Kristen nettside for unge ledere hacket

Før jul oppdaget lederutviklingskonsulent Ruth Burch Skree at uvedkommende hadde kommet inn på baksiden til nettsiden ungLeder.no.

Nettstedet er tilknyttet Norsk Luthersk Misjonssamband (NLM) og er en ressurs for ledertrening av ungdommer og unge voksne i lokale menigheter og forsamlinger.

Hacket

I en avviksmelding til Datatilsynet står det at nettsiden skal ha blitt utsatt for datainnbrudd i tidsrommet 26.12.2018 til 28.11.2019. Uvedkommende kom seg inn via brukeren til en av de ansatte som hadde administratortilgang.

I perioden ble det publisert 91 spam-innlegg som ble lagt nederst på forsiden av nettsiden. Ifølge avviksmeldingen varierer disse fra tilfeldig informasjon til reklame for dating-sider og mail-order-brides. I tillegg ble det opprettet sju falske administratorkontoer.

– Hvorfor tok det så lang tid før dere forsto at dere var hacket?

– Artiklene ligger veldig skjult. Jeg vet ikke en gang om det var mulig å se dem på nettsiden vår i starten. Man må virkelig jobbe for å finne dem. Mye tyder på at artiklene ikke var synlige for brukerne, for de er flinke til å gi tilbakemelding hvis noe er feil.

Ifølge Skree har ingen av brukerne gitt beskjed om at de har oppdaget merkelige artikler eller at saken skal ha fått ubehagelige følger for noen av dem. Som et ledd i oppryddingsarbeidet har alle fått beskjed om å endre brukernavn og passord.

Frivillige og ansatte

Det er snakk om 80 genuine personer. Disse er frivillige og ansatte ledere i kristent ungdomsarbeid som driver med lederutvikling av unge. Nettsiden sitter på personopplysninger som består av for- og etternavn og e-postadresse, og det er frivillig å oppgi organisasjonstilhørighet.

Skree er glad for at avviket ble oppdaget og for at de har gode folk på huset som er oppdaterte på GDPR (personvern) og datasikkerhet.

– Det var godt for meg å se at vi fikk gjort en rask og grundig jobb for å utbedre problemene. Som et ledd i det sendte vi også en avviksmelding til Datatilsynet. Alle stikkprøver som er gjort i etterkant tilsier at det ikke er andre endringer på nettsiden vår.

Skree sier at ungLeder.no ikke er en betydelig aktør og at de ikke hadde sett for seg at noen ville ha interesse av å bryte seg inn på nettsiden.

– Ingen kan gardere seg mot at slike ting skjer, men det vi kan gjøre er å få på plass gode rutiner, sier hun.

Eksplosiv økning

Ifølge fagdirektør Veronica Jarnskjold Buer, teknolog i Datatilsynet har det skjedd en eksplosiv økning i avvik etter at ny Lov om behandling av personopplysninger ble innført i 2018. Brudd på integritet, konfidensialitet og tilgjengelighet skal meldes innen 72 timer. Resultatet er at virksomheter rapporterer om alt fra små hendelser til grove, alvorlige hendelser.

Hun berømmer ungLeder for at de meldte fra om avviket.

– Hvor alvorlig er avviket som ungLeder har rapportert om?

– Jeg kan ikke se at det ligger mange sensitive personopplysninger på siden deres. Kanskje burde virksomheten ha oppdaget avviket tidligere, men de har foreslått og iverksatt tiltak som de må følge opp. Derfor har vi avsluttet saken.

Lobbyister og nettroll

– Hvordan kan slike avvik oppstå?

– Det kan være alt fra uskyldige rampestreker til at angrep forårsakes av internt ansatte, utro tjenere, lobbyister, nettroll, vinningskriminelle og til statlige aktører. I dette tilfellet kan det kanskje dreie seg om pøbelstreker fra gutte- og jenterommet til noen som ikke er enige i det ungLeder står for, men det blir bare spekulasjoner.

– Er det vanlig at man ikke merker noe før det har gått lang tid?

– Virkelig alvorlige angrep kan være godt skjult. Trusselaktørene kan ligge helt stille og samle informasjon uten at virksomheten oppdager det. Da merker man det kanskje ikke på flere år, sier Buer.