Hackare lurar människor, inte maskiner – och det är därför de vinner

Det digitala hotet har fler ansikten än någonsin

Låt mig vara tydlig: det här är inte en vanlig vecka av dataintrång och säkerhetsincidenter. Det här är en vecka som illustrerar att angripare inte längre nöjer sig med ett enda verktyg eller en enda måltavla. De attackerar kommunikationsplattformar, leveranskedjor, statliga institutioner – och nu till och med rättssystemets tilltro till ny teknik.

Vi börjar med det som berör flest människor. Molnplattformen RingCentral, som används av företag världen över för kommunikation, drabbades i juli av vad bolaget självt beskriver som en "sofistikerad social manipulationskampanj". Resultatet? Personuppgifter tillhörande upp till 1,6 miljoner personer – namn, adresser, telefonnummer och e-postadresser – hamnade i fel händer, rapporterar SecurityWeek. Utpressningsgruppen ShinyHunters, välkänd i säkerhetskretsar, hävdar att de lyckades stjäla mer än 623 gigabyte data. När RingCentral vägrade betala publicerades ett arkiv på 280 gigabyte. Tjänsten HaveIBeenPwned har nu bekräftat drygt 1,6 miljoner unika e-postadresser i det läckta materialet.

Detta är en påminnelse om att social manipulation – att lura människor snarare än att knäcka kryptering – fortfarande är en av angriparnas mest effektiva metoder. Tekniken är sällan felet. Det är vi.

Leveranskedjan: Det svaga ledet du glömde bort

Nästa exempel är minst lika talande, men av en annan anledning. Trezor, tillverkaren av hårdvarubaserade kryptoplånböcker, har inte blivit hackade – det har deras tredjepartsleverantör ShipMonk. Ändå är det nära 14 000 av Trezors kunder som drabbats, bland dem kunder i Sverige, USA, Storbritannien och flera andra länder, enligt SecurityWeek. Fullständiga personuppgifter stals från nästan 12 000 personer.

Trezor är tydliga: deras egna system är intakta, och plånböckerna är säkra. Men det spelar liten roll för den kund vars leveransadress och telefonnummer nu cirkulerar bland aktörer som vill använda dem i riktade nätfiskeförsök. Det är just det som Trezor varnar för – och det är precis rätt varning att ge.

Detta är leveranskedjans dilemma i klartext: du kan bygga världens säkraste produkt och ändå läcka data via en partner du knappt tänker på. Tredjepartsrisken är en av de mest underskattade utmaningarna i modern affärsutveckling.

Staten som mål – och angriparen som anställd

Om dataintrången handlar om volymer och konsekvenser, handlar nästa nyhet om något ännu mer obehagligt: infiltration. FBI utreder hur en nordkoreansk IT-arbetare lyckades skaffa sig anställning på en icke namngiven amerikansk federal myndighet, rapporterar SecurityWeek. Nordkorea placerar systematiskt fjärrarbetare i västerländska organisationer med hjälp av falska identiteter – dels för att generera valuta till regimen, dels för att stjäla immateriella rättigheter.

Detta är statssponsrad cyberbrottslighet i sin mest listigaste form: inte ett virus, inte ett intrång – utan en människa som sitter inne i organisationen. Det ställer helt andra krav på identitetsverifiering och löpande säkerhetsgranskning av personal, särskilt i en tid när distansarbete blivit norm.

När AI-systemet blir målet – inte verktyget

Men det som verkligen fångar min uppmärksamhet den här veckan är det fall som Ars Technica rapporterar om från Connecticut. En man vid namn Matthew Elliott gömde text i ett juridiskt dokument – osynlig för mänskliga ögon, skriven i vit text mot vit bakgrund i extremt liten storlek – med instruktioner riktade till eventuella AI-system att avgöra målet till hans fördel. Det är ett klassiskt exempel på så kallad promptinjektion, och det är sannolikt det första dokumenterade fallet i USA där metoden använts i ett rättsförfarande.

Domaren Walter Spader Jr. konstaterade att försöket inte påverkade utfallet – domstolen använder inte AI för att avgöra ärenden – men betecknade det som ett "farligt" prejudikat. Och det är just det det är. Inte för att det fungerade, utan för att det försöktes.

Detta är startskottet för en ny kategori av hot: att manipulera de AI-system som organisationer, myndigheter och domstolar börjar förlita sig på. Ju fler beslut som fattas med AI-stöd, desto värdefullare blir förmågan att lura dem.