När de anställda arbetar med mobilen från köksbordet är många företag helt oskyddade.
Sara Fernholm, partneransvarig i Norra Europa för Lookout
Därför drabbas nu också många av intrång, installation av utpressningsprogramvaror och stöld av användaruppgifter. Allt fler företag inser därför att det inte räcker att skydda nätverken, utan även mobilen behöver ett särskilt skydd.
Coronapandemin skickade hem många anställda, vilket innebar att de i mycket större utsträckning än tidigare laddar ner företagsdokument, sköter jobbmejlen och har videokonferenssamtal hemifrån, ofta med hjälp av mobilen. Men mobilen kan också bli dörröppnaren som gör att hackare får tillgång till företagets känsligaste information.
Det här är särskilt relevant eftersom säkerhetshoten har ökat under pandemin. Till exempel visar våra egna siffror att phishingförsöken som nått våra kunders mobiler har ökat med 37 procent från första kvartalet 2019 till första kvartalet i år.
Myten om att mobilen är säker
I fråga om säkerhet behandlas mobiler ofta annorlunda än andra ingångar till företagets nätverk. En laptop har vanligtvis en säkerhetslösning installerad – oavsett om den används på arbetsplatsen eller hemifrån. Brandväggar och antivirus skyddar mot skadlig programvara av olika slag. Samtidigt har dock många verksamheter i Sverige inget skydd alls för sina medarbetares mobiler.
Det finns idag en missuppfattning om att mobiler inte skulle vara särskilt utsatta för intrång men de senaste åren har många intrång i företags nätverk via både Android- och iOS-mobiler rapporterats. Problemet är att alla sätt att komma åt företagets nätverk behöver vara säkra. Annars kan den svagaste länken i kedjan komma att utnyttjas.
Mobiler är vad hackare drömmer om
Det finns dessutom sådant som gör att mobiler är särskilt utsatta för intrång. Till exempel gör det mindre formatet på skärmen att det är svårare för användare att se att en länk är misstänkt. Därför är det kanske inte förvånande att en undersökning visade att användare tre gånger så ofta luras att klicka på skadliga länkar på mobiler i jämförelse med datorer.
En mobil kan också flytta mellan en mängd nätverk under en och samma dag, vilket gör att skadlig programvara som installerats på en mobil kan leta efter osäkra och sårbara nätverk. Sedan kan nätverket genomsökas efter intressant information eller låsas med utpressningsprogramvara.
Dessutom laddar användarna ner appar mycket mer lättvindigt i mobilen än i en dator. Detta är problematiskt eftersom mobilapparna oftare innehåller skadlig kod än en programvara för datorer.
Helt okända hot
Attackmetoderna varierar men första steget handlar nästan alltid om att lura en användare, till exempel genom phishinglänkar i SMS och sociala medie-appar eller skadliga webbadresser som lagts in i webbsidor eller mejl. Det sker fortfarande intrång genom epost men chatappar har blivit vanligare. I slutänden kan hackare komma åt sådant som jobbmejl och användaruppgifter till olika molnbaserade företagstjänster.
Mobiltillverkarna är bra på att uppdatera sin programvara när det upptäcks nya säkerhetshål, men detta skyddar bara mot redan kända brister. Nya hot är betydligt svårare. Dagens cyberbrottslighet är dessutom avancerad, välorganiserad och har ofta stora resurser, vilket innebär att de snabbt utnyttjar nyupptäckta sårbarheter.
Till exempel kan hackare rikta in sig på mobilens firmware och operativsystem genom att kringgå den så kallade Mobile Device Management (MDM)-programvaran, och på så sätt få full kontroll över enheten. Detta är vad spionprogramvaran Pegasus gjort för att kunna ta sig in i såväl iOS- som Android-enheter.
Hur ska företag veta om privata mobiler är säkra?
I många företag uppmuntras medarbetarna att använda sina privata mobiler och surfplattor – även för att använda verksamhetens system och data. Utmaningen är att företagen sällan har kontroll över hur säkra deras medarbetares privata enheter är. Det går inte att veta om tonåringen i familjen lånar mobilen för att ladda ner osäkra appar eller går in på webbplatser med farliga länkar.
Så här mitt i pandemin går det inte att ta ett steg tillbaka från denna sammanblandning av det privata och jobbet. Att begränsa användningen av mobiler funkar inte när så många förväntas arbeta hemifrån. Sannolikt är detta alla verksamheter behöver anpassa sig till. Då behöver de ett bra skydd som omfattar alla mobiler som använder företagets nätverk och data.
Misstänksamhet är en bra utgångspunkt
Det här gör att företagen måste blir mer misstänksamma. En mobil ska antas vara farlig tills motsatsen är bevisad. Den ska bara få tillgång till den företagsinformation som den kan få med rimlig risk.
Att skydda en mobil skiljer sig åt från hur en laptop skyddas. Detta gör att det behövs en särskilt anpassad lösning för att klara av säkerheten. Idag finns det verktyg som ger möjlighet att först kontrollera mobilen – innan den får tillgång till allt.
Den kan då upptäcka sofistikerade hot som till exempel har att göra med jail break, då farliga appar kan ha installerats. Den kan skydda mot phishing och farliga länkar. Appar och webbplatser kan valideras så att de är säkra. Användare kan få veta i förväg om en länk eller app är säker. Enheter kan checkas regelbundet efter hot och bedömas efter hur sårbara de är.
Idag görs detta alltför sällan. Företag behöver nu som ett led i säkerhetsarbetet under pandemin se till att mobilsäkerheten blir lika bra för en mobil som den länge varit på en laptop. Annars kommer intrången fortsätta att söka sig till den svagaste länken i kedjan – och just nu innebär det mobilen.
Sara Fernholm, partneransvarig i Norra Europa för Lookout
