Tekniken som skyddar dig används också för att attackera dig – och ingen hinner hänga med

När skölden och svärdet tillverkas av samma smedja

Det finns en nästan poetisk ironi i läget vi befinner oss i just nu. Den teknik som lovats bli vår räddning – artificiell intelligens – visar sig också vara ett potentiellt vapen i händerna på dem vi vill skydda oss mot. Det är inte en anledning till panik, men det är definitivt en anledning till skärpt uppmärksamhet.

Låt oss börja med siffrorna, för de är talande. Säkerhetsföretaget Huntress rapporterar att en storskalig lösenordsattack riktad mot Microsofts molntjänst Azure genomfördes med en intensitet som är svår att förstå i mänskliga termer: över 81 miljoner inloggningsförsök på tio dagar, vilket ledde till att konton hos 64 organisationer komprometterades. På kampanjens mest intensiva dag – den 22 juni – drabbades 23 organisationer samtidigt. Det rör sig inte om en hobbyist i ett källarrum. Det rör sig om en industrialiserad angreppsoperation.

Det som gör attacken extra illavarslande är metodiken. Angriparna utnyttjade ett föråldrat autentiseringsflöde kallat OAuth ROPC – en teknik där lösenordet skickas direkt till servern utan att trigga det interaktiva steget för flerfaktorsautentisering. Med andra ord: organisationer som trodde att de var skyddade av flerfaktorsautentisering hade i praktiken ett gapande hål i sin rustning, utan att ens veta om det. Åtta av de drabbade organisationerna saknade dessutom en policy för flerfaktorsautentisering överhuvudtaget.

Slutsatsen är inte att flerfaktorsautentisering är värdelös – utan att säkerhet kräver heltäckande genomförande, inte halvmesyrer.

382 hål i ett av världens mest använda program

Parallellt med detta rapporterar SecurityWeek att Google har lanserat Chrome 151 med rättningar för hela 382 säkerhetssårbarheter – ett antal som slår alla tidigare rekord för en enskild webbläsaruppdatering. Av dessa hittade Google självt 358 stycken. Femton klassas som kritiska, 67 som allvarliga, och flera av bristerna finns i webbläsarens renderingsprocess – vilket innebär att en angripare i värsta fall kan uppnå godtycklig kodkörning enbart via en skadligt utformad webbsida.

Och här är det avgörande: Google uppger att den kraftiga uppgången i antalet hittade sårbarheter troligen beror på användningen av AI-verktyg i säkerhetsarbetet. Det är goda nyheter ur ett försvarsperspektiv – AI hittar fler hål snabbare än mänskliga granskare någonsin kunde. Men det väcker omedelbart en obehaglig motfråga: om försvarsidan använder AI för att hitta sårbarheter, vad hindrar angriparsidan från att göra detsamma?

Säkerhet måste byggas in – inte lappas på

Mitt i dessa alarmerande siffror finns det ljusglimtar som pekar mot rätt riktning. Det nederländska säkerhetsföretaget Dawnguard har precis tillkännagivit en finansieringsrunda som tar bolagets totala kapital till motsvarande 66 miljoner kronor, och lanserar samtidigt en plattform för automatisering av säkerhetsarkitektur. Grundtanken är enkel men länge försummad: säkerhet ska inte vara något man stoppar in i efterhand – den ska vara inbyggd från grunden.

I tjugo år byggde branschen system och lappade sedan säkerhetshålen. I ett läge där angripare opererar i maskinhastighet, och där AI möjliggör kontinuerlig och automatiserad kartläggning av sårbarheter, är det synsättet inte längre försvarbart.

Microsoft rör sig i samma riktning. Enligt Computer Sweden inför bolaget nu skärpta begränsningar i sin autentiseringsapp Microsoft Authenticator för användare med systemfrigöra enheter – det vill säga mobiler där tillverkarens skyddslager har kringgåtts. Enheter av det slaget anses vara en svag länk i säkerhetskedjan, och i en värld där autentiseringsappar utgör ett centralt skyddslager för miljontals användare är det ett logiskt och välkommet steg.

Transformationen är redan igång – frågan är vem som leder den

Det vi ser just nu är inte en tillfällig topp i hotbilden. Det är en strukturell förändring av vad det innebär att bedriva verksamhet digitalt. AI sänker trösklarna för alla – de som försvarar och de som angriper. Organisationer som behandlar cybersäkerhet som en IT-fråga snarare än en strategisk ledningsfråga kommer att hamna på efterkälken.

Men – och det här är viktigt – det finns aldrig ett bättre tillfälle än nu att göra rätt. Verktygen finns. Kompetensen byggs upp. Investeringarna flödar in i rätt lösningar. Den organisation som fattar besluten i dag, bygger in säkerheten från grunden och ställer rätt krav på sina leverantörer, har verkliga konkurrensfördelar imorgon.