Debatten om hackare i efterdyningarna av det amerikanska valet har knappt kunnat undgå någon. Enligt amerikanska myndigheter har Ryssland försökt påverka det amerikanska valresultatet, bland annat genom att hacka det demokratiska partiet (DNC) och läsa mejlen till Hillary Clintons kampanjordförande John Podesta.
Men efter valet har det svenska bolaget Recorded Future, som arbetar med analys av digitala säkerhetshot, fått fram ny information som kastar nytt ljus på situationen.
Bolaget upptäckte strax efter valet att den amerikanska valmyndigheten US Election Assistance Commission (EAC) blivit hackad, något som tidigare rapporterats i amerikanska medier. Myndigheten har bland annat som uppgift att se till att alla elektroniska röstningsmaskiner i de olika delstaterna fungerar.
Då kontaktade vi amerikanska polismyndigheter
För den som inte känner till Recorded Future (NTL) är det ett mytomspunnet Göteborgsbolag som bland annat tagit in riskkapital från In-Q-Tel, som är den amerikanska underrättelsetjänsten CIA:s riskkapitalbolag, och Googles investeringsbolag GV.
Läs mer: Recorded Future ska lära Facebook att förutspå framtiden
Recorded Futures system söker automatiskt igenom internet för att upptäcka cyberhot. Allt från det öppna internet och sociala medier till hackarforum på dark och deep web (det vill säga hemsidor inte indexeras av sökmotorer eller är anonyma och otillgängliga för vanliga surfare) skannas efter information som sedan sammanställs och bearbetas.
”Då upptäckte vi att en rysktalande hackare sålde lösenord till den här amerikanska valmyndighetens system”, säger Staffan Truvé, CTO på Recorded Future.
En anställd på Recorded Future poserade som potentiell köpare av lösenorden och tog kontakt med hackaren på forumet för att få fram fler detaljer. Det visade sig att hackaren hade runt 100 lösenord och användarna hade varierande behörighet i den amerikanska myndighetens system, alltifrån elementär till omfattande.
”Då kontaktade vi amerikanska polismyndigheter och så har de fått utreda saken vidare”, säger Staffan Truvé.
Vad hade man kunnat göra om man hade haft tillgång till de här lösenorden under valet?
”Vi har givetvis inte använt dem eller varit inne i den här myndighetens system. Det man kan säga är att EAC exempelvis ska ha koll på brister i delstaternas olika elektroniska röstsystem. Om EAC visste om sådana brister, då hade man troligtvis kunnat få information om det genom att vara inne i deras system.”
När en hackare har tagit sig in i en myndighets system kan hen sedan utnyttja myndighetens e-postadresser för att utföra phising-attacker.
”En hackare kan då skicka mejl med skadlig kod från en e-postadress på en myndighet. Då ser de skadliga mejlen väldigt trovärdiga ut vilket ökar sannolikheten för att till exempel bilagor i ett mejl öppnas, där ofta skadlig kod finns.”
Skulle man ha kunnat påverka valresultatet med hjälp av de här lösenorden?
”Nej, det skulle jag inte vilja påstå. Vissa steg i inrapporteringen är manuell och de här elektroniska valterminalerna är lyckligtvis inte uppkopplade mot nätet.”
Läs mer: Tech-lobbyisten: Clinton-kampanjen dödsdömd från start
Staffan Truvé tror inte att en stat ligger bakom stölden av lösenorden utan beskriver hackaren som en kriminell person som velat tjäna pengar.
”Han har använt sig av förhållandevis enkla metoder. Om det hade varit en stat som låg bakom det här så har de tillgång till en betydligt mer sofistikerad verktygslåda.”
”Men det som är oroande är att om en inte särskilt sofistikerad hackare kan ta sig in i de här systemen, då inser man hur otroligt enkelt det vore för en större aktör med mer resurser.”
Efter att det stod klart att Donald Trump tagit hem segern i det amerikanska presidentvalet klagade flera på de långa köerna till röstlokaler. Spotifys vd Daniel Ek frågade sig i en uppdatering på Facebook varför det inte är lättare att rösta via internet i ett så pass teknikfokuserat land som USA.
Staffan Truvé är av motsatt uppfattning.
”Min personliga uppfattning är att jag tycker det är jäkligt bra att vi inte har ett internetbaserat valsystem. Det kan vi inte ha innan vi har hittat bättre sätt att säkra upp det, och där är vi inte än. Folk frågar sig varför vi inte kan ha ett internetbaserat valsystem när vi har mobilt bank-id till exempel, men så enkelt är det inte”, säger han.
Han pekar på två problem med ett sådant system.
”Det ena problemet är att ingen ska kunna manipulera valresultatet. Det andra problemet är att man ska säkra upp så ingen kan avslöja vad man röstat på. Det är inte helt lätt”, säger Staffan Truvé.
Läs mer: Det svenska CIA-bolaget från insidan
NTL-länken i texten går till Nordic Tech List, en databas med investerarna och bolagen på den nordiska startupscenen.
