HACKERANGREP: Nordmenn må bli mer bevisste på hvordan man kan forhindre hackerangrep, mener Microsoft Norge.
HACKERANGREP: Nordmenn må bli mer bevisste på hvordan man kan forhindre hackerangrep, mener Microsoft Norge. Foto: Silje Lunde Krosby / TV 2 // Geekprank.com

microsoft advarer:

Slik opererer de kriminelle

Logger du på jobbens systemer med din private mobil? Det kan få store konsekvenser, advarer Microsoft.

I en fersk rapport peker Norsk senter for informasjonssikring (NorSIS) på utfordringene ved å lagre informasjon i skyløsninger.

Ifølge Statistisk sentralbyrå (SSB) har mer enn halvparten av norske virksomheter hele eller deler av sine systemer i en skyløsning. Derfor er det avgjørende at tilgangen til systemene sikres på en god måte, slår NorSIS fast.

I takt med at vi får stadig mer avansert teknologi, ser NorSIS en trend hvor kriminelle dropper å angripe datasystemer direkte. I stedet går de på det svakeste leddet, som gjerne er enkeltpersoner.

Problemet med å lagre informasjon i skyen er ikke sikkerheten ved selve skylagringen, men snarere hvem som har tilgang til skyen og fra hvilke enheter dette skjer.

«Hvis en privat mobiltelefon eller PC har blitt kompromittert med ondsinnet programvare, kan denne hente informasjon om pålogging og deretter gi adgang til virksomhetens dokumenter og filer som ligger lagret i skyløsningen», skriver NorSIS i rapporten Trusler og trender 2019-2020, som nylig ble overlevert justisminister Monica Mæland (H).

Identitet som nøkkel

I en rekke virksomheter er det mange ansatte som kan logge seg inn på jobbsystemet fra private enheter, som en privat mobiltelefon.

En undersøkelse NorSIS gjennomførte i 2019 viser at seks av ti norske virksomheter tillater de ansatte å bruke privat datautstyr for å ha tilgang til jobbens systemer og e-post.

Dersom arbeidsplassen ikke har kontroll på sikkerheten på alle enhetene som kan koble seg på jobbens sky, er dette en utfordring. Ifølge Microsoft Norge er tap av identitet årsaken til hele 80 prosent av datainnbrudd i sky- og andre lagringsløsninger.

– Skylagring er data som er lagret i datasenter med veldig høy sikkerhet, både med tanke på fysisk sikring av selve datasenteret og ikke minst logisk sikring. En av de viktigste sikkerhetsmekanismene når det gjelder lagring i skytjenester, er pålogging og identitet, forklarer Ole Tom Seierstad, nasjonal sikkerhetsdirektør i Microsoft Norge.

Med lagring i skyen slipper du ansvaret for fysisk sikring, altså en ekstra harddisk for back-up.

– Data som lagres i våre datasenter er også kryptert, og det er identiteten din som er nøkkelen for dekryptering av innhold, sier Seierstad.

Slik går de kriminelle frem

Når identiteten din er «døra og låsen» til dataen, er det nettopp IDen din de kriminelle vil forsøke å få tak i. Det er den som er enklest og rimeligst å skaffe.

– Det er utrolig komplisert og vanskelig å bryte seg inn i de kommersielle datasentrene. De kriminelle finner som regel den metoden som er enklest og rimeligst, som da er brukeren, sier Seierstad, som påpeker at dette gjelder for både virksomheter og privatpersoner.

De kriminelle benytter flere metoder for å få tak i ditt brukernavn og passord. Den vanligste metoden er «phishing», som begynner med at du mottar en e-post eller SMS som tilsynelatende kommer fra noen du kjenner eller en aktør du stoler på.

Nasjonal sikkerhetsdirektør i Microsoft Norge, Ole Tom Seierstad. Foto: TV 2
Nasjonal sikkerhetsdirektør i Microsoft Norge, Ole Tom Seierstad. Foto: TV 2

– Det kan til og med se ut som en kollega har sendt deg denne e-posten.

E-posten eller SMSen inneholder en link som du blir bedt om å trykke på, som tar deg til et nettsted hvor du må logge deg på.

– Dette er da en falsk side som i de fleste tilfeller ligner veldig på den originale. Det er gjerne med riktig logo, og i det siste også med god norsk rettskrivning. Etter at brukeren har logget seg på, sitter de kriminelle med brukernavn og passord til tjenesten, sier Seierstad.

En annen metode de kriminelle benytter for å få tak i din informasjon er ondsinnede annonser på en nettsiden. Om du klikker på en slik, kan det være du må oppgi personalia for å bruke tjenesten.

– Falske trådløse nett er også et metode som benyttes. Dette innebærer at du logger deg på et gratis nett på for eksempel en kafe, mens det i virkeligheten er kriminelle som ønsker å stjele din påloggingsinformasjon, advarer sikkerhetsdirektøren.

Passord

Microsoft ser at det er vanlig blant brukere å gjenbruke passord. Om du har samme passord flere steder vil det være enkelt for de kriminelle å få tilgang til flere av systemene dine når de først har et av dine passord.

– I noen tilfeller kan det også benyttes «Brute Force», som betyr at de kriminelle forsøker å gjette seg til passord ved å benytte ordlister og kjente mønster, for deretter å teste ut tusenvis av kombinasjoner, sier Seierstad.

Gode passord bør være passe lange, bestå av store og små bokstaver og helst ha en viss lengde (12-20) tegn. Det er anbefalt å bruke en frase og ikke sekvensielle passord (Vinter2018 og deretter Vinter2019 osv.) eller rekkefølge på tastaturet (qwerty, zxcvbn, 12345 osv.)

Det amerikanske selskapet SplashID har publisert en liste over de mest brukte passordene i 2019, som du derfor åpenbart bør unngå.

– Et tips når du skal lage en passord-frase er å velge en bok, en hendelse eller noe annet som du husker godt. Unngå å benytte navn på kjæledyr eller familiemedlemmer, eller noe annet som er enkelt for andre å finne ut om deg, sier Seierstad.

Sikkerhetsdirektøren bruker «Bind 2 Dette er som en karusell Side 5» som et eksempel på et passord som ville fungert godt.

– Dette er den første setningen i Ernest Hemingways «Klokkene ringer for deg» på side 5, i bind 2. Denne setningen inneholder både store og små bokstaver, er lang og inneholder tall. Det er lett å huske og veldig vanskelig å knekke, sier Seierstad.

For å lage et godt passord, kan du benytte veiledningen til Nettvett.no.

Vær bevisst

Så hva kan skje om du ikke sikrer enhetene dine? Dersom kriminelle klarer å stjele din identitet, kan både du som privatperson og bedriften du jobber i være i fare.

– Konsekvensene av dette er mange. For deg kan det bety alt fra forsøk på svindel av venner eller at noen oppretter lån i ditt navn, til utpressing og tap av data, sier Seierstad.

  • Bytt standard passord med et nye, sterke passord. Ikke bruk samme passord flere steder.
  • Skru på totrinnsbekreftelse der det er mulig. Dette gir et ekstra sikkerhetsnivå for innlogging av konto.
  • Oppdater enhetene dine. Skru gjerne på automatisk oppdatering. Sørg for at operativsystemet alltid er oppdatert.
  • Bruk sosiale medier med omhu. Svindlere er også aktive på sosiale medier, så vær bevisst på hva du deler med andre.
  • Bruk e-post med omhu. Vær forsiktig med å trykke på lenker eller åpne vedlegg, også fra personer du kjenner.
  • Tenk deg om når du er på nettet.

Kilde: Nettvett.no

– Det mest alvorlige for bedrifter er nok at noen kan tilegne seg fullt innsyn i bedriftens systemer, inkludert børssensitiv informasjon, personalsystemer, patenter og hemmelige prosesser for produksjon, samt innsyn i for eksempel budrunder og tilbud, som dermed gir muligheten for å underby en konkurrent.

Dette er informasjon som også kan benyttes til utpressing og korrupsjon.

Microsoft ser også eksempler på at virksomheter mottar faktura fra en leverandør med et endret kontonummer, som tilsynelatende er sendt fra en kjent avsender, men som egentlig er sendt fra en med stjålet identitet.

– Vi bør ikke være spesielt bekymret i Norge i forhold til andre land, men vi bør helt klart være bevisste på hva man kan gjøre for å forhindre dette, understreker Seierstad.

Sikkerhetsdirektøren sier dette gjelder både enkeltpersoner med personlige dokumenter og bilder som stadig oftere lagres i skytjenester – og ikke minst i bedriftsmarkedet hvor det kan være store verdier på spill.

– Dette gjelder virksomheter av alle størrelser, fra småbedrifter og offentlig sektor til de største virksomhetene.