Slik hackes du på ferie

Selv om det er stadig vanligere med gratis, eller i det aller minste forholdsvis billig og tilgjengelig, tilgang til trådløst nett på hotell og feriesteder, har de fleste hoteller en eller flere datamaskiner i resepsjonen eller lounge-området til fri bruk av hotellets gjester.

Noen ganger er det klart det kan være både enklere og fristende å sjekke småting som epost, nettbank og lignende på disse maskinene enn det er å dra opp egen maskin og gå igjennom den ofte kronglete prosessen for å få koblet seg hotellets trådløse nett.

Problemet er at skurker også ser et potensiale i datamaskinene hotellet har installert til bruk av gjestene, og utruster seg for å stjele informasjon.

Advarer amerikanske hoteller

I et informasjonsskriv datert 10. juli og beregnet på selskaper i hotell- og reiselivsbransjen advarer sikkerhetstjenestene U.S. Secret Service og Department of Homeland Security mot faren, skriver sikkerhetsjournalisten Brian Krebs.

I dokumentet Krebs har fått tak i informerer en føderal sikkerhetsgruppe i Texas kort om arrestasjonen av to personer som skal ha kompromittert flere datamaskiner i områdene i og rundt Dallas og Fort Worth.

De mistenkte skal også ha benyttet stjålne kredittkort til å registrere seg som gjester ved flere hoteller for å få tilgang til hotellets datamaskiner som er tilgjengelig for bruk av gjestene. Deretter skal de ha installert programvare som fanger opp tastetrykk, og sender fangsten til dem på epost.

I et annet tilfelle i 2001 var det for øvrig noen som installerte fysiske USB-keyloggere på datamaskiner ved offentlige biblioteker i Manchester, Storbritannia. Denne ble installert i datamaskinen mellom maskin og tastatur, slik at absolutt alt som ble tastet inn ble registrert av skurkene. Slike keyloggere koster gjerne fra 300 kroner stykket, og er enkle å få tak i og bruke.

Det er en rekke tiltak man kan gjøre for å sikre allmennt tilgjengelige datamaskiner, men som Krebs skriver er det så og si umulig å sikre seg helt dersom man har fysisk tilgang til datamaskinene og skurken har litt peiling på det han driver med.

En god regel er derfor rett og slett å unngå å bruke slike maskiner til noe annet enn vanlig surfing.

Ikke kjent i Norge

Roar Thon, fagdirektør for Sikkerhetskultur i NSM (Nasjonal sikkerhetsmyndighet), kan fortelle at NSM kjenner til informasjonsskrivet fra amerikanske myndigheter angående tastelogging i Texas. Han kjenner ikke til slike tilfeller her i Norge, men ville ikke være altfor overrasket om det har forekommet, hverken med USB-logger, eller mer sannsynlig, med skadevare.

Thon mener det viktigste man kan gjøre rett og slett er å være bevisst på hva man bruker offentlig tilgjengelige enheter til. Man han forstår at det kan være vanskelig, og sammenligner problematikken med skimming av bankkort i minibank.

- Problematikken beskriver jo hvor sammensatt hverdagen vår er. Man må tenke på hvilke enheter man har med seg på reisen og den slags, forteller Thon.

Han påpeker videre at å bruke en gjeste-pc til vanlig surfing ikke medfører noen stor risiko. Det er å logge seg på epost og andre tjenester som krever brukernavn og passord som kan sende en uheldig turist ut i knipa. Dersom man likevel er nødt til å for eksempel sende epost, anbefaler Thon at man oppretter en midlertidig epostkonto som kan kastes etter bruk.

- Men man bør ikke avfeie problemstillingen bare fordi det ikke har skjedd i Norge, avslutter Thon.

Vær oppmerksom

Norsis (Norsk senter for informasjonssikring) jobber for å utdanne norske virksomheter i privat og offentlig sektor, og norske innbyggere om informasjonssikkerhet.

Tone Hoddø Bakås, seniorrådgiver og fungerende administrerende direktør i Norsis, anbefaler at man på reise bare bruker de allment tilgjengelige datamaskinene til surfing og nettaviser. Det er bedre å finne en annen løsning for å jobbe eller sende og motta epost, oppdatere sosiale medier eller sjekke nettbanken.

- Men er det en ting du er nødt til å gjøre, som for eksempel bestille billetter, er det viktig å logge av med en gang du er ferdig. Og er du nødt til å skrive et dokument på en offentlig tilgjengelig pc, så sørg for å slette det med en gang. Og tøm papirkurven etterpå, forteller Bakås.

Hun minner om at det også er viktig å undersøke de fysiske omgivelsene der man sitter og taster. Det er viktig å sjekke om det er noen rundt deg når du sitter åpent, enten det er på hotellet, med egen bærbar på flyplassen eller kafé. Og pass på at ingen ser deg over skulderen din.

- Det er veldig lett å bli overvåket i slike områder. Man føler seg for eksempel gjerne alene i store mengder, men det er man jo faktisk ikke. Og man vet heller aldri hvem som er interessert i informasjonen din, sier Bakås.

I tillegg til VPN dersom du er på ukjent Wifi med egen maskin, er et tiltak ganske enkelt å ha med et skjermfilter.

- Altfor mange sitter uten skjermfilter. Det anbefales om du har med egen pc på reise. Da kan ikke sidemannen se det du gjør eller skriver, forteller Bakås.

Det viktigste er rutiner

Når det gjelder steder som tilbyr sine kunder tilgang til datamaskin og internett, som eksempelvis hotell og bibliotek, påpeker Bakås at det viktigste er at kompetanse og ikke minst rutiner er på stell. Maskinene må jo tas hånd om, så det gjelder å sørge for at operativsystemer, alle programmer og selvsagt antivirus er oppdatert.

Da er det bra å ha faste rutiner, og gjerne daglig tanking, som for eksempel enkelt kan utføres av nattevakten som en del av rutinen. Man kan også ved ledighet sjekke etter ting som USB-nøkler og den slags.

- Det viktigste er rutiner, og å sørge for at de blir opprettholdt. Rutiner er en kritisk sak. Da er det også viktig med opplæring av ansatte, sier Bakås.

Hun forteller også om et generelt godt inntrykk av norske biblioteker når det gjelder it-sikkerhet på datamaskiner som er tilgjengelige til utlån for bibliotekbrukerne.

- Der kompetansen og fokus på informasjonssikkerhet er høy, vil det gjerne være gode rutiner og bedre sikring av pc-er til utlån, avslutter Bakås.