“I will directly come to the point. I'm aware [fjernet af DKCERT] is your password. More importantly, I know about your secret and I have proof of your secret.”
Sådan indledes en afpresningsmail, som en række danskere modtog tidligere på sommeren.
Længere nede i mailen fortæller angriberen, at han har overtaget ofrets computer og benyttet det indbyggede kamera til at optage sekvenser, der viser vedkommende i færd med at se pornografisk materiale - og hvad der hører med i den forbindelse.
Hvis ofret ikke betaler en angivet sum, så trues der med offentliggørelse af de kompromitterende videoer.
Ofret, der modtog denne konkrete mail, henvendte sig til DKCERT, blandt andet fordi der var overensstemmelse med det password (som jeg har fjernet) og et password, som ofret tidligere har anvendt til sine konti.
Slår på de bløde punkter
De (næsten) matchende adgangskoder er typisk blevet opsamlet i forbindelse med data-brud på databaser med adgangskoder og koblet sammen med andre data om brugeren. Sådanne oplysninger kan købes for ganske få kroner på lyssky net-fora.
Afpresseren rammer på denne måde ofret på flere bløde områder med sine slag, og det kan få nogle til at betale den ønskede mængde bitcoin i løsepenge. Faktisk har jeg flere eksempler på, at det er sket.
Big data og analyse af store datamængder er altså på vej til at blive et vigtigt værktøj, som de kriminelle anvender i deres aktiviteter med at svindle penge fra uskyldige ofre. Hvilket, der er flere eksempler på.
Jeg har dit telefonnummer
Ovenstående forsøg på afpresning er nemlig ikke enestående, og der findes flere forskellige udgaver af personhenvendte udsendelser, eksempelvis, hvor de sidste fire cifre af ofrets telefonnummer er angivet. Disse oplysninger er sandsynligvis opsamlet via sms-godkendelser og igen solgt videre på nettet.
Men princippet er det samme.
Angriberen rykker tættere på sit offer gennem udnyttelse af informationer, der er samlet op på nettet og ved at stykke informationerne sammen på en ondskabsfuld måde.
Ved at samkøre data som bopæl, navn, seksuelle præferencer, datingvaner, adgangskoder eller telefonnumre bliver angrebet yderst personligt og presser ofret meget hårdt. Og det er desværre den tendens, som jeg forventer vil udvikle sig i fremtidens afpresningskampagner.
Og angrebene begrænser sig ikke til computeren. Telefonen vil i større omfang blive en vigtig angrebsplatform for de kriminelle, der forsøger afpresning.
Det kan du selv gøre
Du kan selvfølgelig ikke sikre dig mod at modtage en afpresningsmail i indbakken, men du kan tage forholdsregler mod de kriminelle.
Vi ved det selvfølgelig alle sammen, men desværre glemmer vi det ofte i hverdagens netbrug: Alle de data, der er lagt på nettet, kan genfindes og stykkes sammen på en måde, der ikke nødvendigvis afspejler sandheden. Derfor skal du huske, at være kritisk i forhold til hvad du gør, og hvad du deler. Stol på din sunde fornuft.
Gode password-vaner er ligeledes et meget effektivt værktøj til god sikkerhed. Sørg altid for at dine adgangskoder er lange, gerne mere end 12 tegn. Du må ikke bruge den samme adgangskode til flere tjenester og anvend så to-faktossikkerhed alle de steder, det er muligt.
En krypteret tunnel via VPN giver også stærkere sikkerhed. En mulighed, der understøttes direkte i nogle browsere, i nogle antivirusprogrammer eller du kan købe tjenesten særskilt.
Tip: Sådan sparer du penge
Og så lige et tip til at spare penge: Du skal ikke betale én eneste krone til ondsindede kriminelle, der presser uskyldige ofre. Dem kan du roligt beholde selv. Hvis du betaler, så ved den kriminelle, at der er mulighed for at hente endnu flere penge, hvilket er skruen uden ende.
Oprindelig bragt på Computerworld Online den 31. august 2018.