I förra veckan drabbades flera matbutiker i Sverige av en hackerattack. Angriparna lyckades ta sig in i de digitala system som styr temperaturen i kylar och frysar, vilket ledde till att stora mängder mat tvingades slängas.
Men matbutikerna är inte ensamma. Nyligen visade en kartläggning av SVT att tusentals system som styr viktig teknik i Sverige har sårbarheter som angripare kan utnyttja. I flera fall krävs inte ens användarnamn eller lösenord för att ta sig in. I en fastighet i Skövde, där Region Västra Götaland har kontor, upptäckte man att vem som helst kan styra fastighetens värme och ventilation.
Enligt Peter Uddfors, it-expert och vd på it-bolaget Avoki, är vi i dag betydligt mer sårbara för angrepp. Allt fler system kopplas upp, samtidigt som det oroliga omvärldsläget har förändrat motiven bakom attackerna.
– De flesta skickliga professionella hackare är ofta ute efter pengar och medel i någon form. Men i dag ser vi också fler rena sabotage, där vissa uppgifter pekar på att det finns stater som tjänar på att bara skapa kaos. Och det är ett läge som förvärrats de senaste åren, säger han.
Samtidigt varnar han för att bli alltför alarmistisk. Riskerna ska inte avskräcka från att digitalisera, utan snarare ses som en påminnelse om att se över sin it-säkerhet. Det gäller inte minst mindre verksamheter, som små fastighetsägare och bostadsrättsföreningar, som ofta saknar egen it-expertis.
[ Annons ]
– Många tenderar att koppla upp massa system som sedan lever kvar. Till slut känner ingen till den där gamla utrustningen som ligger i bakgrunden och tuggar på. Man glömmer lätt att teknik åldras väldigt mycket snabbare än vad fastigheten gör.
Peter Uddfors menar att det inte behöver vara svårt att komma i gång. Han delar in det i sex steg, där det första handlar om att ta reda på vilka system som finns och vilka som är uppkopplade.
– Helt enkelt en regelrätt inventering. Allra enklast är att logga in på routern, där man oftast kan se vilka enheter som är anslutna till nätverket. Men i en fastighet kan det också finnas separata nätverk för exempelvis ventilation, hissar och passersystem. De sköts ofta av externa leverantörer, och då behöver man ta hjälp av dem för att få en fullständig bild av vilka system som är uppkopplade.
En fastighetsägare med sådana lösenord är som
att lägga en kofot utanför dörren.
När man väl har fått en överblick över systemen är nästa steg att se över lösenorden. Enligt Peter Uddfors är standardlösenord på enklare system vanligare än man tror. Ofta har systemen dessutom kvar leverantörens ursprungliga användarnamn och lösenord. Han har i flera fall stött på användarnamn som ”admin” i kombination med lösenordet ”password”.
– En fastighetsägare med sådana lösenord är som att lägga en kofot utanför dörren. De flesta går förbi utan att bryta sig in. Men kommer det någon som är ute efter att förstöra, då är det väldigt lätt. Att byta användarnamn och lösenord till något mer unikt är då en rätt billig försäkran.
En annan viktig del är att se till att mjukvaran är uppdaterad. När ett kryphål upptäcks skickar tillverkaren ut en uppdatering till alla användare, och den som väljer att inte installera lämnar systemet öppet för angrepp. Enligt Peter Uddfors har tempot dessutom ökat.
– AI gör att hackare blir så mycket snabbare och effektivare på att upptäcka de här kryphålen.
Han uppmanar därför fastighetsägare att alltid kontrollera med leverantören hur ofta ett system uppdateras och hur länge säkerhetsuppdateringar utlovas.
– Svaret att ingen uppdatering behövs för att produkten är så säker bör väcka oro.
Det fjärde steget är att kolla vilka system som går att komma åt från distans och vilka som har tillgång till dem.
– Det gissar jag var anledningen till att angriparna kunde komma åt att styra temperaturen i frysarna, att man kunde gå in i dessa system externt.
Samtidigt har extern åtkomst, eller fjärråtkomst som det också kallas, många fördelar.
– Det är ju toppen att kunna styra robotgräsklipparen från landet, eller temperaturen från distans. Men åtkomsten ska vara begränsad. Om en extern leverantör sköter hissen ska den inte komma åt alla webbkameror i hela huset eller garageportarna. Den ska bara komma åt det den har anledning till.
Hur många våningsplan man bör ha beror lite på
hur kritiska ens system är.
Har man kommit så här långt börjar man närma sig en säker nivå, menar Peter Uddfors. Men för den som vill ta det ytterligare ett steg rekommenderar han att använda flerfaktorsautentisering. Det innebär att det inte räcker med ett lösenord för att logga in. Man måste också bekräfta sin identitet på ett annat sätt, till exempel via telefonen eller med BankID.
– Börja med att kontrollera om systemen har stöd för flerfaktorsautentisering, vilket de flesta har. Om funktionen finns kan den vanligtvis aktiveras i systemets inställningar eller med hjälp av leverantören, säger Peter Uddfors.
Det sjätte och sista rådet handlar om att dela upp nätverket, så kallad segmentering, så att känsliga system hamnar på olika delar.
– Föreställ dig att dina system ligger på olika våningsplan. Ett intrång på ett av våningsplanen ger då inte automatiskt tillgång till hela huset. Hur många våningsplan man bör ha beror lite på hur kritiska ens system är.
Och hur vet man hur kritiska ens olika system är?
– Det avgör man genom att fråga vad som händer med fastigheten och människorna i den om systemet slutar fungera eller någon tar kontroll över det. System som påverkar exempelvis hissar, passage och brandsäkerhet eller andra centrala funktioner är normalt mycket mer kritiska. En enkel informationsskärm eller närvarosensor är i sig oftast mindre kritisk. Så segmentera utifrån konsekvens och sunt förnuft.
Peter Uddfors medger att vissa av stegen är enklare än andra att få till på egen hand, och att det beror på hur mycket it-vana man har.
– Många gånger finns det någon i till exempel bostadsrättsföreningen som har mer kunskap i detta än andra, gör den personen till ansvarig att följa upp. I andra fall kan man behöva ta in hjälp utifrån. Det viktiga är bara att undvika att olika system köps in, kopplas upp för att sedan glömmas av.
