I slutten av januar og begynnelsen av februar var den danske avisen Jyllandspostens nettsider utilgjengelig i flere dager.
Avisen ble utsatt for det som kan kalles et distribuert tjenestenektangrep, eller distributed denial of service-angrep (DDOS).Det er ikke urimelig å tro at avisen ble angrepet som følge av publiseringen av de omstridte Muhammed-karikaturene.
Krim-nisje
Men DDOS-angrep er mer enn et ideologisk straffegrep. Det er også en av de sterkest voksende ”nisjene” blant kriminelle. Slik lød trusselen IT-firmaet Protx mottok i august 2004: «We attack your servers for some time. If you want save your business, you should pay 10.000$ bank wire to our bank account. When we receive money, we stop attack immediately. If we will not receive money, we will attack your business 1 month.»
Protx valgte å ignorere advarselen. To måneder senere gikk tusenvis av maskiner til angrep, og slo selskapet ut i to dager.
Vanlig taktikk
Utpressing av dette slaget er blitt vanlig. Særlig utsatt er virksomheter hvor inntektene genereres av brukere som er online. Casinoer og lignende nettsteder er derfor spesielt utsatt.
– Vinningskriminalitet, phishing, utpressing, andre former for nettsvindel og identitetstyverier vil etter alt å dømme vokse sterkt i tiden fremover, sier daglig leder Tore Larsen Orderløkken ved NorSIS (Norsk Senter for Informasjonssikring) på Gjøvik til Teknisk Ukeblad.
Datakriminalitet er allerede blitt en ”industri” som i USA i fjor passerte narkotikahandelen i omsetning. Anslag for totalverdien ligger på $105 milliarder (ca 660 millarder kroner).
Norsk politi maktesløse
Norsk politi står mer eller mindre maktesløse overfor disse formene for datakriminalitet. Den lille innsatsen som gjøres, preges av manglende vilje til å bevilge midler til kampen. I front står Rune Fløisbonn, som er lovens forlengede arm inn i cyberspace.
Den tidligere forskeren og akademikeren fra Universitet i Oslo, ble plukket ut til å lede Politiets datakrimsenter, nå Datakrimavdelingen i Kripos. – Jeg gikk fra å være forsker til å bli etterforsker, smiler han. Datakrimsenteret ble offisielt åpnet den 15. mai 2003, og holder til på Bryn i Oslo, sammen med Kripos og Økokrim.
– Vi balanserer mellom ønsket om å være synlige og forebyggende, og har et behov for holde våre metoder skjult overfor kriminelle, for at de ikke lettere skal kunne skjule sine spor, sier Fløisbonn til Teknisk Ukeblad. – Den generelle kunnskapen om datateknologi vokser, og kriminelle allierer seg i stadig sterkere grad med de beste dataekspertene på den internasjonale arenaen for å gjennomføre forbrytelser og skjule sporene.
200 saker
De vel 20 ansatte i datakrimsenteret etterforsket rundt 200 saker i fjor. En tiendedel av disse var ren ”datakriminalitet” i den forstand at det dreide seg om forbrytelser med teknologi som mål, og utført ved hjelp av datateknologi. Typiske slike saker er datainnbrudd, spredning av barnepornografi, phishing og andre former for svindelforsøk, samt massive koordinerte dataangrep, ofte i den hensikt å presse penger av aktører som er avhengig av 100 prosent oppetid for selv å tjene penger.
I følge en undersøkelse av hvor mye datakriminalitet som ikke anmeldes (Mørketallsundersøkelsen) gjennomføres det minst 5.000 datainnbrudd i Norge årlig (tallet er fra 2003). Bare 50 av disse anmeldes, halvparten av disse igjen etterforskes, og bare 5-10 saker kommer noensinne opp i en rettssal.
– Bedrifter anmelder ikke saker, fordi de er redde for sitt omdømme, sukker Fløisbonn. – Private og bedrifter vet ofte ikke engang at de er blitt utsatt for slik kriminalitet. Han innrømmer samtidig indirekte at flere saker blir henlagt fordi politiet ikke har nok ressurser og kunnskap.
– Slik som situasjonen er, har vi for få ressurser og for lite kompetanse, ikke bare her i Datakrimsenteret, men i alle politidistriktene. Av 8.000 politimenn i Norge har bare 50-100 fått en minimumsopplæring i håndtering av denne type saker, og det de har lært er utdatert etter 6-18 måneder!
Han trøster seg med at situasjonen er like ille andre steder. I Storbritannia har de 140.000 politifolk. Bare 1.000 av dem har fått opplæring.
Vanskeligere å overvåke IP-telefoni
Men trøsten er kortvarig: Det blir stadig vanskeligere å holde tritt med den teknologiske utviklingen. Avlytting av GSM-mobiltelefoner var i mange år umulig. Nå kommer 3G og UMTS og serverer nye utfordringer på et fat. IP-telefoni vokser med rakettfart. Stadig større deler av telefontrafikken er over på pakkesvitsjede nett, noe som gjør det vanskeligere å overvåke og avlytte.
Personvernet under press
Med vår tilpasning til EU-lover og regler, og det faktum at myndighetene og lovgiverne ikke greier å holde tritt med den teknologiske utviklingen, er vår tradisjonelt sterke personvernlovgivning blitt vannet ut. Det finnes for eksempel ingen veldig gode svar på når en arbeidsgiver har lov til å lese eposten til en arbeidstaker.
Noen ganger aksepteres slike bevis, andre ganger ikke. En arbeidstaker som hadde tilbrakt svært mye tid med å laste ned porno fikk jobben tilbake ved dom, fordi retten mente det ikke var grunnlag for å si vedkommende opp på et slikt grunnlag.
Ved et annet tilfelle, riktignok i Sverige denne gang, mistet en sykehusansatt jobben etter at det ble dokumentert at han hadde brukt 21 av de 23 siste arbeidsdagene til pornosurfing.
Orden i sysakene
Datatilsynet vil gjerne få orden i sysakene, og strever med å etablere klarere retningslinjer, blant annet for bruk av e-post.
– Arbeidsgivere har i liten grad utformet nødvendige retningslinjer for bruk av e-post, hevder tilsynsdirektør Georg Apenes.
Muligheten for kontroll og overvåking av enkeltpersoner er et område som preges av at det stadig utvikles ny teknologi som igjen skaper nye rammebetingelser. Det er en stor utfordring å lage et lovverk som ikke legger unødvendige og uønskede hindringer i veien for god bruk av ny teknologi.
– Det er viktig at partene vet hvilke spilleregler som gjelder, og at disse ikke endres hvert år, selv om området preges av rask utvikling, ifølge Apenes, som også peker på behovet for å tydeliggjøre visse nøkkelbegreper, som for eksempel ”sletting”.
Nye regler fra EU
På toppen av dette, kommer det planlagte nye EU-direktivet som pålegger lagring av sporingsdata (ikke innholdet) fra telefon og internett-trafikk i flere år.Hensikten er å bekjempe terrorisme og kriminalitet.
Direktivet, som skal gjelde fra 2007, vekker bekymring både hos teleoperatørene, som må lagre ufattelige datamengder om hver enkelt kunde, og hos Datatilsynet. – I kampen mot terrorspøkelset er vi i ferd med å få en fullstendig uthuling av personvernet, sa Apenes nylig i en kommentar til NRK.
Telekomeksperten Karl Trygve Kalleberg ved Institutt for Informatikk ved Universitetet i Bergen slakter direktivet i en kronikk i Aftenposten. – Direktivet ble solgt inn som et middel i kampen mot datakriminelle og terrorister, men kan enkelt omgås av dem. Her har noen kjøpt en veldig dyr sekk, og har ikke engang fått en katt, skriver han.
Skepsisen bunner i det faktum at kyndige datakriminelle opererer gjennom mange lag av infiserte datamaskiner verden rundt, noe som gjør sporing innen EU nytteløst. – Derimot åpner direktivet for omfattende og dyr sporing av lovlydige borgere, skriver Kalleberg videre. – Prisen målt i svekket personvern er viktigere enn montær verdi. Dataene kan kun brukes til spesifiserte former for etterforskning, slik som organisert datakriminalitet og terrorisme. Dessverre hersker det mye kontrovers over formuleringene. Det kreves ikke spesielle fullmakter for å få innsyn, og det er ingen begrensning på typen kriminalitet man kan få fullmakt for.
Kroll – det egentlige verdenspolitiet?
Ibas er blitt en del av et privat ”verdenspoliti”. Datarekonstruksjons- og etterforskningstjenestene som Ibas tilbyr, faller naturlig inn i globale Krolls produktportefølje. For et år siden var det tre noenlunde jevnbyrdige aktører på det markedet Ibas arbeider. I dag er det bare én. Britiske Vogon ble slukt av norske Ibas som igjen ble slukt av amerikanske Kroll Ontrack. Dermed finnes det bare én stor aktør på dette markedet globalt.
Og det er ikke hvem-som-helst. Moderselskapet til Ontrack, Kroll selv, er et verdensomspennende selskap som har som forretningsidé å tilby tjenester du vanligvis forbinder med politi og militærvesen.
På smørbrødlisten av tjenester og produkter fra Kroll, finnes interessante innslag som Electronic evidence & data recovery, Kidnap for ransom, Protective services and training, Asset searches, Anti money laundering, Electronic discovery, og Travel risk management.
Kroll selger ikke sine tjenester bare til amerikanske interesser. Etterforskere fra selskapet ble i 1998 engasjert av den saudiske eieren av El Shifa-fabrikken i Sudan, som amerikanerne bombet under påskudd av at den produserer kjemiske våpen. Kroll beviste at fabrikken ikke hadde produsert kjemiske våpen, og midler amerikanerne hadde frosset, måtte frigis.
Det var også Kroll som ble engasjert da saken om den italienske bankmannen Robert Calvi ble gjenopptatt, ti år etter at han ble funnet hengt under en bro i London. Kroll beviste at det ikke var selvmord.
Kroll Ontrack, som er datterselskapet som har overtatt Ibas, spesialiserer seg i likhet med Ibas på rekonstruksjon av data fra harddisker og andre lagringsmedier.
