Tolv ryska underrättelseofficerare åtalas för att ha försökt påverka det amerikanska presidentvalet genom att ta sig in i det demokratiska partiets servrar. Ett intrång som hade kunnat, om inte förhindras, så i vart fall avsevärt försvåras med tämligen enkel, grundläggande datasäkerhet.

Jag har läst hela åtalet men inte för att i första hand ta reda pp vilka de ryska underättelseofficerarna. De är snyggt och prydligt uppradade. Jag har läst åtalet och utredningen för att ta reda på hur intrånget gick till och det är en uppslagsbok i bristande säkerhet, slarv och i att inte använda de rätt enkla och effektiva skydd som finns att tillgå. Intrånget lyckades därför att ryssarna lyckades att skicka smittade mail till volontärer och medarbetare till Hillary Clinton. Mail som preparerats för att ladda ned malware och trojaner vilka sedan användes för att stjäla kontouppgifter.

Antivirusprogram

Attacken kallas “spearfishing”. Du tar sikte på utvalda personer, skickar mail, hoppas att de öppnar dem. I det här fallet så har de smittade mailen och filer tagit sig förbi antivirusprogrammet, om det funnits något. Det i sig är inte allvarligt. Ryssarna kan ha sett till att använda malware och trojaner som antivirusprogrammen inte hittar, ännu. Det är inte anmärkningsvärt och inte klandervärt. Det är trots allt spioner med tillgång till avancerad teknik vi diskuterar här.

Tvåfaktorinloggning

Skaffa tvåfaktorinloggning på alla viktiga konton. Tvåfaktor betyder att förutom dina inloggningsuppgifter så krävs ytterligare en inloggning. Exempelvis en pinkod som skickas via SMS/meddelande. De ryska agenterna skickade över 300 mail, siktade på Hillary Clintons kampankschef John Podesta och lyckades ta över hans e-postkonto. De stal över 50 000 mail och dokument som sedan skickades vidare bland annat till Wikileaks.

De flesta tjänster, Facebook, Twitter, Reddit, Apple ID och många andra erbjuder detta enkla och effektiva kontoskydd. Hade tvåfaktorinloggning varit ett krav för att få logga in på eposttjänsten och logga in i det demokratiska partiets datorsystem så hade de ryska agenterna fått det betydligt svårare att stjäla kontouppgifter. De hade behövt komma åt exempelvis John Podestas telefon för att komma åt pinkoden, alternativt hacka det amerikanska telefonnätet. På något sätt så hade de behövt komma åt pinkoden och det är inte helt enkelt att göra.

VPN-uppkoppling

Ett krångligare skydd hade varit en VPN-tunnel in till servrarna och demokraternas system. Det är en skyddad, krypterad uppkoppling som är betydligt svårare att knäcka än en öppen uppkoppling.

Personliga brandväggar

Personliga brandväggar i datorerna som kontrollerade inkommande och utgående trafik hade också kunnat installeras men att döma av tillvägagångssättet så saknades det också.

Skyddades

Här har vi alltså drygt 300 medarbetare i en presidentkampanj, flera av den nyckelpersoner i ett arbete som kräver stora mängder kommunikation, mängder av meddelanden och enorma mängder dokument som ska lagras och skickas vidare. Jag kan köpa att ryssarna lyckades att ta sig förbi antivirusprogrammet, om det fanns något, och jag kan köpa att medarbetare och måltavlor öppnade mail som de fick.

Det jag inte för mitt liv kan förstå är varför konton inte skyddades, inte ens med något så enkelt om tvåfaktor-inloggning. Det är också uppenbart att medarbetare inte har fått någon säkerhetsgenomgång vilket gör att det finns goda skäl till att anta att det även saknas en policy, ett regelverk.