”Vastaamoläckan har varit en väckarklocka för många”
Jani Kirmanen, utvecklingschef vid cybersäkerhetsföretaget Silverskin, säger att det är få företag som har datasäkerheten i skick.
Att pressa enskilda utsatta personer på pengar med hjälp av deras egna patientjournaler är lågt, verkligt lågt.
Så resonerar många så kallade etiska hackare och proffshackare som försöker hjälpa polisen att lösa Vastaamo-fallet, där tiotusentals patientjournaler stals från ett psykoterapicenter och nu används för utpressning.
– Utpressning, som att pressa ett företag på pengar med hjälp av information om företaget, är fel. Men att utpressa utsatta individer med deras patientjournaler upplevs som ännu mer moraliskt förkastligt, säger Jani Kirmanen, utvecklingschef och en av grundarna till cybersäkerhetsföretaget Silverskin.
Kirmanen uppger att datasäkerhetskretsarna i Finland är små, och att debatten på gemensamma forum gått het.
– Det skamlösa i brottet har fått känslorna att koka hos många hackare. Personer som annars är konkurrenter samarbetar och gör gratis spårningsarbete. Att få fast förövaren ses som belöning nog.
Skadeglädje gentemot ledningen
Kirmanen uppger däremot att det finns en del skadeglädje gentemot företaget Vastaamo och dess ledning, som känt till svagheterna men inte åtgärdat dem.
– Dem tror jag inga frivilliga hackare vill hjälpa. Det är fel att peka på kodaren om dataintrång sker. Bristen sitter i ledningen som inte förstått hur viktig datasäkerheten är, gett otillräckliga resurser eller en otydlig arbetsbeskrivning. Många ser datasäkerhet mest som en utgift, men dataintrång kostar också.
Andra företag har knappast råd med gliringar, anser han.
– Få företag har datasäkerheten i skick. Den senaste veckans talrika förfrågningar till oss visar att Vastaamo varit en väckarklocka för många, både företag och konsumenter.
Jani Kirmanen beskriver den europeiska dataskyddsförordningen GDPR som ett försök att skapa spelregler i en allt mer digitaliserad värld.
– Men den var för byråkratisk för att slå igenom. Vastaamo-läckan har konkretiserat vad det kan handla om. Jag tror att många förstått varför det är viktigt hur personuppgifter hanteras.
Nosa upp spår efter förövaren
Det som så kallade goda hackare, också kallade vithattar, kan göra är att försöka nosa upp spår som förövaren glömt sopa igen efter sig i den virtuella världen.
– Tor-nätverket som möjliggör anonym användning av internet och andra system som kriminella använder undersöks. Försöker någon sälja information kan en hackare utge sig för att vara en potentiell köpare för att försöka spåra säljaren.
Kirmanen medger att hackarna som nu hjälper till rör sig i en gråzon.
– Jag vet inte vad polisen tycker om det här. Det kan också stöka till deras egen utredning. Att den eller de som ligger bakom dataintrånget på Vastaamo ännu inte åkt fast tyder på att hen inte är nybörjare eller att hen fått hjälp av någon annan.
Många hjälper till
Ett tiotal hackare har på eget bevåg börjat hjälpa polisen att hitta den skyldiga, men det är inte helt oproblematiskt, bekräftar Pentti Kangasniemi som informerar om fallet vid Centralkriminalpolisen. Hackarna sitter på mycket information som kan hjälpa polisen, men polisen styr ändå inte hackarna utan de agerar som vilka som helst frivilliga medborgare.
– De menar väl och det är fantastiskt att polisen får så mycket hjälp.
Men polisen måste själv ro i land projektet, det finns inga genvägar.
Samtidigt kan det vara riskabelt att så många är inblandade. Polisen är den enda parten som kan hålla i utredningen, och i värsta fall kan utomstående komplicera polisens arbete.
– Det finns alltid en risk att viktig information går förlorad om gärningsmannen blir ertappad och börjar göra sig av med bevismaterial.
Ökad risk för intrång under coronan
Att många företag tagit ett digitalt kliv under coronapandemin, kanske tidigare än de hade tänkt, ökar risken för dataintrång.
– Framför allt företag som nyligen inlett sin digitalisering är i riskzonen. De saknar erfarenhet, säger Jani Kirmanen.
Därmed inte sagt att längre hunna klarar det bättre.
Silverskins analyser visar ofta att företag kan ha digitala tjänster eller sidor som de glömt bort. Då är sidorna inte heller uppdaterade och kan bli kryphål in i systemet.
– Datasäkerhet borde prioriteras då nya digitala lösningar tas fram. Men det är ofta andra saker, som hur applikationen kan integreras med företagets andra tjänster, som prioriteras. Stark identifikation är en faktor i datasäkerheten och ett klart säkrare system för inloggning, men det sänker användarvänligheten och människan är lat.
Att fler jobbar på distans, kanske på sin privata dator, kan medföra en risk om säkerhetssystemen är sämre än på jobbets dator.
– I vårt nätverksamhälle kan alla vara en inkörsport till känsliga uppgifter om sig själv eller sammanhang där man rör sig i jobbet eller på fritiden.
Silverskin ägs till 25 procent av försvarsteknologiföretaget Patria. Jani Kirmanen upplever att man inom försvarsindustrin kommit längst inom datasäkerhetstänkandet.
– De här företagen vet att någon så småningom kommer att försöka bryta sig in i deras system.