Tektopia er en ugenlig podcast om mennesker og deres teknologi, udgivet af Ingeniørforeningen IDA i samarbejde med Punktum.dk og IDA Forsikring. Mit navn er Henrik Føns, og det er mig, der bestemmer IDA. Tak, Torf Hjæl. Tak, Torf Hjæl. Tak, Torf Hjæl. Når man har lavet så usædvanlige tøgemønster og så mange tøgninger. Det forstår jeg simpelthen ikke, det kan lade sig gøre. Altså jeg sad og så pressmødet, hvor de sagde det, og så tænkte jeg, at jeg var simpelthen nødt til at slå op på en af de der live-blog samtidig, for at være sikker på, at jeg kunne stole på mine egne ører. Det var helt vildt. Og at man så heller ikke har nogen kontrol med de mange virksomheder, der havde adgang til at lave søgninger i registret. Men det, som jeg har forstået det, til synligheden bare har været, at man skulle sætte kryds i et felt, når man oprettede adgangen. Det er helt uforståeligt. Der var ikke tale om et avanceret hackerangreb. Personen havde bare fået fat i passwordet til to konti hos firmaet Pace på Fyn, der har helt dårlig adgang til at hente CPR-oplysninger. Problemet er, at begge konti brugte passwordet 123456 og ikke havde tofaktor identification tilknyttet. Altså noget, der nærmest er børnelærdom for alle mennesker, der bevæger sig i en digitalt sfære, om man så må sige, nu til dags. Og så var der lige det problem, at ingen myndighed åbenbart havde sikret sig, at virksomheden havde en ordentlig sikkerhedspolitik. Og ydermere opdagede de ansvarlige for CPR-registeret ikke, er der for nogen, der lavede de her usædvanligt mange opslag, før den dag regningen til Pace skulle udskrives. Men det handler ikke kun om et enkelt sikkerhedshul. Den rejser spørgsmål om hele vores digitale infrastruktur, om CPR-numrets rolle som identification, og om en ny generation af cyberangreb, hvor kunstig intelligens gør det hurtigere og billigere at finde vej ind i vores systemer. Man er mange af os, der opfatter CPR-numret som en hemmelighed. Altså, det bliver brugt til, at man identificerer sig, så man får at vide, at Henrik Føns er faktisk Henrik Føns. Hvilken konsekvens har det her for det? Men CPR-numret burde jo ikke have den funktion. Nej. Og det burde det heller ikke, før det der skete med det her. Og det er jo heller ikke det første CPR-datalæg eller datateori, der har været. Jeg havde sådan nogle lidt spændende dage, fordi det her kom frem om mandagen. Og om fredagen, der kom DTU ud og fortalte, at de også var blevet kompromitteret. Og der var nogen, der havde fået adgang til, jeg tror det var op imod 200.000. CPR-numre hos DTU. Og det talte vi om, det var en 8 ud af 10. Fordi det var så mange CPR-numre, der handlede om. Og så kommer det om mandagen med at være 8,8 millioner. Så der har jo også været databryd og datateori før det her. Så CPR-numret har ikke været noget, man har kunne bruge til at bekræfte sin identitet med. Men det har nok været i bukseren nogle steder. Hvordan gør vi så det i fremtiden, altså at bekræfte vores identitet? Jamen det er jo det gode spørgsmål. Altså jeg tror mere på digitale løsninger. Og vi har jo langt hen ad vejen, de fleste steder. Der bruger vi jo også mit idé til for eksempel at underskrive eller at authenticere, altså bekræfte vores identitet med. Og det er jo også godt til det, fordi det er to-faktor authentication. Jamen jeg tror det er fordi, at CPR-numret traditionelt har haft den betydning. Og fordi man nok i nogle hjørner rundt omkring stadigvæk har brugt det. Ned ved lægen, nede på apoteket. Det har været meget diskuteret. Altså hvad kan man egentlig med et CPR-nummer? Kan man optage lån? Der har i hvert fald været nogle eksempler på nogen, der har lykkedes med at lave køb i andres navn. Og få sendt en faktur på baggrund af et CPR-nummer. Så man kan formentlig godt bruge det til noget rundt omkring i nogle hjørner. Et CPR-nummer burde altså bare være et administrativt nummer, ikke en hemmelig adgangskode til vores identitet. Men problemerne bliver større, når personnummeret kombineres med andre oplysninger. For hackerne behøver ikke længere at skabe alle informationerne ét sted. De kan samle dem for forskellige datalæg, offentlige registre og sociale medier. Og den kombination kan gøre lidt langt lettere at nare os. Jamen så begynder man jo at kunne bruge det til nogle andre ting. Jeg har nu også indtryk af det her, hvor man har kunnet bekræfte sin identitet ved hjælp af et CPR-nummer. Så har det typisk også været nogle andre informationer, der skulle til. Men der er udfordringen jo lige præcis, at hvis man så har en kompromittering som det her, så er det jo både navn, det er CPR-nummer, det er adresseoplysninger. Og så, fordi for mange mennesker vil man jo ikke skulle lede ret meget på sociale medier, eller i andre datalæg for at finde andre informationer, så man egentlig har haft alle brækker for at kunne lægge det der puslespil til at kunne bekræfte sin identitet med. Og det der med data, som man sætter sammen, det er jo også det, der giver nogle af udfordringerne. Når man kan sammensætte det, der er stjålet fra CPR-registret, med det, der så er hævet ud fra tinglysningen, med det, der måske ikke nu holder lige, mens vi optager her i dag, været et andet hack mod magasin, hvor man så også har fået nogle oplysninger. Når man begyndte at lægge alle de her oplysninger sammen, også sammen med det, man kan finde på sociale medier, så kan man få nogle ret præcise billeder af, hvem vi er, vores vaner, vores interesser. Og dermed kan man også lave virkelig gode phishing-angreber. Hvis du skulle give et eksempel på et godt phishing-angreb, hvad kunne det for eksempel være? Jamen et godt phishing-angreb, nu skal jeg jo ikke sidde og give folk gode idéer. Men så er det et, der har fundet sted, som formodent ikke kommer til at ske igen. Men et godt phishing-angreb, det sker faktisk nogle gange, når der har været en sag om datateori, hvor man så bagefter skriver til ofrerne og siger, der har været et datateori eller et indbrud i vores data. Det er vigtigt for at øge din sikkerhed, at et eller andet, hvor man så skal indtaste nogle identitetsoplysninger. Og det er sådan en formodent. Så et hacker-angreb i sig selv eller et datateori i sig selv, er sådan en god anledning til at lave sådan et indgreb med. Men man kunne også forestille sig, at man har boet på et hotel, så har man skrevet på Facebook eller Instagram, eller hvor man nu er henne, at man har boet på det der hotel, og så får man to dage senere en e-mail eller en sms, der kommer, citat fra det hotel, eller fra nogen, der udgiver sig for at være det, og siger, du har glemt din iPhone-ladere, vi vil gerne sende den til dig, det koster 29 kroner i gebyr. Gå lige ind på den her side og betale gebyr, og så sender vi den til dig. Og så vil der jo være nogen, der tænker, at de kunne godt have glemt en iPhone-ladere, uden at opdage det. Og det giver mening i konteksten, fordi man har jo lige boet på det der hotel. Så det, at man kan lave angreb, der bliver sådan meget kontekstnære, hvor det bare virker helt naturligt som noget, der sagtens kunne være rigtigt. Og så har man travlt, og så er man ikke helt til stede, og så får man klikket og udfyldt sine opløsninger. Og bagefter tænker man, altså, hvad var det lige at gøre? Når svindleren ved, hvor du har været, hvem du er, og hvad du måske har købt, ja, så bliver svindelbeskeden pludselig langt mere troværdig. Men hvem står egentlig bag den slags angreb? I CPR-sagen, der har en person ifølge Dagbladet Politikken hævet det at stå bag. Det er dog ikke det samme, som at vi ved, hvem gerningspersonen er. Men cyberkriminalitet spænder i dag fra enkeltpersoner til organiserede internationale netværk, og også i nogle tilfælde statsstøttede grupper. Og det er ikke bare folk, der sidder i en kælder med en pizza og en flad cola. Det er faktisk virksomheder, der er organiseret, ligesom alle mulige andre virksomheder, vi kender. De har en kantine, de har en HR-afdeling, og de går på arbejde hver dag og passer deres arbejde, hvis man kan kalde det det. Der er mange forskellige grupper, der egentlig opererer på forskellige måder. Så det kan sagtens være, at det er en enkeltperson, der har gjort det. Det kan også være, at det er bare en historie, der er nogen, der har digtet. Man kunne godt forestille sig, at hvis man har fået hul på det og stjålet de der data, og så ser alt det, der sker i nyhederne og politiefterforskning osv., at man så får lyst til at fortælle en historie om, at man i virkeligheden gjorde det i samfundets tjeneste, og man er så god, så god, for sådan at reducere konsekvensen, hvis man bliver fanget. Det kan sagtens være en enkeltperson, det kan også være nogle flere. Man har jo velorganiseret kriminelle netværk, der laver kriminalitet, kommer ind, laver ransomware, stjæler data osv. Det er jo nærmest fabrikker rundt omkring i verden, hvor det er det, man har specialiseret sig i. I princippet kunne det også være sånne sabraktivistiske grupper, som kan være organiseret på forskellige måder. Det kan også være statsaktører, eller statsstøttede aktører, det tror jeg ikke lige, der er noget, der tyder på, det er vejet her. Men det er jo også nogle grupper, der er aktive, blandt andet forske, usikkerhed og tvivl. Altså har vi nu styr på det der sabersikkerhed i Danmark? Er det nu klogt at støtte Ukraine? Cyberkriminalitet er blevet en industri, men selv professionelle hackere har indtil for nylig været begrænset af én ting. Det tager tid at finde sikkerhedsholder og udvikle programmer, der kan udnytte dem. Den begrænsning er kunstig intelligens ved at ændre. AI-agenter kan hjælpe med at undersøge software for sårbarheder og udvikle angrebskode. Dermed bliver langt flere digitale systemer interessante mål, og tiden man har til at lukke sikkerhedshullerne bliver kortere. Jeg tror, det er drevet af nogle underliggende faktorer, som ikke lige forsvinder. Og hvis man kigger på de faktorer, så er det jo både, at vi bliver mere og mere digitale. En del af den digitalisering er også alle de enheder, der kommer på nettet. Men vi får i det hele taget flere og flere systemer, der er på nettet. Det betyder, at der er flere steder at komme ind. Det øger sandsynligheden for angreb, men det øger også konsekvensen af angreb, når vi bliver mere afhængige. Så der er vores digitalisering. Så er der hele den geopolitiske situation, som gør, at det ikke kun er kriminelle, der er interesseret i at komme ind. Det er også politisk motiverede grupper, aktivistiske grupper, grupper, der er støttet af fremmede stater, eller som er fremmede stater, som også synes det er spændende at komme ind, så der er flere, der er interesseret i det. Vi er et ret rigtig land. Det gør altså også til et interessant mål, for især de saberkriminelle. Og så har man i værktøjskassen, også lige fået kunstig intelligens, som er en rigtig stor fordel på angrebersiden. Det betyder, at man kan lave angreb, hurtigere og billigere, end man nogensinde tidligere har kunnet. hvis man skal lave et angreb, som ikke bare er at logge ind, fordi man fischer folks oplysning. Hvis man laver sådan en rigtig hacker angreb, så kræver det jo, at man har en softwarekomponent, der har en sårbarhed. Det vil sige, at man skal undersøge forskellige stykker af software, eller OT'en hedder, hvad det nu kan være, der har noget software i sig. Og så skal man se, kan vi finde en sårbarhed i det her system? Når man så har fundet sårbarheden, så skal man skrive noget kode, der gør, at man kan udnytte sårbarheden, til for eksempel at komme ind og få remote code execution, altså for adgang til at køre kode på enheden og gøre, hvad man egentlig kontrollerer, som man nu har lyst til. Altså for eksempel de her køleskabe i de franske supermarkeder, som overop hedder? Ja, lige præcis. Så kræver det, at de er sårbare, og at man har en måde at udnytte sårbarheden på. Og tidligere der to begge de her to ting tog egentlig tid, så man udvalgte måske sin mål lidt mere omhyggeligt. Fordi der skulle være, altså hvis man investerer tid og penge ressourcer i at finde en sårbarhed, så skal den også have en værdi. Men når man kan få A-agenter til at finde sårbarhederne, så bliver det meget billigere, end da man skulle have mennesker til at finde dem. Så barn for, hvornår noget bliver interessant at undersøge, den bliver meget lav. Og tilsvarende, det der tidligere tog lang tid med at udvikle en exploit, altså det kode, der skal til for at udnytte sårbarheden, det kan man også få nogle agenter til at hjælpe med at udnytte. Og det vil sige, at man langt hurtigere kan udnytte den sårbarhed, man lige har fundet. og det betyder, at dem der sidder på den anden side, de har meget kort tid til at patche og få lukket sikkerhedshullet. Altså til at reagere og simpelthen holde dem ude. Ja, lige præcis. Og så tror jeg, og det er ikke sådan en helt forskningsmæssig belæg for, men det er klart min oplevelse, at når man så er kommet ind i systemerne, så er man også hurtigere til at komme hen til det, man gerne vil gennemføre. Simpelthen fordi man også bruger kunstig intelligens, der finder ud af, hvordan kommer man så videre, og hvordan gør man det på en måde, uden at blive opdaget, så man kan hurtigere komme dybere ind i systemerne. Og det, du beskriver, det er, det der sker, når man snakker om de her sådan agenter, der er løbeløbske, AI-agenter, som er løbeløbske i nogle tilfælde, at det er sådan nogle ting, de gør, eller kan gøre. Ja, man kan sige, de der AI-agenter, der er løbeløbske, de er jo egentlig ikke blevet instrueret i, nødvendigvis, at finde, og udnytte sårbarhed. de har bare gjort det, fordi det var den letteste vej til målet, til det mål, de havde fået. Altså, det var lettere, og det var lækkere at hake sig ind til nogen, der havde løsningen, end at finde den selv, for eksempel. Og det, jeg taler om, det er jo, hvor man sådan bevidst bruger agenterne til at sige, det målet er at komme herind. Det er kun store databaser og offentlige registre, der er under pres. Vi har koblet flere og flere ting til nettet, produktionsudstyr, overvågningskameraer og husholdningsapparater, røgealarmer og den slags. Samtidig er virksomheder blevet overhængige af software fra mange forskellige leverandører. Det skaber i voksne netværker forbindelser, hvor et sikkerhedshul et sted kan åbne døren til systemer et helt andet sted. Det var noget med de her forsynningskæder, som du kalder dem, digitale forsynningskæder. Forstået på den måde, der er forskellige steder i sådan et digitalt kredsløb, at man kan slå til som hacker. Hvad betyder det, at det bliver mere sårbart i de her forsynningskæder? Og hvad er sådan en digital forsynningskæde egentlig for noget? Forsynningskæder kan vende begge veje, men typisk der vil det jo være, at hvis du har en virksomhed, så køber du nogle systemer og noget software fra en softwareleverandør. Og hvis den softwareleverandør så bliver kompromitteret, for eksempel at der bliver skudt en bagdør ind i en opdatering, så når du installerer den opdatering i god tro, og også i leverandørens god tro, så lige pludselig, så har de unne hacker, de har en bagdør ind til dine systemer. Det vil være sådan et typisk forsynningskæderangreb. Og så er der jo nogle andre apparater, som også er kommet ind og er blevet en del af de der forsynningskæder, kan man sige, nemlig de ting, vi har installert derhjemme, for eksempel et overvågningskamera, eller kan det være en babyalarm også. Hvad skal man gøre som almindelig borgere? Jamen som almindelig borgere, så egentlig man skal gøre, altså man skal gøre det samme, som man skulle før, men man skal bare være lidt bedre til det. Så det her med, at man skal holde sine enheder opdateret, at man skal bruge forskellige passwords forskellige steder, at man skal bruge to-factor authentication, det er stadigvæk de gode gamle råd, der holder. Og det er det, fordi hvis der er nogen, der på en eller anden måde nu for eksempel får adgang til oplysninger om dig, der kan bruges til at lave et phishingindgreb, lad os stadig have magasin eller CPR-læg. Der er måske nogen, der vil bruge det til at lave et målrettet phishingindgreb mod dig, fordi konteksten rammer så godt, så falder du i, så får du udenudfyldt en e-mailadresse og et password. Hvis det her password, det er, du bruger til andre services, så risikerer du, at angriberne, de prøver den der kombination af brugernavn og password eller e-mail og password, den prøver de af en hel masse steder. Så dem, der har gennembrugt deres password og deres e-mail, de bliver ramt, fordi så kommer man ind alle de steder, hvor man har brugt den kombination. Hvis du kun har brugt dit password et sted, så er det det eneste sted, det kan komme ind. Og har du så to faktor godkendelse på, så kommer de heller ikke ind. Så jeg tror, man skal både tænke i at reducere sandsynligheden, altså dermed, man skal lade være med at klikke på links, og så skal man også reducere konsekvensen af, hvis, skrøjstren, når man falder i et phishing-angreb og kommer til at afgive nogle informationer, Så man skal bruge en password manager og have to faktor identification på. Lige præcis, og det lyder så simpelt. Men når man er ude og snakke med mennesker, så viser det sig bare, at selv det simple, det kan godt være svært lige at få tid til. Truslen kommer fra flere steder på en gang. Flere forbundne apparater, flere cyberkriminelle, mere geopolitisk konflikt og kunstig intelligens, der kan sætte tempoet yderligere op. Spørgsmålet er, hvad kan vi stille op? For selvom hackerne får nye værktøjer, så mener Jens Myhre Pedersen ikke, at almindelige borgere behøver at opfinde helt nye forsvarsmetoder. Det handler om digital hyggeegne, men det kan ikke være den enkelte borgers ansvar at kompensere for dårligt sikrede offentlige systemer. CPR-sagen rejser derfor et mere grundlæggende spørgsmål, har myndighederne overhovedet tilstrækkelig overblik over, hvem der har adgang til vores oplysninger og hvordan de bliver brugt. Jens Myhre Pedersen peger på tre steder, hvor der efter hans mening skal sættes ind. Og det ene, der er, at vi overalt i vores offentlige sektor skal se efter, hvor er der ellers nogle registre henne, hvor man ikke har styr på sikkerheden. Og så sørge for, at man får styr på det basalt, altså får styr på, hvem er det, der har adgang, stiller man krav til dem, der har adgangen, og har man nogle centrale systemer, så hvis der er et misbrug, at man så rent faktisk opdager det. Jeg tror også, at tidligere der har man set de her registre som sådan lidt selvstændige. Men i en tid med AI og hvor man kan behandle meget store omlængder af data, så skal man se det på, hvad kan det her register bruges til sammen med andre register. Jeg tror, det er sådan en pointe fra tængeløsningssagen i hvert fald. Men ud over det, så tror jeg, at man skal lave et CPR-nummer, som ikke har den effekt, som ikke har den særstatus, som CPR-nummeret vel har haft, hvor man nogen steder har kunnet bruge den til at bekræfte sin identitet. Fordi hvis ikke man kan bruge det til det, så er det bare et nummer, et eller andet journalnummer, et tagesnummer, and so what. Og det er derfor, det for eksempel ikke må være ens fødselsstatus? Ja, det er sådan en anden del, fordi det her med, at det ikke skal være særstatus, det er meget med, hvordan man bruger CPR-nummeret. Det med, at man skal fjerne fødselsdagen, det er jo især fordi, at så kan man ikke misbruge det til noget som helst, fordi en fødselsdag kan godt være interessant, for eksempel i forhold til at kunne lave et mere målrettet phishing-angreb. Men hvis man også fjerner det, så står man egentlig med et meget neutralt nummer. Og så forestiller jeg mig, uden at kende, hvor meget der bygger på vores CPR-nummer, at der nok er en hel del systemer, man lige skal have kigget på, fordi man udnytter, at man ud fra et CPR-nummer faktisk skal udlede en fødselsdator. Så jeg tænker, det er også den længere rejse, man skal ud på, og måske skal man tage den i to trin, hvor man starter med den måde, man bruger CPR-nummeret på, og så i trin to tager den måde, man har lavet CPR-nummeret på. CPR-hacket er dermed ikke bare historien om et databryd, det er en advarsel om en digital infrastruktur, hvor flere og flere oplysninger kan kombineres, mens angrebene bliver hurtigere og billigere. Løsningen er ikke nødvendigvis at skråtte CPR-systemet, men at ændre måden, vi bruger numrene på, kontrollere adgangen til vores registre og gøre digital sikkerhed, til en grundlæggende del af både den offentlige og private sektor. Og så er der brug for nye mennesker, der kan forstå og forsvare de systemer, vi alle sammen er blevet afhængige af. Jeg håber jo også, at man bruger det her til, at vi faktisk får skruet op for sikkerheden rundt omkring, især i vores offentlige sektor, hvor der er brug for det, ude i virksomhederne, især i de små og mellemstore virksomheder, hvor der er et stort efterslæb. Og så alle de der helt elementære ting, som hver eneste dansker bør gøre de gode vaner, som man både har derhjemme og på arbejde. Fordi der faktisk ligger rigtig meget resiliens i, at vi har en god digital adfærd. Og du er så også landsholdskapten af? Ja, træner fra Saborlandet. En af trænerne bag Saborlandsholvet. Og Saborlandsholvet, det er, hvis man ikke lige ved det? Det er ti meget talentfulde unge mennesker, der er gode til arbejdsikkerhed, og som repræsenterer Danmark ved de europæiske mesterskaber. Vi har lige været afsted her, men nu er her, hvor vi optager, til de europæiske mesterskaber i Bokrum i Tyskland. Og endte på en flot syvende plads. Og det er sådan lidt sjovt, fordi på første dag kom vi på femte pladsen, på anden dag kom vi på sjette pladsen. Og når man så kombinerer resultaterne, kom vi på syvende pladsen. Men vi er egentlig godt tilfreds med det resultat. Og det man så lærer for folk, det er altså de unge mennesker, det er noget om cybersikkerhed, dybest set ved at lade dem hacke selv. Ja, der er faktisk både i konkurrencen, der er både sådan en offensiv del af den, hvor man skal bryde ind og finde sikkerhedsholder og finde ud af, hvordan man udnytter dem. Og så er der defensiv del, hvor man skal finde sårbarheder i sine egne systemer og få dem lukket, inden modstanderne begynder at angribe ind. Ja, så skal man så også angribe modstanderne, så det er sådan attack defense. Cyberlandsholdet, det kommer jo til, at det foregår, den her konkurrence, kan vi jo godt kalde det, den kommer jo til Danmark til næste år. Kunne du sige på om det? Jamen, vi skal være værner for de europæiske mesterskaber i Aarhus næste år. Og det er vi ved at komme godt i gang med at planlægge. Vi har været meget spændte på, hvordan man lavede konkurrencen i Tyskland, fordi vi har lavet regler for brugende AI. Vi har faktisk fuldstændig forbudt brugende AI under det meste af konkurrencen. Og det skulle vi lige se, hvordan det virkede, inden vi besluttede os for, hvordan vi ville gøre det herhjemme. og vi er ikke færdige med at evaluere på det, men jeg tror, vi ender med, at man ikke må bruge AI. Og hvordan er det? Man kan jo komme med til konkurrencen, hvis man er skoleelever, ikke? Vi har i hvert fald en konkurrence for skoleelever, der løber her uge 44, 45 og 46, egentlig for alle syvende til tiende klasser. Men hvis man nu ikke er syvende til tiende klasse, og alligevel synes det er spændende, så er alle velkomne til at bruge kræfter med opleverne. Så kan man jo måske komme med på landshålet, hvis man er super dog i sætter. Ja, det er et første trin mod landsholdet. Vi kommer til at køre de danske sabermesterskaber igen her til foråret. Og til den første del af konkurrencen, der har vi også en åben kategori. Så selvom konkurrencen egentlig er for de 15-25-årige, så kan alle være med i kvalifikationen. Så lad det her med være en opfordring, så vi kan få højnet viden og sikkerhedsniveau i Danmark omkring det her. Præcis. Ja. Jens Myhr Pedersen, tak fordi du kom. Tak fordi jeg var med. Danmark skal altså være vært for Europamesterskaberne i cybersikkerhed i Aarhus i 2027 til næste år altså. Og par deres sagt nok, så kan det blive en konkurrence, hvor den kunstige intelligens må blive hjemme. Du har hørt Jens Myhr Pedersen, professor i cybersikkerhed ved Aarhus Universitet og træner for det danske Cyberlandshold. Jeg linker både til det danske mesterskab og til Europamesterskabet for tektopia.dk, hvis der nu skulle sidde nogen derude, som kunne have lyst til at være med. og herhenveler man sig jo især til yngre mennesker i 15-30 års alderen. Når du lytter til den her podcast, så er der gået nogle dage, siden jeg snakkede med Jens Myhr Pedersen, og der er også gået nogle dage, siden jeg optog det, jeg sidder og siger lige nu. så der kan være sket forandringer i den verden, der omgiver os. For eksempel så var det sådan, at Jens Myhr Pedersen, når han kom ind ad døren, der snakkede vi om, at der havde været et hack hos stormagasinet Magasin, og da han skulle til at gå ud af døren, så sagde han, at den er galt med Aula. Hvad vil jeg ikke vidste på det tidspunkt, var det, at det handlede om PHP? Derfor lavede vi en hurtig nyhedsudsendelse om sikkerhedsholderne i programmeringssproget PHP. Måske har du allerede hørt den, men hvis ikke, så gentager vi den her. AI afslører gamle sikkerhedsholder. Regeringer lukker websites. Offentlige hjemmesider i flere europæiske lande er blevet lukket efter opdagelsen af alvorlige sikkerhedsholder i programmeringssproget PHP. Fejlene har eksisteret i mere end 10 år, og er nu blevet fundet og udnyttet i sikkerhedsforsøg med hjælp fra kunstig intelligens. Det fremgår af en række kilder, som Tektopia har samlet til denne særudgave af AI-nyhederne. PHP anvendes på omkring 70% af verdens websites, blandt andet gennem WordPress og den software, der driver Wikipedia. Sårbarhederne har fået fællesbetegnelsen PHP to Shell. De kan give en angriberadgang til serverens hukommelse og i værste fald mulighed for at udføre egne kommandorer uden at kende et password. Fejlene ligger i selve PHP-motoren. Derfor kan selv en hjemmeside med korrekt skrevet programkode være sårbar. Historien begyndte den 1. august, da sikkerhedsfirmaet Calif, ifølge The Guardian, opdagede en af fejlene med hjælp fra en stor sprogmodel. Uafhængigt heraf fandt sikkerhedsvirksomheden WIS flere beslægtede sårbarheder. WIS anvendte sin egen AI-agent Atlas sammen med Googles Gemini 4 Argon og Open AI's GPT 5,6 Soul. Det teknisk interessante er, hvordan AI gjorde fejlene praktisk udnyttelige. Ifølge WIS opstår problemerne blandt andet, når PHP løber tør for hukommelse under behandlingen af en forspørgsel. Programmet kan efterlade interne henvisninger til hukommelse, der allerede er frigivet. At omsætte sådan en fejl til et angreb, kræver normalt omfattende analyse af serverens hukommelsestruktur. AI-modellerne hjalp forskerne med at kombinere flere fejl og tilpasse angreb til forskellige konfigurationer. WIS demonstrerede angreb mod blandt andet WordPress og Drupal. Den 17. oktober registrerede Amazon, ifølge The Guardian, et forsøg på at udnytte sårbarhederne mod en såkaldt Honeypot, en logge-server, beregnet til at registrere angreb. Det skete fire dage før den offentlige afsløring. Amazon kunne ikke forklare, hvordan angriberen havde fået kendskab til fejlene. Den 21. oktober udsendte PHP-udviklerne sikkerhedsrettelser. Samtidig advarede den amerikanske efterretningstjeneste, NSA, og Storbritanniens nationale cybersikkerhedscenter om konsekvenserne. NSA anbefalede at tage sårbare websites offline, hvis de ikke kunne opdateres straks. Ifølge The Guardian lukkede offentlige myndigheder midlertidigt hjemmesider i Belgien, Nederlandene, Finland, Frankrig og Tyskland. Også Wikimedia Foundation tog flere systemer offline som en sikkerhedsforanstaltning. Den 22. oktober offentliggjorde Offsec fungerende angripskode på exploit database rettet mod en bestemt kombination af PHP og Apache. De 70 procent beskriver PHP's udbredelse, ikke antallet af kompromitterede websites. Hvor mange serverer, der reelt er sårbare eller angrebet, er ikke fastslået. Sikkerhedsrettelserne er tilgængelige. Ifølge WIS er opdatering af PHP den eneste fuldstændige løsning på de dokumenterede fejl. Denne særudgave af Tektopias AI-nyheder bygger på kilder, der er udvalgt af redaktionen, blandt andet fra IDAs løbende AI-nyhedsanalyse. Manuskriptet er udarbejdet med hjælp fra AI og redigeres af Henrik Føns og Rolf Ask Clausen. IDAs AI-analyse leverer også indhold til vores månedlige webinarer GPT-torsdag. Du har lyttet til Tektopia, vi udkommer hver mandag. Du kan finde tidligere afsnit på tektopia.dk. Du kan skrive til mig på henrik-tektopia.dk. Du kan deltage i teknologidiskussionen i vores Facebook-gruppe, der hedder Tektopia Backstage. Du kan finde os på LinkedIn. Du kan finde os på diverse sociale medier, hvor vi hedder tektopia.dk. snabelag-tektopia.dk. Tektopia bliver produceret af mig. Jeg hedder Henrik Føns, og jeg er fra hjælp af Anders Bredstorff. Tilbage er der kun at sige, tjek dine passwords og brug to-faktor-identifikation, så går det måske nok alt sammen. På genhør i næste uge. Tektopia. Tektopia er en ugenlig podcast om mennesker og deres teknologi, udgivet af Ingeniørforeningen IDA i samarbejde med Punktum.dk og IDA Forsikring. Mit navn er Henrik Føns, og det er mig, der bestemmer i Tektopia.