Home

Systemer i fare

Systemer i fare

Datasystemer er universelt ansatt i alle telekommunikasjonsselskaper, de nasjonale kraftnettene, vann- og gassystemene og til og med atomkraftverk, og på grunn av det faktum at internett er de primære potensielle angrepsvektorene som cyberkriminelle beveger seg gjennom, er alle disse institusjonene i konstant risiko for å bli hacket.
Men i avsnitt "4. Ondsinnet programvare" ble Stuxnet-ormen og dens etterfølgere vist å til og med påvirke enheter som ikke er koblet til Internett.

I 2014 undersøkte Computer Emergency Readiness Team, en divisjon av Department of Homeland Security, 79 hackinghendelser hos forskjellige amerikanske energiselskaper. Sårbarheter i smarte målere (hvorav mange bruker lokal radio eller mobilkommunikasjon) kan forårsake problemer med faktureringssvindel.

For tiden bruker og stoler det store flertallet av bransjer, regjeringer og mennesker alltid på komplekse datasystemer, som alle er utsatt for cyberangrep av ulik alvorlighetsgrad.

Datasystemene og den digitale infrastrukturen til både kommersielle og investeringsbanker, finansregulatorer og alle andre typer finansinstitusjoner som US Securities and Exchange Commission (SEC) eller Society for Worldwide Interbank Financial Telecommunication (SWIFT), er fremtredende hackingsmål for cyberkriminelle som er interessert i effektivt å manipulere markedene for å oppnå ulovlige gevinster.
Nettsteder, apper og visse mikrofinansielle strukturer som lagrer kredittkortdetaljer, bankkontoinformasjon og meglerdata i sine digitale depoter, uansett hvor sofistikert krypteringen er, er disse online plattformene for tiden de største hackingmålene på grunn av det forlokkende potensialet for å få umiddelbar økonomisk gevinst ved å overføre penger, kjøpe eller selge informasjonen på det svarte markedet.
Sist men fremst har mange betalingssystemer i butikken rundt om i verden, for eksempel minibanker, blitt hacket og er for tiden et fremtredende mål for nettkriminelle.

Det er en selvfølge at luftfartsindustrien i stor grad er avhengig av en rekke svært sofistikerte datasystemer som, uavhengig av luftnærhet, også kan angripes.
Hvis ikke tilfelle av et målrettet flyangrep, kan konsekvensene av et enkelt strømbrudd på en gitt flyplass være ødeleggende, selv på global skala. Det store flertallet av luftfartens kommunikasjonssystem er avhengig av radiooverføring som lett kan forstyrres, og kontrollerende fly over hav er spesielt farlig fordi radarovervåking bare strekker seg 175 til 225 miles offshore.
Konsekvensene av vellykket cyberangrep fra luftfarten kan variere fra flyskader til mange dødsfall.
I Europa, med (Pan-European Network Service) og NewPENS, og i USA med NextGen-programmet, flytter flysikringstjenesteleverandører for å skape sine egne dedikerte nettverk.

Et annet ekstremt vanlig mål for nettkriminelle er personlige og hjemmeenheter, for eksempel bærbare datamaskiner, stasjonære datamaskiner, telefoner og nettbrett som lagrer passord og annen sensitiv økonomisk informasjon.
Bærbare enheter, for eksempel smartklokker, aktivitetssporere og til og med smarttelefoner som inneholder sensorer som kompass, akselerometre, kameraer, mikrofoner og GPS-mottakere, kan utnyttes for å få innflytelse på privat informasjon, inkludert sensitive helserelaterte data.
Wi-Fi-, Bluetooth- og mobiltelefonnettverk på noen av disse enhetene kan brukes som angrepsvektorer, og sensorer kan aktiveres eksternt etter et vellykket brudd.

Alle store selskaper er felles mål. Angrepene er nesten alltid rettet mot økonomisk gevinst enten gjennom identitetstyveri eller brudd på data.
Det typiske eksemplet på cyberangrep rettet mot store selskaper er Home Depot, Staples, Target Corporation og Equifax cyberangrep.

Likevel er ikke alle angrep økonomisk motivert. I 2011 gjengjeldte, angrep og uskadeliggjorde hacktivistgruppen Anonymous hele datanettverket til sikkerhetsfirmaet «HBGary Federal», bare fordi sikkerhetsfirmaet hevdet at de hadde infiltrert den anonyme gruppen.
I 2014 ble Sony Pictures angrepet og dataene deres ble lekket med motivet bare å lamme selskapet ved å avsløre deres kommende prosjekter og tørke alle arbeidsstasjoner og servere.
En viss prosentandel av online angrep utføres av utenlandske regjeringer, som engasjerer seg i cyberkrigføring med den hensikt å spre sin propaganda, sabotasje eller spionere på sine mål.
Sist men først og fremst har medisinske journaler blitt målrettet generelt identifisere tyveri, helseforsikringssvindel og utgi seg for pasienter for å skaffe reseptbelagte legemidler til rekreasjonsformål eller videresalg.

I tillegg har medisinsk utstyr enten blitt vellykket angrepet eller fått påvist potensielt dødelige sårbarheter, inkludert både diagnostisk utstyr på sykehus og implantert utstyr, inkludert pacemakere og insulinpumper. Det er mange rapporter om sykehus og sykehusorganisasjoner som blir hacket, inkludert ransomware-angrep, Windows XP-utnyttelser, virus og datainnbrudd av sensitive data lagret på sykehusservere. Den 28. desember 2016 ga US Food and Drug Administration ut sine anbefalinger for hvordan produsenter av medisinsk utstyr skal opprettholde sikkerheten til Internett-tilkoblede enheter - men ingen struktur for håndhevelse. Selv om cybertruslene fortsetter å øke, økte ikke 62 % av alle organisasjoner sikkerhetsopplæringen for virksomheten sin i 2015.

Kjøretøy blir stadig mer datastyrt, med motortiming, cruise control, blokkeringsfrie bremser, setebeltestrammere, dørlåser, kollisjonsputer og avanserte førerassistentsystemer på mange modeller. I tillegg kan tilkoblede biler bruke Wi-Fi og Bluetooth til å kommunisere med forbrukerenheter og mobiltelefonnettverket. Selvkjørende biler forventes å bli enda mer komplekse.
Alle disse systemene har en viss sikkerhetsrisiko, og slike problemer har fått stor oppmerksomhet. Enkle eksempler på risiko inkluderer at en ondsinnet kompaktplate brukes som angrepsvektor, og bilens innebygde mikrofoner brukes til avlytting. Men hvis det oppnås tilgang til bilens interne kontrollerområdenettverk, er faren mye større - og i en mye publisert 2015-test kapret hackere eksternt et kjøretøy fra 10 miles unna og kjørte det i en grøft.
Produsenter reagerer på en rekke måter, med Tesla i 2016 skyve ut noen sikkerhetsrettelser "over luften" inn i bilens datasystemer.
Når det gjelder autonome kjøretøyer, annonserte USAs transportdepartement i september 2016 noen innledende sikkerhetsstandarder, og oppfordret stater til å komme med ensartede retningslinjer.

Regjerings- og militære datasystemer blir ofte angrepet av aktivister og utenlandske makter. Lokal og regional myndighetsinfrastruktur som trafikklyskontroller, politi- og etterretningsbyråkommunikasjon, personalregistre, studentjournaler og økonomiske systemer er også potensielle mål, da de nå i stor grad er datastyrt. Pass og offentlige ID-kort som kontrollerer tilgangen til fasiliteter som bruker RFID, kan være sårbare for kloning.

Tingenes internett (IoT) er nettverket av fysiske objekter som enheter, kjøretøy, og bygninger som er innebygd med elektronikk, programvare, sensorer, og nettverkstilkobling som gjør dem i stand til å samle inn og utveksle data, og det har blitt reist bekymringer om at dette utvikles uten passende vurdering av de involverte sikkerhetsutfordringene.
Mens IoT skaper muligheter for mer direkte integrering av den fysiske verden i datamaskinbaserte systemer, gir det også muligheter for misbruk. Spesielt, ettersom tingenes internett sprer seg mye, vil cyberangrep sannsynligvis bli en stadig mer fysisk (i stedet for bare virtuell) trussel. Hvis låsen til en inngangsdør er koblet til Internett, og kan låses/låses opp fra en telefon, kan en kriminell komme inn i hjemmet ved å trykke på en knapp fra en stjålet eller hacket telefon. Folk kan tåle å tape mye mer enn kredittkortnumrene sine i en verden kontrollert av IoT-aktiverte enheter. Tyver har også brukt elektroniske midler for å omgå ikke-Internett-tilkoblede hotelldørlåser.

I distribuerte generasjonssystemer er risikoen for et cyberangrep reell. Et angrep kan føre til tap av strøm i et stort område over lengre tid, og et slikt angrep kan få like alvorlige konsekvenser som en naturkatastrofe. District of Columbia vurderer å opprette en distribuert energiressursmyndighet (DER) i byen, med målet at kundene skal få mer innsikt i sin egen energibruk og gi det lokale elektriske verktøyet, PEPCO, muligheten til å bedre estimere energibehovet. DC-forslaget vil imidlertid "tillate tredjepartsleverandører å skape mange energidistribusjonspunkter, noe som potensielt kan skape flere muligheter for cyberangripere å true det elektriske nettet.