Monthly Archives: January 2016

Det amerikanske sikkerhedsselskab Zerodium har tidligere været ude og udlove en klækkelig dusør på en million dollar svarende til knap syv millioner kroner for at finde huller i Apples iOS9.

Læs mere om det her: Udviklere finder kæmpe-sikkerhedshul i iOS 9: Kan score millioner af kroner på opdagelsen

Nu er selskabet så på banen igen med en dusør på 100.000 dollar – næsten 700.000 kroner – til den første person, der kan finde en nul-dags-sårbarhed vedrørende heap protection i Adobes sikkerhedsmæssigt stærkt kritiserede Flash-platform.

Det sker efter, at Adobe med hjælp fra blandt andre Google og Microsoft uden det helt store tordenbulder introducerede heap protection til Flash i december, skriver Softpedia.

Adobes sikkerhedsannoncering kan du finde her. 

Prisen banket i vejret
Zerodium har specialiseret sig i at købe nul-dags-sårbarheder i forskellig software med henblik på videresalg af denne viden til efterretningstjenester.

Tidligere lå selskabets dusør for Flash-sårbarheder nede på 80.000 dollar.

Men ifølge Zerodiums prisliste er pengesummen blevet tilføjet yderligere 20.000 dollar som følge af Adobes introduktion af heap protection, som er en metode til at isolere dataprocesser i computerens hukommelse.

Det har sikkerhedsselskabet blandt andet annonceret på Twitter, som du kan se her.

Læs også:
Dansk it-sikkerhedsmand bliver jagtet af kriminelle: “Jeg forsøger for at holde lav profil”

Sådan er trusselsniveauet i Danmark lige nu: Disse ting truer især det danske it-landskab

Første gang det lykkes: Hackere lukker for strømmen til hundredevis af boliger

Det amerikanske sikkerhedsselskab Zerodium har tidligere været ude og udlove en klækkelig dusør på en million dollar svarende til knap syv millioner kroner for at finde huller i Apples iOS9.

Læs mere om det her: Udviklere finder kæmpe-sikkerhedshul i iOS 9: Kan score millioner af kroner på opdagelsen

Nu er selskabet så på banen igen med en dusør på 100.000 dollar – næsten 700.000 kroner – til den første person, der kan finde en nul-dags-sårbarhed vedrørende heap protection i Adobes sikkerhedsmæssigt stærkt kritiserede Flash-platform.

Det sker efter, at Adobe med hjælp fra blandt andre Google og Microsoft uden det helt store tordenbulder introducerede heap protection til Flash i december, skriver Softpedia.

Adobes sikkerhedsannoncering kan du finde her. 

Prisen banket i vejret
Zerodium har specialiseret sig i at købe nul-dags-sårbarheder i forskellig software med henblik på videresalg af denne viden til efterretningstjenester.

Tidligere lå selskabets dusør for Flash-sårbarheder nede på 80.000 dollar.

Men ifølge Zerodiums prisliste er pengesummen blevet tilføjet yderligere 20.000 dollar som følge af Adobes introduktion af heap protection, som er en metode til at isolere dataprocesser i computerens hukommelse.

Det har sikkerhedsselskabet blandt andet annonceret på Twitter, som du kan se her.

Læs også:
Dansk it-sikkerhedsmand bliver jagtet af kriminelle: “Jeg forsøger for at holde lav profil”

Sådan er trusselsniveauet i Danmark lige nu: Disse ting truer især det danske it-landskab

Første gang det lykkes: Hackere lukker for strømmen til hundredevis af boliger

Statsrevisor for Det Konservative Folkeparti, Lars Barfoed

Sagen om Rigspolitiets brud på udbudsreglerne tiltrækker sig mange øjne på øverste niveau.

Folketingets retsudvalg stillede spørgsmål til justitsminister Søren Pind om sagen i december, og nu skal statsrevisorerne diskutere sagen.

Det kan ende med at Rigsrevisionen undersøger flere offentlige instanser med kontrakter med CSC.

Sagen kort
Sagen tog sin begyndelse, da Computerworld 1. december afslørede, at Rigspolitiet i årevis har fornyet en række millionkontrakter med CSC uden de lovpligtige udbudsrunder, som skal sikre den bedst mulige pris.

Siden 1996 har ingen andre virksomheder haft mulighed for at byde på opgaven.

Og det er ulovligt, mener flere eksperter.

Den vurdering har konstitueret direktør for Rigspolitiets Koncern IT, John Vestergaard dog ikke ønsket at forholde sig til.

Den modvillige minister
Justitsminister Søren Pind (V) ønskede heller ikke at forholde sig til sagen, da Computerworld henvendte sig i december.

Det er han siden blevet nødsaget til at gøre alligevel, da Alternativets retsordfører, Josephine Fock på baggrund af Computerworlds afsløringer i et skriftligt spørgsmål til justitsministeren beder ham om at forholde sig til sagen.

Det kan du læse mere om her: Sag om manglende it-udbud i Rigspolitiet lander på justitsminister Søren Pinds bord

Det lyder underligt
Statsrevisor for Det Konservative Folkeparti, Lars Barfoed mener ligesom Josephine Fock, at sagen er værd at se nærmere på.

“Jeg synes, at det lyder underligt, at det skulle forholde sig sådan, at Rigspolitiet ikke overholder udbudsreglerne. Derfor har jeg i første omgang spurgt Rigsrevisionen, om den kender til det, som Computerworld har beskrevet og bedt om at få Rigsrevisionens bemærkninger, så jeg kan drøfte dem med de andre statsrevisorer næste gang vi mødes,” fortæller Lars Barfoed.

Der kan være et mønster
Men Rigspolitiets lovbrud er ikke en enlig svale.

Computerworld har tidligere beskrevet, hvordan Skat ikke har haft en række kontrakter med CSC i udbud siden 1996. Forklaringen fra Skat er næsten ord til andet den samme som forklaringen fra Rigspolitiet.

Kontrakterne blev overtaget af CSC med opkøbet af det statslige it-selskab Datacentralen i 1996, systemerne er forældede, og der er ikke nok systemdokumentation fra CSC til, at man kan udarbejde udbudsmateriale.

Den systemdokumentation har Rigspolitiet og Skat først bedt om i henholdsvis 2014 og 2015. Næsten 20 år efter CSC overtog kontrakterne med opkøbet af Datacentralen.

Det kan du læse mere om her: Skat har brudt loven i 19 år: Har underskrevet million-kontrakter med CSC i årevis uden at sende ordrerne i udbud

Rigsrevisonen kan undersøge flere CSC-kunder
Noget tyder altså på, at der kan være tale om et generelt problem hos offentlige instanser, som har systemer, der blev driftet af Datacentralen.

Som udgangspunkt vil Lars Barfoed først til se nærmere på Rigspolitiet.

“Nu vil jeg høre Rigsrevisionens bemærkninger til den konkrete sag med Rigspolitiet. Hvis der er noget om sagen, skal den undersøges.”

Men på baggrund af Computerworlds oplysninger om Skat, mener Lars Barfoed, at der kan være grundlag for en større undersøgelse.

“Hvis der er et generelt mønster om, at statslige institutioner ikke laver udbud på kontrakter fra den tid, er det værd at overveje at lave en tværgående undersøgelse.”

Det vil i så tilfælde være Rigsrevisionen, der skal se nærmere på, om der er et mønster.

Statsrevisorerne mødes næste gang 27. januar, og Computerworld følger selvfølgelig op på sagen.

Læs også: Eksperter om Rigspolitiets CSC-kontrakter: Det er et klart brud på loven

Statsrevisor for Det Konservative Folkeparti, Lars Barfoed

Sagen om Rigspolitiets brud på udbudsreglerne tiltrækker sig mange øjne på øverste niveau.

Folketingets retsudvalg stillede spørgsmål til justitsminister Søren Pind om sagen i december, og nu skal statsrevisorerne diskutere sagen.

Det kan ende med at Rigsrevisionen undersøger flere offentlige instanser med kontrakter med CSC.

Sagen kort
Sagen tog sin begyndelse, da Computerworld 1. december afslørede, at Rigspolitiet i årevis har fornyet en række millionkontrakter med CSC uden de lovpligtige udbudsrunder, som skal sikre den bedst mulige pris.

Siden 1996 har ingen andre virksomheder haft mulighed for at byde på opgaven.

Og det er ulovligt, mener flere eksperter.

Den vurdering har konstitueret direktør for Rigspolitiets Koncern IT, John Vestergaard dog ikke ønsket at forholde sig til.

Den modvillige minister
Justitsminister Søren Pind (V) ønskede heller ikke at forholde sig til sagen, da Computerworld henvendte sig i december.

Det er han siden blevet nødsaget til at gøre alligevel, da Alternativets retsordfører, Josephine Fock på baggrund af Computerworlds afsløringer i et skriftligt spørgsmål til justitsministeren beder ham om at forholde sig til sagen.

Det kan du læse mere om her: Sag om manglende it-udbud i Rigspolitiet lander på justitsminister Søren Pinds bord

Det lyder underligt
Statsrevisor for Det Konservative Folkeparti, Lars Barfoed mener ligesom Josephine Fock, at sagen er værd at se nærmere på.

“Jeg synes, at det lyder underligt, at det skulle forholde sig sådan, at Rigspolitiet ikke overholder udbudsreglerne. Derfor har jeg i første omgang spurgt Rigsrevisionen, om den kender til det, som Computerworld har beskrevet og bedt om at få Rigsrevisionens bemærkninger, så jeg kan drøfte dem med de andre statsrevisorer næste gang vi mødes,” fortæller Lars Barfoed.

Der kan være et mønster
Men Rigspolitiets lovbrud er ikke en enlig svale.

Computerworld har tidligere beskrevet, hvordan Skat ikke har haft en række kontrakter med CSC i udbud siden 1996. Forklaringen fra Skat er næsten ord til andet den samme som forklaringen fra Rigspolitiet.

Kontrakterne blev overtaget af CSC med opkøbet af det statslige it-selskab Datacentralen i 1996, systemerne er forældede, og der er ikke nok systemdokumentation fra CSC til, at man kan udarbejde udbudsmateriale.

Den systemdokumentation har Rigspolitiet og Skat først bedt om i henholdsvis 2014 og 2015. Næsten 20 år efter CSC overtog kontrakterne med opkøbet af Datacentralen.

Det kan du læse mere om her: Skat har brudt loven i 19 år: Har underskrevet million-kontrakter med CSC i årevis uden at sende ordrerne i udbud

Rigsrevisonen kan undersøge flere CSC-kunder
Noget tyder altså på, at der kan være tale om et generelt problem hos offentlige instanser, som har systemer, der blev driftet af Datacentralen.

Som udgangspunkt vil Lars Barfoed først til se nærmere på Rigspolitiet.

“Nu vil jeg høre Rigsrevisionens bemærkninger til den konkrete sag med Rigspolitiet. Hvis der er noget om sagen, skal den undersøges.”

Men på baggrund af Computerworlds oplysninger om Skat, mener Lars Barfoed, at der kan være grundlag for en større undersøgelse.

“Hvis der er et generelt mønster om, at statslige institutioner ikke laver udbud på kontrakter fra den tid, er det værd at overveje at lave en tværgående undersøgelse.”

Det vil i så tilfælde være Rigsrevisionen, der skal se nærmere på, om der er et mønster.

Statsrevisorerne mødes næste gang 27. januar, og Computerworld følger selvfølgelig op på sagen.

Læs også: Eksperter om Rigspolitiets CSC-kontrakter: Det er et klart brud på loven

Det er opfindelsen Everykey, der skal være løsningen på alle dine password- og nøgleproblemer, hvis det altså står til den flamboyante, men også entreprenante og tidligere antivirus-konge, John McAfee.

Han har nemlig opfundet en lille hardware-enhed, der på sikker vis kan rumme alle dine adgangskoder.

Måske kan du huske ham fra denne video: Kendt antivirus afgår nu ved døden. I den kan du se, hvordan John McAfee anbefaler, at man afinstallerer programmet, der bærer hans navn. Det er ganske god underholdning.

Selv om Everykey på overfladen bare ligner en lille plastikdims, så er tilstrømningen af investorer på finansieringssiden Indiegogo enorm.

Indsamlingen ligger allerede 600 procent over det ønskede beløb, og der er stadige en lille uge tilbage.

Læs også: McAfee-skaber vil bygge netværks-gadget, der gør dig helt anonym

Krypteret Bluetooth
Der gemmer sig da også lidt teknologi under den sorte plastikskal.

Everykey kan låse en enhed op, hvis brugeren befinder sig i nærheden af den aktuelle enhed eksempelvis en telefon.

Omvendt så låses en enhed så snart, at ejeren bevæger sig væk igen.

Ifølge John McAfee kan teknologien anvendes på alt fra login på websider til din telefon og som nøglen til din bil eller gadedør.

Nøglen udsender et krypteret Bluetooth-signal til den låste enhed, når du er nær nok. Enheden dekrypterer signalet og deaktiverer sikkerhedsmekanismerne, hvis der er tale om et match.

Der er ikke gemt et eneste password på selve Everykey-enheden. De opbevares i stedet i krypteret form på en server.

Det er kun Everykey-ejeren, der har dekrypteringsnøglen til adgangskoderne, hvilket skal sørge for at sikkerheden er personlig.

Produktet benytter 128-bits AES-kryptering og Bluetooth 4.0-standarden. Den er kompatibel med både Windows, OS X, Android, iOS og Linux samt browserne Firefox, Edge, Chrome og Safari.

Den lades op via USB og har angiveligt en batterilevetid på en måned.

Hvis du taber din Everykey eller, hvis den bliver stjålet, kan brugeren fjernlåse den via en medfølgende app.

Prisen er lidt i den pebrede ende, og den ligger på lige under 900 kroner.

Den kan dog blive billigere, når produktionen går i gang til marts næste år.

Du kan se John McAfee beskrive produktet i videoen herunder.

Det er opfindelsen Everykey, der skal være løsningen på alle dine password- og nøgleproblemer, hvis det altså står til den flamboyante, men også entreprenante og tidligere antivirus-konge, John McAfee.

Han har nemlig opfundet en lille hardware-enhed, der på sikker vis kan rumme alle dine adgangskoder.

Måske kan du huske ham fra denne video: Kendt antivirus afgår nu ved døden. I den kan du se, hvordan John McAfee anbefaler, at man afinstallerer programmet, der bærer hans navn. Det er ganske god underholdning.

Selv om Everykey på overfladen bare ligner en lille plastikdims, så er tilstrømningen af investorer på finansieringssiden Indiegogo enorm.

Indsamlingen ligger allerede 600 procent over det ønskede beløb, og der er stadige en lille uge tilbage.

Læs også: McAfee-skaber vil bygge netværks-gadget, der gør dig helt anonym

Krypteret Bluetooth
Der gemmer sig da også lidt teknologi under den sorte plastikskal.

Everykey kan låse en enhed op, hvis brugeren befinder sig i nærheden af den aktuelle enhed eksempelvis en telefon.

Omvendt så låses en enhed så snart, at ejeren bevæger sig væk igen.

Ifølge John McAfee kan teknologien anvendes på alt fra login på websider til din telefon og som nøglen til din bil eller gadedør.

Nøglen udsender et krypteret Bluetooth-signal til den låste enhed, når du er nær nok. Enheden dekrypterer signalet og deaktiverer sikkerhedsmekanismerne, hvis der er tale om et match.

Der er ikke gemt et eneste password på selve Everykey-enheden. De opbevares i stedet i krypteret form på en server.

Det er kun Everykey-ejeren, der har dekrypteringsnøglen til adgangskoderne, hvilket skal sørge for at sikkerheden er personlig.

Produktet benytter 128-bits AES-kryptering og Bluetooth 4.0-standarden. Den er kompatibel med både Windows, OS X, Android, iOS og Linux samt browserne Firefox, Edge, Chrome og Safari.

Den lades op via USB og har angiveligt en batterilevetid på en måned.

Hvis du taber din Everykey eller, hvis den bliver stjålet, kan brugeren fjernlåse den via en medfølgende app.

Prisen er lidt i den pebrede ende, og den ligger på lige under 900 kroner.

Den kan dog blive billigere, når produktionen går i gang til marts næste år.

Du kan se John McAfee beskrive produktet i videoen herunder.

Peter Kruse, teknisk direktør i sikkerhedsfirmaet CSIS.

It-sikkerhedsekspert Peter Kruses telefon ringer, og på displayet skimter han sin mors telefonnummer, før han besvarer opkaldet.

Men til sin store overraskelse svarer displayets nummer ikke til den angivne opkaldsperson. 

Telefonsamtalen er nemlig fyldt med trusler om bål og brand fra en it-kriminel, der har fået ødelagt sin ulovlige forretning af sikkerhedsfirmaet CSIS, hvor Peter Kruse er ansat.

Moderens telefonnummer blev misbrugt i et såkaldt Caller ID spoof, der angiver et falsk nummer i forbindelse med et opkald.

“Min første reaktion var raseri, og jeg reagerede meget aggressivt. Det er selvfølgelig ikke hensigtsmæssigt, men jeg følte mig særligt eksponeret, fordi jeg troede det var min mor, der ringede, og så viste det sig at være en trussel,” fortæller han om episoden.

Har du oplevet andre episoder?

“Ja, der har været en del episoder. CSIS har været med i flere hændelser, hvor der er blevet afdækket internetsvindel og lukket ned for ulovlig virksomhed, hvilket har betydet en del direkte kontroverser med it-kriminelle.”

Disse sammenstød har betydet, at Peter Kruse har været nødt til at ændre på sin adfærd i det offentlige rum.

“Jeg har nok hørt til de meget åbenmundede i branchen, men i dag forsøger jeg at nedtone kommunikationen om konkrete episoder. Hvis vi eksempelvis lukker et botnet ned, nævner vi ikke enkelte navne, men bruger højst firmanavnet som reference. Vi udnytter ikke vores håneret over for de it-kriminelle i dag. Der er konsekvenserne simpelthen for store,” fortæller han.

Når de it-kriminelles forretninger bliver ødelagt, så gør det selvsagt ondt på deres pengepung. Derfor kan reaktionerne være ret håndfaste overfor it-sikkerhedsfolkene, der ødelægger de kriminelles levegrundlag.

“Vi har ofte oplevet, at vores arbejde har havnet i sanktioner og i direkte hævnaktioner. Det har mange i branchen oplevet, det er ikke kun mig eller CSIS.”

Der er eksempler på indbrud i folks hjem, elektroniske trusler, breve og sågar fax-beskeder med påskrevne beskeder om alverdens ondskab, hvis sikkerhedsfolkene ikke holder nallerne for sig selv.

“Vi får jævnligt beskeder om, at vi ikke skal ødelægge deres forretning, for ellers vil det få konsekvenser.”

Spørgsmålet om chikane fra it-kriminelle er et følsomt område, som sikkerhedsbranchen ikke altid taler åbent om. Et svar fra et andet stort sikkerhedsfirma lyder eksempelvis:

“Generelt kommenterer vi desværre ikke på tidligere, nuværende eller fremtidige sikkerhedshændelser, trusler eller chikane mod ansatte. Vi samarbejder med myndigheder lokalt og globalt i tilfælde af hændelser, som kunne udgøre en form for trussel mod ansatte.”

Men det er et problem, der bliver snakket om bag lukkede døre

“Vi har selvfølgelig vores egne lukkede netværk i sikkerhedsindustrien, hvor vi mødes. Og her diskuterer vi med jævne mellemrum disse episoder. Ligeledes er der stor disciplin om, hvad der slipper ud til offentligheden fra disse samlinger,” siger Peter Kruse.

Læs også: Han var med til at afsløre Stuxnet: “Der er tonsvis af spionageprogrammer”

Alt fra telefontrusler til joe job
Kan du fortælle hvilke typer angreb, der har været rettet mod din person?

“Der har været telefontrusler, voicemail-beskeder, mails og DDoS-angreb rettet mod mig. Der har været Joe job-angreb, hvor der sendes spambeskeder ud i mit navn, der har været alle tænkelige og utænkelig angreb.”

Hvad sker der i dit hoved, når det sker?

“Det er en blanding af to følelser. Man bliver selvfølgelig ængstelig og bekymret. Den næste følelse er vrede. Vrede er selvfølgelig ikke løsningen, men det er nok en naturlig psykologisk reaktion, fordi man selvfølgelig føler et pres. Det er en blanding af de to.”

Hvordan tackler man situationerne?

“Vi gør flere ting. I første omgang har vi valgt en langt mere defensiv stil i vores kommunikation i forbindelse med de aktioner, som vi indgår i. Vi har erkendt, at vi ikke får noget ud af at vifte med en rød klud under næsen på de kriminelle. I den fysiske verden uddanner vi løbende vores personale i håndtering af konfliktsituationer for at polstre dem.”

Foretager I også tekniske tiltag?

“Vi gør alle mulige tiltag på den front. Både i forbindelse med generelle virusangreb eller de virusangreb, der ser ud til at være udsendt fra os, hvilket vi har prøvet et par gange. Vi forsøger at beskytte systemerne mod bomber af datapakker i form af DDoS. Der er flere tiltag i den retning, og vi flytter os hele tiden fordi teknologien rykker sig.”

Læs også: Tag med på en rejse ned i det dybe, sorte net hvor kriminelle og aktivister holder hof

Vi har snakket med sikkerhedsfirmaer, der ikke ønsker, at fortælle om problemerne. Hvorfor gør du det?

“Jeg tror, at man er nødt til at være åben til en vis grænse. Der skal være en debat om tingene, ellers ligger de bare og ulmer. Vi taler også åbent om det internt for at kunne imødegå konflikter. Det er en risiko i vores arbejde, som vi må forholde os til.”

Kender man ligefrem hinanden i denne krig? De it-kriminelle kender i et vist omfang it-sikkerhedsfolkene, men ved i også hvem de it-kriminelle er?

“Vi opererer i en åben verden, mens de kriminelles miljø er meget lukket. Der er et generelt indtryk af, at kriminaliteten bliver mere og mere organiseret, som den kendes fra den fysiske verden. Derfor er det svært at gennemskue præcis hvem, der bliver ramt, når vi lukker en ulovlighed ned. Så på den måde er det ikke et personligt opgør mellem to stammer.”

Betyder disse trusselssituationer, at sikkerhedsbranchen bliver mere og mere lukket og ugennemskuelig for offentligheden?

“Ja, det gør det nok. Der er flere og flere ting, der bliver holdt inden for lukkede fora. Ligeledes bliver der ofte lagt et slør hen over hvem, der gør hvad i en nedlukning af en kriminel forretning, der ofte involverer politi, sikkerhedsfirmaer og andre myndigheder. Det handler jo også om, at it-sikkerhedsfolk skal have en sikker og tryg hverdag, når de går hjem fra arbejde.”

Peter Kruse, teknisk direktør i sikkerhedsfirmaet CSIS.

It-sikkerhedsekspert Peter Kruses telefon ringer, og på displayet skimter han sin mors telefonnummer, før han besvarer opkaldet.

Men til sin store overraskelse svarer displayets nummer ikke til den angivne opkaldsperson. 

Telefonsamtalen er nemlig fyldt med trusler om bål og brand fra en it-kriminel, der har fået ødelagt sin ulovlige forretning af sikkerhedsfirmaet CSIS, hvor Peter Kruse er ansat.

Moderens telefonnummer blev misbrugt i et såkaldt Caller ID spoof, der angiver et falsk nummer i forbindelse med et opkald.

“Min første reaktion var raseri, og jeg reagerede meget aggressivt. Det er selvfølgelig ikke hensigtsmæssigt, men jeg følte mig særligt eksponeret, fordi jeg troede det var min mor, der ringede, og så viste det sig at være en trussel,” fortæller han om episoden.

Har du oplevet andre episoder?

“Ja, der har været en del episoder. CSIS har været med i flere hændelser, hvor der er blevet afdækket internetsvindel og lukket ned for ulovlig virksomhed, hvilket har betydet en del direkte kontroverser med it-kriminelle.”

Disse sammenstød har betydet, at Peter Kruse har været nødt til at ændre på sin adfærd i det offentlige rum.

“Jeg har nok hørt til de meget åbenmundede i branchen, men i dag forsøger jeg at nedtone kommunikationen om konkrete episoder. Hvis vi eksempelvis lukker et botnet ned, nævner vi ikke enkelte navne, men bruger højst firmanavnet som reference. Vi udnytter ikke vores håneret over for de it-kriminelle i dag. Der er konsekvenserne simpelthen for store,” fortæller han.

Når de it-kriminelles forretninger bliver ødelagt, så gør det selvsagt ondt på deres pengepung. Derfor kan reaktionerne være ret håndfaste overfor it-sikkerhedsfolkene, der ødelægger de kriminelles levegrundlag.

“Vi har ofte oplevet, at vores arbejde har havnet i sanktioner og i direkte hævnaktioner. Det har mange i branchen oplevet, det er ikke kun mig eller CSIS.”

Der er eksempler på indbrud i folks hjem, elektroniske trusler, breve og sågar fax-beskeder med påskrevne beskeder om alverdens ondskab, hvis sikkerhedsfolkene ikke holder nallerne for sig selv.

“Vi får jævnligt beskeder om, at vi ikke skal ødelægge deres forretning, for ellers vil det få konsekvenser.”

Spørgsmålet om chikane fra it-kriminelle er et følsomt område, som sikkerhedsbranchen ikke altid taler åbent om. Et svar fra et andet stort sikkerhedsfirma lyder eksempelvis:

“Generelt kommenterer vi desværre ikke på tidligere, nuværende eller fremtidige sikkerhedshændelser, trusler eller chikane mod ansatte. Vi samarbejder med myndigheder lokalt og globalt i tilfælde af hændelser, som kunne udgøre en form for trussel mod ansatte.”

Men det er et problem, der bliver snakket om bag lukkede døre

“Vi har selvfølgelig vores egne lukkede netværk i sikkerhedsindustrien, hvor vi mødes. Og her diskuterer vi med jævne mellemrum disse episoder. Ligeledes er der stor disciplin om, hvad der slipper ud til offentligheden fra disse samlinger,” siger Peter Kruse.

Læs også: Han var med til at afsløre Stuxnet: “Der er tonsvis af spionageprogrammer”

Alt fra telefontrusler til joe job
Kan du fortælle hvilke typer angreb, der har været rettet mod din person?

“Der har været telefontrusler, voicemail-beskeder, mails og DDoS-angreb rettet mod mig. Der har været Joe job-angreb, hvor der sendes spambeskeder ud i mit navn, der har været alle tænkelige og utænkelig angreb.”

Hvad sker der i dit hoved, når det sker?

“Det er en blanding af to følelser. Man bliver selvfølgelig ængstelig og bekymret. Den næste følelse er vrede. Vrede er selvfølgelig ikke løsningen, men det er nok en naturlig psykologisk reaktion, fordi man selvfølgelig føler et pres. Det er en blanding af de to.”

Hvordan tackler man situationerne?

“Vi gør flere ting. I første omgang har vi valgt en langt mere defensiv stil i vores kommunikation i forbindelse med de aktioner, som vi indgår i. Vi har erkendt, at vi ikke får noget ud af at vifte med en rød klud under næsen på de kriminelle. I den fysiske verden uddanner vi løbende vores personale i håndtering af konfliktsituationer for at polstre dem.”

Foretager I også tekniske tiltag?

“Vi gør alle mulige tiltag på den front. Både i forbindelse med generelle virusangreb eller de virusangreb, der ser ud til at være udsendt fra os, hvilket vi har prøvet et par gange. Vi forsøger at beskytte systemerne mod bomber af datapakker i form af DDoS. Der er flere tiltag i den retning, og vi flytter os hele tiden fordi teknologien rykker sig.”

Læs også: Tag med på en rejse ned i det dybe, sorte net hvor kriminelle og aktivister holder hof

Vi har snakket med sikkerhedsfirmaer, der ikke ønsker, at fortælle om problemerne. Hvorfor gør du det?

“Jeg tror, at man er nødt til at være åben til en vis grænse. Der skal være en debat om tingene, ellers ligger de bare og ulmer. Vi taler også åbent om det internt for at kunne imødegå konflikter. Det er en risiko i vores arbejde, som vi må forholde os til.”

Kender man ligefrem hinanden i denne krig? De it-kriminelle kender i et vist omfang it-sikkerhedsfolkene, men ved i også hvem de it-kriminelle er?

“Vi opererer i en åben verden, mens de kriminelles miljø er meget lukket. Der er et generelt indtryk af, at kriminaliteten bliver mere og mere organiseret, som den kendes fra den fysiske verden. Derfor er det svært at gennemskue præcis hvem, der bliver ramt, når vi lukker en ulovlighed ned. Så på den måde er det ikke et personligt opgør mellem to stammer.”

Betyder disse trusselssituationer, at sikkerhedsbranchen bliver mere og mere lukket og ugennemskuelig for offentligheden?

“Ja, det gør det nok. Der er flere og flere ting, der bliver holdt inden for lukkede fora. Ligeledes bliver der ofte lagt et slør hen over hvem, der gør hvad i en nedlukning af en kriminel forretning, der ofte involverer politi, sikkerhedsfirmaer og andre myndigheder. Det handler jo også om, at it-sikkerhedsfolk skal have en sikker og tryg hverdag, når de går hjem fra arbejde.”

Kilde: Center for Cybersikkerhed.

Thomas Lund-Sørensen, chef for Center for Cybersikkerhed.

Center for Cybersikkerhed har udgivet en ny trusselsvurdering, der fortæller, at spionage mod offentlige myndigheder og private virksomheder fortsat udgør den alvorligste cybertrussel mod Danmark og danske interesser.

Ligeledes kan man læse, at spionagen primært udføres af statslige og statsstøttede grupper.

“Gennem de seneste år er omfanget af cyberspionage mod Danmark steget betydeligt, og gruppernes metoder og teknikker er blevet mere avancerede,” fortæller Center for Cybersikkerhed.

Truslerne er vurderet på fire forskellige områder:

1: Truslen fra cyberspionage mod danske myndigheder og private virksomheder er vurderet til: Meget høj.

2: Truslen fra cyberkriminalitet mod danske myndigheder og private virksomheder er vurderet til: Meget høj.

3: Truslen fra cyberaktivisme mod danske myndigheder og private virksomheder er vurderet til: Middel.

4: Truslen fra cyberterror mod myndigheder og private virksomheder er vurderet til: Lav.

Trusselsniveauet er opdelt i fem trin, der beskriver faren. De hedder: Ingen, Meget lav, Middel, Høj og Meget høj.

Tag forbehold i 2016
Rapporten er det første produkt fra Trussels-vurderingsenheden, som blev etableret som led i den nationale strategi for cyber- og informationssikkerhed og er placeret under Center for Cybersikkerhed.

“Formålet med trusselsvurderingen er at skabe opmærksomhed omkring de cybertrusler, vi ved, der er mod Danmark, så vi dermed kan tilskynde virksomheder og myndigheder til at tage truslerne med i deres risikovurdering og efterfølgende tage deres forholdsregler,” siger Thomas Lund-Sørensen, chef for Center for Cybersikkerhed om trusselsvurderingen og han fortsætter:

“Det vil være et godt nytårsforsæt for ledelserne i virksomheder og myndigheder at gøre 2016 til året hvor cybersikkerhed kommer centralt på dagsordenen. Der er nemlig tale om et meget højt trusselsniveau.”

I rapporten er der også opstillet en række anbefalinger til håndtering af cybertrusler.
 
Læs også: Tre effektive råd: Sådan beskytter du mod målrettede angreb

Du kan selv hente rapporten her.

Læs også:
Voldsomt fokus på it-sikkerhed kan være en guldgrube – men langt fra alle hiver gevinsten hjem

Teknik er ikke nok mod ransomware-angreb: Her er fem veje til moden it-sikkerhed