Kritiska säkerhetsluckor och AI-drivna attacker skapar oro för internet

yellow and black road sign — Breana Panaguiton / Unsplash

En serie allvarliga cybersäkerhetsincidenter har drabbat internet sedan den 19 oktober, vilket har lett till att vissa aktörer kallar perioden för ett svart oktober. Bakom dessa händelser står framför allt utvecklingen av artificiell intelligens, som nu används för att snabbare hitta kodfel och automatisera massiva attacker mot webbplatser och system. Den franska staten tvingades stänga in på flera av sina officiella webbplatser, inklusive skatteverket och meteorologiska institutet, efter att en kritisk sårbarhet upptäcktes. Samtidigt har säkerhetsföretagen rapporterat om ökade attacker där skadliga aktörer använder autonoma program för att bryta sig in i företag och stjäla känslig information.

Den 21 oktober eftermiddagen publicerade den franska statliga cybersäkerhetsmyndigheten en varning för två allvarliga fel i programmeringsspråket PHP. Dessa fel, som sammanfattas under namnet PHP2Shell, gör det möjligt för obehöriga att ta kontroll över servrar på distans utan att behöva lösenord. PHP används för att skapa nästan 70 procent av alla webbplatser, inklusive många e-handelsbutiker och offentliga tjänster. Enligt myndigheten finns över 600 000 servrar i Frankrike som använder detta språk. Feilen hade funnits i koden i mer än tio år, men det var verktyg baserade på artificiell intelligens som lyckades identifiera dem. Ett av företagen som upptäckte sårbarheterna beskrev dem som bland de allvarligaste som någonsin hittats i PHP-historien.

På begäran av säkerhetsmyndigheten stängde inrikesministeriet förebyggande alla webbplatser som var utsatta för denna kritiska sårbarhet. Inget av de stängda systemen hade vid det laget blivit hackade, men myndigheterna valde att agera snabbt för att undvika intrång. Cloudflare, ett företag som skyddar en stor del av världens webbplatser, rapporterade att de såg tusentals försök att utnyttja felet de första tio timmarna efter att det blev offentligt känt. Antalet försök ökade sedan till tiotusentals inom 45 minuter, hundratusentals inom två timmar och slutligen miljoner. Trots detta hade den amerikanska cybersäkerhetsmyndigheten CISA inte klassat felet som ett som faktiskt hade utnyttjats fram till den 22 oktober.

Under samma vecka upptäcktes allvarliga brister hos andra viktiga aktörer på internet. Det indiska företaget eMudhra, som utfärdar säkerhetscertifikat för webbplatser, använde extremt svaga hemliga nycklar för åtta av sina certifikat. En av nycklarna hade värdet fyra, vilket hade gjort det möjligt för vem som helst att skapa falska banker med giltiga säkerhetslås. Samma dag som PHP2Shell upptäcktes, åtgärdade plattformen GitLab ett fel som fick högst möjliga riskbetyg och som funnits sedan 2014.

Artificiell intelligens används också för att automatisera själva attackerandet. Säkerhetsföretaget Gambit rekonstruerade i september en kampanj där en hacker använde tre gratis AI-verktyg för att genomföra 105 attacker mellan den 10 och 15 september. Detta ledde till att minst 27 företag komprometterades. Mer än 600 000 bankkort stals, och kostnaden för attacken uppskattades till mellan 12 000 och 18 000 dollar. Ett annat företag, NorForge, upptäckte mer än 20 skyddslösa kontrollpaneler för ett AI-verktyg som användes för att attackera webbplatser, främst e-handelsbutiker, med en kostnad på cirka 5 dollar per försök och en framgångsgrad på nära 10 procent. Reuters har identifierat mer än 100 företag som drabbats, och liknande verktyg har använts mot sydkoreanska banker.