Hackingen af Svitzer ligner CEO-hacking

Anders Kjærulff, Radio24syv, kommenterer det nye snigende forsøg på at liste fortrolige informationer ud af et Mærsk-datterselskab

Når vi hører om hacking, handler det ofte om virksomheder som pludselig er i alvorlige vanskeligheder efter at en udefrakommende fjendtlig aktør har hacket sig ind og inficeret servere og computere med for eksempel NotPetaya eller Wannacry-ormen.

Sommerens angreb på A.P. Møller Mærsk var så voldsomt, at vi ”basalt set var nødt til at geninstallerede hele vores infrastruktur. Vi måtte installere 4.000 nye servere, 45.000 nye pc’er og 2.500 applikationer. Det blev gjort over 10 dage,” sagde bestyrelsesformanden Jim Hagemann Snabe under World Economic Forum om indgrebet som kostede Mærsk 1,9 milliarder kroner i tabt omsætning.

Listetyve rammer koncern

Mere lumsk er det angreb, som Mærsk-datterselskabet Svitzer Australia samtidig har været ude for. Mens Jim Hagemann udlagde sommerens angreb på World Economic Forum var han ikke klar over, at en ukendt infiltrator måneder forinden havde hacket sig ind i 50-60.000 e-mails og 500 medarbejderes følsomme personoplysninger i datterselskabet Svitzer Australias mailsystem.

I stedet for at vælte hele butikken havde listetyven tilegnet sig fortrolige data om gennem en autoforward som var koblet til en understøttende regel, der efterfølgende slettede de videresendte mails. Indehaverne af de berørte mailkontier kunne ikke se, at deres fortrolige mails var blevet videresendt.

Anders Kjærulff, redaktør Radio24syv

Alle er enige om, at det er usædvanligt at se informationer blive filtreret ud på denne måde. Men hvad skal man egentlig lægge i denne fremgangsmåde har vi spurgt Anders Kjærulff Christensen om, der om nogen har beskæftiget sig med sikkerhedsspørgsmål i Radio24syv-programmet ”Aflyttet”:

”E-mail er stadig den ultimative måde at få ram på folk på,” bekræfter Anders Kjærulff. ”Det som er smart ved det her set up, er, at det har haft mulighed for at køre relativt længe, uden at nogen har opdaget det. Hvilket bestemt er forbavsende.

Fremgangsmåden ligner noget, man godt kunne finde på at lave med en politiker i Folketinget eller en embedsmand. Der er opstået et begreb her på det sidste – CEO-hacking – hvor man går efter cheferne! Hvis man kan få fat i deres mailadresse og telefonnummer, er de typisk nemmere at narre, end folk ude i systemet.

For det første har CEO’s typisk adgang til flere ting i systemet, end de har brug for. Men fordi de er chefer, skal de jo have denne adgang. Gennem de sociale medier kan man for eksempel finde ud af, hvornår chefen er på ferie. Når man har identificeret vedkommendes sekretær, kan man prøve at ringe til vedkommende og hævde: Den regning vi har sendt for to måneder siden, er ikke betalt!

Sekretæren siger typisk, at hun ikke har set nogen regning. Så svarer CEO-hackeren: Det kan jeg ikke forstå. Vi har sendt den den og den dato! Så begynder sekretæren at rode rundt. Alle bliver enige om at det er mærkeligt. Så falder det afgørende argument: Vi er en subcontractor. Tingene kommer ikke til at virke, hvis vi ikke får vores penge nu!

Så siger hackeren imødekommende: Jeg kan sende regningen en gang til. Så har du den med det samme. Der er rigtig mange tilfælde, hvor en travl og stresset sekretær ikke vil forstyrre chefen eller ikke tør, hvor det så ender med at firmaet betaler, hvis ellers man virker tilstrækkelig overbevisende og præsenterer noget med det rigtige brevhoved på. Der er firmaer der er blevet snydt, fra alt mellem 50.000 kroner til en halv million kroner.

Hackere arbejder med psykologiske profiler

Man skal gøre sig klart at også hackere bruger psykologisk profilering. Det første de går efter er, hvem der er ansat. Dernæst går hackeren i gang med de ansattes sociale mediaprofiler. Når man har fået de sociale medieprofiler, kan man køre nogle programmer inde over, som giver en idé om, hvem af denne gruppe af mennesker er mest responsive. Det vil typisk være sekretæren, der i forvejen sidder med en masse ting, hvor man så kan regne sig frem til, at hvis man trykker hende på maven på et bestemt tidspunkt vil hun reagere og komme til at gøre noget, som hun på et andet tidspunkt ikke ville have gjort. Den menneskelige faktor er altid det svage punkt.

Ny lovgivning tvinger til åbenhed

Der findes noget dansk noget, kaldet DMARC (Domain-based Message Authentication, Reporting & Conformance) som måske kunne have stoppet dette misbrug. DMARC er en godkendelsesprocedure for e-mails som er designet til at beskytte mod domæne spoofing. Det kunne have sendt en minirapport til administrator.

Det er vigtigt at understrege, at der hersker en stigende åbenhed i erhvervslivet over hacking. Tidligere var man skidebange for at indrømme at man var blevet hacket, man var bange for at kunderne skulle tro, man var fjolser og ikke havde styr på noget som helst. Den nye datasikkerhedslov peger i høj grad i retning af åbenhed. Man skal informere alle som er blevet ramt af hacking inden for 24 timer. Og det gør, at erhvervslivet er begyndt at tale sammen.”

Anders Kjærulff mener i øvrigt at den nye databeskyttelseslov er konkurrenceforvridende, eftersom at den pålægger mindre aktører uforholdsmæssigt meget arbejde til forebyggelse og rapportering. Alt imens har Australiens nye Notifiable Data Breaches sceme ifølge The Daily Swig gjort, at alle australske kunder er blevet informeret direkte af den danske slæbebådsgigant. Virksomhederne har som i Danmark pligt til at anmelde, og det er så også sket.

Tilføj en kommentar

This site uses Akismet to reduce spam. Learn how your comment data is processed.

En del af

BFIH Logo

Partners

Authorized-partner-Heimdal

Kreditvurdering

Vi er en kreditværdig virksomhed baseret på Bisnodes kreditvurderingssystem. Vurderingen er foretaget ud fra en mængde forskellige beslutningsregler. Oplysningerne bliver opdateret dagligt via Bisnodes database. Kreditvurderingen af virksomheden er således altid aktuel.

IT-Hotellet ApS © 2018. All rights reserved.