Varför skulle någon
hacka just mig?

Myten om att vara ointressant

Tanken är begriplig: hackare i filmer jagar banker, regeringar och miljardärer. Du har en helt vanlig inkomst, inga företagshemligheter och tråkiga semesterbilder. Logiskt sett borde du vara osynlig.

Men resonemanget utgår från att en människa sitter och väljer ut sina offer ett i taget. Så fungerar det nästan aldrig. Den absoluta majoriteten av alla angrepp mot privatpersoner är opportunistiska och automatiserade — ingen har valt ut dig, och ingen behöver göra det. Du hamnar i nätet för att du finns på internet, inte för att du är intressant.

Säkerhetsjournalisten Brian Krebs sammanfattade det redan för över ett decennium sedan i sin klassiska genomgång av vad en "värdelös" hemdator faktiskt är värd för en angripare: allt som har ström, uppkoppling och ett par konton inloggade är en tillgång som går att tjäna pengar på.

Du är inte målet — du är råvaran

För att förstå varför du angrips behöver du byta perspektiv. Angriparen är sällan ute efter dig som person. Angriparen är ute efter resurserna du råkar sitta på:

• Din e-postadress — huvudnyckeln som kan återställa lösenorden till nästan alla dina andra konton, och en betrodd avsändare gentemot alla dina kontakter.
• Dina lösenord — som med stor sannolikhet återanvänds någon annanstans, till exempel på ditt bankkonto eller jobbets system.
• Din dator och router — som kan användas som anonym mellanstation för andra brott, skicka skräppost eller delta i överbelastningsattacker, i ditt namn och på din IP-adress.
• Din identitet — personnummer, adress och BankID räcker långt för att teckna abonnemang, ta SMS-lån eller beställa varor i ditt namn.
• Ditt förtroende — ett kapat Facebook- eller mejlkonto är den perfekta avsändaren för nästa bedrägeri, riktat mot dina vänner och din familj.
• Dina filer — semesterbilder och dokument är värdelösa för angriparen, men ovärderliga för dig. Det är exakt det utpressningsprogram (ransomware)Skadlig kod som krypterar dina filer och kräver lösensumma för att låsa upp dem.Läs mer i lexikonet → utnyttjar.

Ur det perspektivet är en "ointressant" privatperson tvärtom idealisk: resurserna är desamma som hos alla andra, men skyddet är ofta svagare och upptäckten dröjer längre. Ett företag har en IT-avdelning. Du har dig själv.

Vad ditt digitala liv är värt

Det finns en fungerande marknad för stulna konton och uppgifter, med grossister, återförsäljare och paketpriser. Exakta priser varierar över tid och mellan marknadsplatser, men mönstret är stabilt: allt går att sälja, och det mesta säljs i bulk.

Att styckpriset för ett enskilt konto kan vara lågt är inte ett tecken på att du är säker — det är ett tecken på att volymen är enorm. Tjänsten Have I Been Pwned, som samlar bekräftade dataläckor, innehåller miljarder läckta kontouppgifter. Sannolikheten att någon av dina adresser finns med är hög — inte för att du gjort fel, utan för att tjänster du registrerat dig på har läckt.

Och så fort ett lösenord läckt från en tjänst börjar automatiska verktyg testa samma kombination av e-post och lösenord på hundratals andra tjänster. Tekniken kallas credential stuffingAutomatiserad testning av läckta e-post/lösenord-par mot hundratals tjänster — fungerar för att lösenord återanvänds.Läs mer i lexikonet → och är en av de vanligaste vägarna in på privatpersoners konton. Den fungerar av ett enda skäl: människor återanvänder lösenord.

Attacken är redan automatiserad

Det kanske viktigaste att ta med sig: angreppen pågår just nu, mot allt och alla, utan att någon människa är inblandad i urvalet.

Skanningen som aldrig slutar

Koppla upp en helt ny enhet mot internet och den börjar ta emot automatiska anslutningsförsök inom minuter. BotnätNätverk av kapade datorer, routrar och prylar som en angripare fjärrstyr — för skanning, spam eller överbelastningsattacker.Läs mer i lexikonet → skannar systematiskt hela internets adressrymd dygnet runt, på jakt efter routrar med standardlösenord, gamla mjukvaruversioner och öppna tjänster. Ingen vet eller bryr sig om vems enheten är — den som svarar fel blir tagen.

Nätfisket som industri

PhishingNätfiske: falska mejl och sms som utger sig för att vara någon du litar på och lurar dig att lämna ifrån dig uppgifter.Läs mer i lexikonet → — falska mejl och sms som lurar dig att lämna ifrån dig uppgifter — skickas i miljardvolymer. Avsändarna behöver inte träffa rätt ofta; bråkdelar av en procent räcker för lönsamhet. Verizons årliga rapport om dataintrång har år efter år visat att den mänskliga faktorn är inblandad i en stor majoritet av alla intrång — det är billigare att lura en människa än att knäcka en server. Och med generativ AI har språket i utskicken blivit felfritt och personligt — den gamla tumregeln att känna igen bedrägerier på knackig svenska håller inte längre.

Bedrägerierna som ringer upp

I Sverige har telefonbedrägerier där "banken" eller "polisen" ringer och ber dig logga in med BankID blivit ett av de vanligaste sätten att tömma privatpersoners konton. Även här är urvalet i praktiken slumpmässigt — listor med telefonnummer ringes av tills någon svarar och går på det. AI-röstkloning gör dessutom att en uppringare kan låta som någon du känner utifrån bara några sekunders ljud.

Tjuven som redan sitter i datorn

En allt vanligare väg in kringgår lösenordet helt. InfostealersSkadlig kod (malware) som dammsuger webbläsaren på sparade lösenord och inloggningscookies och skickar allt till angriparen.Läs mer i lexikonet → är skadlig kod som ofta sprids via piratkopierad programvara, falska "uppdatera webbläsaren"-rutor och fejkade nedladdningar. När koden väl körts dammsuger den webbläsaren på allt på en gång: sparade lösenord, autofyll-uppgifter och — viktigast — aktiva inloggningscookies. De sistnämnda låter angriparen kliva rakt in i dina redan inloggade konton utan att behöva lösenordet, och i många fall förbi även tvåfaktorsinloggningen. Det stulna paketeras i så kallade "stealer-loggar" och säljs i bulk — och blir råvaran till just den credential stuffing vi nyss beskrev.

Vad det kostar dig i praktiken

"Än sen, då? Får de mitt Netflix-konto så byter jag lösenord." Problemet är att ett intrång sällan stannar där det började. Ett typiskt förlopp:

• Ett läckt lösenord från en gammal webbshop testas mot din e-post — och fungerar, för du använde samma.
• E-postkontot kapas. Angriparen söker igenom åratal av mejl efter fakturor, avtal, personnummer och bilder på ID-handlingar.
• "Glömt lösenord" körs mot dina övriga konton — sociala medier, shopping, molnlagring — och återställningsmejlen landar hos angriparen.
• Dina kontakter får bedrägerimejl från dig, med din ton och din historik som trovärdighet.
• Din identitet används för beställningar och krediter. Det upptäcker du först när betalningskraven kommer.

Kostnaden är sällan bara pengar. De som drabbats beskriver oftare tiden och stressen: veckor av samtal med banker, polisanmälningar, spärrar och att behöva förklara för vänner att mejlen inte kom från dig. Allt detta för att en webbshop du handlade på 2019 blev hackad — och du återanvände lösenordet.

Ditt första steg

Den goda nyheten — och hela poängen med den här kursen: eftersom angreppen är automatiserade och opportunistiska behöver du inte vara ohackbar. Du behöver bara sluta vara det lätta målet. Automatiken går vidare till nästa adress i listan.

Innan nästa avsnitt, gör tre saker. Det tar tio minuter:

• Kolla dina läckor. Sök på dina e-postadresser på haveibeenpwned.com. Skriv ner vilka tjänster som läckt.
• Identifiera ditt viktigaste konto. För de flesta är det e-posten — den som kan återställa allt annat. Det är där vi sätter in skyddet först.
• Var ärlig om återanvändningen. Räkna inte lösenorden — svara bara ja eller nej: använder du samma lösenord på fler än en tjänst? Om ja är nästa avsnitt skrivet för dig.

Bonus: Grupplistan — vilka "dom" är

"Hackare" är inte en grupp utan flera, med helt olika motiv och metoder. Här är de aktörer som i praktiken berör dig som privatperson — bra att känna igen när vi refererar till dem i kommande avsnitt.

Källförteckning

Vill du gräva djupare? Här är källorna som ligger till grund för avsnittet — alla fritt tillgängliga.

1. Krebs on Security — The Scrap Value of a Hacked PC, Revisited — klassikern om vad en "ointressant" hemdator är värd för en angripare.
2. Krebs on Security — The Value of a Hacked Email Account — varför e-postkontot är huvudnyckeln.
3. Troy Hunt — Have I Been Pwned — sök på din e-postadress bland bekräftade dataläckor.
4. Verizon — Data Breach Investigations Report (DBIR) — årlig statistik över hur intrång faktiskt går till.
5. ENISA — ENISA Threat Landscape — EU:s cybersäkerhetsmyndighets årliga hotbildsrapport.
6. CERT-SE — cert.se — Sveriges nationella CSIRT med aktuella varningar och råd.
7. Polisen — Skydda dig mot bedrägeri — aktuella bedrägeriformer i Sverige och hur du anmäler.
8. MSB — msb.se — stöd och vägledningar för informations- och cybersäkerhet.