt informationen för att göra pengar är däremot ovanligt brutalt, menar han. Jonas Lundberg går vid en gångbro i trä. Bild: Maria Wasström / Yle Västnyland,dataskydd,f-secure

I dataskyddskretsar pratar man om zero day-sårbarheter som inte är allmänt kända ännu.

- När vi gör simulerade dataintrång behöver vi aldrig använda dessa zero day- sårbarheter för det finns mycket lättare sätt att komma in i systemen, säger Lundberg.

Ordförklaringar

Terminologi in datasäkerhetssammanhang:

Hackare, hacker (eng):
Datortekniker som utnyttjar sina kunskaper för att bryta sig in i datorsystem. En del hackare är kriminella, en del hackare använder sin kunskap för att utmana datasäkerheten hos företag och hitta hål i skyddsnäten.

"Vit hatt"
är Internet-slang för en etisk datorhackare, eller en datasäkerhetsexspert, som säkerställer säkerheten i en organisations informationssystem.  Vithattarna kan till exempel testa företags datorsystem för att se hur säkert det är.
Motsatsen till de vita hattarna är de svart hatt-hackare som bryter mot datasäkerhet för personlig vinning eller ondska. Dessutom talar man om en tredje typ som kallas grå hatt-hackare som hackar med goda avsikter men ibland utan tillstånd.

Zero-day, eller noll dags-sårbarhet: syftar på ett dataintrång som använder tidigare okända sårbarheter hos en dator, applikationer, nätverk eller operativsystem. Det handlar om säkerhetshål som ännu är okända för tillverkaren.

Hur går det då till när ett dataskyddsföretag gör ett simulerat intrång hos ett företag?

Ett simulerat intrång inleds med en diskussion om företagets målsättningar och om vilken information som borde vara bäst skyddad.

Man kommer överens om reglerna och vilka alla som är medvetna om testsituationen innan den kör igång.

- Sen har vi ett gäng med hackare som så väl de kan försöker simulera ett äkta intrång. Det handlar om hela den tekniska repertoaren men kan också inkludera telefonsamtal, besök på kontoret och försök att lura någon att dela med sig av informationen, berättar Jonas Lundberg.

Idén är att visa hur väl företagets dataskydd fungerar och vad man borde fokusera på för att skydda sina uppgifter bättre i fortsättningen.

Hur ofta kommer ni in på företagens viktiga information vid sådana här simulerade intrång?

- Varje gång, oberoende av företag.

Inte som på film

När en omfattande dataläcka som den mot Vastaamo inträffar brukar det intressera en hel del datorentusiaster.

Men verkligheten är inte som på film där vithattarna - de goda datorhackarna - löser mysteriet och avslöjar brottslingar innan polisen har koll på något.

- Det låter fint att ett gäng med vita hattar springer omkring och hjälper till att hitta brottslingar men utredningar av det här slaget är väldigt slutna och kontrollerade, säger Jonas Lundberg.

Han påpekar att det är kriminalpolisen som gör den faktiska utredningen vid brott i cybervärlden.

- Dessutom har Vastaamo själv anlitat ett företag som hjälper dem att undersöka deras datorer och servrar och försöker hitta spår som visar hur förövaren har kommit in i systemet. Slutligen är det ändå polisen som går igenom materialet.

Frivilliga cyberbrandkårer

Men visst finns det vithattar också! I fallet Vastaamo har ett finländskt hackarkollektiv som kallar sig Kyber-VPK utmärkt sig. Det är en organisation där frivilliga datahackare jobbar med att förhindra säkerhetsintrång.

Lundberg påpekar ändå att det främst handlar om att analysera data som är allmänt tillgänglig.

Också Lundbergs kolleger på F-Secure försöker till exempel spåra bitcoin-betalningar men informationen de eventuellt hittar går till polisen.

I offentligheten har det också talats om spår i Vastaamo-läckan som leder till Ingå och Hangö.

- Personen bakom Vastaamo-läckan tycks annars ha städat upp spåren efter sig ganska väl men det fanns till exempel väderleksinformation från Ingå. Det kan ju också vara ett villospår eller någon som bara kört förbi, menar Lundberg.

Han spekulerar helst inte vidare men antyder att det ju är en intressant koppling med tanke på att breven som utpressaren lämnat skickat till Vastaamos kunder också anses vara skrivna av någon som inte har finska som modersmål.

Här hittar du en Ylevideo med tips hur du kan skydda dina uppgifter på nätet:

  • "Man har lindrig respekt för demokratins regler" - nu ska Kårkullas styrelse avsättas, igen

    Bråket inom Kårkulla samkommun fortsätter.

    Trots att fullmäktige har förtroende för samkommunsdirektör Sofia Ulfstedt, och trots fullmäktiges önskan om samarbete, röstade styrelsen på nytt om Ulfstedts förtroende. Elva fullmäktigeledamöter har därför lämnat in ett initiativ om att "med det snaraste sammankalla ett extra fullmäktigemöte med uppgift att avsätta den nuvarande styrelsen och i dess ställe tillsätta en ny funktionsduglig styrelse".

  • Hätsk ton i vaccintvisten mellan EU och Astra Zeneca

    Strider mot texten och andan i avtalet

    Ordkriget mellan EU och läkemedelsbolaget Astra Zeneca trappades upp under onsdagskvällen. EU vägrar att acceptera bolagets förklaringar till de försenade leveranserna, samtidigt som bolaget bland annat hänvisar till produktionsproblem och avtal med andra köpare.

  • HIFK kammade noll i Åbo – TPS tog sin femte raka seger

    Lukko toppar tabellen i ligan.

    TPS har bra flyt i FM-ligan i ishockey just nu. I onsdagskvällens drabbning hade gästande HIFK inte mycket att säga till om. TPS-keepern Andrej Karejev plockade samtliga 29 skott på mål och TPS klättrade förbi HIFK i tabellen.

Läs också