Hackernes seneste resultat blev fordærvede franske oste - men det er måske faktisk mest en god ting

KÆRE LÆSER

Ugens helt store historie handler om franske oste, der fik det for varmt og måtte smides ud.

Okay, det er en kraftig forsimpling – men historien er nok velkendt nu: Hackere fik adgang til styringen af køleskabe og frysemontrer i hundredvis af franske supermarkeder – og skruede temperaturen op til max.

Der var ovenikøbet også en dansk vinkel, for det var systemer fra Danfoss, der blev hacket. Gamle systemer, som ikke længere blev understøttet.

Alle ingredienser var på plads. En abstrakt trussel om, hvad hackere kan gøre imod os, blev pludselig meget konkret, med billeder af tonsvis af ost, der blev sendt på lossepladsen, og tomme hylder i de franske supermarkeder. Ikke-tech-kyndige folk, jeg har talt med, virkede reelt forskrækkede. Måske især fordi, sagen her kommer lige efter det store CPR-hack.

Så lad os dykke ned i begge sager. Jeg endte med ikke at skrive så meget om CPR-lækket, fordi jeg var på inspirationstur i udlandet i den uge (det må jeg fortælle om i næste nyhedsbrev). Men fik dog mandag i sidste uge skrevet et overblik over sagen, ud fra hvad vi vidste lige der.

Siden er der kommet mange flere detaljer frem, som ikke ser godt ud. Det lille fynske firma Pays, med to ansatte og en masse flotte ord om sikkerhed på sin webside, havde en legitim adgang til at slå op i CPR-registret. Det kan en virksomhed få ret nemt, er mit indtryk – faktisk kan foreninger også få det.

De ansatte havde dog ikke helt ”enterprise-level cybersikkerhed,” selvom det var en af de ting, der blev lovet på hjemmesiden. Ifølge hackeren selv, som Politiken kunne bringe et skriftligt interview med, var en medarbejders brugernavn og password lækket i tidligere kendte læk (dem er der mange af – og derfor skal man ikke genbruge sine adgangskoder på tværs af forskellige tjenester). Men passwordet var ’12345’, og så har vi ramt et bundniveau, hvor alt andet nærmest er lige meget.

Den næsten ubegribelige dårlige sikkerhed hos Pays – som ikke havde en begrænsning for, hvor mange opslag, man kunne få lov at køre igennem – blev kun overgået af procedurerne hos CPR-kontoret. I den officielle CPR-database er der nemlig heller ikke sat en grænse for antallet af opslag – en meget simpel foranstaltning – eller en overvågning, som kunne slå alarm, hvis der skete noget mystisk. I stedet blev det altså regningen for de knap 15 mio. opslag, som hackeren nåede at lave på ti dage, der afslørede miseren. Hvert opslag koster nemlig 5 øre.

Nå, det er nemme point at skyde løs her. Og egentlig er jeg hverken særlig overrasket eller skræmt over, at det her kunne ske. For når over tusind danske virksomheder får lov at slå CPR-numre op, for at tjekke navn og adresse for eksempel, og det ikke er svært at få adgang, eller kommer med særlige sikkerhedskrav, så ville det her ske på et tidspunkt.

Og hele diskussionen om CPR-numre som noget hemmeligt kørte også i 2013, hvor softwareudvikler Søren Louv-Jansen blev kendt i tech-miljøet som CPR-Søren. Han viste nemlig – som et slags opråb mod den dårlige sikkerhed – hvor nemt han kunne finde statsminister Helle Thorning og andre toppolitikeres CPR-nummer og lagde dem ud på internettet. Det kostede ham en bøde på 10.000 kr., som dog blev sat ned til 3.500 kr.

Da jeg skrev om sagen dengang, virkede det som et slags punktum for den forfejlede idé om, at et CPR-nummer skulle fungere som et kodeord, altså være en hemmelig oplysning. Hvis der stadig er områder, hvor man kan bruge et CPR-nummer til noget, 13 år senere, må man håbe, det er helt slut nu.

Problemet med det gigantiske læk med 8,8 mio. danskeres CPR-numre, navne og adresser er omfanget, sagde de sikkerhedseksperter, jeg talte med. Nu kan en hacker – hvis de her data bliver lækket – meget bedre målrette den næste svindelkampagne, for eksempel imod ældre borgere.

Der er dog hverken e-mail eller telefonnummer tilknyttet. Og der findes også andre metoder for hackerne – som denne her sag, hvor alle ofrene hedder Kirsten. En svindler har tænkt, at folk, der hedder Kirsten, nok generelt er oppe i alderen, og har så ringet til en hel masse Kirsten’er. Simpelt og sikkert effektivt.

Hele denne håbløse sag kan dog potentielt ende som en slags positiv historie. Ifølge Politikens interview med hackeren (som beviste sin dåd ved at sende hele sin ’fangst’ til journalisterne) er målet ikke at skade nogen. Faktisk vil hackeren ikke sælge eller på anden måde dele oplysningerne, fortalte hackeren selv.

Hvis det passer – og det er jo svært at vide – kan vi altså ende med en stor forskrækkelse. Men uden at der faktisk skete nogen skade. Den perfekte kombi til at få rusket lidt op i nogle alt for naive procedurer.

Den anden sag, med de franske oste, kom en uge senere. Den skrev jeg om her. Her var skaden anderledes tydelig. Det gør næsten ondt at se på gode franske oste eller frosne frølår blive smidt ud, fordi hackerne her kørte et afrimningsprogram, som sendte temperaturen op til 50 grader i løbet af natten.

Men igen er skaderne – i det store billede – måske faktisk begrænsede, i forhold til den indlysende opdragende effekt, hele sagen kan have.

Da Mærsk blev hacket i 2017, med voldsomme konsekvenser for hele forretningen, sendte det chokbølger igennem dansk erhvervsliv. Hvis selveste Mærsk kan blive lagt ned, så var det måske også noget, vi skulle tage seriøst, lød det rundt omkring i danske bestyrelser og direktionskontorer, sådan helt kort opsummeret.

Når køleskabe kan blive et mål for hackere, og resultatet kan sende supermarkeder i knæ, så er det nok også tid til at gennemgå sin egen måske ret spraglede samling af forskellige systemer til at styre maskiner og transportbånd i produktionen. Er nogle af dem gamle og ikke længere understøttet af producenten – ja, så er det for alvor tid til at gøre noget ved det.

Truslen har været der hele tiden, men nu går alting bare hurtigere, fordi AI-værktøjer har gjort det nemt for hackere at skalere deres arbejde op. Antallet af huller, der bliver opdaget, er steget voldsomt det seneste halve år, af samme grund, hvilket afspejler sig i mængden af opdateringer, du skal installere på din computer (hvad, skal jeg nu genstarte igen? Argh…).

Det kan virke lidt voldsomt det hele – og jeg er bange for, at alle de her historier rammer den brede befolkning, med en stigende nervøsitet og ’hvad bliver det næste’-stemning.

For ja, vi kommer helt sikkert til at se flere eksempler på hacking i den fysiske verden. Men de her to sager har primært vist, at når sikkerheden er horribelt ringe eller når kunder i et år ikke installerer en ekstraordinær sikkerhedsopdatering af et i forvejen forældet system, så kan det gå galt.

Det hjælper i øvrigt ikke på temperaturen, når der også kører historier om, hvordan CPR-hacket blev ”skabt af kunstig intelligens.”

Vi har lige været igennem flere ugers snak om AI-dommedag. Nerverne sidder i forvejen lidt uden på tøjet. Men læser man artiklen, er pointen næsten den modsatte. Hackeren brugte – som alle andre softwareudviklertyper i dag – kunstig intelligens til at skrive den lille smule software, der skulle til for at slå millioner af CPR-numre op og gætte på, hvilke af dem, der var aktive.

Det har lige præcis nul procent at gøre med AI-dommedag, hvor frygten jo er, at kunstig intelligens på egen hånd begynder at hacke sig vej igennem kritiske systemer og i sidste ende kan gøre enorm skade. Nok til – worst case – at udrydde menneskeheden. Her var det altså mere som hvis en hacker valgte at bruge en lommeregner, i stedet for at regne nogle tal ud i hånden.

Alt er ikke fred og idyl. De her eksempler viser, hvor meget dårlig it-sikkerhed, der stadig findes derude, og hvordan de huller vil blive opdaget nemmere nu, på grund af hjælp fra AI. Men så er det altså heller ikke værre. Bortset fra det sørgelige spild af god, fransk ost.

UGENS NYHEDER

Apple lancerer ny type hardware til hjemmet. Dårligt har hardwaremanden John Ternus overtaget roret hos Apple, før det sprøjter ud med ny hardware. Denne gang Apple Homeview, en kombineret skærm, højttaler og mikrofoner, som kan stå i køkkenet og holde styr på alting hos en hektisk familie (ifølge Apples reklame). Ikke et nyt koncept, Mark Zuckerberg har også forsøgt sig, men måske giver Apples tilgang til privatliv det her produkt en bedre chance. Wireds anmelder kalder Homeview for et stort Apple Watch. Prisen er 2.000 kr. i USA, og indtil videre lanceres den ikke i EU, på grund af vores regler om privatliv.

De nye Homeview-dimser til hjemmet, med en 7-tommer-skærm. Foto: Reuters/Shannon Stapleton/Ritzau Scanpix

Træt af at betale til Adobe for Photoshop? Her er en gratis kopi, lavet med AI-kodning. Udviklingen går virkelig hurtigt indenfor, hvad man kan sætte AI-værktøjerne til at kode. En amerikansk it-udvikler har taget en af de helt store udfordringer og tilsyneladende haft succes: Han satte Claude til at lave en kopi af Photoshop, Premiere og alle de andre programmer fra Adobe, som er blevet branchestandard. Resultatet er blevet en næsten nøjagtig kopi af de komplicerede stykker software – dog endnu med mange fejl, rapporterer for eksempel Lifehacker. Den AI-skabte kopi er døbt ArtCraft for hele pakken, PhotoCraft for Photoshop osv. Aktiekursen for Adobe har dog ikke reageret negativt. Men fremtiden bliver spændende for den slags softwareselskaber.