Din datters netflirt kan lukke din virksomhed

Sagen fra New Zealand er usædvanlig, ulykkelig for flere, men lærerig for mange. Modelfoto

Da en fjortenårig newzealandsk pige i 2015 valgte at købe nogle udvidelser til computerspillet Minecraft hos en dansk udbyder, vidste hun ikke, at det ville komme til at betyde ydmygelser, chikane, trusler og ødelæggelse af både hendes eget rygte, faderens fitnessforretning, fleres skolers servere og 2,3 millioner teleabonnenters internetforbindelse.  Men sådan gik det i en sag, der er på vej til domfældelse ved retten i Kolding, og som viser, hvor sårbare vi kan være over for hackere, der vil hævne sig på helt almindelige mennesker. I dette tilfælde vil jeg gerne fortælle historien set med forretningsmæssige øjne: nemlig historien om, hvordan en mellemstor forretning kan blive ødelagt på ingen tid, hvis nogen ønsker at gøre ondt.

Forelskelsen udvikler sig i en uheldig retning
Pigen, lad os kalde hende Susan, var vild med Minecraft og købte hos en dansk udbyder, en dansker i tyverne fra Vejlekanten, lad os kalde ham Kim, de udvidelser, som gjorde, at hun kunne spille videre. Kim og Susan begyndte at skrive sammen, et tilfældigt møde via internettet, et klassisk forhold som pennevenner, der udviklede sig lidt efter lidt. Til forældrene fortalte hun om en sød dansk fyr, som hun skrev med, mens hun til fyren angiveligt beskrev sit forhold til forældrene som noget af et fængsel. Forældrene blev dog noget forskrækkede, da de overraskede Susan temmelig afklædt og i gang med at pille ved sig selv forskellige steder foran computeren med Kim i den anden ende. Det var ikke første gang, viste det sig, og Kim havde da også gemt en række af optagelserne af Susan på sin computer.

Lægger fitnesskæde ned
Forældrene forbød Susan at fortsætte kontakten, men det gjorde hun ikke lige med det samme og fortsatte bl.a via moderens telefon. Forældrene satte hårdere ind, men med katastrofale konsekvenser: Kim følte angiveligt, at han skulle forsvare pigen mod forældrene og fandt hurtigt ud af, at faderen drev et fitnesscenter, hvis bookingkalender var nem at tilgå, for faderen brugte det samme password alle steder, og passwordet kendte Susan. Han overtog angiveligt faderens gmail og facebook konto.
Nu begyndte Kim angiveligt at presse faderen til at give tilladelse til, at Susan og han stadig kunne skrive og tale sammen. Chikanen omfattede først, at Kim hackede sig ind på familiens overvågningskamera og sendte billeder til dem af dem selv, hvor han fortalte, at han kunne følge med i, hvad de lavede.  Dernæst hackede han sig angiveligt ind i Fitnesscentrets kalender og ødelagde hele aftalesystemet. Og endelig hackede han sig ind på kortlåsen til fitnesscentret, så kunderne ikke kunne lukke sig selv ind og ud. Fitnesscentret var imidlertid del af en kæde, som løste problemet for faderen – hvorefter Kim så angiveligt lagde hele fitnesskæden ned.

Skoler lægges ned
Susan forstod nu alvoren og begyndte at trække sig fra kontakten, slettede sine profiler på de sociale medier, men Kim fandt hende hurtigt igen på de nye, hun oprettede, og han begyndte at lægge de afklædte videoer ud af hende, som var optaget i smug. Da det jo ikke er ”sjovt” at hænge folk ud, hvis andre ikke kan finde dem, bar alle videoerne Susans fulde navn, og de begyndte at cirkulere blandt klassekammerater og andre på hendes skole. Faderen opdagede dette og brugte nætter og dage på at finde dem, anmelde dem og få dem fjernet, men det var et sisyfosarbejde uden effekt. Kim sendte angiveligt også videoerne til Susans skole, hvis netværk senere blev lagt totalt ned af et DDos angreb flere gange. Skolen modtog trusselsmails, der forlangte, at Susan blev smidt ud af skolen.

2,3 millioner teleabonnenter rammes
Da Kim opdagede, at Susan var blevet lidt varm på en ung mand fra en anden skole, blev denne skoles netværk også lige lagt ned angiveligt af Kim. Han havde tillige held med at få adgang til faderens internetabonnement og lagde angiveligt teleselskabet Vodafones internetforbindelse til 2.3 millioner newzealændere ned en kort overgang. Motivet skulle være at få internetselskabet til at opsige familiens abonnement.

Nej, dette er ikke fiktion, dette er virkelighed, og det er foregået fra en adresse i Danmark.
Det danske politi bliver involveret, fordi familien naturligvis går til det New Zealandske politi med sagen, og optrevlingen lykkes, fordi Sydøstjyllands Politi i samarbejde med NC3,  det nationale cybercrime center og de New Zealandske kolleger sammen er i stand til at afdække spor, som fører til, at politiet finder frem til danskeren. De foretager en ransagning på den pågældende adresse, hvor den unge mand befinder sig og ender med at anholde ham. Den unge mand blev i første omgang sigtet for ni forhold, men nægtede sig skyldig og blev varetægtsfængslet i tre måneder. Han blev løsladt af varetægtsfængslingen i december 2015. Sagen er stadig under efterforskning og er ikke berammet ved Kolding Ret endnu.

Og hvad kan man så lære af det, som salig Gotha Andersens lærer Madsen sagde?

Alt, lige fra at have forskellige, kodede passwords, til ikke at opføre sig dumt på nettet. Her er der ikke tale om organiseret, international cyberkriminalitet, der angriber større virksomheder og laver industrispionage (sådan som det også er sket i Danmark) lægger servere ned for bare fordi de kan, eller kræver løsepenge for at lukke op for filerne igen. Her er tale om en lavine, der går i gang, fordi en enkelt person bliver sur og kan udnytte en lang række svagheder i helt almindelige menneskers omgang med computere til at ødelægge deres liv og forretning.

Hackere har en uhyggelig stor magt gennem ganske simple tiltag som for eksempel et DDos angreb, som blot betyder, at der sendes et hav af forespørgsler til en hjemmeside, som så bryder ned. Det var det, der for eksempel skete på skolerne. Det er også sket i Danmark, da nogen ville slippe for eksamen. DDos-angreb kan man finde vejledninger til på YouTube. Måder at bryde passwords og adgangskoder ligger der også vejledninger til. Der findes en mørk side af internettet, The Dark Net, hvor de, som excellerer i hacking og chikane, finder hinanden, udveksler erfaringer og køber ydelser hos hinanden. Og det behøver ikke engang at være en hacker, der selv er blevet sur. En bedraget ægtemand kan gå ind på The Dark Net og betale sig til at få lagt ulovlige videoer eller børneporno på elskerens computer og derefter anmelde ham til politiet.
Jeg vil ikke gå i flere detaljer om, hvad der faktisk kan lade sig gøre – eksemplet fra New Zealand taler for sig selv, og er sin menneskeligt voldsomme karakter til trods et relativt afgrænset angreb.  Større og internationale virksomheder har oplevet angreb, der var økonomisk langt mere vidtrækkende, ligesom konsekvenserne for kunder har været alvorlige.  Men New Zealandsagen er ganske illustrativ for, hvad der kan ske for enhver virksomhed – eller familie – der ikke tænker i sikring af sig selv.

Hvad skal du gøre i en sådan situation – det er klart, at kommer du ud for noget lignende, skal du anmelde det til politiet. D-DoS angreb og hacking kan du anmelde her. Og så kan det vist ikke siges for tit, at passwords skal krypteres.

Jeg hørte om denne sag, da jeg deltog på Internet Week Denmarks glimrende arrangement sammen med partnerne Business Region Aarhus  og BusinessHorsens den 12. maj 2016

Må jeg lige låne dine passwords et øjeblik?