Därför är mobila enheter extra utsatta för cyberattacker

– Om man tittar på hur många användare som har någon form av malwareskydd eller antivirusskydd på sin bärbara dator så är det merparten. Hur många har det på sina mobiltelefoner? Det är är klart mer marginellt och det måste man ta i beaktning när man ser över sina cybersäkerhetsrisker, säger Mats Ekdahl, som är it-säkerhetsexpert på Check Point.

En rapport från Check Points databas över cyberattacker visar att svenska företag och organisationer utsätts för i genomsnitt 1000 attackförsök per vecka. Företag i kategorin kommunikation och telekom är dessutom extra utsatta.

Oftast inte specifikt inriktade mot mobila enheter

Den i särklass vanligaste attackmetoden just nu är phishing, som står för 80 procent av försöken. Phishing utförs genom att angriparen skickar e-post som utger sig för att komma från en pålitlig källa. Mottagaren kan då luras att klicka sig vidare via en länk som kan installera skadlig mjukvara eller som kräver att användaren lämnar ifrån sig känsliga uppgifter. Här är enligt Mats Ekdahl attackerna oftast inte specifikt inriktade mot mobila enheter, men risken att låta sig luras är större eftersom det är svårare att validera avsändaren på en mobil enhet med dess mindre skärm som inte visar lika mycket information.

– Om jag skickar e-post till dig och du öppnar meddelandet på din dator i någon mail-applikation så är det mer innehåll som kommer upp visuellt än om du öppnar det på din telefon. Så för användaren är det svårare att göra en riskbedömning på en mobilplattform.

Jämfört med övriga Europa så är attacker som involverar mobila enheter vanligare i Sverige. Förklaringen är troligtvis att vi har en högre mognadsgrad när det gäller den kategorin av enheter och mobila tjänster.

Det är också vanligt förekommande med smishing (sms phishing), där avsändaren skickar sms-meddelanden som ser ut att komma från exempelvis ett stort företag. Smishing är en typ av attack som främst riktar in sig mot mobila enheter och även här är risken att drabbas stor eftersom det är svårt att säkerställa avsändarens identitet direkt i den mobila enheten.

Mats Ekdahl varnar också för vishing, det vill säga voice phishing, där ai-klonade röster börjar bli ett allt större problem. Här försöker Check Point, liksom många andra it-säkerhetsbolag, dra nytta av ai-tekniken för att motverka angriparnas nya metoder, eftersom det i stort sett är omöjligt även för en tränad person att identifiera en ai-klonad röst.

– Voice phishing har funnits ett tag men nu blir det ännu mer läskigt. Om jag känner igen rösten får jag genast förtroende för personen och då kanske jag avslöjar saker som jag annars inte skulle ha avslöjat, förklarar Mats Ekdahl.

Även om säkerhetslösningarna blir allt bättre på att upptäcka och motverka attacker så är det enligt Mats Ekdahl viktigt att alla som använder it-verktyg måste upprätthålla en generell cybersäkerhetshygien och vara vaksamma på om man får frågor som upplevs som misstänkta.

– Alla måste göra en egen analys om någon frågor efter ditt personnummer och det inte känns rimligt, eller om du får ett e-postmeddelande som ser ut att komma från din chef men som innehåller en märklig förfrågan.

Mats Ekdahl förklarar att enbart tekniken inte kan motverka alla cyberhot, eftersom systemen i sådana fall inte skulle bli användbara i praktiken.

”Användarna måste vara med på noterna”

– Det gäller att hitta balansen mellan användarvänlighet och de tekniska hjälpmedlen och användarna är oerhört viktiga i det sammanhanget. Som cybersäkerhetsbolag levererar vi system som hjälper användarna att minimera risker, men skyddet är inte hundraprocentigt om inte användarna själva är med på noterna.

Utbildning och testkampanjer är avgörande om man vill bygga en organisation som står emot de senaste cyberhoten, men här tycker Mats Ekdahl att det finns en hel del kvar att göra.

– Det finns många som genomför regelbunden utbildning av sina anställda och använder sig av testkampanjer för att hålla koll på mognadsgraden hos användarna, men det är långtifrån alla som gör det och det här är något som vi måste påminna om kontinuerligt.

Idag kan i stort sett alla typer av mobila enheter bli måltavlor för en cyberattack, men risken är något större om man använder sig av en mer öppen plattform. Medan IOS är låst till en tillverkare finns Android i olika varianter, vilket teoretiskt gör att riskerna är något större att drabbas av ett intrång.

Ett större problem är dock, enligt Mats Ekdahl, att mobila enheter inte är lika högt prioriterade när det gäller att skydda dem med något slags säkerhetsplattform.

– En stor organisation med en hyfsad cyberhygien har bärbara datorer som är låsta och kontrollerade innan de levereras till användarna, men när det gäller mobiltelefoner är andelen betydligt mindre. Med tanke på att mobiltelefonen används precis lika mycket så är det olyckligt.

Kan validera vem som är avsändaren

En tjänst för skydd av mobila enheter kan exempelvis innehålla funktioner för att blockera nedladdning av sårbara applikationer. Check Points egen tjänst innehåller dessutom en funktion för att validera vem som är avsändaren till ett sms, så att man inte utsätts för phishing. Ytterligare en funktion kan säkerställa att användaren endast kopplar upp sig mot validerade och krypterade wifi-nät.

Vilka är då säkerhetsexpertens bästa tips till de it-chefer som vill säkra företagets mobila enheter?

– För det första måste man ställa sig frågan om man har rätt system för att ha en bra visibilitet över säkerheten på mobiltelefonerna. När det gäller nätverken eller företagets datorer brukar man ha ett tydligt svar på den frågan, men för många är det fortfarande en utmaning när det gäller mobiltelefoner.

Enligt Mats Ekdahl bör det finnas ett mobilskydd på företagstelefoner som hjälper användarna och förhindrar att skadliga applikationer kan laddas ner. Sårbara operativsystem måste uppdateras innan användare får full tillgång till företagets applikationer och det måste även finnas skydd mot skadliga länkar och phishing-sidor. Samtidigt måste osäkra wifi-nätverk automatiskt blockeras så att användare inte av misstag läcker känslig information.

Sist men inte minst nämner han hur viktigt det är med utbildning och regelbundna cybersäkerhetskontroller. På samma sätt som man på företag genomför brandövningar ska man testa hur motståndskraftig organisationen är mot cyberhot.