Hva er hacking? Etisk hacking, datainnbrudd og beskyttelse

Hva er hacking?

Ordet hacking brukes om to ganske ulike ting. Lille norske leksikon forklarer at hacking betyr å finne smarte snarveier og løsninger innen et felt, og at det som oftest brukes om IT og teknologi. Samtidig forbindes ordet ofte med ulovlige handlinger mot datamaskiner og nettverk. Det samme leksikonet understreker at hacking også kan være lovlig, for eksempel for å forbedre datasikkerhet, og at dette kalles etisk hacking.

Ifølge Store norske leksikon brukes begrepet hacking gjerne som et synonym for datakriminalitet og for tekniske angrep rettet mot maskiner og tjenester. Å bli hacket betyr stort sett at man har vært utsatt for dataangrep og datakriminalitet. I dagligtale er hacking altså både en kompetanse og en kriminell handling, og hva som menes, avhenger av sammenhengen.

Når du leser en nyhetssak eller hører ordet på jobb, kan noen spørsmål hjelpe: hvem har fått tilgang, hadde vedkommende tillatelse fra eieren av systemet, og hva var hensikten? Svarene avgjør om det dreier seg om sikkerhetstesting, nysgjerrighet som har gått for langt, eller ren kriminalitet. Resten av artikkelen går gjennom disse skillelinjene, hva loven sier og hva du kan gjøre selv.

Hackerbegrepet: fra nysgjerrighet til kriminalitet

Ordet hacker kommer ifølge Store norske leksikon fra det engelske verbet hack, som betyr å kutte opp noe i full fart eller grovhakke. Hacking betydde opprinnelig at man tok i bruk kunnskap, teknologi og verktøy på nye, innovative måter til å løse problemer, og da var man som regel drevet mer av utfordringen i seg selv enn av hva man kunne tjene på det. Mange miljøer bruker fortsatt denne betydningen.

Forklaringen på at betydningen har skiftet mot kriminalitet, er ifølge Store norske leksikon at mange hackere opplever innbrudd i sikre datasystemer som gode intellektuelle utfordringer. Vellykkede angrep gir status i hackermiljøet, og konsekvensene gjør dem synlige gjennom medieomtale. Dermed har denne formen for hacking blitt langt mer synlig for allmennheten enn annen hacking.

Betydningen har også blitt tøyd. I dagligtalen har hacking mistet mye av kravet om avansert og innovativ bruk av kunnskap, og urettmessig tilgang til en brukerkonto fordi passordet var delt eller lett å gjette, omtales av mange som hacking. Leksikonet mener at svindel ofte er et bedre begrep når enkle tekniske metoder brukes sammen med sosial manipulasjon for å oppnå økonomisk gevinst.

For å skille betydningene bruker fagmiljøer flere begreper. Cracking og cracker brukes ved kriminelle motiver. Informasjonssikkerhetsfaget bruker gjerne ordet dataangrep, og ifølge Store norske leksikon er det også et mer dekkende begrep hvis man holder fast på den opprinnelige definisjonen av hacking, siden et dataangrep alltid er uønsket av offeret.

Etisk hacking og hvor grensen går

Store norske leksikon beskriver en etisk hacker som en person eller gruppe som, etter oppdrag fra systemets eier, forsøker å angripe det for å avdekke svakheter i systemet, infrastrukturen eller organisasjonen rundt. Det avgjørende er oppdraget. Et eksempel er at virksomheter engasjerer hackere som skal teste hvor sikre og pålitelige tjenestene deres er, og denne formen for hacking omtales også som white hat hacking.

Fargene på hattene har en enkel forklaring. Lille norske leksikon skriver at fargebruken kommer fra gamle westernfilmer, der de snille hadde hvit hatt og de slemme svart. Ifølge Lille norske leksikon er white hat hacking lovlig, mens både black hat og grey hat hacking er ulovlig. Black hat hacking er innbrudd i systemer for å stjele data, spre skadelig programvare eller utføre angrep, gjerne for å tjene penger eller skape kaos.

Grey hat hacking er den vanskeligste gråsonen. Store norske leksikon beskriver at noen hackere på eget initiativ tester sikkerheten i tjenester og systemer, og melder fra til eierne dersom de avdekker sårbarheter. Store norske leksikon skriver at det er omstridt hvordan slik aktivitet bør håndteres, siden aktøren uansett har gjort handlinger som kan gi tilgang til eller skade systemer og informasjon.

Etter straffeloven § 204 er det avgjørende om tilgangen til datasystemet er uberettiget, og for etisk hacking beskriver Store norske leksikon at angrepsforsøkene gjøres på oppdrag for systemets eier. Straffeloven § 204 rammer den som ved å bryte en beskyttelse eller ved annen uberettiget fremgangsmåte skaffer seg tilgang til et datasystem. Å teste et system du eier, eller et du har skriftlig oppdrag om å teste, er noe annet enn å prøve seg på andres systemer for moro skyld.

Interessen for faget viser seg blant annet ved at EM i cybersikkerhet på Hamar i 2023 samlet 400 deltakere fra 35 land. Om yrket kan du lese mer i Slik er det å jobbe som etisk hacker, og de som vil øve lovlig i eget testmiljø, finner en nybegynnerintroduksjon i guiden til Kali Linux og etisk hacking.

Cyberkriminalitet: hva som menes og hvem som står bak

Datakriminalitet og cyberkriminalitet brukes om straffbare handlinger der datasystemer er middel eller mål. Strengt tatt passer hackerbegrepet ifølge Store norske leksikon bare når motivasjonen er å bevise at et angrep lar seg utføre. Ved annen datakriminalitet er dataangrepet bare et middel for å oppnå et mål som økonomisk gevinst, skade eller tilgang på informasjon.

Store norske leksikon beskriver datakriminalitet som en profesjonell industri der kriminelle nettverk arbeider på tvers av landegrenser.

Ifølge Store norske leksikon er metodene ofte enkle og rettet mot svake eller tilfeldige mål, som usikrede systemer eller uerfarne brukere. Sosial manipulasjon står sentralt, sammen med nettfiske og løsepengevirus.

Et annet motiv er politisk. Lille norske leksikon beskriver hacktivisme som å bryte seg inn i datasystemer for å løfte frem en politisk sak, og slik hacking er også ulovlig.

Begrepene overlapper. Ifølge Store norske leksikon dreier et datainnbrudd seg om en sikkerhetshendelse der uautoriserte aktører får lese og hente ut informasjon fra en maskin, en tjeneste eller et datanettverk. Informasjon som kan komme på avveie, omfatter ifølge Store norske leksikon blant annet kunders personopplysninger og virksomhetens forretningshemmeligheter, som regnskap og styrepapirer.

Hva sier straffeloven om datainnbrudd?

Den sentrale bestemmelsen er straffeloven § 204 om innbrudd i datasystem. Den sier at den som ved å bryte en beskyttelse eller ved annen uberettiget fremgangsmåte skaffer seg tilgang til et datasystem eller en del av det, straffes med bot eller fengsel inntil 2 år. Selve tilgangen er straffbar, selv om ingenting stjeles eller ødelegges.

Paragrafen nevner at man bryter en beskyttelse, men også «annen uberettiget fremgangsmåte». Å logge inn med et passord du har fått tak i uten lov, kan dermed være omfattet, selv om ingen lås er brutt teknisk. Det er altså ikke avgjørende hvor avansert metoden er.

Straffeloven § 201 rammer forberedelsen. Med bot eller fengsel inntil 1 år straffes den som med forsett om å begå en straffbar handling uberettiget fremstiller, anskaffer, besitter eller gjør tilgjengelig passord eller andre opplysninger som kan gi tilgang til databasert informasjon eller datasystem. Det samme gjelder dataprogram eller annet som er særlig egnet som middel til straffbare handlinger mot databasert informasjon eller datasystem.

Etter straffeloven § 201 straffes også den som uten forsett om å begå en straffbar handling besitter et selvspredende dataprogram, dersom besittelsen skyldes uberettiget fremstilling eller anskaffelse av programmet. Å eksperimentere med skadevare på egen maskin er altså ikke uten risiko.

Straffeloven § 205 handler om krenkelse av retten til privat kommunikasjon, og har en strafferamme på bot eller fengsel inntil 2 år. Den rammer blant annet den som uberettiget bryter en beskyttelse eller på annen uberettiget måte skaffer seg tilgang til informasjon som overføres ved elektroniske hjelpemidler. Å lese andres e-post eller meldinger uten lov er dermed et eget lovbrudd. Bestemmelsen rammer også den som hindrer eller forsinker mottakerens mottak av en melding ved å skjule, endre eller holde den tilbake.

Straffeforfølgelse er likevel ikke enkel. Ifølge Store norske leksikon er lovgivning og straffeforfølgelse av datakriminalitet og hacking vanskelig, og stadig mer lovgivning legger ansvar over på tredjeparter som drifter og tilbyr tjenester.

Vanlige angrepsmetoder og trusler

Store norske leksikon skriver at et datainnbrudd i hovedsak kan skje på tre generelle måter. En av dem er at bakmennene får kjennskap til autentiseringsopplysninger, typisk et passord eller tilgang til en kodebrikke, ofte ved sosial manipulering og nettfiske. En annen er at de angriper systemene som lagrer, behandler eller overfører informasjonen, ofte med skadevare eller hacking.

Nettfiske, også kalt phishing, er ifølge Datatilsynet en av de mest effektive måtene å angripe virksomheter på, fordi ondsinnede aktører utnytter menneskelige sårbarheter. Typisk kommer det som en melding som later som den er fra bank, arbeidsgiver eller en kjent tjeneste, og som presser deg til å klikke eller logge inn. Kjennetegn er hastverk, trusler om stengt konto og lenker som ikke peker dit avsenderen påstår.

Løsepengevirus er en annen utbredt teknikk. Ved slike angrep blir data utilgjengelige for offeret, og kravet er at det betales for å få dem tilbake. Derfor er sikkerhetskopi et av de viktigste tiltakene, både for bedrifter og privatpersoner.

Det er også blitt lettere å angripe. Lille norske leksikon skriver at ferdige verktøypakker og instruksjonsvideoer er tilgjengelig på internett, slik at personer uten stor teknisk kunnskap også kan utføre hacking. Mer om svindeltyper finner du i artikkelen om svindel på nett i Norge.

Mobilen er også et mål. Nasjonal sikkerhetsmyndighet anbefaler sikringstiltak på mobile enheter som mobiltelefoner og nettbrett, og sier at noen enkle grep gir bedre mobilsikkerhet. NSM har også utarbeidet tips til virksomheter som skal lage rutiner for bruk av sosiale medier internt.

Hva virksomheter og ansatte må vite

Når en virksomhet rammes, kommer personvernreglene inn. Datatilsynet opplyser at et brudd på personopplysningssikkerheten, også kalt avvik, som hovedregel skal meldes til Datatilsynet så snart som mulig. Fristen i personvernforordningen artikkel 33 er uten ugrunnet opphold og om mulig senest 72 timer etter at virksomheten ble kjent med bruddet. Tilsynet har egne sider om hva et brudd er, hvilke brudd som skal meldes og hvordan man melder.

Meldingen er en formell prosess som virksomheten gjennomfører, ikke enkeltpersoner. Datatilsynet skriver at en enkeltperson som mener regelverket er brutt, i stedet kan tipse tilsynet eller klage. Ifølge Datatilsynet har virksomheter dessuten plikt til å risikovurdere sikkerhetshendelser og avgjøre om de er brudd etter personvernforordningen, og de berørte skal varsles ved høy risiko.

Ansatte er ofte første ledd i oppdagelsen. En som oppdager en mistenkelig e-post, mistet jobbtelefon eller feilsendt dokument, bør melde fra til IT-ansvarlig eller personvernombud med en gang, selv om det virker lite. Ingen bør ordne opp på egen hånd ved å slette spor.

Datatilsynet har laget veiledning om hva phishing er og hvordan virksomheter kan beskytte seg mot slike angrep. Rutiner for å sjekke avsender, treningsøvelser og en lav terskel for å varsle er konkrete tiltak.

Slik beskytter du deg

Siden angrepene ofte er enkle og rettes mot svake mål, virker grunnleggende tiltak godt. Det viktigste er å bruke et unikt og langt passord på hver tjeneste, slik at en lekkasje ett sted ikke åpner andre kontoer. En passordbehandler gjør det praktisk å ha mange ulike passord, og du trenger bare å huske ett hovedpassord.

Slå på tofaktorautentisering der det er mulig, særlig på e-post, bank og sosiale medier. Da er et stjålet passord ikke nok. Del aldri engangskoder med noen som ringer eller skriver til deg.

Hold operativsystem, nettleser, apper og rutere oppdatert, siden oppdateringer lukker kjente sikkerhetshull. Ta sikkerhetskopi av viktige filer jevnlig, og oppbevar minst én kopi frakoblet, slik at løsepengevirus ikke også krypterer kopien. Test at du faktisk kan gjenopprette filene.

Vær varsom med lenker, vedlegg og meldinger som skaper hastverk. Gå heller direkte til tjenestens nettside eller app enn å klikke i meldingen, og ikke oppgi passord eller BankID-koder fordi noen ber om det. NSM har samlet råd og anbefalinger om blant annet sikring av mobile enheter.

Sjekk også hvem som har tilgang. Deaktiver gamle kontoer du ikke bruker, fjern apper du ikke trenger, og unngå å dele passord med andre. Urettmessig tilgang fordi passordet var delt med andre eller lett å gjette omtales ofte som hacking.

• Bruk unike, lange passord og en passordbehandler
• Slå på tofaktorautentisering på e-post, bank og sosiale medier
• Installer oppdateringer på maskin, mobil og ruter
• Ta jevnlig sikkerhetskopi og lagre en kopi frakoblet
• Sjekk avsender og lenke før du klikker
• Del aldri engangskoder eller passord

Hva gjør du hvis du er rammet?

Handl raskt, men rolig. Bytt først passordet på den rammede kontoen fra en enhet du stoler på, og bytt det også overalt hvor du brukte det samme. Slå på tofaktorautentisering og logg ut av alle andre enheter hvis tjenesten tilbyr det. Sjekk at ingen har endret gjenopprettingsadresse, telefonnummer eller videresending av e-post.

Er bankopplysninger eller kort involvert, kontakt banken umiddelbart slik at kort kan sperres og transaksjoner stoppes. Sikre bevis: ta skjermbilder av meldinger, lagre e-poster med avsenderinformasjon og noter tidspunkt og beløp. Hvis du mistenker skadevare på maskinen, kan guiden til å fjerne malware hjelpe, og viktige filer bør du hente fra sikkerhetskopi.

Innbrudd i en konto eller et datasystem kan være straffbart etter straffeloven § 204, og du kan anmelde saken til politiet. Ta med bevisene du har sikret. Svindel der du har mistet penger, bør anmeldes selv om du tror sjansen for å få pengene tilbake er liten.

Skjedde det på jobb, varsle arbeidsgiver straks. Det er virksomheten som skal vurdere og melde brudd til Datatilsynet, og Datatilsynet understreker at dette er en formell prosess for virksomheter. Er personopplysninger om kunder eller kolleger berørt, er rask intern varsling avgjørende.

Oppsummering: praktiske råd

Hacking er et ord med to sider: opprinnelig handler det om kreativ og nysgjerrig problemløsing med teknologi, men i dagligtale brukes det ofte som et annet ord for datakriminalitet, slik Store norske leksikon beskriver det. Etisk hacking skjer på oppdrag fra eieren av systemet, mens black hat og grey hat hacking er ifølge Lille norske leksikon ulovlig. Samtykke er skillelinjen.

Straffeloven § 204 gir bot eller fengsel inntil 2 år for å skaffe seg uberettiget tilgang til et datasystem, og § 201 rammer forberedelse med passord eller verktøy med inntil 1 år. Virksomheter skal melde brudd på personopplysningssikkerheten som hovedregel så snart som mulig. For privatpersoner gir unike passord, passordbehandler, tofaktorautentisering, oppdateringer, sikkerhetskopi og kritisk sans overfor lenker mest beskyttelse.