Nylig ble det kjent at noen har lastet ned navn og adresser på 42.370 norske Ikea-kunder, pluss opplysninger om litt over 3.000 ansatte. Veien inn gikk ikke gjennom Ikeas egen kode. Den gikk gjennom et sikkerhetshull i programvare laget av andre.

Hva som faktisk skjedde

Den 19. mars kom angripere seg inn i utviklingsmiljøet der Ikea oppbevarer kode og data. Inngangen var et sikkerhetshull i åpen kildekode-programvare som databehandleren deres brukte. Angrepet pågikk i flere dager, og angriperne rakk å kopiere flere datasett før det ble oppdaget.

Til sammen handler det om rundt 45.000 personer i Norge. Ikea sier selv at datasettet inneholder duplikater og noe fiktiv informasjon, så det reelle tallet er trolig lavere. Saken er meldt til datatilsynene i Norge, Sverige og Nederland, og svenske myndigheter leder etterforskningen. Hvem som sto bak, vet Ikea fortsatt ikke.

Ingen av opplysningene regnes som sensitive. Men det betyr ikke at de er ufarlige på avveie. Navn, adresse og vissheten om at du handler hos Ikea er alt en svindler trenger for å skrive en troverdig epost om en leveranse som venter på deg. Jo mer ekte detaljer, jo flere klikker.

Hullet var ikke Ikeas eget

Her er det viktigste poenget for deg som driver en liten bedrift. Ikea har et eget IT-selskap og sikkerhetsfolk på jobb hele døgnet. De ble likevel tatt, ikke gjennom noe de bygde selv, men gjennom en komponent de hentet utenfra.

Nettsiden din er bygget på akkurat samme måte. Et typisk WordPress-nettsted kjører 20 til 30 utvidelser skrevet av folk du aldri har møtt. Bookingsystem, kontaktskjema, statistikk, bildegalleri. Hver eneste av dem er en dør inn, og du har ikke nøkkelen til noen av dem.

Forskjellen på deg og Ikea er ikke at du er et mindre interessant mål. Automatiserte angrep bryr seg ikke om størrelse, de skanner alt. Forskjellen er at Ikea oppdaget innbruddet, varslet myndighetene og ga beskjed. De fleste små bedrifter har ingen som følger med i det hele tatt.

Ansvaret er ditt uansett

Dette overrasker mange: det hjelper ikke at feilen lå hos leverandøren. Er det dine kunder sine opplysninger, er det din bedrift som er ansvarlig etter GDPR. Lekker bookingsystemet eller skjemaleverandøren, er det du som skal melde fra til Datatilsynet innen 72 timer, og du som må varsle kundene hvis risikoen er høy.

Det er verdt å vite før det smeller, ikke etter. Ikea gjorde dette riktig: oppdaget, meldte, varslet. Det er den delen av historien det er lurest å kopiere.

Data du ikke har, kan ikke lekke

Det beste forsvaret er kjedelig: lagre mindre. Mange nettsider sitter på skjemainnsendinger fra flere år tilbake, gamle eksporter av kundelister og epostlister som aldri brukes. Alt sammen ligger der og venter på å bli et problem, uten å gjøre nytte for noen.

Det er blant annet derfor vi bygger nettsider som lagrer så lite persondata som mulig i selve nettsiden. Skjer det noe, er det nesten ingenting å hente. Det er ikke avansert sikkerhet, det er bare ryddighet satt i system.

Tre grep du kan ta i dag

  • Skriv ned hvilke personopplysninger nettsiden din faktisk lagrer, og hvor. Skjemainnsendinger, bestillinger, epostlister, kommentarer. Vet du ikke, er det svaret som bør bekymre deg mest.
  • Slett det du ikke trenger. Gamle innsendinger, ubrukte lister, kundedata fra systemer du har sluttet med.
  • Oppdater alt, og fjern utvidelser du ikke bruker. De fleste innbrudd hos små bedrifter skjer gjennom kjente hull i utdatert programvare, ikke gjennom genial hacking.

Alt dette er gratis og tar en ettermiddag. Og lurer du på hva nettsiden din faktisk lagrer og hvor utsatt den er, kan du sende oss adressen. Vi tar en titt og gir deg ærlige svar, gratis og uforpliktende.