Erum berskjölduð fyrir hökkurum

„Það er erfitt að segja til um hvort er aukning í þessu. Maður er að minnsta kosti að heyra meira af þessu. Það er mjög líklegt að það sé aukning. Á heimsvísu erum við að sjá mjög stóra gagnaleka hvað eftir annað,“ segir Kristján Valur Jónsson, sérfræðingur hjá CERT-ÍS.

Á miðvikudaginn tilkynntu forsvarsmenn tæknifyrirtækisins Yahoo! að fyrirtækið hefði orðið fyrir mestu netárás heimsins sem sneri að gögnum viðskiptavina. Talið er að um einn milljarður notendareikninga hjá fyrirtækinu hafi verið hakkaður árið 2013. Er þetta í annað skipti á tveimur árum sem Yahoo! verður fyrir tölvuárás af þessu tagi en árið 2014 voru 500 milljónir reikninga hjá fyrirtækinu hakkaðar.

Árásin er litin alvarlegum augum þar sem svo virðist að þeir sem hökkuðu sig inn á reikninga árið 2013 hafi komist yfir mun viðkvæmari notendaupplýsingar en í árásinni 2014, meðal annars dulkóðaðar öryggisspurningar fólks. Árásin hefur víðtæk áhrif.

Fyrirtækið Verizon tilkynnti um yfirtökutilboð á Yahoo! í sumar sem nú er í uppnámi. Tilboðið nemur 4,8 milljörðum dollara en líklegt er að sest verði aftur að samningaborði vegna verðsins í ljósi þessara brota og jafnvel muni Verizon draga tilboðið til baka.

Fréttir af gagnabrotum sem þessu eru að verða sífellt algengari. Mál sem á síðustu árum hafa snert Íslendinga eru hakk á 68,7 milljónum reikninga Dropbox og á Ashley Madison og Adult Friend Finder. „Ég myndi segja að það væru verulegar líkur á að Íslendingar væru á meðal þeirra sem urðu fyrir Yahoo!-árásinni,“ segir Kristján.

Kristján segir helstu áhrifin af Yahoo!-árásinni og svipuðum árásum vera að ef maður hefur ekki skipt um lykilorð frá 2013 og þau eru auðlesanleg sé möguleiki á að einhver geti þá notfært sér þau. „Ef lykilorðið er þarna í auðlesanlegu formi þá eru bein áhrif á notendur þau að hægt er að skrá sig inn sem ákveðinn notandi og nota reikning viðkomandi í vafasömum tilgangi. Ef það er póstþjónusta er mjög vinsælt að nota hana til að senda ruslpóst, það er hægt að nýta þetta á marga mismunandi vegu sem eru neikvæðir fyrir notendur. Líka til fjárkúgunar.“

Enn liggur ekki fyrir hve miklu af gögnum var stolið af internetinu árið 2016. Árið 2014 var metár þegar 1,02 milljarðar gagna voru misnotaðir en gögnin voru um 700 milljónir í fyrra. 

Í fyrra var færri gögnum stolið en hins vegar var um fleiri árásir að ræða eða 1.673 samkvæmt Business Insider. Hakkarar eru orðnir mjög háþróaðir og skipulagðir í öllu verklagi. Bandarísk rannsókn sýndi fram á það fyrr á árinu að á margan hátt væri hakkaraiðnaðurinn arðbærari en fíkniefnaiðnaðurinn. 

„Þetta er allt angi af því sama, menn hakka auðvitað yfirleitt til þess að nýta sér upplýsingarnar í fjárhagslegum tilgangi með því að selja lykilorð eða notendaupplýsingar. Í tilfelli Adult Friend Finder er möguleiki að menn hafi verið að reyna að kúga fé af aðilum. Þetta snýst allt um peninga með einhverjum hætti,“ segir Kristján.

Hann bendir þó á að stundum snúist þetta einfaldlega um að sýna að þetta sé hægt. „Menn búa sér þannig til trúverðugleika í þessum neðanjarðarheimi. Maður veit ekki hver tilgangurinn er á bak við þetta, það er misjafnt.“

Lekarnir sem hafa ratað í fjölmiðla undanfarin misseri hafa oft verið nokkurra ára gamlir. Kristján segir ástæðu þess fyrst og fremst vera þá að fyrirtæki sem eru hökkuð hafi almennt ekki áhuga á að rata í fréttirnar. „Þetta ratar í fréttirnar þegar vitneskja um þetta kemur upp á yfirborðið. Gögnin úr stóru lekunum hafa oft verið mjög lengi í umferð og menn hafa nýtt sér þessar upplýsingar við tölvuinnbrot til dæmis. Innan síns heims hafa hakkarar vitað af þessum söfnum. Þegar þetta kemur upp á yfirborðið í fréttunum þá neyðast fyrirtæki til að segja frá því. Við sjáum það með Yahoo! og Dropbox.“

Velta má því fyrir sér hvort gagnalekum hafi fjölgað vegna þess að netnotendur séu ekki eins varkárir og áður þó að auðvitað komi margt annað við sögu. Kristján telur á margan hátt að við séum orðin afslappaðri í notkun okkar á netinu. „Netið er orðið hluti af okkar daglega lífi. Til dæmis eru eiginlega allir á Facebook. Það er eiginlega varla möguleiki að sleppa við að nota þjónustur á netinu, það er stór og erfið ákvörðun að kúpla sig út úr því.“

Kristján segir að lítið sé hægt að gera til að verja sig gegn hökkurum þegar kemur að þjónustu þótt alltaf megi auka öryggi sitt á netinu. „Í sjálfu sér er lítið sem almennur notandi getur gert til að verja sig gegn því að þjónustur séu hakkaðar. Það sem hann getur gert til að verja sína hagsmuni er að fara mjög varlega í að skrá sig inn á þjónustur sem maður þekkir miðlungi vel og velta því fyrir sér áður en maður smellir á OK í skráningu.“

Hann telur líka mikilvægt að vera með mismunandi lykilorð fyrir hverja þjónustu. „Ef Yahoo! er hakkað og lykilorð er auðleysanlegt þá er ekki hægt að nota það fyrir aðrar þjónustur. Það er í mannlegu eðli að nota sama eða mjög svipað lykilorð inn á allar sínar þjónustur. Maður takmarkar skaðann mikið með því að nota góð lykilorð og einstök lykilorð fyrir hverja þjónustu,“ segir Kristján Valur Jónsson.

Fréttin birtist fyrst í Fréttablaðinu.