I förrförra veckans avsnitt av Bli säker-podden pratade vi om hur Facebooks annonsgranskare ansåg att hundratals bluffannonser var förenliga med deras annonsregler. Den här veckan avslöjar vi att problemet sträcker sig ännu längre. Resultatet är nämligen detsamma när vi anmäler skadeprogramsspridande annonser. Facebooks annonsgranskare avslår såväl anmälan som överklagan. Gemensamt för många av de skadeprogramsspridande annonserna är att de låtsas erbjuda någon typ av AI-app. Annonserna anspelar på att komma från AI-jättar såsom OpenAI, Bing, Midjourney eller Adobe. Annonserna försöker få användarna att ladda ned krypterade arkiv som i sin tur innehåller Windows-installationsprogram. Dessa installationsprogram är trojaner som i hemlighet lägger till spionerande webbläsartillägg. Därigenom kan bedragarna kapa ytterligare Facebook-sidor för att sprida ännu fler annonser för investeringsbedrägerier och skadeprogram. Se fullständiga shownotes på https://go.nikkasystems.com/podd244.

I veckan avslöjade Säpo att kinesiska Judgement Panda (även kallade APT 31) hade utnyttjat svenska privatpersoners routrar för att spionera och utföra cyberattacker. Avslöjandet kom i samband med att USA väckte åtal mot sju statsanställda vid Kinas ministerium för statssäkerhet. Ryssland har också visat intresse för privatpersoners routrar. Fancy Bear (även kallade APT 28), som har kopplingar till ryska underrättelsetjänsten GRU, infekterade tusentals routrar över hela världen i syfte att bygga en global spionageplattform. Det avslöjade FBI tidigare i år. I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om varför statsunderstödda aktörer kapar just hemmaroutrar. Nikka förklarar också vilka konsekvenserna blir och vad privatpersoner som vill skydda sig lite extra bör göra. Veckans avsnitt bjuder också på goda nyheter om Googles föreslagna lösning för att stoppa kakstölder. Avsnittet bjuder tillika på skrämmande nyheter om spiontrojanen som Facebook spred via VPN-tjänsten som de tillhandahöll fram till avslöjandet 2019. Nya domstolsdokument visar att Facebook spred spiontrojanen trots stark intern kritik och att skadeprogrammet var betydligt värre än världen tidigare vetat. Se fullständiga shownotes på https://go.nikkasystems.com/podd243.

Problemet med bluffannonser på Facebook tar inte slut. Bedragare fortsätter att utnyttja svenska kändisar i annonser för investeringsbedrägerier. Annonserna leder ofta till klonade versioner av populära nyhetssajter. Ibland står till och med den riktiga nyhetssajtens domän i annonsens länktext trots att annonsen i själva verket leder till en falsk webbplatskopia på en helt annan domän. Förra veckan lämnade över 500 personer in en stämningsansökan mot Facebook Sweden på grund av att Facebook inte har tagit itu med problemet. Då publicerade Kalla Fakta ett uppföljningsinslag till granskningen som de gjorde tillsammans med mig i fjol. I uppföljningsinslaget visade jag hur Facebook har slutat plocka bort uppenbara bluffannonser som jag anmäler. I veckans poddavsnitt berättar jag och Peter mer om hur bedragarna arbetar. Vi lyfter också några av våra hundratals exempel på bluffannonser som Facebooks annonsgranskare säger att inte bryter mot några av deras annonsregler. Korrigering i samband med publicering: stämningsansökan har lämnats in mot Facebook Sverige (inte Meta och Mark Zuckerberg). Se fullständiga shownotes på https://go.nikkasystems.com/podd242.

Medborgares fria tillgång till oberoende information hotar makten i totalitära stater. Länder såsom Kina, Ryssland, Egypten, Saudiarabien och Pakistan nöjer sig därför inte längre med att censurera internet. De försöker också blockera medborgarnas möjligheter att komma åt det fria internet via VPN-tjänster eller via Tor-nätverket. Säkerhets- och integritetsfokuserade VPN-tjänster, till exempel Mullvad VPN och Proton VPN, har vidtagit motåtgärder. De har bland annat implementerat lösningar som får användarnas VPN-trafik att se ut som vanlig webbtrafik, vilket gör det svårare för övervakningsregimer att blockera trafiken. Senaste versionen av Tor-webbläsaren har också fått stöd för så kallade webbtunnlar. Webbtunnlarna gör att samma servrar som driver vanliga webbplatser kan bli hemliga ingångar i Tor-nätverket och därmed vägar ut på ocensurerade internet. I den fria världen pågår samtidigt en oroväckande trend för ökad censur. I början av mars föreslog Liberalerna att sociala medier ska blockeras för barn efter klockan 23. Två veckor senare, på andra sidan Atlanten, valde världens största porrsajtsleverantör att blockera besökare från Texas i protest mot en ny lag om legitimeringskrav. Vårdnadshavare kan redan begränsa såväl skärmtid som webbplatsinnehåll för sina barn. Både IOS och Android har inbyggda och kostnadsfria funktioner för just detta. Trots det vill politiker lägga ålderskontrollkrav på webbplatsägarna. I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om varför det inte bara är en tekniskt vansinnig lösning utan rent av en farlig lösning. Se fullständiga shownotes på https://go.nikkasystems.com/podd241.

Hur länge kan en mobil förväntas förses med säkerhetsuppdateringar? Under smartphone-erans första decennium hade Apple och Android-mobiltillverkarna vitt skilda åsikter kring sitt underhållsansvar. Än idag anser många Android-mobiltillverkare att deras mobiler bara ska hålla i något enstaka år. Till och med annars välrenommerade mobiltillverkare som Motorola anser att två år från lanseringsdatum är skälig livslängd på en mobil. Det är förvånande eftersom två år är kortare tid än den lagstadgade treåriga reklamationsrätten, vilken dessutom räknas från köpdagen (inte modellanseringsdagen). Lyckligtvis är några Android-mobiltillverkare mer seriösa. Google utlovar sju års månatligt underhåll för sin senaste Pixel 8-serie. Samsung utlovar lika lång underhållstid för några av sina nya modeller men väljer att inte utfästa någon garanti för uppdateringsfrekvensen. I veckans avsnitt av Bli säker-podden jämför Peter och Nikka de olika Android-mobiltillverkarnas underhållsgarantier. I samband med detta snubblar podduon över ett oväntat uttalande från en av cheferna på Oneplus – som tycker att deras mobiler kan liknas vid en smörgås. Se fullständiga shownotes på https://go.nikkasystems.com/podd240.

De senaste veckorna har många svenska organisationer drabbats av driftstörningar till följd av IT-attacker. Dessa attacker har varit av varierande slag och av olika allvarlighetsgrad. I ena änden av allvarlighetsskalan ligger dubbelutpressningsattacker. Det är den typ av attack som bland annat Kalmar kommun och Sophiahemmet har fallit offer för. Vid en dubbelutpressningsattack passar angriparna på att både stjäla och utpressningskryptera filer. I andra änden av allvarlighetsskalan ligger överbelastningsattacker. Det är den typ av attack som flera svenska myndighetswebbplatser utsattes för under veckan. Överbelastningsattacker är generellt ofarliga och får sällan permanenta konsekvenser. Sådana attacker gör bara att en eller flera webbplatser blir otillgängliga en stund. I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om de senaste veckornas attacker. Podduon förklarar också varför överbelastningsattacker knappt förtjänar att kallas “attacker” och varför de som utför överbelastningsattacker borde kallas “aktivister” i stället för “hackergrupper”. Se fullständiga shownotes på https://go.nikkasystems.com/podd239.

Världens meddelandetjänster blir allt bättre. Sedan några år tillbaka stödjer alla meddelandetjänster värda namnet totalsträckskryptering (end-to-end-kryptering). Det gör att ingen annan än konversationsparterna kan läsa meddelandena. I fjol förbättrade meddelandeappen Signal det underliggande protokollet så att meddelandena som vi skickar idag förbli säkra dagen då effektiva kvantdatorer blir verklighet. Den här veckan följde Apple i Signals fotspår när de lanserade en kvantsäker och förbättrad version av Imessage-protokollet. Apple hävdar rent av att deras nya Imessage-protokoll är ännu säkrare än Signals dito. I veckans meddelandefokuserade poddavsnitt pratar Peter och Nikka om Apples nya tilltag. De pratar också om hur Signals nya stöd för användarnamn stärker den personliga integriteten och om hur Whatsapp snart börjar fungera med andra meddelandeappar. Se fullständiga shownotes på https://go.nikkasystems.com/podd238.

Windows har en inbyggd krypteringsfunktion som kallas Bitlocker. Den förhindrar att tjuvar som stjäl datorer kommer åt filerna som ligger sparade på datorerna. Tjuvarna kan på sin höjd rensa datorerna och sälja dem som stöldgods. Detta är åtminstone tanken med Bitlocker. Tyvärr har säkerhetsforskaren Stacksmashing visat att flera Windows-datorer har en brist som sätter Bitlocker-skyddet ur spel. Bristen gör att resursstarka hotaktörer kan läsa filerna på Bitlocker-skyddade datorer. I veckans poddavsnitt pratar Peter och Nikka om vad som orsakar Bitlocker-bristen, varför den inte påverkar alla datorer samt hur den kan åtgärdas. De pratar också om en falsk Lastpass-app, nya framsteg för passkeys och den oväntade nedläggningen av e-posttjänsten Skiff. Se fullständiga shownotes på https://go.nikkasystems.com/podd237.

Akira-attackerna mot Sverige duggar tätt. I tisdags drabbades det senaste kända offret: Kalmar kommun. Kalmars kommunikationschef, Nico Werge, höll kommuninvånarna underrättade med frekventa lägesuppdateringar. Han kallade också till presskonferens redan samma eftermiddag. På presskonferensen presenterade kommunstyrelsens ordförande, Johan Persson, en intressant siffra. Han sade att kommunens system utsattes för cirka 70 miljoner attacker under 2023. I veckans avsnitt av Bli säker-podden funderar vi över vad 70 miljoner attacker egentligen innebär. Är det många attacker på årsbasis? Vi pratar också om den påhittade överbelastningsattacken som påstods ha utförts med hjälp av uppkopplade eltandborstar. Se fullständiga shownotes på https://go.nikkasystems.com/podd236.

Det händer mycket på Iphone-fronten. Den senaste IOS-uppdateringen (IOS 17.3) lade till en funktion som gör det svårare för tjuvar att stänga av Iphones stöldskydd. Samma funktion åtgärdar också en designmiss som Iphone har dragits med sedan lanseringen av Icloud. I mars släpper Apple IOS 17.4, vilket blir smått revolutionerande för oss i Europa. Den IOS-uppdateringen lägger nämligen både till stöd för alternativa appbutiker och tillåter webbläsarutvecklare att släppa IOS-webbläsare som är mer än bara “Safari-skal”. I veckans avsnitt av Bli säker-podden gästas vi av Apple-journalisten Ida Blix från tekniksajten M3. Hon förklarar vad de nya förändringarna innebär i praktiken för såväl slutanvändare som apputvecklare. Nikka förklarar därtill hur Apples nya lösning skiljer sig från sättet som appar distribueras på Android. Apple tänker nämligen behålla kontrollen över IOS-appar på ett sätt som gynnar slutanvändare ur ett säkerhets- och integritetsperspektiv. Se fullständiga shownotes på https://go.nikkasystems.com/podd235.

Konsekvenserna av utpressningsattacken mot IT-tjänsteleverantören Tietoevry har märkts tydligt runt omkring i samhället. Kontantfria verksamheter kunde plötsligt inte ta betalt. Detaljhandelskedjan Granngården fick rent av hålla sina butiker stängda i över tre dagar. Webbplatserna för Rusta och Stadium gick ner och de ligger fortfarande nere sex dagar efter attacken. Värst av alla drabbades Vellinge kommun. Utöver att deras webbplats slogs ut påverkades deras interna system. Under onsdagen blev det känt att till och med deras säkerhetskopior har blivit utpressningskrypterade. I veckans poddavsnitt går jag (Karl Emil Nikka) och Peter Esse igenom vad världen vet om attacken och dess konsekvenser än så länge. Vi pratar också om riskerna med det kontantfria samhället, hur organisationer ska tänka vid val av driftpartner samt vad alla myndigheter med medborgarkontakt måste ha i åtanke på grund av det förändrade säkerhetspolitiska läget. Veckans avsnitt är dessutom poddens femårsjubileum. Det var i januari 2019 som jag och Tess Hamark spelade in första avsnittet, vilket handlade om den onödiga lösenordsbytardagen. Målsättningen var då att släppa kvartslånga veckoavsnitt, men det byttes snabbt ut mot veckoliga halvtimmesavsnitt. Fem år (och 234 avsnitt) senare tackar vår samarbetspartner Bredband2 för sig. Jag är mycket tacksam över tiden som vi producerade podden tillsammans i ett gynnsamt ekonomiskt oberoende samarbete. Jag hade inte förväntat mig att det som började som ett ”experiment” skulle vara i hela fem år. Utan Bredband2:s stora kundskara hade podden aldrig heller fått så stort genomslag och stor spridning bland svenska folket, så stort tack till Bredband2. Med anledning dessa förändringar tar podden ett kort uppehåll under februari. Jag återkommer med mer information. Se fullständiga shownotes på https://go.nikkasystems.com/podd234.

Många av dagens lösenordshanterare har inbyggt stöd för att generera engångskoderna som behövs vid inloggning på konton som skyddas med tvåfaktorsautentisering. Bitwarden, 1password, Proton Pass och Icloud-nyckelringen är exempel på lösenordshanterare med sådant stöd. Integrerat stöd för att spara tvåfaktorsautentiseringshemligheter och generera engångskoder förenklar inloggningsprocessen. Stödet ersätter dock inte fristående tvåfaktorsautentiseringsappar helt och hållet. Någon app måste ju generera engångskoden som behövs vid inloggning i lösenordshanteraren. I veckans poddavsnitt pratar Peter och Nikka om den bästa lösningen på lösenordshanterarnas ”moment 22”. Nikka tipsar också om en kommande lösning som tar itu med problemet på riktigt. På sikt kommer det nämligen gå att låsa upp lösenordshanterare med passkeys. Tack vare en utökning till den underliggande standarden kommer kompatibla passkeys dessutom att eliminera behovet av att skriva in användarnamn och lösenord vid upplåsning av lösenordshanterarnas lösenordsvalv. Se fullständiga shownotes på https://go.nikkasystems.com/podd233.

Authy har länge varit en favorit bland tvåfaktorsautentiseringsappar. Authy har låtit användarna synkronisera sina tvåfaktorsautentiseringshemligheter totalsträckskrypterat mellan enheter och mellan olika operativsystem. Appen har dessutom varit både reklamfri och kostnadsfri. Nu meddelar Twilio, företaget som driver Authy, att de framåt sommaren lägger ned stödet för Windows, Mac OS och Linux. De vill i stället satsa helhjärtat på IOS- och Android-versionerna. Lyckligtvis sammanfaller Authys stundande plattformsbegränsning med framväxten av en konkurrent: 2FAS. Den appen har dessutom öppen källkod. I veckans poddavsnitt pratar Peter och Nikka om varför 2FAS kan bli en lämplig ersättare till Authy lagom till Authys sorti från världens skrivbordsoperativsystem. Nikka förklarar också vilka förbättringar som 2FAS behöver göra fram till dess samt vilken begränsning som 2FAS alltid kommer att ha på grund av sättet som appen synkroniserar tvåfaktorsautentiseringshemligheterna. Se fullständiga shownotes på https://go.nikkasystems.com/podd232.

Ett nytt år är kommet. Det inleds traditionsenligt med ett poddavsnitt om vad som stundar ur ett IT-säkerhets- och integritetsperspektiv. Peter och Nikka sneglar på kalendern och tittar in i spåkulan för att servera fem profetior för IT-säkerhetsåret 2024. Se fullständiga shownotes på https://go.nikkasystems.com/podd231.

2023 går mot sitt slut. Årets sista poddavsnitt dedikeras traditionsenligt till att följa upp profetiorna som myntades vid årets start. Slog passkeys igenom? Reste sig Firefox ur elden? Blev det problem med push-notiser på IOS? Blev Bing Bra? Skedde det några framsteg över Atlanten? Se fullständiga shownotes på https://go.nikkasystems.com/podd230.

Nu har Meta lanserat sin Twitter-kopia ”Threads” i Europa. Förra veckan tillkännagav Metas grundare Mark Zuckerberg att de dessutom har påbörjat integrationen med Activitypub-nätverket. I sann Meta-anda har de dock gjort det enkelriktat: det går att följa utvalda Threads-profiler från Activitypub-baserade Mastodon, men det finns inga Mastodon-profiler som går att följa från Threads. I veckans poddavsnitt pratar Peter och Nikka om de senaste veckornas nyheter kring X (Twitter) och dess kloner. Podduon ger Threads en avriven guldstjärneudd som beröm för att de åtminstone delvis har anammat Mastodons lösning för profilverifiering. De pratar också om problematiken med falska säkerhetsvarningar på X samt om hur EU-kommissionen utreder om X verkligen lever upp till kraven som Digital Services Act lägger på tjänster av X:s storlek. Se fullständiga shownotes på https://go.nikkasystems.com/podd229.

I början av december avslöjade den amerikanska senatorn Ron Wyden att Apple och Google lämnade ut information om användarnas push-notiser. Detta gjorde de två IT-jättarna utan att informera de berörda användarna. I en kommentar till Reuters meddelade Apple att federala myndigheter hade förbjudit dem att offentliggöra utlämnandet. Sättet som push-notiser skickas gör avlyssningen extra allvarlig. Nästintill alla push-notiser som går till IOS- och Android-mobiler skickas nämligen via Apples respektive Googles molntjänster. Signals VD Meredith Whittaker har förklarat att det är av batteriskäl som operativsystemstillverkarnas molntjänster är de enda framkomliga vägarna för att skicka push-notiser. Signal, Proton och andra tjänster som tar dataskyddet på allvar totalsträckskrypterar innehållet i push-notiserna. Tyvärr är totalsträckskrypteringen inte något som Apple och Google tillhandahåller, vilket gör att IT-jättarna i normalfall kan se exakt vad som står i push-notiserna. I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om Ron Wydens avslöjande och vilka konsekvenser som det får, inte bara för push-notiser utan för all data som passerar IT-jättarnas molntjänster. Det blir allt viktigare att Apple och Google skyddar användarnas data på teknisk väg, så att IT-jättarna inte har någon data att lämna ut när de nästa gång åläggs att göra det i hemlighet. Se fullständiga shownotes på https://go.nikkasystems.com/podd228.

Digitalt distribuerade filmer och böcker kopieringsskyddas ofta med någon typ av DRM (Digital Rights Management). Kunder som köper DRM-skyddade filer kan inte dra nytta av sin lagstadgade rätt att privatkopiera dessa (notera ”privatkopiera”, inte ”piratkopiera”). Kunderna kan också fråntas sin möjlighet att spela upp filmerna eller läsa böckerna. Fram till 2021 sålde Sony både filmer och TV-serier via Playstation Store. Nu står det dock klart att kunder som ”köpte” filmer och TV-serier därigenom i själva verket långtidshyrde dessa. Förra veckan meddelade Sony att de hade ändrat i sina licensavtal med innehållsleverantören Discovery och att Sony därför raderar kundernas ”köpta” Discovery-filmer och -serier. En liknande situation drabbade kunderna som hade ”köpt” böcker i bokbutiken som Microsoft drev fram till 2019. Då valde Microsoft att lägga ned bokbutiken och radera kundernas köpta böcker. Till skillnad från Sony valde Microsoft att betala tillbaka pengarna, men situationen belyste ändå problemet: så länge böcker har DRM-skydd kan säljaren frånta köparen möjligheten att läsa boken. I veckans poddavsnitt pratar Peter och Nikka om de mångåriga problemen med DRM i musik, böcker och filmer. Historiskt har Sony nämligen gjort något ännu värre än att bara radera kundernas köpta filmer. Se fullständiga shownotes på https://go.nikkasystems.com/podd227.

Dagens telefonisystem är trasigt. På grund av mobiloperatörernas oförmåga att ta itu med gamla kvarlevor kan bedragare skicka SMS som står att kommer från banken och ringa från det lokala bankkontorets telefonnummer (så kallad spoofing). I november presenterade mobiloperatörerna och PTS varsin åtgärd för att begränsa problemen. Mobiloperatörerna lanserade ett nytt kortnummer som medborgare kan rapportera misstänkta SMS till. SMS som vidarebefordras till kortnummer 7726 går till alla mobiloperatörers bedrägeribekämpningsavdelningar på samma gång. Detta löser självfallet inte problemet med att bedragare skickar SMS i falska namn, men det kan åtminstone begränsa spridningen. PTS lanserade en ny vägledning för hur telefonoperatörer ”kan” (inte ”ska”) hantera situationer då någon ringer från utlandet med ett telefonnummer som börjar på +46. Idag spoofar internationella bedragare ofta svenska nummer för att öka sannolikheten att svenska offer svarar. PTS uppmanar telefonoperatörerna att sätta stopp för detta. Vägledningen kan omvandlas till bindande föreskrifter redan nästa år. I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om dessa två tilltag. Nikka förklarar också hur det faktiskt redan finns en teknisk lösning som stoppar spoofing av telefonnummer. Lösningen heter STIR/SHAKEN och används redan i USA efter krav från amerikanska FCC. Frankrike kommer också att anamma tekniken. Med STIR/SHAKEN på plats kan mobiloperatörerna se ifall samtal kommer från de påstådda telefonnumren och stoppa falska samtal innan de kopplas fram till abonnenterna. Sedan släppet av IOS 13 och Android 11 kan verifierade samtal till och med indikeras med en verifieringssymbol på samtalsskärmen, så att den som blir uppringd vet att uppringarnumret är äkta. Se fullständiga shownotes på https://go.nikkasystems.com/podd226.

I förra veckans poddavsnitt pratade vi bland annat om Nothings bryggtjänst som kopplade ihop Android-mobiler med Apples Imessage-system. Vi summerade situationen med orden ”det här är någonting som ingen bör använda” Sedan dess har det hänt än hel del. För det första visade sig tjänsten vara ännu värre än vi ursprungligen antog. Utöver den säkerhetsmässigt vidriga principen som lösningen förlitade sig på var Nothings säkerhets- och konfidentialitetsutfästelser rena lögner. Detta avslöjades av trio säkerhetsgranskare, och deras avslöjanden fick Nothing att ta bort appen från Google Play. För det andra har Apple meddelat att de kommer förbättra interoperabiliteten mellan IOS och Android på egen hand. Nästa år kommer Apple att lägga till stöd för RCS-meddelanden i Iphones meddelandeapp. Det gör att meddelanden som skickas mellan Iphone- och Android-mobiler får stöd för moderna meddelandefunktioner, till exempel reaktioner, läskvitton, skrivindikatorer och bilagor med hög kvalitet. I veckans podd pratar vi om båda dessa nyheter och varför de inte förändrar vår ständigt återkommande rekommendation: använd Signal. Se fullständiga shownotes på https://go.nikkasystems.com/podd225.