Fortfarande för enkelt att stjäla inloggningsuppgifter

Det är en vanlig tisdagförmiddag i oktober förra året. Sverigedemokraternas tidigare riksdagsledamot William Petzäll, numera politisk vilde, befinner sig på ett behandlingshem för sitt drogmissbruk. Men snart börjar hans twitterkonto kasta ut hashade lösenord till journalister, politiker och andra högt uppsatta svenskar. Enligt meddelandena på twitterkontot har Sverigedemokraternas ledning suttit på användaruppgifterna en längre tid.

Media reagerar. Om uppgifterna stämmer kan de bli en av de största politiska skandalerna i svensk historia. Alla större nyhetsorganisationer fokuserar på de läckta lösenorden.

Men snart visar sig sanningen. Lösenorden stämmer, men de är ofta gamla och utdaterade. Det visar sig att Petzälls konto själv var kapat, med ännu ett lösenord. Inloggningsuppgifterna kom från en läcka vid en sida kallad Bloggtoppen, där flera kända svenskar var medlemmar, bland annat journalister och poltiker, som William Petzäll.

En växande trend

Hela episoden var del av en växande trend inom nätets undre värld, nämligen massjakten på inloggningsuppgifter. Gemene svensk kände av trenden under Bloggtoppens läcka, men tidigare under året hade också en organisation vid namn LulzSec gjort sig känd för en mer avancerad attack som låg inom samma linje. LulzSec hade hackat Sony, och även andra kända offer, och fått tag på enorma mängder känsliga personuppgifter, från lösenord till kontouppgifter.

– Det är själva konceptet som ökar. Att stjäla kontouppgifter generellt har försiggått jättelänge, säger David Jacoby, säkerhetsexpert på Kaspersky.

Det finns flera saker som lockar nätbredragare att göra attackerna. Ett av de mest tydliga är komma över lösenord som används på andra sidor och kan leda hackarna vidare till andra, mer värdefulla konton, eller komma över mailadresser. Henrik Davidsson, ansvarig för affärsutveckling i Europa på Cisco Security, pekar även på andra motiv.

– Det kan handla om att man vill attackera ett specifikt mål, ett så kallat Advanced Persistant Threat. Man vill kanske bygga en mer planerad attack mot ett företag. Då gäller det att samla upp så mycket information som möjligt för att göra så mycket skada som möjligt, säger han.

Riktade attacker lockar

Och det finns några förklaringar till varför trenden ökat just i år. I Ciscos säkerhetsrapport från 2011 nämns det att spam har sett en enorm dykning under det senaste året. Tack vare att flera spam-botnets stängts ner under de senaste åren, och i takt med att nätanvändarna blir mer försiktiga lönar sig inte spam lika mycket. Istället lockar riktade attacker, som attacker för att få inloggningsuppgifter.

Men David Jacoby pekar också på något annat. Enligt honom har det blivit allt lättare att göra sådana här attacker. Det räcker med en mindre sida med så lite som 10 000 konton för att den ska vara intressant för en attack. I takt med att fler och fler sidor kräver inloggning finns målen över allt för nätbrottslingarna. Dessutom har det blivit enklare att genomföra attackerna, och få ut lösenorden när man väl kommit över databaser.

– Tråkigt nog spelar det inte riktigt roll hur starkt lösenord man har. Oavsett om du har ett lösenord som är flera tecken långt. Använder hackarna Rainbow tables är alla lösenord färdigknäckta, säger David Jacoby.

Det innebär att alla teckenkombinationer för de vanligaste använda lösenordsalgoritmerna redan är knäckta. I takt med att tekniken går framåt och man får mer datautrymme hemma, kan bedragare enkelt ha relativt stora mängder data som de större Rainbow tables som kan ligga på flera terabytes, hemma för användning vid attacker.

Företag måste värdesätta sin information

De enklaste sätten att stoppa detta är att själv inte ha samma lösenord på flera sajter, eller att undvika leda hackarna vidare genom att använda gratismail och generellt avpersonifiera sina konton på mindre sidor man inte riktigt litar på. David Jacoby pekar också på att företag och sajter kan hindra hackare från att tag i uppgifterna med starkare säkerhet och bättre kryptering. Men att det är ett svårt arbete som kommer ta tid, då de flesta företag inte värdesätter vad de har i sina system, och inte känner några eller få konsekvenser om det går illa.

– De vet inte vad de har. Man kan jämföra en doktor med en säkerhetschef. En doktor kan inte fjanta runt, för det blir allvarliga konsekvenser. Men för säkerhetschefer blir det inga konsekvenser. Vad har hänt efter att Sony och Disney blev hackade? De sårbarheterna och attackerna utnyttjades 2009. Och 2008, säger han.