Stopp. Tenk. Klikk

Et data-angrep mot UiA-studenter i september sammenfaller passende nok med allerede planlagt opplæringskampanje for datasikkerhet.

Internett er en farlig jungel, og noen ganger må en virkelig se seg om to ganger før en klikker seg videre. Det å tenke på hva en klikker på, hva slags informasjon en deler, og hvor privat en er med sine personlige detaljer og å ha back-up av innholdet på pc-en sin er utrolig viktig for sin egen sikkerhet i den virtuelle verden. Den erfaringen har i alle fall de som er ansvarlig for IT-drift og -sikkerhet på UiA.

I september ble for eksempel de ansatte vitne til et phishing-angrep mot sine studenter og ansatte. Et phishing-angrep er et forsøk på å fa tak i brukerinformasjon ved å lure brukeren til å oppgi den frivillig. Den innsamlede informasjonen kan da bli brukt til å ta over denne personens brukerkonto eller svindle kunden på en eller annen måte. En kapret brukerkonto kan bli brukt til å sende nye phishing-mailer eller annen spam. Alle studenter og ansatte på UiA fikk en email fra IT-avdelingen om phishing-angrepet som skjedde.

IT-avdelingen og Driftsavdelingen på UiA kjenner til at flere studenter og ansatte har latt seg lure til å trykke på link i falsk UiA-email og deretter gitt fra seg UiA-brukernavn og -passord til angriperne på en nettside som så ut som om UiA hadde lagd den. Hackerne kunne da bruke denne email-kontoen til å sende søppelpost til 14500 andre emailadresser. Overingeniør Jan Egil Heinecke i Driftsavdelingen mener derfor at et offer er alvorlig nok, og forteller at UiA får beskjed om slike alvorlige sikkerhetshendelser fra Nasjonal Sikkerhetsmyndighet (NSM) og Uninett. NSM er ansvarlig for sikkerheten til det offentlige Norge, og Uninett driver en god del av serverne og nettverket som UiA er tilknyttet. Alvorlige data-angrep blir ifølge Heinecke meldt til politiet, som er de som forsøker å finne de skyldige.

Man skulle tro at dette burde få noen alarmbjeller til å kime hos alle brukere av UiA sine IT-systemer i tillegg til Internett. Faren for data-angrep er som kjent alltid til stede, og hvis en ikke vil være et lett bytte, burde en holde seg informert om datasikkerhet. Det skal UiA nå forsøke å gjøre noe med.

Oktober er nasjonal måned for informasjonssikkerhet. Det blir arrangert i regi av NorSIS (Norsk senter for informasjonssikring). Alle studentene fra Universitetet i Agder har blitt meldt på gratis e-opplæring om temaet. Nærmere bestemt er det en serie med korte nettkurs som har som mål å øke bevisstheten for datasikkerhet og privat beskyttelse av informasjon. Angrepet i september har gjort det ekstra viktig med påmelding av alle.

Unikum besøkte Jan Egil Heinecke på hans kontor for å snakke litt om hackeforsøket og hvorfor det er viktig at vi bruker denne muligheten vi har fått gjennom UiA og NorSIS.

– Siste tilfellet vi hadde nå så var det én student som noen hadde fått tak i brukernavn og passord til. Og så ble denne studentens UiA e-postkonto brukt til å sende ut 17.000 e-post rundt forbi i verden. I fjor ble vi svartelistet hos Microsoft og fikk ikke lov til å sende mail fra UiA-kontoer til Microsoft e-post-brukere i hele verden. En ganske alvorlig sak.

Hvordan klarer de å lure folk til å gi fra seg informasjonen?

– De er ganske oppfinnsomme, for de sender da ut en e-mail hvor de ber om passord og brukernavn og det der ut, som at dette er offisielt fra IT. Det kan ha en link direkte til en UiA-side med en del UiA-logoer hvor det står «Klikk her».  Om du holder musepekeren over hvor det står «klikk her» vil du kunne se hvor linken egentlig peker, og trykker du på den linken sendes du til en helt annen adresse enn en UiA-adresse. Ingen her på universitetet vil spørre verken studenter eller ansatte om å sende brukernavn og passord på e-mail. Passordet skal kun oppgis på UiA sine sider for innlogging og den nasjonale tjenesten feide.no som også brukes for innlogging på våre systemer.

Du sier nå at dette har skjedd over flere tilfeller, har det da vært tilstrekkelig opplæring av nye studenter som kanskje har vært tilbøyelig for å gjøre dette?

– Det er klart at med 11.000 studenter og 3.000 nye studenter hvert år er det forferdelig vanskelig å holde alle oppdaterte til enhver tid. De siste årene har vi meldt oss på noe som heter «Nasjonal sikkerhetsmåned”. Det foregår hver oktober måned. I år vil alle ansatte og studenter kollektivt bli påmeldt en e-opplæringspakke som går nøyaktig på disse tingene.

– Kampanjen heter «Stopp. Tenk. Klikk.» – at du rett og slett skal tenke deg om hva du legger ut på nett, hva du klikker på og en del enkle forhåndstiltak du kan ta for å unngå dette.

Er det anbefalt at studentene nå bytter passord?

– Vi vil på det sterkeste anbefale alle studenter om å ikke sende brukernavn og passord på mail. De trenger ikke å bytte passord nå, da vi har en rutine som krever regelmessig bytte av passord. Men tror du at du har oppgitt passordet på et tvilsomt nettsted, må du gå inn på minside.uia.no og endre det snarest, evt sende e-post eller ringe IT-hjelp (it-hjelp@uia.no, telefon  38141700 ) i åpningstida og få hjelp til å endre det.

Hva kan konsekvensene av phishing være?

– De kan prøve å selge ett eller annet, det kan være at de prøver å få sendt en pengesum og så mye mer. De overtar kontoen din og du risikerer at de tapper all informasjon du har på pc-en din.

– Vi hadde en ansatt her på UiA som fikk en trojaner lastet ned på en datamaskin. Hele datamaskinen låser seg, og du får en melding om at du må betale 500 dollars for å løse opp igjen maskinen. Eneste muligheten for å få låst opp igjen maskinen er å betale det. Det er ingen garanti at de vil låse opp pc-en etter de har fått betalt.

Stopp. Tenk. Klikk. – E-opplæringspakka:

Alle studentene fra UiA skal få en e-mail med informasjon. Denne pakken inneholder ca. 7 e-opplæringer på nett og som kommer ut gjennom hele oktober. Hver episode varer mellom 3 og 5 minutter, og der får en se hvilke feller som er vanlig å gå i, hva en kan tenke over og hva en kan gjøre for å unngå eventuelle problemer.

Tekst: Erika R. Erdös og Targeir Attestog – Send mail

Foto: Erika R. Erdös – Send mail