Metoden: spionage via bakdörren
Principen är skrämmande enkel och utnyttjar en funktion som meddelandetjänsterna egentligen har infört för att underlätta för användarna: att länka ytterligare enheter till kontot (som med WhatsApp Web). Så snart någon får fysisk tillgång till din upplåsta mobil i bara några sekunder kan personen länka ytterligare en enhet – exempelvis en dator eller en surfplatta – till ditt konto med hjälp av en QR-kod eller en bekräftelsekod som skickas via sms. Brottsutredande myndigheter använder redan den här taktiken vid förhör när personer frivilligt lämnar ifrån sig sina mobiler. Men hotet kommer inte bara från myndigheter: även en svartsjuk partner i soffan på kvällen eller chefen på kontoret kan utnyttja ett ögonblicks ouppmärksamhet för en snabb ”ghost pairing”. En sådan länkning kan få förödande konsekvenser:
- Övervakning i realtid: Angriparen ser varje nytt meddelande som du skickar eller tar emot samtidigt på sin egen skärm.
- Synkronisering av gamla chattar: Beroende på meddelandetjänst kan även befintlig, äldre chatthistorik laddas ned till den utomståendes enhet när den länkas till kontot.
- Manipulation i det tysta: En länkad enhet kan inte bara användas för att läsa meddelanden i smyg, utan ofta även för att skriva och skicka meddelanden från ditt konto. Det kan helt förvanska chattarnas bevisvärde om det skulle bli aktuellt att använda dem som bevis.
Varför kryptering inte hjälper här
Inte ens den bästa totalsträckskrypteringen hjälper mot den här metoden. För systemet är angriparens enhet inte en obehörig tredje part, utan en officiell extrakanal som du har godkänt. Skyddsmekanismen knäcks alltså inte, utan kringgås helt enkelt på ett sätt som systemet tillåter. Visserligen avslöjas metoden så snart man kontrollerar de aktiva sessionerna i appens inställningar, men handen på hjärtat: vem går igenom den listan varje dag? Det är precis vad de som snokar räknar med. Ofta upptäcks den som läser i smyg först efter timmar, dagar eller till och med veckor.
Risken för företag: skugg-it och industrispionage
För företag blir problemet betydligt allvarligare. När medarbetare delar intern företagsinformation, kunduppgifter eller projektdetaljer via privata eller otillräckligt skyddade meddelandekanaler riskerar företagen omfattande dataläckor:
- Förlust av företagshemligheter: Via en enhet som har länkats till kontot i smyg kan känsliga överenskommelser hamna direkt hos konkurrenter eller obehöriga utomstående.
- Brott mot regelverk och GDPR: Okrypterad synkronisering av jobbchattar till privata enheter som tillhör tredje part strider mot gällande dataskyddsregler och kan få kostsamma rättsliga konsekvenser för företag.
Så skyddar du dig effektivt
(Säkerhetsregler i vardagen)
Som din IT-partner rekommenderar vi starkt att både företag och privatpersoner gör följande säkerhetsregler till en självklar del av vardagen:
- Kontrollera länkade enheter regelbundet: Gå till inställningarna i dina appar (WhatsApp, Telegram, Signal) och titta under ”Länkade enheter” eller ”Sessioner”. Ta omedelbart bort alla enheter som du inte med säkerhet själv har lagt till.
- Skydda telefonen med skärmlås: Lämna aldrig din mobiltelefon olåst och utan uppsikt – varken hemma eller på arbetsplatsen. Använd säkra PIN-koder, Face-ID eller fingeravtryckslås.
- Aktivera applås: I många meddelandeappar kan du via integritetsinställningarna skydda själva appen med ytterligare en kod eller biometrisk autentisering. Aktivera den funktionen!
- Var försiktig med sms-koder: Lämna aldrig ut bekräftelsekoder som du får via sms och låt inte någon titta på din skärm utan att du har kontroll över vad personen kan se.
- Tydliga riktlinjer för meddelandeappar på företaget: Använd enbart särskilda meddelandeappar för företag som har godkänts av IT-leverantören för arbetsrelaterad kommunikation. Förbjud överföring av företagsuppgifter via chattappar som enbart är avsedda för privat bruk.
Digital integritet börjar med en medveten hantering av hårdvaran. Om du behöver hjälp med att säkra företagets kommunikation eller skapa säkra kommunikationsvägar för medarbetarna finns vi som IT-leverantör alltid till hands med råd och stöd.
Skriv här …