Bli saker-podden

Molnbaserade AI-chattbotar används för att diskutera många typer av frågor, inklusive frågor om känsliga ämnen. Detta är ChatGPT:s ägare OpenAI väl medvetna om. I mitten av november publicerade OpenAI ett blogginlägg där de skrev att det nu är över 800 miljoner människor som använder ChatGPT varje vecka. Enligt blogginlägget för användarna känsliga samtal med ChatGPT, och de delar allt från minnen och filer till inloggningsuppgifter och betalningsinformation. På grund av en pågående rättstvist försöker New York Times tvinga OpenAI att lämna ut 20 miljoner privata chattsamtal. Eftersom OpenAI har designat molntjänsten utan totalsträckskryptering har OpenAI åtkomst till chattarna och kan därmed tvingas lämna ut dem. ChatGPT är inte den enda chattboten som har hamnat i blåsväder under de senaste veckorna. Förra veckan avslöjade Crowdstrike att den kinesiska modellen Deepseek-R1 genererade programmeringskod som, med högre sannolikhet, innehöll sårbarheter om användaren nämnde ämnen som är politiskt känsliga för kinesiska kommunistpartiet. Faktumet att Deepseeks molntjänst är hårt censurerad är ingen nyhet (lyssna på avsnitt 286 av Bli säker-podden), men Crowdstrikes avslöjande gällde inte molntjänsten utan själva modellen. Crowdstrike körde modellen i egen regi och kunde därmed påvisa att det är modellen i sig som är problematisk. I veckans podd pratar Peter och Nikka om dessa orosmoln som nu har visat sig vara befogade att ta på allvar. Podduon bekymrar sig också över ett nytt orosmoln som Microsoft har skapat: Windows-chefen har precis twittrat att Windows ska bli ett AI-agentbaserat operativsystem. Se fullständiga shownotes på https://go.nikkasystems.com/podd328.

Angripare behöver inte besitta någon större teknisk kompetens för att utföra sofistikerade nätfiskeattacker. Kriminella aktörer säljer färdiga nätfiskeverktyg som angriparna kan utnyttja för att försöka stjäla inloggningsuppgifter. Under hösten har det rapporterats om hur två kommersiella nätfiskeverktyg har lagt till stöd för så kallade browser-in-the-browser-attacker. Det är en attacktyp där en webbsida skapar en ruta som ser ut som ett riktigt webbläsarfönster. I själva verket är rutan bara grafik som visas ovanpå resten av webbsidans innehåll. Eftersom den falska rutan inte är något äkta webbläsarfönster kan angriparna anpassa allt som visas däri, inklusive domänen i rutans falska adressfält. Den här typen av attack går att avslöja genom att försöka dra det falska webbläsarfönstret ut från webbsidan som det visas ovanpå. Om webbläsarfönstret är falskt är det omöjligt. Genom att använda en lösenordshanterare minimeras risken för att falla offer. En lösenordshanterare föreslår bara inloggningsuppgifter som är kopplade till domänen för webbsidan som visas. Eftersom det falska webbläsarfönstret är en del av en aldrig tidigare besökt webbsida har lösenordshanteraren inga sparade inloggningsuppgifter att föreslå. Microsoft har också noterat att de så kallade Clickfix-attackerna blir alltmer sofistikerade. Angripare har bland annat börjat dra nytta av webbsidor som visar falska blåskärmar. Webbsidorna efterliknar de blå Windows Update-skärmarna och öppnas i helskärmsläge. För ovana datoranvändare är det svårt att se skillnad på en riktig Windows Update-skärm och en webbsida som simulerar en sådan men i själva verket instruerar användaren att infektera sin egen dator. I veckans podd pratar Peter och Nikka om de innovativa webbläsarattackerna och vad användare bör göra för att inte falla offer. Podduon pratar också om vad som orsakade tisdagens stora internetproblem. Nikka går även igenom Nordpass lista över Sveriges vanligaste lösenord och konstaterar att listan är helt orimlig. Se fullständiga shownotes på https://go.nikkasystems.com/podd327.

Förra veckan släppte nyhetsbyrån Reuters ett stort avslöjande. Reuters hade fått tag i interna dokument från Meta. Dessa dokument bekräftade farhågorna som länge funnits kring alla bluffannonser som förpestar Metas sociala medier. Reuters konstaterade att Meta inte bara är medvetna om problemet. Meta väljer att låta det fortgå eftersom intäkterna är större än de sannolika sanktionsavgifterna. Enligt Metas interna dokument kommer omkring tio procent av Metas totala årliga omsättning från annonser för bedrägerier och förbjudna varor. Det rör sig om över hundra miljarder svenska kronor. Metas presstalesperson Andy Stone svarade Reuters att siffran var överinkluderande men ville inte uppge någon annan siffra. I veckans poddavsnitt blickar Peter och Nikka tillbaka på några av de många bedrägliga annonskampanjer som podden har uppmärksammat genom åren. Med Reuters avslöjande i åtanke är Metas agerande mer förståeligt. Faktumet att redan ertappade bedragare får fortsätta publicera nya bluffannonser har sin naturliga förklaring. I stället för att spärra misstänkta annonsörer höjer Meta annonspriserna. Se fullständiga shownotes på https://go.nikkasystems.com/podd326.

Under 2010-talet började ett av internets största säkerhetsproblem nå sin lösning. Fram till mitten av 2010-talet var det mindre än hälften av världens webbsidesbesök som gjordes över säkra anslutningar (HTTPS). Det innebar att angripare på publika wifi-nätverk kunde se vad användarna gjorde på nätet. Angriparna kunde till och med ändra i innehållet på webbsidorna som användarna besökte. Värst av allt var att kakorna som höll användarna inloggade ofta skickades i klartext över samma osäkra anslutningar. Genom att avlyssna trafiken och kopiera dessa kakor kunde angripare inte bara se vad användarna gjorde på nätet. Angriparna kunde ta över användarnas konton. Detta var ett av huvudskälen till att alla som anslöt till publika wifi-nätverk behövde en VPN-tjänst för att hålla trafiken säker. År 2025 är problemet nästan löst. Alla stora webbplatser stödjer säkra anslutningar och våra webbläsare uppgraderar automatiskt osäkra anslutningar (HTTP) till säkra anslutningar (HTTPS). De enda problemen som kvarstår är en liten skara webbplatser som slarvar med säkerheten samt risken för så kallade degraderingsattacker (angripare som lurar webbläsare att webbplatser inte stödjer säkra anslutningar). För att råda bukt på de sista problemen har Google precis meddelat att de tänker aktivera ”Endast HTTPS-läget” som standard för alla Chrome-användare. Ändringen träder i kraft om ett år i oktober 2026. I veckans podd pratar Peter och Nikka om hur anslutningssäkerheten på nätet har förbättrats under de senaste 15 åren. Podduon pratar också om ”djupt provocerande” reklam för säkerhetskopiering och om vad som händer med massövervakningsförslaget Chat Control 2.0 nu när kravet på bakdörrar i totalsträckskrypterade meddelandeappar ser ut att strykas. Se fullständiga shownotes på https://go.nikkasystems.com/podd325.

Under veckan har det rapporterats frekvent om en ny stor lösenordsläcka. Mejladresser och lösenord till 183 miljoner konton påstås ha läckt ut. Brittiska Independent publicerade en brådskande varning till alla Gmail-användare med anledning av läckan. I själva verket handlade nyheten, som vanligt, om en ny paketering av tidigare stulna inloggningsuppgifter. Säkerhetsföretaget Synthient hade sammanställt dataläckor som florerade i den undre världen och överlämnat samlingen till världens de facto nav för lösenordsläckor, ”Have I Been Pwned”. Dessa inloggningsuppgifter berörde inte enbart Gmail-konton, och det var inte ens Google som hade läckt dem. Inloggningsuppgifterna hade stulits av spionprogram på användarnas datorer. Även om rubrikerna var överdrivna var samlingen av läckta lösenord anmärkningsvärd. Bland de läckta inloggningsuppgifterna fanns nämligen lösenord till över 16 miljoner tidigare okända mejladresser. Dessa mejladresser hade aldrig synts till i någon tidigare läcka som kommit ”Have I Been Pwned” tillkänna. I veckans podd pratar Peter och Nikka om vad lösenordssamlingen innebär för de berörda användarna. Podduon förklarar varför dessa ständigt återkommande lösenordsläckor visar på vikten av att gå över till nyckelinloggning snarast möjligt. Peter och Nikka följer också upp förra veckans diskussion om webbläsaren ChatGPT Atlas, summerar attacken mot Svenska kraftnät och berättar vad som egentligen hände i onsdags när många webbplatser blev oåtkomliga… igen. Se fullständiga shownotes på https://go.nikkasystems.com/podd324.

OpenAI har lanserat en ny webbläsare vid namn ”ChatGPT Atlas”. Webbläsaren har en inbyggd AI-agent. Till skillnad från traditionella chattbotar kan AI-agenten göra mer än att bara generera, översätta och summera texter. Den kan också utföra åtgärder på uppdrag av användaren. AI-agenten kan till exempel leta upp det bästa priset på en produkt och klicka sig igenom hela köpprocessen, från start till slut. Ny teknik medför samtidigt nya risker. OpenAI varnar själva för att AI-agenten kan vara sårbar för så kallade promptinjektionsattacker. Det är attacker där angripare lurar AI-agenten att ignorera de ursprungliga instruktionerna och i stället göra något helt annat. I värsta fall kan det leda till att AI-agenten stjäl information eller kapar användarens konton. I veckans podd pratar Peter och Nikka om promptinjektionsattacker. Attacktypen har redan visat sig vara möjlig att utföra mot andra AI-agenter, och OpenAI:s säkerhetschef erkänner öppet att promptinjektioner är ett hittills olöst säkerhetsproblem. Peters och Nikkas rekommendation blir därför, föga förvånande, att inte använda Atlas AI-agent i skarpt läge än. Nikka lyfter också problematiken kring en annan funktion som Atlas erbjuder: webbläsarminnen. Funktionen gör att webbläsarens chattbot minns vad användaren har gjort i webbläsaren, så att chattboten kan ge smartare förslag. Enligt Atlas konfigurationsguide är webbläsarminnena privata, men OpenAI:s supportdokumentation avslöjar att webbinnehållet skickas till OpenAI:s servrar. Se fullständiga shownotes på https://go.nikkasystems.com/podd323.

Runt omkring i världen införs krav på åldersverifiering på nätet. Storbritannien gick i bräschen och införde sådana krav innan det ens fanns lämpliga lösningar. Resultatet blev att många britter behövde verifiera sin ålder genom att ladda upp bilder på sina ID-handlingar, vilket föga förvånande har lett till att sådana bilder har hamnat på avvägar. EU vill inte upprepa britternas misstag och har utvecklat en mer genomtänkt lösning. Under sommaren lanserade EU-kommissionen en white-label-app med öppen källkod som kan ligga till grund för medlemsstaternas egna åldersverifieringsappar. Tekniken ska utvärderas av fem länder, däribland Danmark som lanserar en dansk åldersverifieringsapp nästa år. I veckans podd pratar Peter och Nikka om för- och nackdelarna med EU:s föreslagna lösning för åldersverifiering. Appen är designad så att ingen information om användaren läcker till webbplatserna som tillämpar åldersverifiering. Appen intygar att användaren är över 18 år utan att avslöja vem användaren är. Organisationen som går i god för användarens ålder, till exempel användarens bank, får inte heller reda på vilka webbplatser som användaren besöker. När användaren har konfigurerat appen klipps kopplingen till organisationen som verifierade användarens ålder. På så sätt uppnås sekretess i båda riktningar. Appen kan varken utnyttjas för att spåra användarens internetvanor eller för att röja användarens identitet. Tyvärr konstaterar Peter och Nikka att appen har två stora problem. För det första kräver appen en Iphone eller en Android-mobil. Appen har ingen version för Windows, Mac OS eller Linux. För det andra är Android-versionen beroende av Google Play. Det gör att appen förutsätter att användaren kör ett amerikanskt operativsystem och godkänner ett amerikanskt företags användarvillkor. Samtidigt som EU inför krav på åldersverifiering lägger unionen därmed kontrollen över medborgarnas webbplatsåtkomst i händerna på USA. Podduon konstaterar också att EU-medborgare som vill slippa verifiera sin ålder kan göra som många britter redan har valt att göra: använda en VPN-tjänst för att tunnla sin trafik till ett land utan krav på åldersverifiering. Se fullständiga shownotes på https://go.nikkasystems.com/podd322.

I över 20 år har det talats om ”the year of the Linux desktop”, det vill säga året då Linux börjar plocka stora marknadsandelar från Windows och Mac OS. Linux har sedan länge slagit igenom bland servrar, mobiler och surfplattor (Android), men på vanliga persondatorer har Linux haft svårt att konkurrera. Inför 2026 är Linux förutsättningar bättre än någonsin. Microsoft överger miljontals Windows-datorer när techjätten slutar underhålla Windows 10 och förhindrar uppgradering till Windows 11. Många övergivna Windows 10-datorer blir fullt användbara under många år framöver om de ominstalleras med Linux. I veckans podd pratar Peter och Nikka om vad som talar för att ”the year of the Linux desktop” slutligen inträffar. Avsaknaden på Linux-appar har minskat rejält. Drivrutinsproblematiken är mestadels löst. Användarvänligheten har ökat och det går numera till och med att spela populära spel på Linux. Kan 2026 bli året då Linux slår igenom på skrivbordsdatorerna? Är det i så fall Microsoft själva som har krattat manegen åt konkurrenten? Se fullständiga shownotes på https://go.nikkasystems.com/podd321.

Det tioåriga operativsystemet Windows 10 går snart i pension. Den 14:e oktober slutar Microsoft att förse operativsystemet med kostnadsfria säkerhetsuppdateringar. Privatpersoner och organisationer uppmanas att uppgradera sina datorer till Windows 11 innan dess. Problemet är att långt ifrån alla Windows 10-datorer är kompatibla med Windows 11. På grund av rejält höjda systemkrav saknar många datorer stöd för det nya operativsystemet. Vissa inkompatibla datorer har knappt sju år på nacken. I veckans poddavsnitt pratar Peter och Nikka om vilka lösningar som står till buds för datorer utan Windows 11-stöd. För privatpersoner är det förhållandevis enkelt. I våras meddelade Microsoft att privatpersoner kunde få ytterligare ett år av kostnadsfria säkerhetsuppdateringar om de säkerhetskopierade sina datorer till Microsofts molntjänst. I slutet av september beslutade Microsoft att inte villkora säkerhetsuppdateringarna för europeiska användare. Privatpersoner inom EU behöver bara logga in med ett Microsoft-konto för att få uppdateringarna som håller deras datorer säkra till oktober 2026. När det gäller företag är det desto värre. För det första måste företag betala för säkerhetsuppdateringarna. Priserna börjar på 61 dollar per år och dator. Företagsuppdateringarna erbjuds i tre år, men priserna fördubblas varje år. För det andra saknar många småföretag avtalen som krävs för att köpa säkerhetsuppdateringarna. Nikka avslutar därför veckans podd med att tipsa om en nödlösning som sänker systemkraven för Windows 11 och därmed gör fler datorer uppgraderingsbara. Se fullständiga shownotes på https://go.nikkasystems.com/podd320.

I mitten av sommaren tog Danmark över EU:s ordförandeskap. Danskarna började direkt arbeta med en ny version av det kontroversiella massövervakningsförslaget Chat Control 2.0. Förslaget togs ursprungligen fram 2022 och har sedan dess genomgått flera ombearbetningar. Hittills har förslaget stoppats varenda gång av ministerrådet eller Europaparlamentet. Detta på grund av säkerhetsriskerna som det leder till i samhället och för att massövervakning står i strid med FN:s deklaration om mänskliga rättigheter. Chat Control 2.0 vill utöka skanningen efter barnövergreppsmaterial. Krypterade meddelandeappar ska tvingas ha bakdörrar som gör att tjänsteleverantörerna kan skanna alla bilder, videoklipp och länkar som skickas. Kravet gäller även de totalsträckskrypterade meddelandeapparna, till exempel Signal, Imessage och Whatsapp. Signal har meddelat att de lämnar EU ifall Chat Control 2.0 blir verklighet, så att inte resten av världens Signal-användare får sin kommunikation övervakad. I veckans poddavsnitt pratar Peter och Nikka om det danska Chat Control 2.0-förslaget. Den danska versionen innehåller bisarra motstridigheter, till exempel både ett förbud mot att kringgå totalsträckskryptering och ett krav på att faktiskt kringgå totalsträckskryptering. Det danska förslaget vill också att användarna lämnar sitt samtycke till att få bilder, videoklipp och länkar skannade. Förslagsförfattarna utgår från att förövare godkänner skanningen i stället för att byta till ljusskygga appar som struntar i EU:s förordningar. På grund av säkerhetsriskerna som bakdörrarna leder till undantas vissa användargrupper från skanningen. Det gäller bland annat användare som arbetar med nationella säkerhetsfrågor eller inom försvaret. Den stora frågan är hur det ska gå till. Vad händer dagen då listan över dessa användare hamnar i fiendens händer? Se fullständiga shownotes på https://go.nikkasystems.com/podd319.

Tjänsteleverantören Miljödata levererar tjänster till cirka 80 procent av Sveriges kommuner och regioner. Den 23:e augusti drabbades Miljödata av ett dataintrång. Angriparna stal bland annat över en miljon svenskars personuppgifter. I lördags meddelade utpressarna att de tänkte läcka den stulna datan om de inte fick betalt. Natten mot söndag gjorde de verklighet av hotet. Utpressarna publicerade ett arkiv med över hundra organisationers nuvarande och före detta medarbetares personuppgifter. Veckans podd inleds med en genomgång av Miljödata-läckan och dess konsekvenser. Därefter gästas podden av David Olgart och Mette Svensson från Cybercampus – en nationell satsning för samarbete mellan svenska universitet, institut, myndigheter och företag. David och Mette berättar hur Cybercampus ska öka höja landets cybersäkerhet, försvarsförmåga och konkurrenskraft. Se fullständiga shownotes på https://go.nikkasystems.com/podd318.

I somras förfärades svenska Facebook-användare över ett sorgligt inlägg. En svensk nyhetssajt hade publicerat en bild på den rödgråtna sjuksköterskan Inês. Hon berättade om hur hon under dagen hade följt två patienter till slutet av deras liv, hållit om en mamma som förlorat sin son och tvättat håret på en äldre kvinna. Inês fanns där för andra, men ingen fanns där för Inês. Ingen frågade henne hur hon mådde. Allt hon önskade var att någon hälsade till henne. Svenska sjuksköterskor gör en fantastisk insats. Jobbet som de gör är lovvärt och bör uppmärksammas. Problemet med just sjuksköterskan Inês är att hon inte existerar. Historien är påhittad och bilden på den rödgråtna sjuksköterskan är AI-genererad. Den svenska nyhetssajten är ingen riktig nyhetssajt. Det är en annonsspäckad sajt fylld med AI-genererade artiklar. Svenska Källkritikbyrån uppmärksammade artikeln. Författaren och frilansjournalisten Jonathan Lundberg började undersöka vilka som låg bakom och upptäckte en helt ny bransch med en beklämmande affärsmodell. I veckans avsnitt av Bli säker-podden berättar Jonathan om sina upptäckter och om affärsmodellen bakom AI-nyhetssajterna. Han berättar också avslutningsvis om sin senaste bok där han har djupdykt i ett av världens största internetmysterier genom tiderna: Cicada 3301. Se fullständiga shownotes på https://go.nikkasystems.com/podd317.

Lösenordshanterarna Bitwarden och Proton Pass kan inte bara spara lösenord. De kan också generera de sexsiffriga engångskoderna som behövs för att logga in på konton som skyddas med tvåfaktorsautentisering. Trots att lösenordshanterarna har detta som en inbyggd funktion har både Bitwarden och Proton valt att därutöver släppa egna autentiseringsappar. Dessa appar konkurrerar med exempelvis Google Authenticator, Microsoft Authenticator, Ente och Authy. Även om lösenordshanterarna kan generera engångskoder finns det ett specifikt konto som alltid behöver en dedikerad autentiseringsapp: kontot för själva lösenordshanteraren. Engångskoden för lösenordshanterarkontot kan inte genereras av lösenordshanteraren själv eftersom det hade lett till ett moment 22. (För att logga in i lösenordshanteraren måste användaren ha den rätta engångskoden. För att generera den rätta engångskoden måste användaren logga in i lösenordshanteraren.) I veckans podd pratar Peter och Nikka om lösenordshanterarnas egna autentiseringsappar. Nikka är framför allt imponerad över Protons nya autentiseringsapp som synkroniserar hemligheterna mellan alla enheter utan att vara låst till någon operativsystemstillverkares ekosystem. I Nikkas mening utmanar Proton Authenticator den sedan tidigare rekommenderade Ente Auth-appen. Se fullständiga shownotes på https://go.nikkasystems.com/podd316.

Falska butiksutförsäljningar är ingen nyhet. Påhittade påståenden om att butiker upphör och rear ut lagret har alltid förekommit. Trots det handlar veckans huvudämne i Bli säker-podden om just falska butiksutförsäljningar. SSF Stöldskyddsföreningen har noterat omfattande och samordnade annonskampanjer som marknadsför lokala, familjeägda butiker runtom i landet. På grund av allt från hjärtskärande skilsmässor till orättvis konkurrens från internationella storföretag påstår butikerna att de tvingas slå igen dörrarna. Butikerna anordnar därför utförsäljningar med enorma rabatter. Alltihop är bluff. Bilderna på butikerna är AI-genererade. Butiksadresserna är antingen fiktiva eller icke-existerande. Originalpriserna är påhittade och produkterna skickas inte från någon liten butik i Sverige. De skickas direkt från asiatiska tillverkare. I veckans poddavsnitt pratar Peter och Nikka om kännetecknen som avslöjar de falska butikerna. Podduon pratar också om en sårbarhet i lösenordshanterare som avslöjades på årets Defcon-konferens. Nikka tonar ned allvaret men förklarar varför han ändå rekommenderar att ändra två av standardinställningarna i lösenordshanteraren Bitwarden. Se fullständiga shownotes på https://go.nikkasystems.com/podd315.

Under sommaren har svenska polisen, vid upprepade tillfällen, utmålat den säkra meddelandeappen Signal som en app enbart kriminella använder. I fredags medverkade rikspolischef Petra Lundh i SVT:s morgonprogram. Programledaren frågade henne vad föräldrar borde göra om deras barn använde Signal. Lundh förklarade att föräldrar borde bli väldigt oroliga eftersom det enligt henne inte finns något ”normalt användningsområde för den appen”. Uttalandet är det senaste i en rad av uttalanden där polisen påverkar folkets syn på Signal. Dessa uttalanden har duggat tätt under sommaren. I juli påstod Teodor Smedius, polisintendent vid NOA, att föräldrar som hittade Signal på barnens mobiler skulle bli lika oroliga som om de hade hittat narkotika i barnens väskor. I juni uppmanade Polisen föräldrar att ”ta bort [appen] omgående” från barnens mobiler. I veckans poddavsnitt diskuterar Peter och Nikka polisens uttalanden. Nikka förklarar också varför han anser att det är vilseledande när polisen försöker få debatten om totalsträckskrypterade meddelandetjänster att fokusera på integritetsaspekten. Bevarandet av mänskliga rättigheter är självfallet viktigt, men den amerikanska cybersäkerhetsmyndigheten rekommenderar inte befolkningen att använda Signal för att myndigheten värnar om folkets personliga integritet. Myndigheten gör det för att privat kommunikation är avgörande för samhällets säkerhet. Samma sak gäller svenska Försvarsmakten som uttryckligen varnar för konsekvenserna av bakdörrarna som polisen efterfrågar. Se fullständiga shownotes på https://go.nikkasystems.com/podd314.

Under sommaren har SSF Stöldskyddsföreningen granskat problemet med bluffhårddiskar på svenska marknadsplatser. Bli säker-podden har i två tidigare avsnitt behandlat grundproblemet kring falska lagringsenheter och följt upp hur marknadsplatsen Fyndiq hanterat avslöjandet. I veckans podd redogör Peter och Nikka för hur den internationella jätten Amazon har hanterat situationen. Inledningsvis svarade Amazons pressavdelning att de ”agerar snabbt när de upptäcker att något har undgått Amazons kontroller”. Det påståendet stämmer inte överens med resultatet av SSF:s granskning. När Cdon (som äger Fyndiq) förstod allvaret i situationen valde de att kontakta kunderna som hade köpt bluffhårddiskar. Fyndiq uppmanade kunderna att omedelbart sluta använda hårddiskarna för att förhoppningsvis hinna varna kunderna innan de förlorade filer. Fyndiq betalade också tillbaka pengarna. I tisdags förra veckan fick Amazons pressavdelning samma fråga om hur de tänkte lösa situationen. Nikka frågade om Amazon tänkte kontakta alla berörda kunder och betala tillbaka pengarna. Trots upprepade kontaktförsök och svar på andra frågor har Amazons pressavdelning valt att inte svara på frågan om huruvida de tänker kontakta de berörda kunderna. Se fullständiga shownotes på https://go.nikkasystems.com/podd313.

Veckans podd handlar om den absurda situationen som just nu utspelar sig i vårt grannland Norge. Tidigare i år gick IOT-tillverkaren Futurehome i konkurs. Enligt bolaget var deras smarta hem-lösning installerad i 38 000 norska hushåll. Lyckligtvis var Futurehomes centrala styrenhet inte beroende av någon molntjänst. Det gjorde att kundernas smarta hem-lösningar fortsatte fungera. Bolaget återuppstod med de gamla ägarna som delägare. Det nya bolaget lanserade en prenumerationsmodell för att kunna finansiera verksamheten långsiktigt. De skickade också ut en automatisk uppdatering till de sålda styrenheterna. Den uppdateringen stängde av befintliga funktioner och meddelade ägarna att de behövde teckna sig för den nya prenumerationstjänsten (1188 kr/år) om de ville återfå funktionerna. I en intervju med den norska tekniksajten Tek.no berättade kunder som hade investerat tusentals kronor i systemet om hur de kände sig utpressade av Futurehomes nya ägare. Kundernas upprördhet fick internationell uppmärksamhet när konsumenträttsaktivisten Louis Rossmann nåddes av nyheten. Han utlovade direkt en belöning på 5 000 dollar till personen som lyckades låsa upp Futurehomes styrenhet. Futurehomes VD svarade med en varning om att det skulle räknas som olaglig hacking. I veckans podd pratar Peter och Nikka om turerna kring Futurehome. Peter frågar sig vad det egentligen innebär att äga en Futurehome-produkt. Nikka frågar vad hela situationen egentligen påminner mest om: en aktör som har låst ned ett system och kräver en lösensumma för att återställa funktionaliteten. I datorvärlden kallas det en ransomware-attack. Se fullständiga shownotes på https://go.nikkasystems.com/podd312.

Den 25:e juli införde Storbritannien sin så kallade Online Safety Act. Den nya lagen är tänkt att skydda barn mot webbinnehåll som berör självmord, självskadebeteende, ätstörningar och pornografi. Webbplatser med sådant innehåll måste nu ålderverifiera brittiska besökare, så att enbart personer över 18 år kommer åt innehållet. Medan EU arbetar på en (förhållandevis) säker och integritetsvärnande åldersverifieringslösning har Storbritannien valt att införa krav på åldersverifiering utan att någon sådan teknik finns på plats. Resultatet blev att sajter såsom Discord, Reddit, Bluesky och Spotify ber brittiska användare ladda upp bilder på sig själva, ibland i kombination med giltiga ID-handlingar. Aylo (en av världens största leverantörer av porrsajter) tvingar brittiska användare att skapa användarkonton och att ålderverifiera sig via exempelvis betalkort, mobiloperatör eller bankdata. Lagen trädde i kraft samma vecka som den amerikanska dejtingappen Tea råkade ut för ett omfattande dataintrång. Appen marknadsfördes som ett verktyg för kvinnor som ville dejta säkert, och appen var enbart öppen för kvinnliga användare. Under registreringsprocessen fick kvinnorna därför ladda upp bilder på sig själva och sina ID-handlingar. Tjänsteleverantören lovade att bilderna skulle raderas omedelbart. I själva verket sparades bilderna på en publikt exponerad server som angripare kunde ladda ned alla bilder från. Att ladda upp bilder på ID-handlingar är olämpligt av många skäl, något många britter verkar ha insett. Dagen då Online Safety Act trädde i kraft noterade VPN-tjänsteleverantören Proton en ökning på 1 400 % av nya användare från Storbritannien. På måndagsmorgonen hade hälften av tio-topp-apparna på Apples gratistopplista blivit VPN-appar. I veckans poddavsnitt pratar Peter och Nikka om problemen med Storbritanniens nya lag. Frågan är vilken effekt som lagen får ifall alla britter skaffar VPN-tjänster för att tunnla ut sin trafik från ”The great firewall of Brittain”. Podduon diskuterar också två av de senaste veckornas dataläckor, däribland Tea-dataläckan. Se fullständiga shownotes på https://go.nikkasystems.com/podd311.

Den här veckan gästas Bli säker-podden av penetrationstestaren Linus Kvarnhammar. Linus har gästat podden en gång tidigare då han utgjorde en fjärdedel av kvartetten i SVT:s programserie Hackad från 2021. Förra gången som han besökte podden berättade han om produktionen av programserien. Nu återvänder han i ett helt annat ärende. Som senior cybersäkerhetskonsult har Linus noterat ett stort problem. När han upptäcker sårbarheter behöver han ett enkelt sätt att underrätta alla berörda organisationer. Det har visat sig vara lättare sagt än gjort. Alltför få organisationer har anammat standarden security.txt som klart och tydligt instruerar hur säkerhetsforskare kan få kontakt med organisationernas säkerhetsavdelningar. I veckans podd förklarar Linus hur en simpel textfil gör att företag, helt kostnadsfritt, kan få kostnadsfria varningar från penetrationstestare. Veckans avsnitt bjuder också på mer information om den massiva bedrägerikampanjen som pågår för stunden och som utnyttjar programledarna från Uppdrag Granskning. Nikka passar även på att bemöta påståendena ur en uppmärksammad artikel om påstådda nätfiskeattacker mot nätfiskeresistenta nycklar (passkeys). Se fullständiga shownotes på https://go.nikkasystems.com/podd310.

För att kunna använda internet behövs en DNS-tjänst. Det är en tjänst som kan liknas vid internets motsvarighet till kontaktlistan i mobilen. Tack vare kontaktlistan i mobilen behöver du inte komma ihåg krångliga telefonnummer. Kontaktlistan översätter mellan namn och nummer åt dig. En DNS-tjänst gör samma sak för domännamn och IP-adresser. Du behöver inte komma ihåg IP-adressen till nikkasystems.com eftersom din DNS-tjänst letar upp IP-adressen åt dig helt automatiskt. Du kan själv välja vilken DNS-tjänst som du vill skicka dina domänuppslag till. Som standard används DNS-tjänsten som din internetoperatör har tilldelat dig, men du kan välja en annan för att exempelvis få filtrerade svar. DNS-filtrering kan skydda dig mot webbplatser som är kända för att sprida skadeprogram. Om din dator ber om IP-adressen till en känt skadlig domän svarar en filtrerande DNS-tjänst att den inte hittar någon tillhörande IP-adress, vilket i sin tur förhindrar att din dator ansluter till den skadliga webbplatsen. Din dator kan helt enkelt inte hitta dit. Under de senaste åren har EU finansierat utvecklingen av en EU-baserad och GDPR-förenlig DNS-tjänst med filtreringsfunktion. Tjänsten kallas DNS4EU. Tess och Nikka pratade om projektet i början av 2022, och i veckans poddavsnitt återvänder Peter och Nikka till ämnet. Nu har nämligen tjänsten lanserats och gjorts tillgänglig för allmänheten. DNS4EU är helt kostnadsfri och erbjuder flera olika filterfunktioner. Tjänsten uppfyller också hygienkraven för en säker och integritetsvärnande DNS-tjänst, med ett undantag. DNS4EU har ingen nolloggningspolicy. I veckans poddavsnitt berättar Nikka varför det oroar honom samt varför ”oroskryddan” från 2022 kvarstår: vad händer om DNS4EU utnyttjas för att censurera internet? Se fullständiga shownotes på https://go.nikkasystems.com/podd309.