Åtgärder för ett säkrare digitalt privatliv
Är ditt privata digitala liv en språngbräda för hotaktörer som vill påverka din organisation? När organisationens säkerhetsarbete uppnått en grundnivå letar hotaktörer inom cyberområdet efter nya angreppssätt – ett sådant sätt kan vara ditt digitala privatliv, som blir en väg in till organisationens information.
De här rekommendationerna riktar sig till dig som arbetar i svensk offentlig sektor eller i näringslivet. Även om du redan själv vidtagit grundläggande åtgärder, är det alltid viktigt att följa din säkerhetsorganisations råd och rekommendationer. Är du en ledande befattningshavare, har ett förtroendeuppdrag, är en nyckelperson eller expert, rekommenderar NCSC att du snarast inför säkerhetsåtgärderna beskrivna här, både för att skydda ditt digitala privatliv och din organisation.
Använd din arbetsgivares digitala tjänster, enheter och appar för att utföra arbetsuppgifter och utbyta arbets-relaterad information. Där finns avvägda skyddsåtgärder införda för att säkerställa att informationen i din organisation har rätt skydd. Hotaktörer kan bland annat vara intresserade av att nå skyddsvärd information eller att hålla information och it-system gisslan för att utkräva en lösensumma - ofta kallat ransomware, gisslanprogram eller utpressningsvirus.
Många organisationer arbetar systematiskt med sitt informations- och it-säkerhetsarbete, vilket kan ge en god grundnivå av skydd. Men hotaktörer utvecklar ständigt sina förmågor för att angripa områden där skyddet inte är lika starkt. Utan rätt införda skyddsåtgärder, även för ditt digitala privatliv, kan hotaktörer använda dig som en språngbräda för att nå din organisation eller för att försöka påverka dig i något syfte.
Mot bakgrund av flera uppmärksammade dataläckor, där hotaktörer kommit över stora mängder personuppgifter, digitala identiteter och ibland även lösenord genom olika typer av cyberangrepp och intrång, finns även anledning att se över på vilket sätt du som individ använder digitala tjänster. När du registrerar dig och använder digitala identiteter och tjänster bör det, så långt det är praktiskt möjligt, ske utan en direkt koppling till dig i din yrkes- eller förtroenderoll. Följ rekommendationerna som ett steg i att skydda din identitet, även efter dataläckor.
-
Exempel på hotaktörers tillvägagångssätt
Den amerikanska cybersäkerhetsmyndigheten CISA har, tillsammans med ett antal andra nationella säkerhetstjänster, varnat för en statlig hotaktör på ett antal olika sätt angripit organisationer inom akademin, försvarssektorn, myndigheter, offentlig sektor, tankesmedjor och politiker. Bland annat har angreppen skett i USA, Storbritannien och ett antal andra Nato-länder. Angreppen har framför allt riktats mot ledande befattningshavare, nyckelpersoner och experters digitala privatliv, men även mot organisationens it-miljö. Angreppen har bland annat skett genom:
- Falska identiteter i sociala media och e-postkonton. Dessa har samma namn som personer i den privata eller professionella kontaktkretsen för att uppfattas som legitima konversationer.
- Falska domäner vilka liknar legitima domäner som användaren har regelbunden kontakt med. Detta för att uppfattas som legitima e-postkonversationer.
- Falska inloggningssidor skapade av hotaktören, där den drabbade lurats att logga in till exempelvis en samarbets- och/eller fildelningsplattform för att nå information. Istället stjäls den drabbades inloggningsuppgifter och/eller sessionskakor.
- Initiala konversationer genom sociala media och/eller e-post kring verkliga och legitima ämnen, vilka i senare skeden lett till länkar innehållande skadlig kod eller falska inloggningssidor. Länkarna har bland annat använt välkända och legitima samarbets- och fildelningsplattformar som missbrukats av hotaktören i angreppen.