Logga in på Dagens Nyheter

Här kan du som DN-kund logga in för obegränsad läsning av DN.se, e-DN och DN.Prio.

Med ett gratiskonto kan du följa skribenter och ämnen samt bokmärka artiklar.

Sverige

Skrivare och webbkameror lätta att ta över

Efter avslöjandet i går om säkerhetsluckor i modem inleder Post- och telestyrelsen ett tillsynsärende mot Bredbandsbolaget.

DN kan nu visa att många svenskars skrivare, webb­kameror och backup-hårddiskar är exponerade mot internet. ­Därmed är de åtkomliga för vem som helst.

Vi köpte en av de mest sålda multiskrivarna i Sverige och ­kopplade in den i en lägenhet. Tre mil därifrån kunde vi sedan styra skrivaren och se vad som låg på skannern.

DN har systematiskt sökt genom alla ip-adresser i Sverige, alltså ­datorernas egna telefonnummer.

Körningen visar att en stor mängd enheter i svenska hem och hos företag är exponerade mot internet – och därmed åtkomliga för vem som helst.

DN har till exempel hittat 756 stycken HP Photosmart, en av de mest sålda multiskrivarna i Sverige. Med skrivaren går det även att skanna och i vissa fall även att faxa.

En säkerhetsbrist gör att en HP Photosmart-skrivare i vissa fall kan bli nåbar på internet – enbart genom att skriva in maskinens ip-adress i en vanlig webbläsare. Enheterna har inget lösenordsskydd som standard. Till exempel går det att se vad som ligger på skannerbädden.

DN köpte en egen HP Photosmart-skrivare, modell 5520, på Siba. Vi kopplade in den i en lägenhet och lade en semesterbild på skannerbädden. Sedan åkte vi till ett köpcentrum, tre mil därifrån. Med en helt vanlig dator kunde vi se semesterbilden som låg på skannern. Vi behövde inte ens ange lösenord.

Enligt Leif Nixon, säkerhetskoordinator på Nationellt superdatorcentrum vid Linköpings universitet, är exemplet med HP Photosmart sannolikt toppen på ett isberg.

– Det är ett svårt problem att lösa när det har gått så här långt. Det finns ingen aktör som har till uppgift att försöka lösa detta. Det finns ingen statlig myndighet som gör det och bredbandsoperatörerna bryr sig inte, säger Leif Nixon.

Att få kontroll över en skrivares kontrollpanel skulle kunna innebära att en hackare får tillgång till känsliga uppgifter, exempelvis handlingar som glömts på skannerbädden.

För att skrivaren ska hamna ­öppet på internet krävs att enheten får en så kallad extern ip-adress, ­vilket är standard i en del bredbandsabonnemang. DN har sökt HP för en intervju. Företaget svarar i en skriftlig kommentar att ”kundernas säkerhet är väldigt viktig” och att alla användare bör ”följa rekommenderade säkerhetsåtgärder för att skrivarna inte ska vara exponerade på internet”.

Allt fler prylar i hemmen är uppkopplade mot internet – till exempel webbkameror, telefoner, smarta tv-apparater, inbrottslarm och belysning. Numera finns det till och med vissa kylskåp med trådlös internetanslutning.

Det finns så klart vissa fördelar med att ha sina enheter uppkopplade, till exempel att det kan vara smidigt att nå kontrollpanelen till inbrottslarmet utifrån. Men det finns samtidigt många nackdelar ur ett IT-säkerhetsperspektiv. Tidigare i år uppmärksammades det att en amerikansk familjs babymonitor hade hackats. Mitt i natten väcktes föräldrarna av en mansröst som skrek på bebisen. Det visade sig att en okänd person hade gjort intrång i familjens nätverk – och att hackaren till och med hade tittat på bebisen genom babymonitorns kamera.

DN:s granskning bygger enbart på stickprov på olika intressanta enheter. Därför är mörkertalet sannolikt mycket stort.

Prylarna behöver heller nödvändigtvis inte vara exponerade mot internet och ha en egen extern ­ip-adress för att kunna bli hackade. När de aktuella enheterna kopplas in i en bostad blir de exponerade inom det egna nätverket. Om en hackare lyckas komma in i nätverket – till exempel genom att angripa modemet – blir antalet sårbara mål betydligt fler. Då handlar det sannolikt om flera miljoner skrivare och andra enheter i Sverige som går att hacka och utnyttja.

DN:s genomgång visar att minst 248 webbkameror och övervakningskameror i Sverige är exponerade mot internet. Vi har rensat bort de ”officiella” webbkameror som ligger öppet på vissa hemsidor – till exempel livebilder från golf­banor och skidbackar.

Av juridiska skäl har vi inte tittat på kamerabilderna, men en sökning på ip-adresserna indikerar att kamerorna är placerade på exempelvis solarier, butiker, kontor och hemma hos privatpersoner. Precis som i fallet med skrivarna är de nåbara genom en vanlig webbläsare.

Uppskattningsvis 80 procent av enheterna saknar lösenordsskydd eller använder sig av produktens standardlösenord, som ”admin” eller ”1234”. Vår kartläggning är gjord på laglig väg genom att studera enheternas bruksanvisningar och samtidigt titta på hur hemsidornas sidhuvud reagerar på olika värden.

DN har även hittat minst 2 490 backup-hårddiskar som är exponerade mot internet. Dessa finns framför allt hemma hos privatpersoner. Det handlar om så kallade lagrings­servrar av märket Synology. Systemen är skyddade med användarnamn och lösenord, men har flera kända säkerhetshål.

– Problemet är att det dyker upp säkerhetshål i sådana här enheter, precis som de dyker upp i vanliga datorer. Även sådana här enheter behöver säkerhetsuppdateras men det gör folk oftast inte. Även om det är lösenordsskyddat kan det gå att komma in ändå, säger Leif Nixon.

Så gjordes granskningen

DN har skannat genom alla ip-adresser som finns i Sverige. Vi har tittat på om dessa svarar på två så kallade portar – port 80 (webbservrar) och port 443 (webbservrar med krypterad anslutning).

På dessa servrar finns både vanliga hemsidor (till exempel dn.se och skatteverket.se), men även servrar på enheter i vanliga hem och hos företag.

Vi har studerat vad som finns på servrarna och gjort sökningar efter olika intressanta enheter. Vi har hämtat hem data om ip-adresserna vid fyra tillfällen.

Mörkertalet är mycket stort. DN har hittat 756 stycken skrivare av märket HP Photosmart. Går man in på hemsidan http://[SKRIVARENS IP-NUMMER] kommer man in på skrivarens kontrollpanel och kan bland annat se vad som finns på skannerbädden. Säkerhetsbristen uppstår eftersom Photosmart-skrivarna inte har något lösenordsskydd som standard.

Vi har även hittat minst 248 olika webbkameror och övervakningskameror och minst 2 490 lagringsservrar som oftast används som backup-hårddiskar.

Om artikelserien

Granskningen

I serien ”Det sårbara digitala samhället” granskar DN bristande IT-säkerhet hos företag och myndigheter.

Internet får allt större betydelse i samhället och i hemmet. Samtidigt flyttar brottsligheten ut på internet – och cyberkrigsföring från andra stater blir allt vanligare.

Reportern bakom granskningen

Kristoffer Örstadius är reporter på DN och programmerare. Han fick i våras journalistpriset Guldspaden för sin granskning av krisen i den svenska skolan.