Idag pågår en ständig jakt på dina smarta, uppkopplade prylar. Utan att du märker det kan din robotdammsugare eller övervakningskamera ha förvandlas till ett vapen i händerna på globala cyberkriminella.
Sårbarheten i vår hemelektronik är akut, men en vändpunkt är nära. Den 11 september i år träder de första delarna av EU:s nya, omfattande regelverk, Cyber Resilience Act, CRA, i kraft.
Oscar Lisnell, ansvarig för utbildningen i cybersäkerhet för it-ingenjörer på Högskolan i Borås, ser hur oskyddade våra hem är.
“De vanligaste sårbarheterna som fortfarande kommer upp är saker som att Internet of thing-enheter (uppkopplade vardagsföremål, reds. anm.) ligger öppna mot internet. Att de inte ligger segmenterade på nätverken och att man inte byter de fabrikssatta lösenorden”, säger han.
Det krävs ofta förbluffande lite för att hitta osäkra enheter.
“Jag gjorde en snabb sökning på tjänsten Shodan och just nu, om vi bara tar Apple TV-enheter, så ligger det i Sverige drygt 12.000 öppna rakt ut mot internet. Det visar hur lätt det är för vem som helst att hitta din enhet. Det är fyra knapptryck”, konstaterar Oscar Lisnell.
Många kameror ansluter dessutom i smyg till okända tjänster.
“Det är väldigt svårt för oss som konsumenter att veta vilken data som faktiskt skickas dit. Är det en bakdörr öppen in i kameran så att de på andra sidan kan gå in och träna AI-modeller eller titta på vad man gör?”
Men varför vill någon hacka våra hushållsapparater?
“Vi som privatpersoner är rätt ointressanta. En hackare har i 99 fall av 100 ingen vinning i att veta hur vår planlösning ser ut. Däremot används våra enheter som en språngbräda i större hackerattacker. Angriparna installerar en programvara som gör att de kan få enheten att skicka trafik mot ett visst mål. Då blir de en del av större överbelastningsattacker. Med ganska små medel kan man bygga automatiserade system som bara ligger och söker av”, förklarar Oscar Lisnell.
Ted Strandberg, cybersäkerhetsexpert på forskningsinstitutet Rise, betonar att hotbilden snabbt förvärrats.
“Tidigare kunde en sårbarhet ligga i år innan någon upptäckte den. Dyker en sårbarhet upp idag upptäcks den i regel samma dag. Idag är det också mer statsaktörer inblandade som använder AI för att hitta hål och sårbarheter”, säger han.
För att möta hotet införs nu Cyber Resilience Act.
“Den 11 september börjar en del av regelverket att gälla. Sedan kommer resten 11 december 2027. Det är ett omfattande regelverk som drabbar i princip alla industri- och it-produkter med digitala element, inklusive mjukvaror, berättar Ted Strandberg.
Kraven omfattar såväl tillverkare som importörer och grossister, och innebär i år rapporteringskrav till myndigheter och EU:s cybersäkerhetsbyrå vid sårbarheter. Längre fram kommer tekniska krav på kryptering och uppdateringar. Omställningen blir tuff för många företag, tror Ted Strandberg, som på Rise jobbar med certifiering av cybersäkerhet i uppkopplade produkter.
“De stora vet om det och jobbar jättemycket med det här. Men de mindre har nog problem med att hänga med. Det kommer bli en stor överraskning för dem.”
“Det återstår då att se hur hårda insynsmyndigheterna är, om de kommer säga att ni får dra tillbaka era produkter.”
Ted Strandberg menar att säkerheten även kommer att märkas i vardagen.
“Det innebär att det kommer bli mer komplicerat att använda vissa produkter. Det blir mer omständligt och mer kontroll och mer lösenord.”
Oscar Lisnell understryker att även med Cyber Resilience Act kvarstår konsumentens ansvar.
“Vi kommer mycket närmare säkrare enheter som verkligen kan garantera säkerhet på ett helt annat sätt. Men vi måste fortfarande som konsumenter hantera dem på ett säkert sätt.”