Datasikkerhet og datakriminalitet

av Ole Petter den 22. desember 2019

Sist oppdatert: 10 februar, 2020 kl 08:40

---

Hva er forskjellen på informasjon og data?

Datasikkerhet og informasjonssikkerhet ses ofte på som to sider av samme sak. Men først er det greit å vite forskjellen på data og informasjon. Data er det materielle grunnlaget for informasjon. Data om en persons alder og yrke/ skole eller annet kan gi informasjon om denne personen er i arbeid, pensjonert eller går på skole.

En mer spesifikk definisjon er at informasjon samles ut av rådata og informasjon er prosessert data som gir mening for mennesker.

Hvert enkelt datapunkt gir som regel ikke mye mening i seg selv, men satt i sammenheng i form av informasjon kan det være veldig nyttig.

Data er altså fakta som må prosesseres for å gi informasjon. Ved hjelp av datasystemer kan man registrere, lagre, behandle og flytte data. Datasikkerhet betyr da å sikre informasjon lagret på datasystemer, informasjon som igjen altså er prosessert data.

Hva er datasikkerhet?

Datasikkerhet kan defineres som ens egen bevissthet om hva hackere og svindlere kan gjøre, og hvordan man selv kan unngå å bli utsatt for datatrusler.

Datasikkerhet omfatter informasjon som er lagret digitalt, mens informasjonssikkerhet dreier seg om kunnskap og måter å tenke på i forhold til sikkerhet.

Det finnes mange måter å bli utsatt for angrep på datamaskiner og andre enheter, og blant de mest omfattende er epost, nettsider som besøkes, og programvare.

Systemer som skal beskytte data er viktig, men vel så viktig er personen som sitter på disse dataene. Man er avhengig av at det ikke deles ut informasjon til uvedkommende, og datasikkerhet handler vel så mye om hvordan man selv skal unngå svindel, som hvordan man skal bruke sikkerhetssystemer i seg selv.

Datakriminalitet defineres som straffbare handlinger som begås ved utnyttelse av informasjonsteknologi. Datakriminalitet skiller seg ut fra vanlig kriminalitet ved flere punkter.

Avstand
Ved hjelp av internett kan en person nå potensielle ofre fra hele verden.

Automatisering
Ved hjelp av automatisering kan hackere automatisk svindle tusenvis av brukere samtidig. Til tross for at store deler av brukerne klarer å unngå svindelen, vil det likevel være en lønnsom prosess på grunn av den store mengden personer som utsettes for angrep. Søppelpost er et slikt eksempel.

Dagens datamaskiner er såpass kraftige at disse automatiseringsprosessene er langt mer effektive, siden de kan bruke målretting og angripe et stort antall personer samtidig.

Teknologisk spredning
Innen hackermiljøer spres ny teknologi fort, og nye metoder for å angripe sikkerhetssystemer utvikles stadig. Sikkerhetseksperter klarer ikke alltid å sette inn nye sikkerhetsprotokoller i tide til å møte den nye trusselen.

Lett å skjule spor
Dagens digitaliserte hverdag gjør livet enklere for folk flest, inkludert hackere. En av de beste siden med den digitale hverdagen er at hackere kan stjele informasjon uten å legge fra seg fysiske spor. Dyktige hackere kan i tillegg omgå mekanismer for deteksjon av endringer som er gjort, kalt logging, og fjerne tegn etter angrep.

Møter aldri offeret
I motsetning til vanlig kriminalitet er digital kriminalitet upersonlig, og det senker terskelen til å gjøre lovbrudd på nettet. Et annet aspekt er at hackere ofte føler personer og organisasjoner med svak sikkerhet gjerne føler at de fortjener å bli hacket hvis de ikke er i stand til å sikre sine systemer.

Hvem står bak sikkerhetsbrudd?

Hackere
Hackere har typisk gode dataferdigheter, og har ulike mål med sin virksomhet.

Svindlere
Svindlere skiller seg ut fra hackere ved at de ikke nødvendigvis har avanserte ferdigheter innen IT, de bruker teknisk enkle metoder for å svindle ofre.

Man skiller også mellom «hackere» og «crackere». Hackere har ofte mindre ondskapsfulle hensikter, ofte avdekker de bare sikkerhetshull.

Crackere benytter andres metoder for egen vinning, og kjøper ofte tilgang til program av mer kyndige personer til å nå sine mål. Handlingene regnes som kriminelle, og fører til tap for ofrene. Script kiddie havner ofte i denne kategorien.

Ulike typer hackere

White-hat
En white-hat hacker er en ansatt sikkerhetsekspert i en bedrift som jobber for å finne sikkerhetstrusler innenfor eget datasystem, og for å forbedre sikkerheten.

Grey-hat
En grey-hat hacker er en person som har gode hensikter, men som ikke er ansatt for å avdekke sikkerhetstrusler, men gjør det av egen vilje. Personen rapporterer gjerne truslene bedriften er utsatt for til kyndig personell, eller bruker informasjonen til å verne kunder mot leverandører.

Black-hat
En black-hat hacker er motivert av spenning, respekt innenfor sitt miljø, eller fortjeneste. Offeret ofres ingen tanker eller medfølelse, og informasjonen som hentes blir ofte videreformidlet til andre interessenter. De er også ofte opphavsmenn til skadevare.

Script kiddie

En script kiddie er en form for cracker, en person som kjøper eller får tilgang til mer kompetente hackere sine script eller verktøy som kan brukes til å angripe datasystemer.

Målet hos en script kiddie er å imponere, og eventuelle konsekvenser blir ikke vurdert. Script kiddies har selv ikke noen særlig grad av kompetanse.

Hacktivist

En hacktivist er en person med en politisk agenda, som bruker it-ferdigheter til å utføre angrep mot sine politiske fiender eller liknende mål.

Hovedformålet hos denne typen datakriminelle er ikke økonomisk gevinst, men publisitet.

Et eksempel på en hacktivist er Edward Snowden, som avslørte graderte opplysninger om det amerikanske etteretningsprogrammet PRISM til flere britiske og amerikanske aviser i 2013.

Social Engineering

Social engineering eller sosial manipulering på norsk, går ut på å bryte gjennom sikkerhetssystemer ved å lure folk på forskjellige måter. Ofte misbrukes identiteter eller tillitsforhold til å skaffe seg informasjon.

Sosial manipulering går ut på å bruke en kombinasjon av psykologi og teknologi for å angripe datasystemer.

Grunnen til at sosial manipulering har økt i omfang er stor satsing hos selskaper på IT-sikkerhet. Det blir stadig vanskeligere å bryte gjennom sikkerhetsmurer, men sikkerheten er bare så trygg som de folkene som jobber med den.

Hvis selskaper har et solid sikkerhetssystem, men dårlige sikkerhetsrutiner blant de ansatte, er det fremdeles gode muligheter for hackere å trenge gjennom. Brukerene av sikkerhetssystemene har for stor tillit til selve systemet, og glemmer å selv tenke gjennom sikkerhetsrutiner.

En typisk fremgangsmåte hos en hacker innen sosial manipulering går ut på å utgi seg for å være fra en myndighet eller et selskap, sende en epost til uvitende som tror eposten er ekte.

Fremgangsmåter

Utgir seg for å være en autoritetsperson

Det er enklere å lure personer hvis personen tror du er fra en høyere instans eller myndighet. En bankrevisor som sier at du må endre kontopplysningene fordi kontoen din har blitt hacket, vil føre til at mange personer går i fellen. Hvis en tilfeldig person sier det samme, er risikoen langt lavere for at svindelen lykkes.

Hvis man sier man er fra banken du har sparepengene dine i, vil terskelen for å bli lurt lavere. Social engineering vil i dette tilfellet innebære at bakmennene har funnet ut hvilken bank offeret bruker til vanlig.

Utgir seg for å være en venn eller en godt likt person

Mennesker er lettere overbevist om å følge råd og forslag fra personer de liker godt, for eksempel en selger med stor karisma. Mange personer har blitt svindlet av personer som utgir seg for å være en langt mer attraktiv person, for eksempel en yngre dame. I virkeligheten kan det vise seg å være en middelaldrende man fra Asia som er ute etter kontoinformasjonen din.

Lokketilbud

Gode tilbud kan være for fristende til å avslå, spesielt hvis de kommer fra en epostadresse som ser legitim ut, som H&M eller Elkjøp. Tilbudene er ofte tidsbegrenset, eller varen er i ferd med å bli utsolgt. Denne tidsnøden gjør at man lettere styres av impulser, og ikke tenker risiko.

Konformitet

Mennesker har en tendens til å gjøre det flertallet gjør. Hvis flere personer i en gruppe kjøper et produkt som viser seg å være svindel, vil gjerne resten av gruppen gå på svindelen før den blir avslørt.

Gjengjelde tjenester

Mennesker har også en tendens til å gjengjelde tjenester, og sosial manipulering utnytter ofte menneskers godhet. Et omfattende eksempel er at en person utgir seg for å være velstående, og som krever et lite beløp for å overføre et enormt beløp tilbake.

Tillit

Et helfrekt eksempel som har forekommet i Norge var at svindlere tok opp forbrukslån i andre personers navn, og overførte disse pengene til denne personens bankkonto. Deretter sendte de en epost til vedkommende og sa at det ved en feiltakelse hadde blitt overført en anselig sum penger til personens bankkonto. En del personer gikk på limpinnen og overførte beløpet de fikk inn på sin egen konto, til kontoen til svindlerene.

Dette er et eksempel på sosial manipulering hvor svindlere utnytter folks tillit til andre, i dette tilfellet til personer som utga seg for å være fra en bank.

Finn ut mer

For mer innlegg knyttet til datasikkerhet, trykk her: