GUIDE: Mobilsikkerhet - Nå bør du sikre mobilen mot virus

Symantec varsler nå om en økning i antall trusler rettet mot mobiltelefoner. Ifølge en rapport fra sikkerhetsselskapet vokste antallet smarttelefoner og andre mobile enheter i 2010 til et nivå som gjør dem til attraktive mål for angripere.

Moderne smarttelefoner bruker avanserte operativsystemer hvor det ikke er til å unngå at det vil være sårbarheter, mener Symantec (totalt 163 sårbarheter ble avdekket av Symantec i 2010). I tillegg er det å skjule skadelig kode i legitime apper solgt via app-butikker en effektiv måte å spre skadelig kode på. Det eneste som manglet i 2010 for at veksten i antall angrep skulle bli enda større, var i følge Symantec en metode for å gjøre angrep mot mobile plattformer like lønnsomme som angrep mot pc-er. Men de mener det bare er et tidsspørsmål før også mobilangrep vil være god butikk for cyberkriminelle, og da kommer den virkelige veksten i antall angrep.

Et annet sikkerhetsselskap som nå går ut med en advarsel, er Sophos. Moderne smarttelefoner brukes gjerne både til jobb og til private formål, noe som kan utgjøre en betydelig risiko for at sensitiv forretningsinformasjon kan komme på avveie. Det skriver Sophos i en fersk rapport («Security Threath Report, Mid-year 2011»)

- Mobile enheter, inkludert smarttelefoner og nettbrett, introduseres i bedriftenes nettverk hver eneste dag. Og etter hvert som disse enhetene når en kritisk masse, er det svært viktig at bedriftene forstår at disse fungerer som en pc i lommen – og er sårbar på samme måte. Grunnen er at de kjører et operativsystem og tilbyr tilgang til internett, heter det i rapporten.

Stjeler penger via nettbanken

Sophos advarer spesielt mot ondsinnet programvare rettet mot online banktjenester på mobiltelefonen. Ifølge Forrester Research vil 20 prosent av amerikanerne bruke en eller annen form for online banktjenester fra mobilen innen 2015, opp fra 12 prosent i dag. Det er grunn til å tro at tallet er enda høyere i Norge. Det har vært flere eksempler på trojanere rettet spesielt mot online banktjenester. I februar i år dukket OddJob opp, en trojaner som kunne overta en sesjon mot nettbanken etter at brukeren tror han eller hun har logget av, og deretter utføre ulike transaksjoner mot kontoene dine. Bankkunder i USA, Polen og Danmark skal være berørt av denne trojaneren, som finnes til Symbian og BlackBerry. En annen trojaner, Zitmo (også kalt Zeus Mitmo), retter seg mot både Android, Symbian, Windows Mobile og BlackBerry. Trojaneren ligger i bakgrunnen og overvåker SMS-meldinger for alt som kan ligne på banktransaksjoner. Informasjonen overføres til en hacker, som kan bruke dette til å få tilgang til nettbanken din. Bankkunder i Polen og Spania skal være berørt av Zitmo-trojaneren, ifølge Sophos.

Vanskelig å sikre Android

Stadig flere av mobiltelefonene som selges, er basert på Android-plattformen. Ifølge NetCom var 60 prosent av telefonene som ble solgt av NetCom i juli basert på Android. Mens Apples IOS er en lukket plattform, hvor Apple må godkjenne alle apper før de blir tilgjengelige, er Android en helt åpen plattform som hvem som helst kan publisere programvare til – uten godkjenning. Google har tidligere vært nødt til å fjerne skadelig programvare fra sin app-butikk Android Market, men dette er noe som gjøres først etter at appen er blitt gjort tilgjengelig i app-butikken. Dermed kan mange ha rukket å bli infisert før appen blir fjernet – og ettersom de fleste Android-brukere ikke har sikkerhetsprogramvare på sine mobiltelefoner er det ikke sikkert de noen gang blir klar over at mobilen er infisert med ondsinnet programvare. Google har riktignok mulighet til å fjernslette skadelig programvare fra kundenes mobiler, men det er ikke sikkert dette blir gjort alltid.

I løpet av de første seks månedene i 2011 dukket det opp en rekke ondsinnede programmer til Android, inkludert flere trojanere som sendte ut kostbare SMS-er. I mars dukket det opp mer enn 50 tilsynelatende legitime Android-apper som alle var infisert av Droid Dreams-trojaneren, og i juni måtte Google fjerne minst 10 apper som var infisert med en annen trojaner (Plankton) som også kunne brukes til å stjele sensitiv informasjon fra mobiltelefonen.

Inntil nylig fungerte de fleste trojanere for mobiltelefoner ved at de i det skjulte ringte opp, eller sendte sms-er til, kostbare betalingstelefonnummere. Men ifølge Symantec har det nå dukket opp programvare som også forsøker å gjøre mobiltelefonen din til en del av et botnet, som så igjen kan brukes til ulike kriminelle aktiviteter – alt fra å sende ut spam til å angripe servere på nettet. Dette viser at nettkriminelle nå begynner å utforske mange av de samme metodene som til nå har vært benyttet på pc-er.

Hull tettes ikke automatisk

Det er også et problem at sikkerhetshull på Android ikke automatisk blir tettet på brukernes mobiltelefoner.

Forskere ved Universitetet i Ulm har offentliggjort et sikkerhetshull som finnes på 99 % av alle Android-enheter, som gjør det mulig for uvedkommende å få tilgang til informasjon lagret i Google-kalenderen og kontaktregisteret på mobilen din. Google var raske med å tettet sikkerhetshullet, men ettersom Google overlater til telefonprodusentene selv å rulle ut sikkerhetsoppdateringer, kan det ta lang tid før hullene blir tettet ute hos brukerne. Enkelte telefonprodusenter er også ganske slappe med å tilby oppdateringer til eldre telefoner (eldre = mer enn noen måneder gamle i mobilverdenen), og dermed risikerer du at du ikke får viktige sikkerhetsoppdateringer.

Eiere av Apples iPhone-mobiler og mobiler basert på Windows Phone 7 får automatisk sikkerhetsoppdateringer etter hvert som de blir tilgjengelige, uavhengig av mobilprodusenten.

Mangler policyer

Siden smartmobiler er utsatt for trojanere og annen skadelig programvare, utgjør de en potensiell sikkerhetsrisiko når de tas med inn i bedriftens nettverk og gis tilgang til nettverksressurser. 94 prosent av bedriftene i en undersøkelse gjort av Sophos svarte at de tillater at ansatte bruker mobile enheter til å få tilgang til ressurser i bedriftens nettverk. Men mens hele 98 prosent av de samme bedriftene har policyer for bruk av pc-er i bedriftens nettverk, er det kun 69 prosent som har tilsvarende for bedriftens egne mobiltelefoner. Og når det gjelder bruk av ansattes egne mobiltelefoner, er det kun 31 prosent som har policyer som sier noe om hva som er akseptabel bruk av disse i bedriftens nettverk.

Ettersom det i dag er nærmest en selvfølge for mange å kunne bruke mobiltelefonen til å få tilgang til bedriftens e-post og kalender, og ha mulighet til å kunne laste ned og jobbe med jobbrelaterte dokumenter, er det desto viktigere å ha klare regler for hva som er tillatt og ikke. Lag policyer og sørg for at alle kjenner dem, og still gjerne krav om bruk av sikkerhetsprogramvare på mobiltelefonen, et minimum av passordbeskyttelse, og gjerne også at bedriften skal ha mulighet til å fjernslette mobiltelefoner som er kommet på avveie.