Var femte svensk sajt har säkerhetsproblem

Aktiesajterna sämst i stort test

Var femte svenska sajt på internet riskerar att bli ”kidnappad” av hackare.

Vanliga användare kan luras att lämna ifrån sig bankkonton, kreditkortsnummer, lösenord eller e-post.

Aftonbladet har tillsammans med det isländska säkerhetsföretaget Men & Mice undersökt säkerheten hos 185 svenska företag och myndigheter.

Säkerhetshålet är märkligt nog välkänt. För tre veckor sedan varnade den amerikanska säkerhetsorganisationen CERT/CC för problemet.

Uppgraderingen som åtgärdar problemet finns helt gratis på internet. Trots detta har 21 procent av de svenska företagen som vi undersökt inte gjort något åt säkerhetsluckan, som gör att en hackare kan ”kidnappa” trafiken till en internetsajt och omdirigera den till sin egen.

Bland de mest känsliga branscherna är situationen ännu värre.

Nästan var tredje svenska aktie- och fondmäklarsajt som ingick i undersökningen riskerar att bli ”kidnappad”. På de flesta av dessa sajter kan man handla med aktier on-line.

Jon Adalsteinsson, styrelseordförande för säkerhetsföretaget Men & Mice som genomfört testet, ger ett exempel på vad som kan hända:

Falska sidor

När du försöker gå till din bank kommer du till en falsk webbsida som ser likadan ut som den riktiga. Du loggar in med ditt användarnamn och ditt lösenord, men får ett meddelande om att tjänsten inte fungerar för tillfället.

I själva verket har hackern som ”kidnappat” trafiken precis fått tillgång till ditt användarnamn och lösenord, som han kan använda för att logga in i ditt namn på den riktiga sajten.

– Om en hackare lyckas omdirigera dig till en annan sajt kan han i princip göra vad han vill på den sajten. Han kan exempelvis ta kopior på all e-post som går till ett företag, säger Jon Adalsteinsson.

DNS nätets fula ankunge

Säkerhetsluckan finns i version 8.2.2 av gratisprogrammet Bind som används av cirka 80 procent av internets domännamnsservrar, så kallade DNS. En DNS-server är en vägvisare på internet som översätter internetadresser till nummer som datorerna förstår.

– DNS har varit nätets fula ankunge. Företag kan lägga ned miljoner dollar på att säkra sina datasystem på internet. Men när det gäller DNS använder de flesta gratisprogram som de laddat hem från internet, försummar att underhålla systemen och testa säkerheten, säger Jon Adalsteinsson.

– Det är som att köpa ett dyrt säkerhetssystem till ditt hus och sedan hänga upp nyckeln på dörren.

Att kidnappa en domän är komplicerat – om hackaren inte har rätt verktyg till sin hjälp.

Skriver egna program

– Vad som händer är att de duktiga hackarna skriver ett program som gör det enkelt och lägger sedan ut detta på nätet.

Ett sådant hackarprogram finns redan idag på nätet. Enligt säkerhetsföretaget Pilot network services har antalet försök att hitta sårbara DNS-servrar nästan tredubblats från december förra året till januari i år.

Även proffs är omedvetna om problemet. Hela 22 procent av internetleverantörerna i Sverige har dåliga versioner av Bind DNS.

– De ska vara experter på detta. Jag vill inte använda några kraftuttryck, men de gör inte sitt jobb ordentligt, säger Jon Adalsteinsson.

Så många hade säkerhetsluckor

Så kidnappar hackaren dig

Så gick testet till

Andra kända säkerhetshål

DNS är långt ifrån den enda typen av säkerhetshål på internet som hackare kan utnyttja.

Här är några kända hackarattacker genom åren.

Läs mer här

Bo Svernström