Vad är en cyberattack?

En avsiktlig handling för att utpressa, förstöra eller spionera

En cyberattack är ett samlingsbegrepp för en rad olika typer av angrepp som kan ske mot uppkopplad digital infrastruktur som exempelvis nätverk, datorsystem och servrar. Målet är att olovligen ta kontroll av systemet och antingen försöka pressa offret på pengar, stjäla, ändra eller förstöra känslig information till att störa normala affärsprocesser.

Typer av Cyberattacker

• Malware, en förkortning av ”malicious software”, är skadlig programvara som är designad för att skada eller utnyttja operativsystem. Malware kan ta olika former, såsom virus, trojaner, ransomware och spionprogram.
• Virus är en form av skadlig programvara som har förmågan att kopiera sig själv och sprida sig till andra datorer eller filer. När ett virus infekterar en dator kan det orsaka skada genom att ändra, korrumpera eller förstöra filer och program.
• Trojaner är skadlig programvara som lurar användare genom att utge sig för att vara legitim programvara eller filer. När de infiltrerar enheter kan de stjäla information, spionera eller installera andra skadliga program utan användarens tillstånd.
• Ransomware är en typ av skadlig programvara som krypterar användarens filer och sedan kräver att offret betalar en lösensumma till den attackerande parten för att få tillgång till dekrypteringsnyckeln.
• Spionprogram är skadlig programvara som installerar sig självt på enheter utan användarens tillstånd för att samla information, inklusive användaraktivitet och personliga data, utan användarens vetskap.
• Phishing: Bedrägeriförsök där angriparen försöker komma över information eller bereda sig tillgång till system som denne ej skall ha tillgång till.
  • Spear Phishing: All phishing där det inte skickas slumpmässigt utan attackeraren har valt ut och riktat attacken mot ett specifikt mål, målgrupp, visst land, region eller kundbas.
  • Angler Phishing: Bedrägeriförsök som är noggrant planerade och skräddarsydda för en specifik individ och således ytterst svåra att identifiera.
  • Whaling: En form av phishing där målet kan vara någon person högre uppsatt i ledningen men oftast riktat mot personer med hög behörighet i organisationens IT-infrastruktur.
  • Smishing: Phishing över SMS eller andra snabbmeddelandetjänster.
  • Vishing: Bedrägliga samtal där den ringande parten försöker komma över uppgifter eller bereda sig tillgång till system som denne ej skall ha tillgång till.

• Clone-phishing / Reply-chain attack: Angriparen har lyckats skapa eller fått tillgång till en legitim e-post som mottagare har förtroende för. Genom denna försöker angriparen lura sina offer genom att bland annat fortsätta och utnyttja konversationer som redan är uppstartade. Bluff-fakturor är vanliga vid sådana här attacker.
• Social Engineering: En teknik för att lura en individ till att utföra handlingar som ej ligger i individens eller organisationens bästa intresse. Social Engineering används i flertalet attackförsök.
• Denial-of-Service (DoS) och Distributed Denial-of-Service (DDoS) är former av attacker som har som mål att överbelasta en server, ett nätverk eller en digital tjänst genom att skicka en oproportionerlig mängd förfrågningar eller trafik. En viktig distinktion mellan dem är att vid en DDoS-attack använder angriparen vanligtvis ett botnät, som är en samling av många datorer eller enheter, för att skicka förfrågningar från ett brett spektrum av IP-adresser. Denna metod gör det betydligt svårare för den attackerade parten att filtrera ut den skadliga trafiken eftersom det inte finns en enkel, direkt källa att blockera.
• En Man-in-the-Middle (MitM)-attack är när en angripare avlyssnar och manipulerar kommunikationen mellan två parter utan deras vetskap. Genom att placera sig mellan parterna kan angriparen stjäla information, infoga skadlig kod eller ändra meddelanden. Det är en allvarlig säkerhetsrisk som kan leda till förlust av känslig information.
• SQL-injektion är en attack där angriparen utnyttjar säkerhetsbrister i applikationens databashantering genom att infoga skadlig SQL-kod i inmatade datafält. Det gör det möjligt för angriparen att komma åt, ändra eller ta bort data i databasen och kan leda till allvarliga konsekvenser som datastöld eller att säkerhet och integritet äventyras.
• En Zero-Day Exploit är en typ av attack som utnyttjar en sårbarhet i programvara eller hårdvara som inte tidigare har upptäckts eller blivit känd för utvecklarna eller allmänheten. Denna typ av sårbarhet innebär att det inte finns någon tidigare känt sätt att skydda sig mot attacken när den inträffar, vilket ger angriparen en fördel. Eftersom sårbarheten är ny och okänd för utvecklarna, har de inte haft tid att skapa och distribuera en patch eller fix för att åtgärda problemet innan attacken inträffar. Därför kan Zero-Day Exploits vara särskilt farliga och utnyttjas för att skada system, stjäla data eller utföra andra skadliga handlingar innan sårbarheten upptäcks och åtgärdas.
• DNS Tunneling är en teknik som utnyttjar Domain Name System (DNS) för att skicka icke-DNS-trafik över internet. Vanligtvis används DNS för att översätta domännamn till IP-adresser, så vi kan skriva google.com istället för IP-numret till Googles server. I fallet med DNS Tunneling manipuleras dessa förfrågningar och svar för att gömma annan typ av dataöverföring. DNS tunneling används ofta av angripare för exfiltrering av data från en organisation innan hotaktören nyttjar ett ransomware för att kryptera filerna hos organisationen.

• Command and Control (C&C): Command and Control (C&C) är en teknik där angripare övertar kontrollen över datorer eller system. Det möjliggör styrning och manipulering av de infekterade enheterna på avstånd. Angriparen kan utföra olika skadliga aktiviteter, inklusive spridning av skadlig kod och stöld av känslig information. C&C-tekniken används av cyberkriminella för att genomföra spionage, sabotage och andra skadliga handlingar.
• Live of the Land (LotL) attack: En form av cyberattack som utnyttjar befintliga funktioner och verktyg inom ett operativsystem för att genomföra och maskera angrepp. Istället för att introducera ny skadlig kod, använder LotL-attacker redan befintliga systemresurser och verktyg för att kompromettera och navigera genom målsystemet. Genom att utnyttja dessa inbyggda funktioner blir det svårare för säkerhetsprogram att upptäcka och stoppa attacken eftersom skadlig aktivitet inte nödvändigtvis genererar misstänkt trafik eller avvikande beteende. På så sätt kan angriparen smidigt röra sig inom systemet, stjäla data, installera ytterligare skadlig kod eller utföra andra skadliga aktiviteter utan att väcka uppmärksamhet. Denna typ av attack är utmanande att förebygga eftersom den inte följer de traditionella mönstren för en konventionell attack och utnyttjar istället systemets egna resurser för att utföra skadlig verksamhet.
• Cryptojacking: Cryptojacking är en form av attack där en angripare olovligen får tillgång till ett eller flera system eller tjänster för att använda deras beräkningskraft för att utvinna digital valuta, såsom Bitcoin eller Monero. Istället för att traditionellt hacka och stjäla data fokuserar cryptojacking på att utnyttja systemets processorkraft för att utföra kryptografiska beräkningar som krävs för att generera eller validera transaktioner på ett blockchain-nätverk det som kallas mining. Angriparen installerar vanligtvis skadlig kod på offrets enhet eller nätverk, vilket gör att deras datorer eller andra enheter kan användas för mining utan deras medgivande eller kunskap. Detta kan resultera i prestandaproblem på de infekterade enheterna och ökad energiförbrukning. Cryptojacking kan utföras på individuella datorer, servrar eller till och med stora företagsnätverk och har blivit ett allt vanligare hot på internet.
• Brute force: En teknik där angriparen automatiserat prövar många lösenord mot en tjänst eller enhet för att ”gissa” sig till det rätta lösenordet. Attackerna använder sig av fördefinierade lösenordslistor i kombination med ordlistor.
• Insider Threat: En användare med legitim tillgång till ett system eller tjänst förstör eller stjäl information, eller bereder en annan person tillgång till systemet för att göra detsamma.
• Cross-Site-Scripting (XSS): Detta är en sårbarhet som tillåter angripare att injicera skadlig kod, oftast JavaScript, i webbsidor som sedan körs i besökarens webbläsare. Genom denna sårbarhet kan angripare utföra olika skadliga handlingar såsom stöld av information, loggning av tangenttryckningar och omdirigering till andra sidor. Det finns två huvudsakliga typer av XSS-attacker: lagrad och reflekterad, där skadlig kod antingen sparas permanent eller reflekteras tillbaka till användaren via osäkra webbsidor eller applikationer. För att förhindra XSS-attacker bör webbutvecklare sanera och validera all användargenererad data innan den visas på en webbsida och använda säkerhetsåtgärder som Content Security Policy (CSP).
• Advanced Persistent Threat (APT): En attack som är skräddarsydd för att under lång tid kunna existera inom en miljö och kan anses väldigt sofistikerade. Teknikerna är oftast många och mycket av dessa hackers arbete går ut på att utse mål och planera tillvägagångssättet. Hotaktören jobbar hela tiden för att försöka vara så tyst som möjligt i förhoppning att undgå att bli upptäckt, och därför är dessa typer av attacker både mycket svåra att detektera men också problematiska vid upptäckt då det kan vara komplicerat att få ut hotaktören ur miljön. De grupper eller personer som sysslar med dessa attacker är ofta högt tekniskt kunniga och ofta välfinansierade med tydliga mål och planer över sina angrepp. När en hackergrupp av denna typ utgör ett hot mot samhället registrerar man dem som en APT-grupp för att sprida information om dem och vilka tekniker de gjort sig kända för att jobba med. Exempel på kända APT-grupper är nordkoreanska Lazarus Group (APT38), iranska Charming Kitten (APT35) och ryska Fancy Bear (APT28).

Vanliga konsekvenser

Konsekvenserna av dessa attacker kan vara förödande och väldigt resurskrävande. De kan inkludera ekonomiska förluster till följd av stöld eller bedrägeri, kostnader för återställning av system, förlust av affärsmöjligheter och kundförtroende. På en personlig nivå kan individer drabbas av identitetsstöld, kreditkortsbedrägeri och en långvarig känsla av osäkerhet och misstro. På en större skala kan cyberattacker mot infrastruktur leda till avbrott i viktiga samhällsfunktioner som elnät, sjukvård och transport.

Så skyddar du dig

För att skydda dig och din organisation mot en cyberattack är det viktigt att vidta proaktiva och reaktiva säkerhetsåtgärder. Detta inkluderar att implementera starka säkerhetsprotokoll, som regelbunden uppdatering av programvara och system, användning av robusta antivirusprogram och brandväggar, samt att genomföra kontinuerlig övervakning av nätverkstrafik för att upptäcka och svara på misstänkta aktiviteter. Utbildning och medvetenhet är också avgörande, då många attacker börjar med en användare som oavsiktligt öppnar en infekterad fil eller klickar på en skadlig länk. Regelbundna säkerhetsutbildningar och övningar kan hjälpa till att minska risken för mänskliga misstag. Dessutom kan tjänster som CISO as a Service erbjuda expertis och ledarskap för att stärka din organisations cybersäkerhetsstrategi utan att behöva anställa en heltids-CISO.

Hantering av Cyberattacker

Ett effektivt svar på en cyberattack kräver en välplanerad incidenthanteringsplan som inkluderar identifiering av attacken, innehållning av skadan, utrotning av hotet, återställning av system och tjänster, och slutligen en efteranalys för att förbättra framtida svar. Det är också viktigt att ha en kommunikationsstrategi för att informera berörda parter, inklusive kunder, anställda och i vissa fall allmänheten och myndigheter. Att lära av incidenter och ständigt förbättra säkerhetsåtgärder är nyckeln till att stärka motståndskraften mot framtida attacker. I detta sammanhang kan ett Dataskyddsombud vara ovärderlig för att säkerställa att din organisation inte bara följer GDPR utan också upprätthåller högsta möjliga säkerhetsstandarder för personuppgifter.