Den skrämmande sanningen om tillit: Varför det att vara "verifierad" inte betyder att du är säker

Låt oss prata om något som håller säkerhetsexperter vakna om nätterna. Det är inte hackaren i en huvtröja som man ser i filmer. Det är inte någon sofistikerad zero-day-sårbarhet. Det är något mycket enklare och oändligt mycket farligare: antagandet att verifiering av identitet är detsamma som verifiering av autenticitet.

Jag kom över detta fascinerande (och något skrämmande) case nyligen, och jag kan inte sluta tänka på det. Ett företag – låt oss kalla dem ett typiskt medelstort företag – gick igenom inte ett, inte två, utan TRE separata säkerhetsincidenter under fyra månader. Här är det märkliga: ingen av dem innebar att man brutit sig in i nätverk eller utnyttjat programvarufel. Varje gång blev angriparen helt enkelt någon som företaget redan litade på.

Det är... faktiskt ganska obehagligt när man tänker efter.

Lösenordet var perfekt. Personen var det inte.

Det här är grejen med traditionell säkerhet: vi behandlar autentisering som ett problem med lås och nycklar. Få rätt lösenord, klara MFA-kontrollen, och boom – du är inne. Men tänk om låset fungerar precis som det är tänkt, och personen som går igenom det bara... inte är den hen utger sig för att vara?

De fall jag syftar på visade tre olika varianter av exakt detta problem. Först var det en ekonomichef som fick ett samtal från "IT-supporten" om misstänkt aktivitet på hans konto. Samtalsidentiteten visade ett internt nummer. Samtalaren kände till företagets MFA-leverantör. De visste att ekonomichefen var på resa (för att han hade postat om det på sociala medier, förstås – det gör vi ju alla). De hade till och med information från gamla dataläckor som cirkulerade på dark web.

Allt de behövde var att han läste upp en verifieringskod. Och det gjorde han.

Inom tjugo minuter använde någon hans e-post för att begära brådskande betalningar. Den enda anledningen till att pengar inte flyttades? En skarp specialist inom kundfakturering tyckte att förfrågan kändes "konstig" och ringde honom direkt. Den mänskliga instinkten räddade dagen.

Lita men verifiera (förutom när du inte gör det)

Det som slår mig mest med dessa incidenter är inte attackernas sofistikering – det är hur tråkiga de skulle se ut för de flesta säkerhetssystem. Uppgifterna stämde. Autentiseringen gick igenom. Sessionerna var giltiga.

Men någonstans på vägen glömde vi att verifiering inte bara handlar om att bocka av rutor. Det handlar om att bekräfta att människan i andra änden faktiskt är den hen säger att hen är – och att hen har en legitim anledning att göra det hen gör.

Den andra incidenten involverade en distansanställd som verkade helt legitim. Fantastiskt CV. Trovärdiga referenser. En gedigen portfolio. Men här är grejen – inget av detta är svårt att stjäla. Det visade sig att personen använde identiteten av en riktig ingenjör, med helt påhittade referenser, och arbetade från utlandet med företagsdatorer som skickats till en hyrd lägenhet.

Den enda anledningen till att detta upptäcktes? Någon märkte att datorn var som mest aktiv under nattid. Det var allt. Ingen sofistikerad detektering. Bara någon som lade märke till något som verkade lite märkligt.

Session-problemet som ingen pratar om

Och så har vi den tredje incidenten, som jag tror är det mest förbisedda hotet inom modern säkerhet. En chefs konto accessades från Rumänien. Hon sov i Ohio vid den tidpunkten.

Hennes lösenord var inte komprometterat. Hennes MFA hade inte kringgåtts. Istället hade skadlig programvara på en delad hemdator skördat hennes session-cookies i webbläsaren. Angriparen gick rakt in genom den digitala ytterdörren, och framstod som en helt legitim, autentiserad användare.

Detta är den smutsiga hemligheten med sessionsbaserad autentisering: när du väl är inne, stannar du ofta kvar. Sessionstokens kan förbli giltiga i timmar eller till och med dagar. Och till skillnad från lösenord är de inte något som användare enkelt kan skydda eller byta ut.

Så vad är den faktiska läxan?

Jag tror inte att läxan här är "var mer paranoid" (fast ärligt talat, lite hälsosam paranoia skadar aldrig). Jag tror att den verkliga insikten handlar om gapet mellan identitetsverifiering och tillitbekräftelse.

De flesta organisationer har blivit ganska bra på den första delen. Vi verifierar inloggningsuppgifter, vi använder MFA, vi bockar av rutor. Men den andra delen – att kontinuerligt bekräfta att någon fortfarande är behörig och agerar på ett lämpligt sätt – det är där vi brister.

De fall jag diskuterar hade alla något annat gemensamt: de upptäcktes av människor eller människo-designade system som letade efter beteendemässiga avvikelser, inte bara misslyckade autentiseringar. En kollega som ifrågasatte en ovanlig förfrågan. En analytiker som märkte märkliga arbetstider. Ett automatiserat system som flaggade för "omöjlig resa".

Tekniska kontroller är nödvändiga. Men de är inte tillräckliga. Den verkliga säkerhetsmultiplikatorn är att bygga en kultur där människor känner sig trygga i att ifrågasätta saker som känns fel – även när inloggningsuppgifterna stämmer.

För här är den obekväma sanningen: i dagens hotbild är den största säkerhetsrisken kanske inte angriparen utanför dina väggar. Det kan vara den helt giltigt utseende identiteten som redan är på insidan.

Håll vaksamheten hög, vänner.

Taggar: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']