Cyberbrott – hur kan vi motverka utvecklingen?

Den 2 oktober anordnade Kaspersky Lab en paneldiskussion i Stockholm med rubriken ”Bakom kulisserna till cyberbrott”. Utgångspunkten var bland annat en ny Sifo-undersökning som visar att var tredje svensk har drabbats av cyberbrott det senast året. Diskussionen kretsade bland annat kring var ansvaret för ett säkert internet bör ligga – på användaren, leverantörer, företag eller myndigheter?

David Jacoby, säkerhetsforskare på Kaspersky Lab, ledde panelen som bestod av:

Ulrika Sundling: IT-brottsexpert och kriminalkommissarie vid Rikspolisstyrelsen med ansvar för hur polisen ska arbeta mot IT-relaterad brottslighet.
Martin Wedberg: IT-säkerhetsspecialist på MSB (Myndigheten för samhällsskydd och beredskap), på enheten för operativ cybersäkerhet och IT-incidenthantering. Inom enheten finns funktionen CERT-SE som stödjer samhället i arbetet med att hantera och förebygga IT-incidenter.
Linus Larsson: journalist och författare som skriver om gränslandet mellan teknik, kultur och ekonomi. Medförfattare till den aktuella boken Korthuset, om digital ekonomisk brottslighet, samt böckerna Svenska hackare och Minecraft.
Rolf Blom: tekn.dr på Security Lab, en del av forskningsinstitutet SICS (Swedish Institute of Computer Science). SICS bedriver avancerad forskning inom tillämpad datavetenskap i syfte att stärka svenska företags konkurrenskraft och att medverka till förnyelse inom svenskt näringsliv.

Hur vanligt är cyberbrott i Sverige?
Seminariet inleddes med en diskussion om vad cyberbrott egentligen är. En grov indelning kan vara mellan brott av social karaktär – exempelvis näthat – och brott av mer traditionell karaktär men som utförs genom internet, till exempel nätbedrägerier. Sifo-undersökningen och paneldiskussionen utgick från den senare sorten av cyberbrott.

Panelen diskuterade hur pass utbredd cyberbrottsligheten i Sverige är och hur medveten allmänheten är om detta hot. Martin Wedberg påpekade att även om MSB har aktuell statistik som visar att runt 50 000 svenska datorer är infekterade av någon typ av virus, så är mörkertalet väsentligt större:

– Vissa av oss märker när vi är drabbade, andra inte. Det stora problemet ligger i det senare. Därför behöver allmänheten informeras om dessa risker i större utsträckning.

Linus Larsson påpekade att det kan vara problematiskt med upprepade varningar om olika hot på nätet, då detta i längden kan leda till att allmänheten inte tar dem på allvar.

Ulrika Sundling lyfte fram att man från polisens sida värdesätter de rapporter om aktuella hot som säkerhetsföretagen kontinuerligt släpper och att det är viktigt att även myndigheterna informerar medborgarna om dessa hot, något polisen planerar att satsa mer resurser på.

En fråga från publiken gällde om det inte främst är äldre personer som saknar information för att skydda sig. Wedberg svarade att detta är en allmän missuppfattning och han tror snarare att äldre är försiktigare än unga. Jacoby höll med och menade att olika åldersgrupper är sårbara mot olika typer av hot:

– Yngre människor kan vara slarviga när det kommer till att ladda ner skadliga appar, medan det oftast är de äldre som faller offer för andra sorters brott. Till exempel när bedragare ringer och hävdar att de är från Microsofts kundsupport.

Sundling fyllde i att det i detta sammanhang kan finnas ett glapp i myndigheternas informationsarbete mot medborgarna:

– Vi måste se till att anpassa informationen efter mottagarna och ge exempelvis skolorna rätt verktyg att få ut budskapen. Wedberg påpekade att vi i Sverige är tämligen säkra i förhållande till hur uppkopplade vi är – just på grund av den allmänna kunskapen om internet och dess risker, samt det faktum att vi har råd att skydda oss med antivirusprogram.

Vilka ligger bakom brotten?
Under seminariets nästa punkt ifrågasatte Jacoby den stereotypa bilden av en cyberbrottsling som en ensam hackare i Ryssland, Kina eller Rumänien. Han frågade paneldeltagarna vilka motiv de tror ligger bakom dagens cyberbrott.

Larsson höll med och påpekade att ett av toppnamnen på FBI:s lista över efterlysta hackare faktiskt är svensk. Wedberg påminde om den pågående rättegången i Danmark mot Svartholm Warg som nästan har passerat obemärkt i Sverige, men som visar att det även finns svenska hackare.

När det gäller motiven till cyberbrott ansåg Blom att dessa har ändrats med tiden:

– På åttiotalet var det en sport att hacka FBI eller polisen. Idag är det pengarna som lockar.

Larsson höll med och menade att dagens cyberkriminella celler ofta består av en person med tekniska kunskaper och en ”affärsman” med kopplingar till den undre världen. Hackaren utför stölderna medan affärsmannen ser till att sälja vidare stulna digitala tillgångar eller med hjälp av kontakter flytta pengar dit polisen inte kan nå dem.

Var ligger säkerhetsansvaret?
Diskussionen mynnade ut i fler frågor från publiken kring vem som bär ansvaret för användarnas säkerhet, samt möjliga åtgärder mot problemen. Här menade Larsson att en stor del av problemet i Sverige ligger i det faktum att företag inte är skyldiga att rapportera om de drabbas av dataintrång. Detta leder till att exempelvis banker hellre betalar ut kompensation till drabbade kunder än att anmäla attackerna, vilket skulle ge bankerna dålig publicitet.

Larsson menade att det är nödvändigt att man stiftar en lag – i likhet med USA:s ”breach notificiation” – som tvingar företag att rapportera om de har drabbats av dataintrång. En sådan lag skulle bidra till att uppmärksamma riskerna. Så länge bankerna mörkar attackerna så bryr sig inte kunderna om problemet – bara de får pengarna tillbaka. Och så länge problemen inte uppdagas blir de svårare att förhindra.

Blom höll inte med och hävdade att kränkningen från att någon stulit ens pengar bör vara tillräcklig för att man som offer ska reagera. Han menade dock att det måste vara företagets ansvar att se till att användaren känner sig säker och att denne inte ska behöva vara en säkerhetsexpert:

– Ingen ber mig bygga min egen airbag innan jag ska köra min nya bil. Vi måste kunna kräva tekniska lösningar av leverantörerna som ligger steget före de kriminella. Varför till exempel inte ha en försäkring för internetanvändande?

Sundling höll med, men påpekade att man med information kan lära konsumenten ”hur man låser bilen” och tillade slutligen att höjda straff för brottslighet på nätet skulle ge polisen mer befogenheter på området, vilket i sin tur skulle förhindra många brott.

Mediekontakt: Text100, 08-545 514 50, kaspersky@text100.se