Netglæpum á Íslandi fjölgaði um rúm 40 prósent í fyrra og sérfræðingar segja þróunina skýra: Árásirnar eru orðnar fleiri, skipulagðari og erfiðara að átta sig á þeim en áður. Gögn frá netöryggissveitinni CERT-IS sýna að 2312 mál komu á borð sveitarinnar í fyrra, samanborið við 598 árið 2021. Það jafngildir meira en sex málum á dag. Ekki er þó aðeins um hefðbundin netsvik gegn einstaklingum að ræða. Innbrot í tölvukerfi, tölvupóstar og samskipti fyrirtækja eru orðin stærri hluti vandans, að sögn Magna R. Sigurðssonar, forstöðumanns CERT-IS. Þróun Netglæpum fjölgar hratt Mál hjá CERT-IS síðustu ár 598 2021 700 2022 1266 2023 1612 2024 2312 2025 Meira en sex mál á dag Rúm 40% aukning frá fyrra ári „Við sjáum töluverða aukningu í innbrotum í kerfi,“ segir Magni. Þar séu árásarmenn annars vegar að nýta veikleika í kerfum og hins vegar að komast inn í aðgang starfsmanna, til dæmis tölvupóst og Teams-samskipti. Þegar þangað er komið geti þeir fylgst með samskiptum fyrirtækja, safnað gögnum og beðið færis. Það gerist meðal annars þegar árásarmaður kemst inn í tölvupóstkeðju án þess að starfsmaður verði þess var. Síðan er beðið þar til greiða á reikning. „Þá bregst árásaraðilinn við með því að breyta reikningsupplýsingum og fyrirtækið greiðir inn á reikning hjá svikaranum,“ segir Magni. Skýring Svona geta millifærslusvik farið fram 1 Aðgangur fæst Árásarmaður kemst inn í tölvupóst eða samskipti starfsmanns. 2 Fylgst er með Samskipti eru lesin og beðið er eftir hentugu augnabliki. 3 Reikningur birtist Þegar greiða á reikning er gripið inn í ferlið. 4 Upplýsingum breytt Greiðsluupplýsingar eru falsaðar eða „leiðréttar“ fyrir hönd viðskiptaaðila. 5 Greiðsla fer á rangan stað Fyrirtæki millifærir fé inn á reikning svikarans. Mannlegi þátturinn er oft veikasti hlekkurinn og trúverðug skilaboð geta verið sérsniðin að aðstæðum. Gervigreind gerir svik trúverðugri og sérfræðingar segja að stór hluti árása fari í gegnum almenning. Margar tölvuárásir uppgötvast aldrei. Tjónið mælist í milljörðum Afleiðingarnar eru ekki fræðilegar. Í gögnum frá Seðlabanka Íslands kemur fram að veruleg aukning á svikum í greiðsluþjónustu varð frá fyrri helmingi ársins 2024 til fyrri helmings 2025. Samtala tapaðra fjármuna vegna slíkra svika á árunum 2023 til 2025 nam tveimur milljörðum króna. Þar skiptir líka máli hvernig svikin eru framin. Þegar greiðslukort eru misnotuð lendir tjónið ekki alltaf allt á einstaklingnum. Þegar um millifærslusvik er að ræða getur staðan verið önnur og í gögnum Seðlabankans kemur fram að erfiðara virðist en áður að endurheimta fjármuni sem tapast þannig. Gervigreind eykur hættuna Sérfræðingar segja gervigreind hafa breytt forsendum glæpanna. Hún hafi ekki skapað netglæpi heldur auðveldað þeim sem stunda þá að vinna hraðar og betur með þeim afleiðingum að umfangið verður sífellt meira. Ýmir Vigfússon, tæknistjóri Keystrike, segir mannlega þáttinn enn veikasta hlekkinn. „Fimmtíu prósent af öllum árásum fara í gegnum einhvers konar starfsmann,“ segir hann. Tölvupóstar og skilaboð sem samin eru með aðstoð gervigreindar séu orðnir trúverðugri og líklegra að fólk smelli á hlekki í þeim en áður. Magni tekur í sama streng og segir gervigreind nú þegar vera notaða í svikatólum. Hún geti búið til svikasíður á örfáum mínútum, samið tölvupósta eða smáskilaboð og safnað saman upplýsingum um skotmörk. Þannig sé í raun hægt að setja af stað heila svikaherferð á mjög skömmum tíma. Og hver sem er geti keypt sér allt sem þarf til netglæpa. Slíkur búnaður sé seldur eins og hver önnur þjónusta á netinu. Magni segir hægt að kaupa aðgang að verkfærum fyrir fáa dollara eða borga meira fyrir öflugri „premium“ pakka sem geti útbúið svikaherferðir á nokkrum mínútum. Ekki bara glæpamenn í skugganum Þótt mörg mál snúist um fjársvik og vefveiðar segja sérfræðingar að alvarlegustu árásirnar geti tengst þjóðríkjum. Bæði opinberar stofnanir og fyrirtæki hér á landi hafa orðið fyrir netárásum undanfarin ár, þar á meðal stjórnarráðið, Alþingi, Veitur, Strætó og fleiri. Jen Easterly, fyrrverandi yfirmaður bandarísku netöryggisstofnunarinnar CISA, lýsir í viðtali við Kastljós því sem hún telur eitt alvarlegasta atvikið á ferli sínum: þegar tölvuþrjótar sem kallast Salt Typhoon og tengjast kínverska hernum hafi komist djúpt inn í viðkvæma lykilinnviði í Bandaríkjunum, svo sem vatnsveitur, orkukerfi, samgöngur og fjarskipti. Að hennar sögn var markmiðið ekki aðeins njósnir heldur að lama samfélagið ef til átaka kæmi, til dæmis vegna atburða Taívan. Þá gæti stríð í Asíu leitt til ringulreiðar í Bandaríkjunum þar sem vatn, rafmagn, samgöngur og fjarskipti yrðu fyrir truflun samtímis. Hún segir netógnir nú ná allt frá njósnum yfir í truflun og eyðileggingu og þess vegna skipti alþjóðlegt samstarf um að draga úr netáhættu meira máli en áður. Norska öryggislögreglan PST greindi í febrúar frá því að sami hópur, Salt Typhoon, hefði komist inn í norsk fjarskiptakerfi. Magni segir sömu sögu að segja hérlendis. Ummerki hafi sést um að Salt Typhoon hafi komist yfir stilliskrár fyrir netbúnað hér á landi sem hefðu getað nýst til innbrota, þó að engar vísbendingar hafi fundist um að hópurinn hefði nýtt þær. Fæstar árásir uppgötvast Það sem geri stöðuna sérstaklega varhugaverða er að margt bendir til að aðeins lítill hluti árása komi upp á yfirborðið. „Um flestar tölvuárásir vitum við ekkert af vegna þess að þær tókust,“ segir Ýmir. Þær séu ekki gerðar til að vekja athygli heldur til að bora sig inn, leynast og safna upplýsingum eða undirbúa frekari aðgerðir, jafnvel árásir. Þess vegna dugi ekki að líta á netöryggi sem tæknilegt smámál fyrir tölvudeildir. Jen Easterly segir að Íslendingar þurfi að viðurkenna að Ísland sé ekki eyland eða einangrað frá netógnum. Netöryggi sé ekki mál „fyrir tölvufólkið“ eitt og sér, heldur rekstraráhætta og þjóðaröryggismál sem verði að bregðast við eins og öðrum slíkum ógnum. Tölvupósturinn lykillinn að öllu Það kann að virðast óvinnandi vegur að kljást við þjóðríki eða harðsvíraðar, alþjóðlegar glæpaklíkur. En ráðin til almennings eru í grunninn einföld. Þau snúast um vana og aga. Jen Easterly líkir þessu við að bursta tennur og þvo sér um hendur: að uppfæra hugbúnað reglulega, nota sterk og ólík lykilorð, geyma þau í lykilorðastjóra, virkja tveggja þátta auðkenningu og kenna fólki að þekkja vefveiðar. Ýmir setur eitt atriði fremst. „Ef þú ert ekki með tveggja þátta auðkenningu á tölvupóstinum, áttu bara að slökkva á sjónvarpinu og kveikja á auðkenningunni núna,“ segir hann. Ástæðan sé einföld: þegar endurstilla þarf lykilorð á flestum þjónustum endi það í tölvupóstinum. Sá sem kemst yfir tölvupóstinn komist þannig oft yfir allt hið stafræna líf notandans. Vörn Svona virkar tvöföld auðkenning 🔑 Lykilorð Notandi slær inn lykilorð. → 📱 Önnur staðfesting Kerfið biður um kóða eða samþykki í appi. → ✅ Aðgangur Innskráning tekst aðeins ef bæði atriði stemma. Lykilorð eitt og sér dugar ekki ef tvöföld auðkenning er virk. Hitt ráðið er varfærni. Ef skilaboð, símtal eða beiðni um aðgerð virðist undarleg sé ástæða til að staldra við. Ýmir segir þörf á „heilbrigðri vænisýki“ í stafrænu umhverfi þar sem falsaðar beiðnir, trúverðug skilaboð og jafnvel skýr íslensk rödd í síma geti allt verið hluti af svikum. Netglæpirnir eru því ekki lengur afmarkað vandamál tæknigeirans. Þeir snerta einstaklinga, fyrirtæki og innviði samfélagsins alls. Og samkvæmt sérfræðingunum bendir fátt til annars en að vandinn eigi eftir að halda áfram að vaxa. Ráð Fimm atriði sem draga úr áhættu 1 Virkja tvöfalda auðkenningu á tölvupósti og helstu kerfum. 2 Nota sterk og ólík lykilorð, helst með lykilorðastjóra. 3 Staldra við ef skilaboð kalla á skjót viðbrögð eða greiðslu. 4 Staðfesta nýjar greiðsluupplýsingar með símtali eða öðrum farvegi. 5 Uppfæra tæki, forrit og stýrikerfi reglulega. Viðvörun Rauð flögg í grunsamlegum skilaboðum Frá: service@secure-verification-center.co 09:14 Vinsamlegast staðfestið aðgang yðar tafarlaust. Ef ekki verður lokað á reikning innan 30 mínútna. Smellið hér til að staðfesta upplýsingar. 1. Þrýstingur um að bregðast strax við 2. Sendandi eða lén virðist ekki rétt 3. Beiðni um innskráningu eða staðfestingu 4. Óvenjulegt orðalag eða óvæntur tónn