Oppsummering av nyhetsbildet innen datasikkerhet for juli 2018

I juli ble det registrert 184 alvorlige hendelser i forbindelse med vår tjeneste Sikkerhetsovervåking, opp fra 165 i juni Denne måneden var det flere brukere som ble lurt til å gi fra seg brukernavn og passord i forskjellige phishing-angrep. Vi hadde også tilfeller av maskiner som ble infisert av bank-trojaneren Retefe etter at denne ble spredt i Norge i flere runder med spam-eposter.

Det var 171 bekreftede DDoS-angrep i juli, litt ned fra 182 i juni. 64 av angrepene ble mitigert. Et gjennomsnittlig angrep var på 2.84 Gbps og varte typisk i 23 minutter. Det største angrepet observert i denne perioden var på 33.6 Gbps og varte i 6 minutter. To av TSOCs bedriftskunder ble utsatt for angrep denne måneden.

Typeform, en tredjepartsløsning brukt av blant annet Schibsted og Aller Media, har blitt rammet av et hackerangrep. Dette medfører at informasjon om brukere av Aftenposten, Dagbladet og Bergens Tidende har kommet på avveie. I alt skal det var rundt 30.000 nordmenn som er rammet og disse har blitt informert om dette. Typeform blir brukt til brukerundersøkelser. Informasjonen som er stjålet er: navn, alder, kjønn, epost-adresse, mobilnummer og besvarelser fra undersøkelsene. Passord og betalingsinformasjon skal ikke ha blitt stjålet.

Justisdepartementet i USA har anklaget 12 russiske statsborgere for å ha deltatt i hackerangrepet under presidentvalget i 2016. Alle de 12 tiltalte skal være medlemmer av GRU, som er en militær etterretningsorganisasjon. Avsløringen gir mer detaljert informasjon om det sofistikerte angrepet på det amerikanske presidentvalget, inkludert utgivelsen av e-postmeldinger designet for å sverte den demokratiske presidentkandidaten Hillary Clinton.

I juli dukket det opp en ny form for utpressings-eposter som viste seg å være svært effektive. Svindlere sender e-poster som inneholder mottakers tidligere passord, hentet fra en tidligere offentlig tilgjengelig lekkasje av brukernavn/passord. Eposten informerer så om at de har infisert en nettside som har pornografisk innhold, og at mottakeren har blitt filmet under besøk av siden. Svindlerne truer deretter med å sende videoen til venner og familie om mottaker ikke betaler, dette til tross for at videoen ikke eksisterer.

SIM-hijacking har i løpet av de siste årene blitt en mer vanlig angrepsvektor. Fremgangsmåten er at en angriper først kontakter mobiloperatøren til offeret og utgir seg for å være eieren av mobilnummeret. Der forteller de at de har mistet SIM-kortet sitt, og ber om å flytte nummeret over til et nytt SIM-kort som angriperen allerede innehar. Angriperen må så oppgi tilstrekkelig med personlig informasjon om offeret, ved å for eksempel bruke data fra tidligere datalekkasjer, til å overbevise den ansatte som jobber hos mobiloperatøren om at angriper faktisk er offeret. Derfra kan angriperen resette offerets brukerkontoer på diverse online-tjenester ved å bruke mobilnummeret som metode for tilbakestilling av passord. Ved bruk av denne angrepsmetoden hjelper det heller ikke at brukeren benytter SMS-basert to-faktor autentisering på tjenestene sine, ettersom angriperen allerede har full kontroll over offerets mobilnummer. For å motvirke denne formen for angrep er det nødvendig å bruke fysiske enheter som den andre faktoren ved autentisering, f.eks. Yubikeys.

Etter at Google i tidlig 2017 innførte fysiske sikkerhetsnøkler i stedet for passord og engangskoder for alle sine 85 000 ansatte, har ikke selskapet opplevd noen vellykkede phishing-angrep mot jobbrelaterte kontoer. Fysiske sikkerhetsnøkler er rimelige USB-baserte enheter som tilbyr tofaktorautentisering. I motsetning til engangskoder på sms eller gjennom en app, implementerer fysiske sikkerhetsnøkler en form for multifaktorautentisering kjent som Universal 2nd Factor (U2F), som gjør det mulig for brukere å fullføre innloggingsprosessen ved å sette inn en USB-enhet og trykke på en knapp på enheten. Angripere kan på denne måten ikke fange opp engangskoden mellom brukeren og enheten den skrives inn på. U2F er en open source autentiseringsstandard, som blant annet kan brukes på tjenester som Dropbox, Github og Facebook og Google.

En velkjent hackergruppe kjent under navnet MoneyTaker har stjålet omtrent en million dollar fra den russisk banken PIR Bank etter å ha infiltrert nettverket via en utdatert ruter. Group-IB, et russisk sikkerhetsfirma som ble kalt inn for å undersøke hendelsen, melder at de har "sikre digitale bevis som impliserer MoneyTaker i tyveriet" etter å ha undersøkt infiserte arbeidsmaskiner og servere hos PIR Bank.

SingHealth i Singapore har blitt rammet av det som omtales som landets verste cyberangrep, ifølge lokale medier. 1.5 millioner pasient-profiler og 160.000 resept-detaljer ble stjålet. Blant annet ble resept-detaljer til statsministeren, Lee Hsien Loong, stjålet. Ifølge regjeringen var angrepet ikke gjort av vanlige hackere eller kriminelle gjenger, siden det var målrettet og godt planlagt. Det er fremdeles ukjent hvem som står bak, men ifølge lokale medier antas det å være statsstøttet. Regjeringen har forsikret innbyggerne om at ingen av profilene har blitt tuklet med og at det eneste som ble stjålet var deres personlige profiler.