’Kunstig intelligens er en gave til angriberne’
Meget af den cyberkriminalitet, der hærger dansk erhvervsliv, udøves af kyniske og dybt professionelle virksomheder med afdelinger for både HR og forretningsudvikling. Og med kunstig intelligens har vi desværre kun set toppen af isbjerget, fortæller professor i cybersikkerhed og formand for NRGi Jens Myrup Pedersen, der for nylig gav bestyrelseskolleger i landets andelsejede energikoncerner et blik ind i en skummel verden.
Jens Myrup Pedersen er professor i cybersikkerhed på Aalborg Universitet og landstræner for det danske cyberlandshold, der to år i træk har været på podiet ved EM. Jens Myrup Pedersen er også bestyrelsesformand for energikoncernen NRGi med base i Aarhus. Foto: NRGi
Hvad er der på spil for virksomheder – generelt og i energibranchen?
For virksomheder generelt er der både store penge, renommé, og også i sidste ende overlevelse på spil ved at få hacket sine data. Nogle af de kendte angreb, vi har set mod fx Maersk, kunne sagtens have fået langt alvorligere konsekvenser end det milliardstore tab, som det trods alt endte med at koste, hvis det ikke havde været for mere eller mindre tilfældige omstændigheder, der begrænsede skaderne. Vi har desværre også set tilfælde, hvor eksempelvis en hostingvirksomhed simpelthen måtte kaste håndklædet i ringen og lukke helt ned, efter at have fået låst alle sine data, med store konsekvenser for kunderne.
I energibranchen er vi særligt udsatte, fordi vi driver infrastruktur, der er vital for, at samfundet kan fungere. Derfor er der også med rette forventninger til, at vi tager opgaven alvorligt.
Hvem er de cyberkriminelle?
Langt de fleste angreb mod virksomheder og enkeltpersoner udføres af kriminelle, hvis motiv er penge. Det, de færreste ved, er imidlertid, at mange af dem er professionelle ’virksomheder’, der drives fuldstændig lige som lovlydige forretninger med afdelingsledere, budgetter og MUS-samtaler. Det betyder imidlertid også, at de som regel optræder rationelt og er til at forhandle med, hvis man er så uheldig at blive ramt og fx skal generhverve vigtige data.
En anden vigtig lære er, at de organiserede cyberkriminelle hurtigt løber videre til andre mulige mål, hvis man gør sit hjemmearbejde og husker de basale regler for at beskytte sine systemer og data – herunder at installere opdateringer hurtigt. Tid er nemlig også penge for de kriminelle organisationer.
En anden vigtig lære er, at de organiserede cyberkriminelle hurtigt løber videre til andre mulige mål, hvis man gør sit hjemmearbejde og husker de basale regler for at beskytte sine systemer og data – herunder at installere opdateringer hurtigt. Tid er nemlig også penge for de kriminelle organisationer.
Det sker også, men ikke så ofte, at der er fremmede magter på spil, og her er både ressourcer og konsekvenser naturligvis nogle andre. Målet er her ofte at destabilisere samfund, og der er vi selvfølgelig ekstra udsatte i energisektoren. Vi har da også for relativt nylig oplevet et koordineret angreb mod 22 mindre forsyningsvirksomheder – et angreb der heldigvis blev opdaget og afværget af sektorens samarbejdsorganisation SektorCERT, inden der skete alvorlig skade.
Hvorfor er vi så sårbare som mennesker og som virksomheder?
Noget af det handler om vores basale psykologi som mennesker og det faktum, at vi generelt overvurderer vores egne evner og undervurderer farer og risici. For eksempel er det jo slående, at 80 procent af alle bilister mener, at de er blandt de bedste 50 procent, når det kommer til at køre bil. Jeg er ret sikker på, at den selvovervurdering også er en del af baggrunden for vores tendens til at sløse med sikkerheden med forudsigelige og genbrugte passwords etc.
For virksomheder er sårbarheden blandt andet relateret til de mange leverandører, alle virksomheder har. Hvis man kan komme ind hos en leverandør, er vejen også tit banet for at ramme store og samfundskritiske virksomheder. Det så vi blandt andet, da en lille app-udvikler i Næstved blev kompromitteret og fik alle DSB’s tog til at stå stille.
Hvorfor ser du kunstig intelligens (AI) som et stort problem fremover?
Mange angrebsforsøg starter med phishing-mails, der forsøger at lokke os til at klikke på links, der derefter enten installerer kompromitterende software i systemerne, eller lokker brugernavne og passwords ud af os. Nogle af disse forsøg er avancerede, men mange er relativt ubehjælpsomme, blandt andet fordi de er sendt ud til rigtig mange på én gang.
Kunstig intelligens er en gave til angriberne, der vil kunne lave meget troværdige individuelle henvendelser via ’deep fake’-videoer, falske stemmer og personlige oplysninger fra sociale medier. Derfor er jeg overbevist om, at vi desværre kun har set toppen af isbjerget.
Allerede nu ser vi fx ’virtuelle kidnapninger’, hvor kriminelle med falske billeder og videoer forsøger at bilde forældre ind, at de har kidnappet deres børn og unge, mens de i virkeligheder blot er i biografen eller på anden vis er midlertidigt utilgængelige.
