6.3 Digitale trusler og sårbarhet

En e-post som ikke var det den ga seg ut for

Forestill deg at du sjekker mobilen en helt vanlig tirsdag. Det ligger en melding i innboksen: «Pakken din er forsinket, klikk her for sporing.» Du venter faktisk på en pakke. Tommelen din er allerede på vei mot lenken. Akkurat der, i det lille øyeblikket av hastverk og forventning, sitter hele cyberkriminalitetens forretningsmodell.

Jo mer av livet vårt som flytter inn i digitale systemer, jo mer har vi å tape hvis noen klarer å bryte seg inn. Cyberkriminalitet koster samfunnet milliarder hvert eneste år, og trusselbildet står aldri stille -- det utvikler seg i takt med teknologien. For å beskytte oss selv og systemene vi er avhengige av, må vi først forstå hva som faktisk lurer der ute. I dette kapittelet skal vi bli kjent med skadevaren som infiserer maskiner, manipulasjonen som lurer mennesker, og angrepene som overbelaster hele tjenester. Og vi skal se hvorfor det viktigste forsvaret ofte ikke er et program, men en oppmerksom person.

Skadevaren som vil deg vondt

La oss begynne med fienden du sjelden ser. Skadevare, eller malware, er en samlebetegnelse på ondsinnet programvare laget for å skade eller utnytte datasystemer. Den finnes i mange former, og det lønner seg å kjenne dem fra hverandre.

Et virus fester seg til andre filer og sprer seg når den filen kjøres. Det kan ødelegge data, bremse maskinen eller åpne en bakdør for uvedkommende. En trojaner har et lurere triks: den utgir seg for å være et nyttig program, men skjuler ondsinnet kode inni seg -- akkurat som den trojanske hesten den er oppkalt etter. Klikker du den i gang, kan angriperen få fjernkontroll over maskinen din.

Det kanskje mest fryktede i dag er ransomware, eller løsepengevirus. Det krypterer filene dine og krever betaling for at du skal få tilgangen tilbake. Det rammer privatpersoner, store bedrifter og offentlige institusjoner med samme kalde logikk: betal, ellers er dataene dine borte. I tillegg finnes spyware som overvåker deg i det skjulte og kan logge tastetrykk og stjele passord, en orm som sprer seg selv over nettverk uten å trenge en vertsfil, og adware som spytter ut uønskede annonser, ofte buntet sammen med gratisprogrammer du lastet ned i god tro.

Når angriperen hacker mennesket, ikke maskinen

Noen ganger trenger ikke angriperen å bryte seg gjennom en eneste teknisk barriere. I stedet utnytter de noe langt enklere å manipulere: oss. Sosial manipulering, eller social engineering, spiller på menneskelig tillit, frykt og nysgjerrighet.

Den vanligste varianten er phishing -- falske meldinger som ser ut som de kommer fra en pålitelig avsender. Målet er å lure deg til å oppgi passord, kortinformasjon eller klikke på en skadelig lenke. Spear phishing er en mer målrettet versjon, skreddersydd til en bestemt person med personlig innhold som gjør den mer troverdig. Kommer angrepet som en SMS, kaller vi det smishing -- husk pakken som var «forsinket». Kommer det som en telefonsamtale fra noen som later som de er fra banken eller Microsoft, snakker vi om vishing.

Hvordan kjenner du igjen et phishing-forsøk? Se etter en presserende tone som «kontoen din sperres om 24 timer», en mistenkelig avsenderadresse som ikke matcher den ekte organisasjonen, skrivefeil og dårlig språk, og lenker som ser riktige ut men egentlig peker et helt annet sted. Banken din vil aldri be deg om passordet ditt på e-post. Den lille pausen du tar for å sjekke disse tingene, er ofte forskjellen på trygghet og katastrofe.

Angrep mot systemet og hullene som slipper dem inn

Ikke alle angrep handler om å lure en enkeltperson. Noen retter seg mot hele tjenester og nettverk. Et DDoS-angrep (Distributed Denial of Service) bruker tusenvis av maskiner -- ofte kapret uten eiernes viten -- til å oversvømme en server med forespørsler samtidig, helt til den bryter sammen og tjenesten blir utilgjengelig. I et Man-in-the-Middle-angrep plasserer angriperen seg mellom to parter som kommuniserer, og kan avlytte eller endre dataene. Det skjer gjerne på usikrede Wi-Fi-nettverk, som det på en tilfeldig kafé. Og ved SQL-injeksjon sender angriperen ondsinnet kode inn gjennom et inndatafelt på en nettside, for å lure seg tilgang til databasen bak.

Men hvorfor lykkes disse angrepene? Fordi det finnes sårbarheter å utnytte. Noen er tekniske: feil i programvaren som kan misbrukes før utviklerne rekker å sende ut en oppdatering. En slik ferskt oppdaget feil kalles en zero-day -- utvikleren har hatt «null dager» på å fikse den. Andre sårbarheter er menneskelige: svake passord, gjenbruk av samme passord overalt, eller klikk på ukjente lenker. Og noen er fysiske: en ulåst maskin, en USB-pinne med skadevare, eller en ukryptert bærbar PC som blir glemt på toget. Den gode nyheten er at den vanligste motgiften er gratis og enkel -- å holde programvaren oppdatert tetter kjente hull, og en sunn skepsis stenger mange dører før de rekker å åpnes.

Oppsummering

Vi har sett at trusselbildet på nettet er sammensatt. Skadevare kommer i mange former: virus som fester seg til filer, trojanere som skjuler seg som nyttige programmer, ransomware som krypterer dataene dine mot løsepenger, og spyware som overvåker deg i det skjulte. Men ikke alle angrep er tekniske -- sosial manipulering som phishing, smishing og vishing hacker mennesket i stedet for maskinen, ved å spille på tillit og hastverk.

Noen angrep rammer hele tjenester, som DDoS som overbelaster servere, og Man-in-the-Middle som avlytter kommunikasjon. Felles for dem alle er at de utnytter sårbarheter -- enten tekniske som zero-day-hull, menneskelige som svake passord, eller fysiske som ulåste enheter. Det viktigste forsvaret er ofte det enkleste: oppdatert programvare som tetter kjente hull, og en oppmerksom bruker som tar seg den lille pausen til å tenke før hen klikker.