Informationssäkerhets

Informationssäkerhetsöversikt 1/2013
Inledning
CERT-FI behandlade 1 169 informationssäkerhetsfall och 34 väsentliga störningar i
telenäten under första kvartalet.
De registrerade informationssäkerhetsfallen fördelades enligt följande:
Bild 1. Fall som CERT-FI behandlade i januari–mars 2013.
Ordförråd: Haastattelu = intervju; Neuvonta = rådgivning; Palvelunestohyökkäys =
överbelastningsattack, DoS; Haavoittuvuus tai uhka = sårbarhet eller hot;
Hyökkäyksen valmistelu = förberedning av en attack; Muu tietoturvaongelma = andra
säkerhetsproblem; Haittaohjelma = skadligt program; Tietomurto = dataintrång;
Tietojenkalastelu = nätfiske
I denna översikt behandlas bl.a. säkerhetshål i automationssystem och attacker mot
statsförvaltningen genom spionprogrammet Red October, vars globala rörelser
Kaspersky Lab rapporterade om i januari.
Betydande nätattacker utomlands lyfts också fram i översikten.
Bland återkommande företeelser finns Zeus och Conficker som var de vanligaste
sabotageprogrammen i Finland år 2012 och i januari–mars 2013.
Utpressningsprogram som sprids i polisens namn visar inte heller tecken på att
minska. Andra återkommande företeelser är sårbarheter i vanliga program såsom
Java, Adobe Flash Player och webbläsare.
Finländarnas kommunikationsnät fungerade väl i januari–mars. Under det första
kvartalet rapporterade teleföretagen om sammanlagt tre mycket omfattande
störningar mot konsumentkunder. Störningarna gällde främst tjänster i mobilnätet.
Däremot förekom inga väsentliga störningar som påverkade flera teleföretag
långvarigt eller berodde på naturfenomen. Ingen av de sju händelser som anmäldes
till CERT-FI under början av året gav upphov till nya allvarliga hot mot
Informationssäkerhetsöversikt 1/2013
2
informationssäkerheten. Anmälningarna gällde främst dataintrång med små negativa
konsekvenser därför att fallen upptäcktes och hanterades i tid.
Sammanfattning av årsrapporten 2012
De vanligaste hoten mot informationssäkerheten under år 2012 var
blockeringsattacker och infektioner från skadliga program. CERT-FI sysselsattes
framför allt av blockeringsattacker mot medierna, sårbarheter i program, dataintrång
och utpressningsprogram. Den största enskilda störningen i kommunikationsnäten
gällde problem i mobilnäten hos flera teleföretag till följd av att snöbildning orsakade
störningar i elnätet.
Automationssystemens informationssäkerhet
I det TEKES-finansierade DiSCI-projektet använder forskare vid Aalto-universitetet
sökmotorn Shodan för att genomsöka nätanslutna automationssystem. Shodan söker
efter öppna internetansluten hårdvaror, skickar förfrågningar till de vanligaste
portarna och lagrar svaren i en databas. Man kan söka uppgifter om
automationssystemen i Shodan-databasen med hjälp av nyckelord, t.ex. vissa TCPeller UDP-portar eller systemidentiteter såsom bl.a. tillverkarens namn.
I undersökningen hittades något under 2 000 finska automationssystem. Bland
ansluten hårdvara finns system för industriautomation, system för
fastighetsförvaltning och webbkameror. IP-adresserna har lämnats till CERT-FI, som
vidarebefordrat uppgifterna till hårdvaruadministratörerna. De kan koppla bort
oskyddade system från nätet eller förbättra skyddsnivån så att allmän åtkomst
omöjliggörs. En stor del av automationshårdvaran har anslutits medvetet till Internet.
Det lönar sig dock att komma ihåg att svaga lösenord och sårbarheter möjliggör
intrång.
Med Shodan-tjänsten kan man hitta sårbara program genom att jämföra dem med
t.ex. amerikanska ICS-CERTs sårbarhetsmeddelanden. Vissa sårbarhetsanalytiker och
hårdvarutestare tillämpar inte den s.k. ”responsible disclosure”-principen, och då
nätpubliceras uppgifter om sårbara automationsprogram och hårdvara utan att
programtillverkaren får möjlighet eller tid att ge ut en avhjälpande uppdatering.
Utöver programmens sårbarheter exponeras öppen nätansluten hårdvara för
dataintrång. Vid sidan av ett traditionellt webbläsargränssnitt kan hårdvaran t.ex. ha
ett telnet-gränssnitt där åtkomsträttigheterna administreras genom identiteter och
lösenord. Som en del av programmen kan användas bibliotek där sårbarheter ibland
hittas. Sårbarheter i serverprogram kan utnyttjas till en blockeringsattack och i värsta
fall kräva att strömmen till utrustningen bryts i samband med omstart.
UPnP-sårbarheter i hemmets
underhållningsapparater
Ouppdaterade underhållningsapparater i hemmet kan vara sårbara och i värsta fall
kan de utnyttjas i kriminell verksamhet. CERT-FI har publicerat ett meddelande om en
UPnP-sårbarhet som berör miljoner router i hemnät ("UPnP-haavoittuvuus miljoonissa
Informationssäkerhetsöversikt 1/2013
3
kotiverkkojen reitittimissä" 30.1.2013). Framför allt apparater för hemmabruk
(smarta tv-apparater, mediespelare, digitalboxar, adsl- och usb-modem) använder
ofta UPnP-protokollet (Universal Plug and Play). Med protokollet kan t.ex. en smart tvapparat ta emot Internetanrop från andra apparater, t.ex. mediespelare, via UDPporten 1900. Aktiverat UPnP-stöd är standardinställningen i Microsoft Windows, Mac
OS X och många Linux-operativsystem.
Om paket som modifierats på ett visst sätt sänds via porten kan en programkrasch
orsakas eller skadlig kod köras i apparaten. På detta sätt kan angriparen kontrollera
apparaten och ändra dess inställningar.
Oskyddade underhållningsapparater i hemmet är sårbara och lika osäkra som en
hemdator utan ett adekvat datasäkerhetsprogram. Därför är det bäst att man utgår
från att apparaten är sårbar och handlar därefter. Vanliga användare kan tycka att det
är krångligt att skydda apparaten mot sårbarheten och det krävs att man sätter sig in
i hur apparaten fungerar. I första hand finns skäl att blockera Internetåtkomst till
UPnP-tjänsten. Denna inställning finns i administrativa användargränssnitt hos de
flesta apparaterna. CERT-FI har fått information om att UPnP-tjänsten fortfarande kan
vara aktiverad i vissa apparater trots att inställningarna har ändrats.
Vi rekommenderar inaktivering av UPnP, om det inte finns särskilt behov av tjänsten.
Om en brandvägg finns mellan UPnP-apparaten och internet lönar det sig att använda
den för att blockera alla förbindelser till UDP-porten 1900. Sårbarhetsproblemet kan
bara avhjälpas genom att uppdatera apparatens programvara med en korrigerad
version. Detta sker oftast via den administrativa webbplatsen. För äldre apparater
finns det inte alltid en sådan korrigeringsuppdatering. Information om
programuppdateringar och hur sårbarhetsproblemet avhjälps kan sökas på
tillverkarens supportsidor.
Attacker med skadliga program
Attacker med skadliga program mot statliga organisationer
Observationerna om riktade attacker med skadliga program har ökat under de senaste
åren. I början av året publicerade det ryska datasäkerhetsföretaget Kaspersky Lab två
rapporter om skadliga program med information om kampanjer mot statliga
organisationer och forskningsinstitut. I januarirapporterades om spionprogrammet
Red October (Rocra) och i februaridet skadliga programmet Miniduke.
Spridningssätt
De skadliga programmens huvudsyfte var att stjäla filer från den attackerade
organisationens datorer och datoranslutna smarttelefoner. Bådade skadliga
programmen har spridits via filbilagor i e-post. Red October smittade via Word- och
Excel-filer och Miniduke via pdf-filer. Filerna innehöll skadlig kod som utnyttjade
kända sårbarheter i programmen.
Informationssäkerhetsöversikt 1/2013
4
Identifiering av smittofall
CERT-FI har publicerat Tietoturva nyt!-artiklar om utnyttjade sårbarheter vid
attackerna med de två skadliga programmen. Uppgifter om de servrar som utnyttjats
för Red October- och Miniduke-kommandon har publicerats. Dessutom innehåller
rapporterna från Kaspersky Lab exempel på e-post och filbilagor som använts för
spridning av de skadliga programmen, vilket underlättar identifiering av smittförsök.
Med hjälp av dessa uppgifter kan organisationer som misstänker att deras datasystem
utsatts för smitta identifiera smittofall.
Spridning
Enligt rapporterna från Kaspersky har totalt över 300 smittofall konstaterats i flera
tiotals stater, även i Finland. Totalt har nästan 60 fall av Minduke-smittor upptäckts i
23 stater, dock inget i Finland. Miniduke-observationer har gjorts främst i
östeuropeiska länder medan Red October-smittofall observerats över hela världen.
Observationer i Finland
I januari kontaktades Kaspersky av CERT-FI, som begärde uppgifter om ett angivet
finskt smittofall i Red October-rapporten. Företaget lämnade uppgifter som pekade på
att en dator i ett finskt abonnentabonnemang hade smittats av det skadliga
programmet. Det visade sig att fallet inte berörde den offentliga förvaltningen i
Finland.
Attacker med skadliga program i Sydkorea
I början av mars blev Sydkorea utsatt för attacker med skadliga program. Flera
banker och radiostationer var attackmål. Attackerna berörde inte Finland.
Blockeringsattacker
Blockeringsattacker i Tjeckien
I början av mars blev viktiga webbnyhetstjänster i Tjeckien utsatta för
blockeringsattacker. I december 2012 blev även finländska mediehus utsatta för
sådana attacker.
Blockeringsattacker mot Spamhaus
Oskyddade finländska namnservrar utnyttjades i slutet av mars vid en stor
blockeringsattack mot en amerikansk tjänsteleverantör. Då missbrukades öppna
resolvernamnservrar. Med hjälp av dem kunde angriparen mångdubbla trafikvolymen
i attacken . Över hundra finländska IP-adresser identifierades i attacktrafiken. CERT-FI
kontaktade finländska teleföretag för att stoppa utnyttjandet av dem vid
blockeringsattacken. Attacken mot Spamhaus upphörde den 27 mars.
Användning av falska adresser kan förebyggas om alla Internetoperatörer
implementerar s.k. BCP38-filtrering (Best Current Practices-dokument 38 och den
ersättande versionen 84, RFC 2827 och 3704). Då kan utgående trafik i operatörens
Informationssäkerhetsöversikt 1/2013
5
nät endast komma från IP-källadresser som hör till nätet eller dess kundnät. Tyvärr
använder långtifrån alla utländska operatörer sådan filtrering. Det är svårt att
använda finländska nät för blockeringsattacker med falska källadresser eftersom
operatörerna blockerar trafik via förfalskade avsändaradresser i kundabonnemang i
enlighet med Kommunikationsverkets föreskrifter 13 och 28.
Problem med certifikatsystem
Certifikatsystemens tillförlitlighet bygger på tekniska lösningar och till stor del på att
utfärdarens verksamhet är tillförlitlig.
Fallet TURKTRUST
Webbläsaren Google Chrome har en inbyggd mekanism som övervakar Googles
certifikat. Ett felaktigt certifikat upptäcktes på julafton den 24 december 2012.
Certifikatet hade skapats för adressen *.google.com, dvs. alla adresser som slutar
med google.com. Certifikatet hade utfärdats av turkiska TURKTRUST. Senare
meddelade TURKTRUST att företaget av misstag utfärdat två mellanliggande
certifikat, ett för *.EGO.VOG.TR-adresser och ett för e-islem.kktcmerkezbankasi.orgadresser. Det förstnämnda användes vid utfärdandet av certifikat för *.google.comadresser. För tillfället är det okänt i vilka typer av attacker certifikatet använts.
Obehörigt skapade certifikat kan bl.a. utnyttjas vid nätfiske eftersom andra
webbläsare inte identifierar sidan som falsk. Med falska webbplatser kan man t.ex.
lura till sig användarnamn och lösenord till Googles tjänster eller utföra en SSL-MitMattack där datatrafik dekrypteras utan att användaren märker något. Google och
Mozilla har meddelat att certifikaten tagits bort från deras webbläsare Chrome och
Firefox. Microsoft har tagit bort certifikaten från listan över betrodda certifikat (CTL).
Uppdateringen installeras automatiskt i alla Windows-versioner som stöds.
Fallet Diginotar
I slutet av augusti 2011 avslöjades ett dataintrång i det nederländska
certifiktaföretaget Diginotars system. Inkräktarenlyckades skapa flera certifikat för
olika domännamn och webbadresser. Inkräktaren har förmodligen haft åtkomst till
systemet i flera månader innan dataintrånget upptäcktes. När dataintrånget
avslöjades övertog nederländska myndigheter kontrollen över företagets verksamhet
eftersom Diginotar förlorat sin trovärdighet som utfärdare av certifikat. Det framgick
att företaget hade försummat datasäkerheten och inte anmält händelsen till
myndigheterna. Företaget har sedermera försatts i konkurs och verksamheten har
lagts ned.
Fallet Comodo
Obehöriga certifikat utfärdades i april 2011 efter ett dataintrång i
datasäkerhetsföretaget Comodos dotterbolag. Genom ett stulet lösenord lyckades
förövaren utfärda nio felaktiga SSL-certifikat åt sig själv. SSL-certifikaten utfärdades
för sju nättjänster: mail.google.com, www.google.com, login.yahoo.com,
login.skype.com, addons.mozilla.org, login.live.com och "global trustee". Enligt vad
Informationssäkerhetsöversikt 1/2013
6
Comodo meddelat har bevisligen endast login.yahoo.com-certifikatet utnyttjats. När
attacken avslöjades annullerade Comodo alla felaktiga certifikat genom spärrlistan.
Förtroende är grunden för hela certifikatsystemet, så det är viktigt att utfärdarna
agerar ansvarsfullt vid misstankar om dataintrång och aktivt informerar om attacker
och deras konsekvenser. I Finland bygger tillförlitligheten hos leverantörer av
kvalificerade certifikat och tjänster för stark autentisering delvis på myndighetstillsyn.
Enligt Kommunikationsverkets föreskrift 7 ska leverantörer av identifieringstjänster
och certifikatutfärdare som tillhandahåller kvalificerade certifikat utan onödigt
dröjsmål underrätta Kommunikationsverket om betydande hot eller störningar som
riktas mot tjänsternas informationssäkerhet samt om de åtgärder som vidtagits för att
avhjälpa dem.
Finska IP-adresser smittade av skadliga program
CERT-FI Autoreporter är en tjänst som CERT-FI producerat sedan 2006. Tjänsten
samlar in automatiskt observationer om skadliga program och kränkningar av
informationssäkerheten i finländska nätverk och rapporterar dessa till
nätadministratörerna. I januari–mars behandlade systemet cirka 61 500 rapporter
med totalt 27 400 olika IP-adresser.
Statistiken nedan visar antalet dagliga smittofall som CERT-FI Autoreporter
behandlade. Statistiken beaktar inte huruvida samma smittade dator finns med i
rapporten flera dagar i följd eller om det gäller flera enskilda fall. Antalet IP-adresser i
rapporterna utvisar inte direkt antalet enskilda datorer som smittats av skadliga
program. Detta beror på att bredbandsabonnemang oftast har växlande (dynamiska)
IP-adresser. Dessutom är det vanligt i företagsnät att flera datorer kan finnas bakom
en offentlig IP-adress.
Bild 2. Autoreporter-statistik 1Q/2013. Datumformatet i statistiken är åååå-mm-dd.
Toppen i slutet av mars berodde på ett stort antal fall hos kunder i ett teleföretag där
skräppost spreds av ett skadligt program. Tack vare att företaget reagerade snabbt
sjönk antalet observationer snart tillbaka till genomsnittet, cirka 600 smittofall.
De vanligaste skadliga programmen i januari–mars var ZeuS (42 %) och Conficker
(16 %). Dessa var även de vanligaste under 2012 med 35 % för ZeuS och 18 % för
Informationssäkerhetsöversikt 1/2013
7
Conficker. Syftet med Zeus är att lura till sig nätbankskoder vid användning av
banktjänster.
Under 2012 sändes drygt 184 000 rapporter via Autoreporter. Utifrån antalet
rapporter i början av året bedöms det totala antalet rapporter öka under 2013.
Utpressningsprogrammet Reveton
Om datorn inte startar normalt och ett meddelande som kräver betalning för att låsa
upp datorn visas på skärmen, är det sannolikt fråga om ett utpressningsprogram
(ransomware). För att öka trovärdigheten är meddelandet ofta skrivet i polisens
namn. Som orsak till låsningen anges t.ex. användarens påstådda besök på olagliga
webbplatser. Datorn kan smittas av utpressningsprogram t.ex. vid besök på
webbplatser för vuxenunderhållning.
Bild 3. Skärmbild av ett låsningsmeddelande (källa: F-Secures blogg)
Polisen handlar inte på detta sätt i verkligheten, så betala inte. Det finns flera
versioner av det skadliga programmet och därför är det nästan omöjligt att ge
rensningsanvisningar som är uppdaterade och fungerar för alla versioner. Om ditt
datakunnande inte räcker är det bäst att låta en adb-servicefirma rensa datorn.
Det är fråga om ett 2000-talsfenomen som under flera år orsakat problem för
användare i bl.a. Finland, Ryssland och Nord- och Sydamerika. Det skadliga
programmet är även känt som Reveton. Det finns olika versioner av
utpressningsprogrammet för olika länder och språkområden. Innehållet i meddelandet
varierar beroende på landet där programmet sprids. I USA påstås FBI ha låst datorn, i
Argentina PFA (Police Federal Argentine). Reveton och andra utpressningsprogram
utvecklas hela tiden för att utvecklarnas kriminella men lukrativa verksamhet ska
kunna fortgå så länge som möjligt.
I februari 2013 grep spansk polis en kriminell grupp som spridit ett
utpressningsprogram, som även drabbat finska datorer. Gripandet torde få ganska
liten betydelse globalt eftersom det finns andra grupper med liknande verksamhet.
Trots att detta är ett välkänt fenomen får CERT-FI:s kundservice fortfarande
förfrågningar om upplåsning av Reveton varje vecka. Flera Tietoturva nyt!-nyheter
Informationssäkerhetsöversikt 1/2013
8
har publicerats om saken och den har även behandlats i CERT-FI:s årsrapport 2012.
Nätfiske av användaruppgifter
CERT-FI informeras regelbundet om försök att lura till sig användaruppgifter för t.ex.
inloggning till Twitter eller Facebook. I mikrobloggtjänsten Twitter har det cirkulerat
meddelanden med frågan "Did you see this pic of you?". När användaren klickar på en
kort adress i meddelandet öppnas en webbplats som är missvisande lik Twitter.
Stulna inloggningsuppgifter kan användas för att sända motsvarande meddelanden till
andra Twitteranvändare. Om användaren klickar på adressen är det möjligt att man
senare försöker smitta användarens dator genom ett skadligt program. Motsvarande
bedrägerier är ganska vanliga i sociala medier. Då försöker man ofta få användaren
att klicka på installation av en Facebookapplikation eller ge den bedrägliga
webbplatsen rätt att använda kontaktuppgifter som lagrats i tjänsten.
Sårbarheter i vanliga program
Nya sårbarheter upptäcks hela tiden i vanliga program. Dessa kan utnyttjas av
skadliga program för att smitta datorn. Om programmen på datorn uppdateras med
de senaste versionerna kan utnyttjandet av kända sårbarheter stoppas.
Java
Sårbarheter i Java-program är återkommande nyheter. Vi har inte sluppit nya fall
under början av 2013. Under 2012 publicerade CERT-FI totalt sju
sårbarhetsmeddelanden om Java. Under innevarande år har redan fyra meddelanden
publicerats. Java-sårbarheter utnyttjas t.ex. vid spridning av spionprogram.
Java är ett hårdvaruoberoende programmeringsspråk och en mjukvaruplattform som
utgavs 1995. Enligt Oracle används Java-plattformen i cirka fyra miljarder apparater,
allt från hissar till datorer. På grund av Javas stora utbredning är den ett effektivt och
enkelt mål för hackare som vill finna säkerhetshål och utnyttja dem.
CERT-FI har uppmanat till inaktivering av Java i datorns webbläsare, om
användningen inte är nödvändig. Om t.ex. en nätbank inte kan användas utan Java
rekommenderar CERT-FI att man använder två olika webbläsare, varav endast den
ena har ett Java-tillägg.
Adobe Flash Player, Reader och Acrobat
Programmet Adobe Flash Player används bl.a. för att spela upp Youtube-videor och
visa reklamer på webbplatser. Enligt Adobe har Flash Player installerats i över 500
miljoner apparater. Dessa program bör vara uppdaterade med den senaste versionen
eftersom sårbarheter utnyttjas aktivt. I början av 2013 har CERT-FI publicerat fyra
meddelanden om sårbarheter i Flash Player samt två om sårbarheter i Reader och
Acrobat. Antalen är anmärkningsvärda med tanke på att nio Flash Player- och tre
Reader/Acrobat-meddelanden publicerades under hela 2012.
Informationssäkerhetsöversikt 1/2013
9
Webbläsare
Det räcker att besöka en smittad webbsida för att ett skadligt program som utnyttjar
webbläsarens sårbarheter kan smitta användarens terminal. Risken för smitta minskar
avsevärt om en uppdaterad version av webbläsaren används.
CERT-FI har publicerat 12 sårbarhetsmeddelanden om webbläsare i januari–mars.
Dessa gällde webbläsarna Google Chrome, Internet Explorer, Mozilla Firefox, Safari
och Opera. Under 2012 publicerades totalt 45 sårbarhetsmeddelanden om
webbläsare.
Anmälningar om fel och störningar i
kommunikationsnäten
Under början av våren har Kommunikationsverket erhållit tre teleföretagsrapporter
om mycket omfattande störningar (klass A) hos konsumentkunder. Dessa var
• 9.1 Störning i Elisas mobilnät
• 5.2 Störning i DNA:s fasta internetförbindelser
• 28.3 Störning i dataförbindelser i Elisas mobilnät.
Störningarna upptäcktes snabbt av teleföretagen och vid alla tillfällen eliminerades
väsentliga kundkonsekvenser inom cirka en timme efter störningens början.
Teleföretagen har publicerat kundmeddelanden om störningarna på sina webbplatser
och lämnat tillhörande rapporter till Kommunikationsverket. Dessutom påverkades
FST5-kanalens funktion i Lappland av en omfattande störning som lyckligtvis
inträffade då inga program visades på kanalen.
Sammanställning av fel och störningar i kommunikationsnäten
år 2012
Våren 2013 samlade Kommunikationsverket för första gången in omfattande
nätstörningsdata för år 2012 från teleföretagen. Enkäten gällde störningar med
måttlig eller liten omfattning som typiskt påverkade under 1 000 kunder i mer än en
halvtimme. Allvarligare störningar rapporteras fortlöpande till Kommunikationsverket.
Den närmare analysen av resultaten fortsätter och kommer att behandlas i följande
kvartalsöversikt.
På basen av de kundanmälningar som hittills mottagits kan man konstatera att
teleföretagen mest sysselsätts av störningar i mobilnät och fasta
bredbandsförbindelser. Dessa är också de kundspecifika tjänster som används mest.
Över en fjärdedel av de verifierade störningarna avhjälps inom sex timmar från
störningens början. Dessutom avhjälps över hälften av störningarna inom två dagar
från att den upptäckts. En stor del av de allvarligaste störningarna kan avhjälpas inom
en vecka.
Andelen störningar som pågick över en vecka ökade under fjolåret på grund av en
kraftig storm på annandag jul 2011. Reparationsarbetena fortsatte flera veckor in på
2012 till följd av den stora omfattningen och det stora antalet abonnemang. En del av
Informationssäkerhetsöversikt 1/2013
10
förbindelsefelen upptäcktes och avhjälptes först på försommaren när folk reste
tillbaka till sina sommarbostäder.
Vanligtvis beror en enskild störning på jordbyggnadsarbeten som leder till att såväl
abonnentledningar som nätkablar går av. Även andra kabelskador orsakar ofta
störningar i kundernas förbindelser. I fråga om nätutrustning kan bredbandsnätens
koncentratorer (DSLAM, Digital Subscriber Line Access Multiplexer) bli
funktionsodugliga till följd av naturfenomen eller fel på program eller utrustningar. Då
bryts alla abonnentförbindelser som är beroende av apparaten.
CERT-FI-händelseanmälningar
I januari–mars 2013 tog CERT-FI emot totalt 8 anmälningar om kränkningar av
informationssäkerhet mot teleföretag i enlighet med 21 § i lagen om dataskydd vid
elektronisk kommunikation, dvs. grundade anmälningar.
Händelserna som anmäldes till CERT-FI gällde till största delen dataintrång, även
enstaka anmälningar om sårbarheter i program gjordes. Merparten av fallen
upptäcktes i tid och då blev konsekvenserna av kränkningarna små. Förutom sårbara
datasystem orsakades hotfulla situationer även av mänskliga fel som t.ex.
felkopplingar i system.
Sammanfattning av säkerhetsincidenter 2012
Under 2012 erhöll Kommunikationsverket totalt 40 teleföretagsrapporter om
kränkningar eller kända hot mot informationssäkerheten som överskred
anmälningströskeln. De väsentligaste kränkningarna gällde inbrott i teleoperatörens
lokaler, dataintrång i teleoperatörens namnserver och smitta från ett skadligt program
i operatörens administratörsnät.
Väsentliga var också blockeringsattackerna mot flera medier och fall där attackens
effekt förstärktes genom DNS-servrar. Dataintrången i VoIP-växlar fortsatte under
året och orsakade ekonomisk skada för abonnentkunder och teleföretag.
Kommunikationsverket publicerade två anvisningar om datasäker VoIP-användning.
Blockeringsattacker med hacktivistmotiv, alltså uttryck av civil olydnad genom att
störa datatrafik och datasystem, har blivit vanligare de senaste åren. Attackerna
syntes i teleföretagens och framför allt i kundernas system.
Informationssäkerhetsöversikt 1/2013
11