Forsker: Vi har kun set begyndelsen på NemID-phishing
Flere end 3,3 millioner danskere har NemID. Med deres papkort ved hånden har de mulighed for at logge på mere end 225 websites og 110 netbanker. Og antallet af sites, der bruger NemID som loginmekanisme, ventes at stige i takt med, at Nets DanID får solgt løsningen til stadig flere virksomheder og websites.
Det har længe været set om en styrke i den danske digitaliseringsstrategi, at den offentlige og private sektor har kunnet samles om en fælles login-mekanisme. Men efter det første vellykkede phishingangreb, hvor otte Nordea-kunder fik franarret NemID-koder og stjålet penge i netbanken, viser det sig, at der bestemt også er ulemper ved at samle alle æg i én kurv.
For når danskerne er blevet vænnet til at bruge NemID på alt lige fra a-kassen 3F over datingsitet hot.dk til feriekonto.dk, så bliver det fremover langt lettere for it-kriminelle at lægge falske NemID-logins på en lang række websteder, hvor brugeren ikke er lige så agtpågivende over for fup og svindel, som når han logger på sin netbank. Og med NemID-oplysninger høstet fra et typosquattet website som for eksempel dating.dk kan de kriminelle let logge sig på brugerens netbank og lænse kontoen.
Klik på den interaktive grafik og se, hvordan den kriminelle fik fat i bankkundens informationer og nøglen fra NemID.
Mens brugerens agtpågivenhed falder i takt med udbredelsen af NemID, stiger interessen fra hackerne.
»Det [udbredelsen af NemID til mange sites, red.] betyder, at risikoen for misbrug stiger. Vi så det samme med Windows Live og med Googles single sign-on-løsning« siger it-sikkerhedsforsker Joe Kiniry fra IT-Universitetet til Version2.
Han peger på, at problematikken bestemt ikke er ny:
»Der findes rigtig mange naive mennesker derude på nettet. Og egentlig er problemet jo lidt det samme, som når vi ser, at folk i årevis har brugt det samme, dårlige password i netbanken som på alle andre sites. Nu er der så bare et papkort ind imellem,« siger Joe Kiniry til Version2.
Hvad vil være de langsigtede konsekvenser af, at phishing bliver stadig lettere i takt med, at NemID udbredes?
»Pessimisten i mig siger, at der ikke kommer nogen konsekvenser. Når det er regeringen og de store banker, der står bag, må vi gå ud fra, at sikkerhedsniveauet er en økonomisk afvejning. Så de accepterer risikoen helt bevidst,« siger Joe Kiniry.
Formanden for Råd for IT- og Persondatasikkerhed, Ingrid Colding-Jørgensen, ser den nye phishing-bølge af folks NemID som et stort problem, om end det ikke er nyt:
»Det er jo ikke NemID som sådan, der er usikker, men folk der prøver at snyde. Og min klare holdning er, at sådan er det bare. Det er en kæmpe risiko,« siger Ingrid Colding-Jørgensen til Version2.
Men er hele konceptet så ikke fejldesignet?
»Det mener jeg ikke. Det er op til folk selv, om de vil anvende NemID som logon til golfklubben.«
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
