Etikett: Teknik

Många it-system i Sverige exponeras för allt större hot och svenska företag är en växande måltavla för cyberattacker, detta enligt en undersökning som teleoperatören Telenor gjort tillsammans med Sifo bland ett tusen tjänstemän inom både privat- och offentlig sektor.
Undersökningen visar att 92 procent av anställda på svenska arbetsplatser utgör ett säkerhetshot genom ett ”it-osäkert beteende, vilket ökar risken för intrång och omkostnader i miljonklassen”, skriver Telenor i ett pressmeddelande.
Det är framförallt lösenorden som utgör ett problem; enligt undersökningen har 74 procent av de anställda så dåliga lösenord att de utsätter arbetsplatsen för allvarliga risker. Nära hälften, 45 procent, av de anställda i undersökningen använder samma lösenord till flera olika tjänster och 30 procent använder gemensamma inloggningsuppgifter till vissa tjänster på arbetsplatsen.
Tre av fyra drabbade av dataintrång
Bland svenska företag och organisationer med fler än 500 anställda har tre av fyra drabbats av dataintrång, vilka under förra året i snitt kostade 30 miljoner kronor att återhämta sig från, en tredubbling från 2018.
– Osäkra lösenord är den lättaste vägen in för cyberbrottslingar. När hackare väl är inne, kan de komma åt känslig information, manipulera betalningssystem eller sabotera affärssystem. Det är intrång som kan stå företagen dyrt och vara tidskrävande att åtgärda, säger han. Det måste vara jättelätt för anställda att göra rätt och ha säkra lösenord. Därför borde arbetsgivare, som standard, jobba med en lösenordshanterare som skyddar alla lösenord i en krypterad fil, säger Telenor Sveriges informationssäkerhetschef Ulf Andersson.
Undersökningen visar också att företagen inte gör det lätt för de anställda att göra rätt och skydda företagen från it-relaterade risker. De allra flesta, eller 93 procent, tycker trots allt att it-säkerhet är viktigt.
– Här borde företagen agera. De måste jobba fortlöpande med utbildning av medarbetarna så att de kan undvika vanliga säkerhetsmissar och får ett säkerhetstänk som hjälper de att fatta rätt beslut, säger Ulf Andersson.
Långsamma med uppdateringar
Ett annat allvarligt hot mot it-säkerheten på svenska arbetsplatser är osäker mjukvaruhantering. På de mindre företagen med 0-19 anställda är de anställda för långsamma med uppdateringar eller laddar ned program från okända företag
Även osäker mjukvaruhantering är ett allvarligt hot mot IT-miljön på svenska arbetsplatser. 59 procent av anställda hos mindre arbetsgivare (0–19 anställda) är för långsamma med uppdateringar eller laddar ner program från okända företag. Hos större arbetsgivare med över 100 anställda är siffran 37 procent.
– Siffran är oroväckande hög – inte minst för de mindre företagen. Ofta är system för komplicerade, vilket leder till irritation och i värsta fall att medarbetare hittar egna vägar runt systemet. Men det är kanske inte de mest it-vana som är de med bäst säkerhetstänk.
Sifo-undersökningen visar att äldre är de mest it-säkra på arbetsplatsen. Tio procent mellan 50–64 år har ett it-säkert beteende jämfört med sex procent i åldern 30–49 år och sju procent i ålder 20–29, säger Ulf Andersson.
Läs också:Telenor: Huawei kommer att spela en roll i 5g-utbyggnadenLösenordsbytardagen 2020: Växande intresse för lösenordshanterare Läs mer…

Buchbinder är en stor tysk biluthyrningsfirma med över 5000 stationer i mer än 100 länder. Tills nyligen exponerade företaget en sql-databas med personuppgifter om över 3 miljoner kunder. Data sträcker sig i vissa fall så långt bakåt som 2003. Databasen låg enligt uppgifter till Die Zeit helt öppen på nätet.
Läckan upptäcktes av Matthias Nehls, chefen för Deutsche Gesellschaft für Cybersicherheit (ungefär den Tyska riksförbundet för cybersäkerhet), under en rutingenomsökning av öppna databaser. Buchbinder undersöker för närvarande incidenten enligt ett meddelande på företagets webbsajt.
Lösenord exponerade i klartext
Den läckande databasen innehöll personuppgifter som namn, adress, födelsedatum, körkortsnummer och finansiell information som bankuppgifter och betalinformation, dock tursamt nog inga kreditkortsnummer. Utöver dessa uppgifter exponerades även 170 000 lösenord, varav cirka 3000 i klartext, skriver Bleeping Computer.
Databasen innehåller personuppgifter om vissa högprofilerade personer, bland annat om chefen för Tysklands informationssäkerhetsmyndighet BSI, Arne Schönbohm, hundratals diplomater, anställda inom polis och försvar, politiker och diverse kända personer inom sport och kultur. De flesta personuppgifter, cirka 2,5 miljoner, rör personer i Tyskland, cirka 400 000 från Österrike och 114 000 från Italien, Slovakien och Ungern.
Enligt GDPR måste Buchbinder göra en anmälan till den tyska dataskyddsmyndigheten inom 72 timmar, men uppgifter om en anmälan saknas i skrivande stund.
Läs också:Ny Facebook-läcka – data om 267 miljoner användare i öppen databasCalifornia Consumer Privacy Act – detta behöver du veta om Kaliforniens GDPR Läs mer…

Kriminaliteten flyttar till nätet och kriminella använder allt mer olika nättjänster i sin verksamhet. Vilket innebär att polisen och andra rättsvårdande myndigheter blir allt mer beroende av att få ut uppgifter om misstänkta personer från olika nättjänster där de misstänkta kan ha konton, data eller använder dem för kommunikation.
De stora nättjänsterna sammanställer myndigheternas begäran om utlämnande användardata i så kallade transparensrapporter (transparency reports) vilka finns publicerade på respektive webbsidor. Computer Sweden har sammanställt statistiken för Sverige från företagen Microsoft, Apple, Google, Facebook och Twitter för perioden januari till juni 2019, och jämfört dessa siffror med samma period 2018.
Sammanlagt begärde svenska brottsbekämpande myndigheter ut uppgifter i 1057 (821 föregående år) fall gällande 1769 (1525) konton eller användare under första halvåret 2019 – en uppgång med 13 respektive 16 procent. I 889 (612) fall fick myndigheterna ut de data de begärde, eller cirka 84 (81) procent av fallen.
Företagen skiljer sig lite åt i vad de redovisar. Apple, till exempel redovisar begäranden gällande hårdvara (devices), vilket inget annat företag gör, och företagen kan även redovisa olika kategorier av begäranden, men alla redovisar siffror för antalet begäranden, gällande antalet konton (eller enheter i Apples fall) och hur stor andel av begärandena som hörsammades.
För att myndigheterna ska kunna få ut uppgifter måste de skicka en formell begäran om utlämnande användardata till den berörda tjänsten. Nättjänsterna tar sedan ställning till om begäran kan tillgodoses, eller om den ska nekas. I de fall begäran nekas handlar det oftast om att begäran har gjorts för bred eller för otydlig.
Microsoft
Första halvåret 2019 fick Microsoft in 228 (99) begäranden om utlämning gällande 460 (300) konton och försåg myndigheterna med data i 78 (65) procent av fallen. Antalet begäranden ökade alltså med hela 230 procent jämfört med samma period året innan. En minst sagt radikal ökning, i särklass mest av alla företagen i denna sammanställning.
Microsoft verkar vara de enda som redovisar statistik för de fall där data inte fanns att tillgå, till skillnad från fall där begäran inte hörsammades. I 10,5 (17,2) procent av fallen kunde Microsoft inte hitta de data som efterfrågades av myndigheterna. Microsofts metod att redovisa detta gör att deras andel av hörsammade begäranden är relativt låg. Sett till direkta nekanden av begäranden är andelen cirka 11 (18) procent.
Microsoft redovisar inte siffror för begäranden i akutfall.
Apple
Apple är ett speciellt fall eftersom den övervägande delen av begäranden rör användaruppgifter kopplade till mobila enheter som Iphone och Ipad. Av 133 (152) begäranden gällde 104 (136) denna typ av fall. Övriga fall gäller finansiella identiteter, typiskt kreditkortsnummer i två fall (8), Apple-id i 25 (7) fall, samt två (ett) akutfall. Totalt begärde myndigheterna ut data om 335 (371) Apple-användare och fick ut data i 122 (315) fall eller 95 (85) procent.
Med andra ord minskar alltså antalet begäranden om personuppgifter till Apple från de rättsvårdande myndigheterna. Vad detta beror på redovisas inte av statistiken.
Google
För Googles del begärde svenska myndigheter ut användaruppgifter i 299 (164) fall rörande 394 (269) användare – en ökning med 82 respektive 46 procent. Google tillhör dem som redovisar så kallade Preservation Requests, alltså begäran om att konton och deras innehåll ska bevaras. Google tar i dessa fall en avbild av kontot så att kontohavaren inte ska kunna radera innehåll. Detta har skett i 15 (14) fall. Från Googles fick myndigheterna ut data om 254 (199) konton, vilket motsvarar 85 (74) procent.
Gällande akuta fall begärde myndigheterna ut data i två (noll) fall.
Med största sannolikhet gäller Googles siffror även Youtube och Android, eftersom dessa ägs av Google och de allra flesta användare av dessa tjänster har Google-konton. Det går till exempel inte att publicera innehåll på Youtube utan ett Google-konto, och även om det som Android-användare går att på pin kiv runda Google, så är det ytterst få som gör det. Detta betyder att när polisen vill få ut data om en användare av en Android-mobil, så vänder de sig till Google.
Facebook
En stor del av alla begäranden från myndigheterna går till Facebook, vilket inte är så förvånande med tanke på den breda användarbasen i Sverige. Facebook fick in 386 (393) begäranden om användardata gällande 568 (571) konton under första halvåret 2018 – det är i särklass flest av alla. Facebook föll till föga i 87 (90) procent av fallen eller 494 (514) konton.
Facebook tillhör dem som redovisar antalet fall av nödsituationer som rör hela 11 (12) förfrågningar eller 2,8 (3,1) procent av alla begäranden. Siffrorna för Facebook bör även gälla Instagram och Whatsapp som ägs av Facebook och vars användare har starka konto-mässiga band till ägarföretaget.
Även Facebook redovisar Preservations Requests: 52 (77) begäranden gällande 74 (136) konton.
Twitter
Trots att 24 (22) procent av internetanvändarna i Sverige använder Twitter får företaget in ytterst få begäranden om användardata från, bara 11 (13) stycken gällande 12 (14) konton. Twitter sticker också ut genom att hörsamma endast 64 (38) procent av begäranden, eller 8 (5) konton.
Twitter är de enda som redovisar så kallade Removal Requests (alltså begäran om att stänga ned konton), men siffrorna är inte speciellt spännande då antalet begäranden om detta var noll (noll). Sen Twitter började redovisa sin statistik första halvåret 2016 har de endast stängt ned tre konton på myndigheternas begäran (men desto fler av andra anledningar).
Twitter står i en klass för sig vad gäller hur mycket och vilka olika kategorier av data de redovisar i sina transparensrapporter. Den som vill gräva i data från Twitter har mycket att hämta där.
Sammanfattning
Vad alla rapporter tydligt visar är att begäran från myndigheterna om att få ut användardata på totalen ökar för varje år. Men en slutsats från årets siffror är att antalet begäranden till tre av företagen minskar: Apple, Facebook och Twitter fick alla färre begäranden. Detta är en vändning jämfört med den stadiga ökningen tidigare år (Apple minskade även 2017-2018). Minskningen är visserligen liten, men dock en minskning.
De som ökar är alltså Microsoft och Google, i synnerhet Microsoft. En möjlig förklaring att Google och Microsoft, utöver att tillhandahålla konton och tjänster för privatpersoner, även är systemleverantörer för molntjänster, och en förklaring till att just Microsoft ökar med hela 230 procent kan sammanfalla med att Microsoft kraftigt ökat sin närvaro i molnet under senare år. Google växer förvisso, men fortsätter kämpa mot molndominanterna Microsoft och AWS.
Källor:
https://www.microsoft.com/en-us/corporate-responsibility/law-enforcement-requests-report
https://www.apple.com/legal/transparency/se.html
https://transparencyreport.google.com/user-data/overview?user_requests_report_period=series:requests,accounts;authority:SE;time:Y2019H1&lu=user_requests_report_period
https://transparency.facebook.com/government-data-requests/country/SE/jan-jun-2019
https://transparency.twitter.com/en/countries/se.html
Läs också:Myndigheter begär allt fler kunduppgifter från kryptobörserBahnhof kovänder efter hotet från PTS – lämnar in adressuppgifter Läs mer…

Den kände it-säkerhetsforskaren Bob Diachenko upptäckte i slutet av förra året en jätteläcka hos it-jätten Microsoft. Databasen låg öppen mellan den 5 och 31 december förra året och exponerade 250 miljoner personuppgifter. Detta enligt en bloggpost från Microsoft.
Databasen bestod av fem stycken speglade elasticsearch-servrar som användes av Microsofts kundsupport. elasticsearch-servrar förekommer ofta i dataläckor. De data som exponerades var e-postadresser, ip-adresser och detaljer om supportärenden. Microsofts säger att de flesta posterna inte innehöll några personuppgifter.
”Som en del av Microsofts standardprocesser lagras data i analysdatabasen för supportärenden via automatiska verktyg som avlägsnar personlig information”, skriver Microsoft i sin bloggpost.
Men det finns fall där kunder skapat supportärenden med icke-standardiserade dataformat, som formatet på e-postadresser, där personuppgifterna inte avlägsnades. I dessa fall har Microsoft börjat kontakta de drabbade kunderna, även om de skriver att de inte hittat någon ”skadlig användning” av dessa data.
Microsoft skyller tillbudet på en felkonfigurerad Azure-server som sjösattes den 5 december förra året. Detta fel är nu åtgärdat.
Läs också:Här är årets värsta dataläckor 2019 – 5,3 miljarder personuppgifter på viftNy Facebook-läcka – data om 267 miljoner användare i öppen databas Läs mer…

Enligt ett tidigare EU-direktiv ges medlemsländerna möjlighet att tvinga sociala medier och andra tjänster på nätet att lagra och lämna ut information om användarnas kommunikation.
Själva innehållet kommer Säpo med flera myndigheter inte att kunna dekryptera, men uppgifter om vilka användare som kommunicerar, från vilka platser och vid vilka tider är data som tjänsterna kan spara. I det pågående arbetet med en ny svensk trafikdatalag vill dock regeringen vill undanta kommunikationstjänster som Whatsapp, Messenger och Snapchat, och fokuserar enbart på att internetoperatörerna ska tvingas lagra och lämna ut trafikdata.
Säpochefen Klas Friberg vill nu att regeringen inte ska göra detta undantag, och ge svenska polismyndigheter rätt att begära ut kommunikationsdata från exempelvis Facebook. Det skriver han på DN Debatt i dag.
– Om de fattar beslut utifrån nuvarande förslag så avstår regeringen från att använda sig av den här möjligheten, säger Säpochefen till TT, skriver SVT.
Sverige ligger efter med lagstiftningen
Friberg menar att lagstiftningen i Sverige ligger efter dels brottsutveckling, dels övriga EU-länder, och pekar på tre lagar som många EU-länder infört, men där Sverige hittills avstått eller där lagar dröjer.
Många EU-medlemmar har sedan länge gett polisen möjlighet att avläsa data från mobiler och krypterade kommunikationsappar, en möjlighet som den svenska Polisen får först i år. Sverige har heller inte kriminaliserat samröre eller delaktighet i terrororganisationer, eller infört lagar som tvingar alla att registrera- och identifiera sig vid köp av kontantkort för mobil kommunikation. Regeringen har dock tillsatt en utredning om kontantkorten.
Klas Friberg är bekymrad och ser allvarligt på de rättsvårdande myndigheternas möjligheter att bekämpa brottsligheten med moderna verktyg.
– Jag bedömer den under min karriär som polis och säkerhetspolis som en av de absolut viktigaste frågorna vi har för att kunna förbättra vår förmåga att bekämpa brott, säger Säpochefen, och påpekar att allt mer trafik går genom sociala appar.
Läs också:Polisens cert vilar aldrig – ”Vi ska bli bättre än FRA”Regeringen: Polisen ska få hacka mobiler och placera ut trojaner Läs mer…

För några månader sedan uppmärksammades det att Google har full tillgång till känsliga uppgifter om 50 miljoner amerikaner, detta som en följd av ett samarbetsavtal med vårdföretaget Ascension.
Nu rapporterar Wall Street Journal att även Microsoft, Amazon och IBM har liknande avtal med amerikanska vårdföretag och det tycks inte vara särskilt svårt att identifiera enskilda patienter.
Anledningen till samarbetsavtalen är att teknikföretagen behöver data för att förbättra sina algoritmer, något som på sikt ska leda till nya verktyg för att upptäcka och behandla diverse sjukdomar. Till exempel samarbetar Microsoft med sjukhus i Providence i syfte att ta fram nya algoritmer som kan upptäcka cancer i ett tidigt skede, medan Amazon har ett liknande avtal med Fred Hutchinson Cancer Research Center i Seattle.
Eventuellt kan samarbetsavtalen bryta mot Health Insurance Portability and Accountability Act (HIPAA), en lag som reglerar vilken information som vårdföretagen får dela med sig av utan att informera patienterna. Läs mer…

Företaget InsideBitcoins har i en sammanställning av alla hackerattacker mot kryptobörser räknat ut att hela 104 miljarder kronor stulits från kryptobörserna sedan 2011. Sedan 2011 har attackerna mest riktats mot kryptobörser, digitala plånböcker och plattformar för kryptogrävare. Det är betydligt mer ovanligt att själva blockkedjorna utsatts för lyckade attacker som resulterat i stulna pengar.
Sett till antalet attacker var förra året det värsta genom tiderna, men sett till det stulna beloppet är hacken 2011 och 2014 mot den japanska kryptobörsen MtGox den värsta attacken hittills, åtminstone vad man känner till. Vid de två tillfällena stals 2000 respektive 740 000 bitcoins, vilket idag motsvarar knappt 164 miljoner kronor respektive ofantliga nästan 62 miljarder kronor. Majoriteten av pengarna har aldrig återfunnits eller kunnat spåras.
Genom åren efter dessa händelser har hackare kommit över ännu mer pengar, i olika kryptovalutor:
Nästan 11,5 miljarder kronor stals under 2012, främst i ett hack mot börsen Bitcoinica.
2013 stals drygt en miljard, främst från PicoStocks.
Drygt 63 miljarder kronor stals 2014, varav nästan allt från MtGox.
2015 stals drygt två miljarder kronor, majoriteten från Bitstamp.
2016 tog hackarna drygt 15 miljarder kronor, mest från The Dao och Bitfinex.
2017 stals 7,5 miljarder från olika börser.
2018 var ett lugnt år, då stals ”bara” 850 miljoner kronor.
Även 2019 ökade hacken något och sammanlagt stals nästan en miljard, varav det mest kända hacket var mot en av de största börserna Binance.
På senare år har allt högre regulatoriska krav ställts på kryptobörserna, inte minst de som även sköter transaktioner mellan traditionella valutor och kryptovalutor, så kallade on- eller off-ramp-börser. De seriösa börserna avsätter numera en andel av vinsten till att ersätta kundernas eventuella förluster. Detta gällde även hacket mot Binance 2019 då alla kunder kompenserades till fullo.
Läs också:Hackare rånade kryptobörsen Binance på 7000 bitcoinKina planerar ersätta kontanter helt med e-valuta Läs mer…

Norges konsumentmyndighet Forbrukerrådet genomförde mellan juni och november 2019 en analys av tio olika mobilappar som kunde misstänkas hantera känsliga personuppgifter på ett otillbörligt sätt. Apparna som valdes ut tillhör olika kategorier som dejtingappar, menstruationsappar och appar för barn, skriver ZDNet.
Forbrukerrådet valde ut de mest nedladdade apparna i varje utvald kategori på Google Play. Forbrukerrådet valde Android eftersom det är den mest använda mobila plattformen, men också för att Google själva är en nyckelspelare inom branschen för annonsnätverk.
De testade apparna var dejtingapparna Grindr, Happn, OkCupid och Tinder, menstruationsapparna Clue och MyDays, makeup-appen Perfect365, religionsappen Muslim: Qibla Finder, barnappen My Talking Tom 2 och tangentbordsappen Wave Keyboard. Av dessa har My Talking Tom 2 och Tinder över hundra miljoner nedladdningar, men My Talking Tom 2 var också den enda av apparna som klarade alla krav.
Analyserade data som skickas till tredje part
Forbrukerrådet analyserade vilka typer av data som skickas till tredje parter, men tittade också på hur, eller inte alls, användarna tydligt informeras om vilka data som skickas till tredje parter, om de informeras om att dessa data används för riktade annonser och om det finns möjligheter användarna att inom inställningarna för apparna minska delandet av personuppgifter.
Dejtingapparna Grindr, OkCupid och Tinder befanns sprida känsliga personuppgifter som sexuella preferenser, beteendedata och exakta positioneringar till en uppsjö annonsnätverk. Värst av alla ansågs Grindr vara. Grindr skickar personuppgifterna till det twitterägda förmedlingsnätverket MoPub som i sin tur förmedlar data till cirka 160 annonsnätverk. För att en användare ska kunna sätta sig in i ett eventuellt samtycke måste användaren studera användaravtalen för minst 160 företag.
Forbrukerrådet finner genom större delen av sin studie att de flesta av dessa appar bryter mot GDPR, dessutom i många fall på ett allvarligt sätt. Som ett resultat av analysen har Forbrukerrådet lämnat en anmälan till Norges dataskyddsmyndighet.
I sin slutsats skriver Forbrukerrådet att ”kränkningarna av medborgarnas rättigheter sker i en takt av miljarder kränkningar varje sekund, allt i namn av profilering och riktade annonser. Det är dags att vi tar en seriös diskussion om huruvida den övervakningsdrivna annonseringen som har övertagit internet, och som utgör den ekonomiska drivkraften bakom desinformation online, är en rimlig avvägning för möjligheten att visa något mer relevanta annonser”.
Mer information om Forbrukerrådets analys finns här.
Läs också:Många sajter i EU kringgår GDPR – gör det svårt att slippa cookiesÅret då GDPR visade musklerna – kö av granskningar och miljardböter Läs mer…

Färöarna är visserligen ingen folkrik nation, där bor knappt 50 000 människor, men det är förmodligen första gången i världshistorien som staten delar ut digitala säkerhetsnycklar till en hel befolkning, eller i vart fall alla över 15 år.
Färöarna har sedan 2015 utvecklat en nationell digital infrastruktur, ett projekt som kommer att slutföras detta år. Projektet som leds av det färöiska finansdepartementet heter Talgildu Føroyar och digital identitet är en av de fyra hörnstenarna i den nya digitala infrastrukturen och kommer att lanseras som både som mobilapp och för webben.
Yubico, företaget bakom säkerhetsnycklarna Yubikey, har tillsammans med Nexus Smart ID, som levererar en digital identifieringslösning för Färöarna, utvecklat en lösning för Färöarnas nationella elektroniska id-system. Det nationella digitaliseringsprogram börjar implementeras i år och kommer att följa Eidas-reglerna för elektronisk identifiering, enligt ett pressmeddelande från Yubico.
– En anledning till att vi valde Yubicos säkerhetsnyckel Yubikey är att det fungerar på nästan alla plattformar och används av flera stora internetaktörer, inklusive webbläsare. Vi ser vi det som en extra förmån för våra invånare att vi kan erbjuda elektronisk identifiering som samtidigt skyddar dem online på ett enkelt och säkert sätt, säger Janus Læarsson, ansvarig it-arkitekt på Talgildu Føroya, enligt ett pressmeddelande.
– Vi är otroligt glada över att vara en del av lösningen för Färöarnas nya infrastrukturprogram. Med tanke på att Eidas är på väg att bli en ledande standard för elektronisk identifiering ser vi stor tillväxtpotential för den här typen av lösningar i Europa, säger Fredrik Krantz, europeisk försäljningschef på Yubico.
Läs också:Cisco ersätter smarta kort med personalens privata säkerhetsnycklarSäker inloggning i molnet utan lösenord – vi testar säkerhetsnyckel till Office 365 Läs mer…