Advarer mot skreddersydd svindel etter datalekkasje

Professor Audun Jøsang, som er leder for Forskningsgruppen for digital sikkerhet ved Universitetet i Oslo, mener den største trusselen med Norkart-angrepet er det han omtaler som «muligheten for sosial manipulering».

– Massiv lekkasje av personinformasjon er svært alvorlig, selv om et enkelt informasjonselement i seg selv ikke er så alvorlig. De som står bak, kan lett gi seg ut for å være aktører med falsk identitet – med bakgrunn i den informasjonen de nå har. De kan for eksempel utgi seg for å jobbe i Kartverket eller den lokale kommunen, sier Jøsang til NRK.

Dermed kan det bli lett å få tak i informasjon, som igjen kan føre til betalinger.

– Basert på innhold i denne databasen, kan de lett skreddersy automatiserte angrep. De fleste vil nok ikke gå på agnet, men det er nok at bare én prosent tar agnet, så sitter svindlerne igjen med høy profitt, sier han.

Selv eksperter kan bli lurt

Norkart uttalte tirsdag til NRK at så mange som opptil 3,3 millioner nordmenn kan være rammet av datalekkasjen. Alle som eier, eller har eid, eiendom i Norge kan være berørt.

– Jeg er huseier selv, og jeg er bekymret. Selv de største ekspertene kan bli lurt, om svindelen er godt nok konstruert, sier Jøsang.

– Er enkelte mer utsatt enn andre i slik svindel?

– Individer som finnes i denne databasen vil ha forskjellig dømmekraft når det gjelder å avsløre svindelforsøk. Eldre vil for eksempel gjerne bli lurt oftere, svarer han.

De neste månedene anbefaler han å være ekstra varsom for spesielle brev, e-poster og telefoner.

– Bruk god dømmekraft, og være skeptisk – hver eneste gang du får en henvendelse, hvor du ikke enkelt kan identifisere hvem som står bak, påpeker Jøsang.

Skal vurdere alvorlighetsgraden

Det er for tidlig å si om Norkart kan bli ilagt et overtredelsesgebyr for manglende sikring av personopplysninger, ifølge Datatilsynet.

– Vi må først gjøre en grundig vurdering av saken, som nå er under behandling. Vi vil se nærmere på hva som har skjedd og hvorfor det skjedde, sier konstituert direktør Janne Stang Dahl.

De vil spesielt undersøke hvilke sikkerhetstiltak som var satt inn før og etter datalekkasjen.

– Vi vil så gjøre en samlet vurdering av alvorlighetsgraden.

Datatilsynet anbefaler de som er berørt om å være oppmerksom på unormale bevegelser, for eksempel knyttet til bank, kredittkort og forsikring.

– Vær også oppmerksom på varsel om adresseendring, eller telefoner og brev om kjøp du ikke har gjennomført. Vær ekstra oppmerksom på henvendelser i form av meldinger og e-post som du stusser på, sier Stang Dahl.

Går bredt ut

Seksjonsleder Rune Skjold i Oslo politidistrikt sier de er i en tidlig fase i etterforskingen av datainnbruddet. Han sier det er alvorlig at så store mengder personinformasjon er på avveie.

– Foreløpig har vi ingen mistenkte. Men vi jobber med å sikre digitale spor, og samarbeider med andre offentlige myndigheter. Vi ser også om det er mulig å koble dette til andre lignende hendelser for å se om vi kan nøste oss fram til hvem som har gjort dette.

Gjerningsmennene er trolig på jakt etter identiteter som de kan misbruke til ta opp lån eller kjøpe varer i andres navn, eller som de kan selge videre. Stjålne identiteter er en omsetningsvare i kriminelle miljøer, sier Skjold.

– Det kan være personer som er interessert i å skaffe seg identiteter på norske borgere, som de ønsker å bruke i ulike sammenhenger, sier han.

– Som å glemme å lukke kjellervinduet

Nasjonal sikkerhetsmyndighet (NSM) bidrar med blant annet teknisk analyse om hva som har skjedd i Norkart-hackingen.

– Norkart opplyser at sårbarheten skyldes feil i konfigurasjonen av en brannmur. Hvor alvorlig er det at en sånn feil skjer?

– På generelt grunnlag kan feilkonfigurerte brannmurer være veldig alvorlig, fordi det kan gi tilgang til systemer og verdier som ondsinnede aktører har interesse av – åpninger som ikke egentlig skulle vært der, sier seksjonssjef Tom-André Røgden.

– Veldig grovt kan man sammenligne det med å glemme å lukke kjellervinduet før du drar på ferie.

NSM mener dette gir en viktig påminnelse om å sikre det man har av digitale verdier.

– Man må vite hva de er, og sikre dem deretter. Det finnes mange råd om dette på NSMs nettsider, og grunnprinsippene for IKT-sikkerhet anbefaler vi alle virksomheter å implementere, sier Røgden.

Justisdepartementet følger saken

Justis- og beredskapsministeren er orientert om det som har skjedd, og at Datatilsynet og Nasjonal sikkerhetsmyndighet er koblet inn, opplyser statssekretær Hans-Petter Aasen (Sp) til NRK.

– Saken er politianmeldt og under etterforskning, og vi må avvente resultatet av denne. Dette er potensielt en svært alvorlig hendelse, og den tas på største alvor, sier han