Hvem er de cyberkriminelle som går etter norske bedrifter?
Dette sier sikkerhetseksperten om svindlerne som forsøker seg – og løsningen som stopper 90% av angrepene.
– Vi er alle et digitalt mål. Det spiller egentlig ingen rolle hvor stor eller liten virksomheten du jobber for er, eller hvem du er som privatperson. De som prøver å svindle deg vet ikke om de har nådd en bedrift på Gjøvik eller en i Drammen.
Det er det ene aspektet, ifølge Roar Thon, fagdirektør ved Nasjonal sikkerhetsmyndighet (NSM). Det andre aspektet er at det spiller en rolle hvem du er. Hvorvidt du driver en blomsterforretning på hjørnet eller om du leverer forsvarsmateriell. Hvorvidt du er butikkansatt eller økonomiansvarlig i et konsulentfirma.
Det finnes mange typer hackere. Noen er dem med hvite hatter – slik som i cowboyfilmer – som avdekker sikkerhetsbrudd for å bedre sikkerheten. Andre har svarte hatter og kan beskrives slik Thon gjør: som kjeltringer. Og det er dem som er midt i mellom, som kanskje avdekker sikkerhetshull og så ber om penger for å fikse det.
Selv er ikke Thon altfor begeistret for begrepet ‘hacker’, ettersom det finnes mange gode hackere også.
– Vi bruker heller ‘trusselaktører’ eller ‘kriminelle’ om de som er ute etter personlig vinning, sier Thon.
Penger, informasjon … eller tilgang på andre
Det første aspektet altså. Du kan være hvem som helst, hvor som helst i landet, og du kan fortsatt bli hacket eller svindlet.
– Noe av det viktigste er å ikke tenke ‘de er ikke interesserte i meg, jeg driver bare en liten virksomhet’. Man må ikke minimere seg selv bare fordi man ikke er en stor, nasjonal aktør, sier Thon.
Et IT-angrep kan komme på så mange måter. Det kan være at du, hvor enn «uinteressant» du selv tenker at din rolle er, har fått en e-post hvor du blir bedt om å se statusen for en pakke du ikke har bestilt – men som du i et øyeblikks forglemmelse tror at du har bestilt.
Du får denne e-posten fordi din epostadresse, sammen med 30 000 andre, sto på en mailingliste til en nettside du en gang i tiden kjøpte noe fra. En epostliste som nå er på maskinen til en eller flere personer med kriminelle hensikter.
Du klikker på linken, og så er det muligens gjort. Eller kanskje du til og med betaler det falske gebyret på 27 kroner, fordi du kom til en side som ser helt legitim ut og glemmer å sjekke detaljene. Og da er det i hvert fall gjort – nå er nemlig betalingsinformasjonen din i hendene på de kriminelle.
Gjerningspersonene bryr seg altså ikke om hvem du er, så lenge handlingene dine gjør at de får tilgang til det de ønsker; penger, informasjon eller tilgang til større selskaper via dine kontakter. Mer om dette om litt.
Og disse epostlistene? De kommer i gale hender støtt og stadig.
– Da jeg begynte å kjøpe ting på internett så hadde jeg to e-postadresser. Én som jeg holdt privat, og en annen som jeg brukte for å registrere meg eller kjøpe helt vanlige ting. Og det er på den andre jeg har fått alle mulige slags svindel-eposter, sier Thon.
Lær hvordan du bedre kan sikre din bedrift:
Veiviser
Digital sikkerhet
Cyberkriminalitet er et problem som påvirker alle nivåer i en bedrift. Det er et felles ansvar – og det starter med deg. Denne veiviseren passer for deg som trenger en innføring i cybersikkerhet.
Det spiller en rolle
Men det finnes ulike nivåer av cyberangrep. Selv om hvermansen kan bli rammet, er det større sjanse for at du blir utsatt for angrep om du for eksempel leder en bedrift som leverer forsvarsmateriell.
Dersom de kriminelle bestemmer seg for å gå etter akkurat din bedrift, er det større sannsynlighet for mer sofistikerte teknikker. Kanskje er det bare en annen i selskapet – for eksempel økonomiansvarlig – som får en e-post. Denne kan være mer forseggjort enn vanlige svindelforsøk.
– Mange av svindlerne er flinke til å samle informasjon fra åpne kilder. De skreddersyr svindelforsøket til den enkelte kunden. Det kan være et fakturavedlegg i en epost fra en kunde man allerede har jevnlig kontakt med, og hvor eposten ser helt legitim ut, men hvor beløpet som faktureres går til svindlerne, sier Thon som eksempel.
– Du kan kan gjerne kalle dem kjeltringer.
Du må forstå – og identifisere
Phishing, altså epost-svindel, er en enkel måte å komme seg inn i en virksomhets datasystemer. Veien inn dit er allmenngyldig. Det er angrepsvåpen nummer én fordi det fungerer, ifølge Thon. Han sier at det ikke er én løsning mot såkalt direktørsvindel, altså e-post eller SMS fra personer som utgir seg for å være i ledelsen i bedriften. Ansatte må vite hva som skjer, og må kunne bidra selv.
– For å motstå et sånt forsøk er ikke det viktigste å kjøpe en høyteknologisk boks. Løsningen er å forstå og identifisere. Å ha gode kontrollrutiner. Om noen ber deg om å foreta en hasteutbetaling på 1.5 millioner, så tenk at «jeg alene kan ikke foreta den betalingen nå». Det viktigste middelet mot cyberkriminalitet, alt i alt, er gode interne prosesser, sier Thon.
Dette er trusselaktørene
Ifølge Thon er det nå ofte en organisert virksomhet som står bak. Grupperinger som gjerne kan sitte på hvert sitt hjemmekontor, med hvert sitt spesialfelt. De kan ha egne HR-aktører som aktivt rekrutterer noen med spisskunnskap om e-postsvindel, mens andre i grupperingen kan finanstransaksjoner, andre igjen kildekode.
– Det er blitt mange roller i disse enhetene. Det finnes noen som bruker oversettere, sier Thon.
Thon er noe forundret over fokuset på hvem de cyberkriminelle er. At det er en menneskeliggjøring som ikke hjelper den som blir angrepet. For de som bli angrepet eller svindlet er det generelt viktigere å bedre sikkerheten og rutinene.
– «Alle» står bak slike angrep, sier Thon. Igjen. Det finnes enslige hackere, selv om mengden og konsekvensene av hva de gjør ikke er på langt nær hva vi har lært av forenklede analyser og 90-talls filmer.
Det er også nasjonalstater som kan stå bak, men de bryr seg altså heller lite om blomsterbutikken på hjørnet, og fokuserer heller på militære og nasjonale enheter.
– Når det kommer til hvem de kriminelle er, så bunner det ut i hvem du er, sier Thon.
Går mer mårettet etter store fisker
Det er ofte slik at jo større kundeforhold du har, jo mer utsatt blir du for angrep. Er du for eksempel en underleverandør til et stort nasjonalt eller multinasjonalt selskap, kan du være veien inn til de større fiskene. Tar de kriminelle hånd om din e-post eller dine systemer, kan det lettere gi tilgang til dine kunders.
Det var dette som skjedde under hackingen av Norsk Hydro i 2019, da et tilsynelatende uskyldig vedlegg fra en underleverandør sørget for at et løsepengevirus stengte alle datamaskiner, 35 000 ansatte måtte bruke penn og papir, og tidligere ansatte måtte hentes inn igjen for å vise hvordan man jobbet manuelt på produksjonslinjen.
– Det er litt av grunnen til at alle virksomheter bør ha fokus på sin verdikjede; store virksomheter blir ofte forsøkt rammet via de små, sier Thon.
Det er ikke dermed sagt at alle små og mellomstore bedrifter skal ha en sikkerhetsekspert på standby.
– Alt har en kostnad, så dette er opptil hver enkelt bedrift å vurdere, sier Thon.
Den enkle sikkerheten
Men også små og mellomstore bedrifter rammes av cyberangrep – og av og til kan de rammes hardt. For enkelte kan det å for eksempel bli låst ute av egne datasystemer etter et løsepengevirusangrep medføre kroken på døra.
Likevel er det mange bedrifter som mangler selv de enkleste sikkerhetsrutinene.
– Når vi maser om ting som er så grunnleggende som passordrutiner og tofaktorautentisering, så er det fordi det er her mange svikter. Virksomhetene har mangler i rutinene som de relativt enkelt kan ordne opp i selv. Om man har dette på plass, så står man imot 80-90 prosent av alle angrep, sier Thon.
I dette gratiskurset får du den grunnleggende kunnskapen som må til for starte sikringen av din bedrift:
Veiviser
Digital sikkerhet
Cyberkriminalitet er et problem som påvirker alle nivåer i en bedrift. Det er et felles ansvar – og det starter med deg. Denne veiviseren passer for deg som trenger en innføring i cybersikkerhet.
