Lækkede dokumenter og mails fra det italienske softwarefirma Hacking Team har afsløret, at firmaet i al hemmelighed har udnyttet en række hidtil ukendte såkaldte zero day-sårbarheder.
Hacking Team sælger overvågningssoftware til politi og efterretningstjenester over hele verden, som altså aktivt kan bruge it-sårbarheder til spionage og overvågning af såvel lovlydige og knap så lovlydige borgere og virksomheder.
En af de sårbarheder, som Hacking Teams kunder har kunnet udnytte findes i Adobe Flash, og og har i løbet af denne uge fået Adobe til at udsende et patch, der kan lukke sikkerhedshullet.
Ligesom når andre sårbarheder opdages og patches, er det dog fortsat op til brugerne selv at sørge for at opdatering.
Efter data-lækagen har Hacking Team ifølge Berlingske Tidende givet sine kunder besked på at indstille brugen af firmaets system.
It-kriminelle kan nemlig bruge informationerne fra datalækket til at tjekke, om de er i myndighedernes søgelys.
Men lækagen betyder også, at it-kriminelle nu kan bruge de hidtil hemmeligholdte sårbarheder til at bryde ind i computere og it-systemer hos både private brugere og virksomheder. Det fortæller Peter Schjøtt, der er sikkerhedsekspert hos Symantec, til Computerworld.
Myndigheder vil også hacke
Han peger samtidig på det problematiske i, at et privat firma sammen med myndigheder i hemmelighed udnytter sikkerhedshuller i software uden at informere bredt om sagen.
"Hacking Team er bare en virksomhed, der har specialiseret sig i at udvikle software, der kan udnytte sårbarheder. Det skaber et paradoks. Vi vil gerne beskytte virksomheder og private mod industrispionage og fremmede magters overvågning. Men på den anden side vil myndighederne gerne kunne udnytte sårbarhederne, når de selv skal overvåge hackere eller kriminelle," siger Peter Schjøtt.
"Logikken er åbenbart, at når bare vi ikke selv bliver ramt af overvågning og angreb, så er det ok, at vi selv gør det. Som dansk politimyndighed vil du gerne have, at brugeren har sårbarheder, så man kan overvåge ham. Men hvis det er nogle kinesiske eller russiske efterretningstjenester, så vil vi gerne have, at sårbarhederne er lukket," siger han.
Peter Schjøtt så gerne, at myndighederne generelt gjorde sig større anstrengelser for at varsle offentligheden om sikkerhedstrusler mod it-systemer i stedet for at udnytte sårbarheder til selv at spionere.
"Hvis man kender til sårbarheder, som man ikke fortæller om, åbner man en ladeport for industrispionage. Jeg så gerne, at der kom mere vægt på at beskytte borgere og virksomheder frem for et fokus på, hvilke muligheder man har for selv at overvåge andre," siger Peter Schjøtt, som godt kunne ønske sig, at myndighederne advarede om it-sårbarheder på samme måde som man i dag advarer mod uvejr, stormflod eller giftig røg fra brændende fabrikker.
"Vi flytter store dele af vores produktionsmiljøer og kritiske infrastruktur over i it-systemer . Det gør os mere sårbare, så vi mangler et fornuftigt gennemgående organ, vi som borgere og virksomheder kan forholde os til," siger han.
Dansk politi er også med
Lækagen fra det Hacking Team har blandt andet afsløret, at dansk politi er blandt firmaets kunder. Tidligere på ugen kunne dagbladet Information fortælle, at Rigspolitiet har indgået kontrakt med italienerne om køb af overvågningssystemet.
En kontrakt er underskrevet, men systemet er endnu ikke leveret. Blandt firmaets andre kunder finder man også politimyndigheder fra Thailand, Tyrkiet og Spanien til Saudi Arabien, USA og Rusland.
Systemet kan ifølge avisen bruges til at give politiet adgang til blandt andet mails, sms'er og kalenderoplysninger, ligesom man kan kigge og lytte med på brugerens webcam og mikrofon.
Læs også:
