Klockan är 09.08. – Anders!
Klockan är 09.08, och nu åker första sminkprodukten på.
Linus haffade henne på stan och låtsades vara ett fan av nåt slag–
–och ville ha en selfie.
Ursäkta. Therese Lindgren? Min dotter kollar på dig på Youtube.
–Får jag ta en selfie? –Självklart.
Folk brukar ta ner sin gard lite när det handlar om barn.
Det är fulspel, men så är det ju på nätet. Det finns inga regler där.
Vad säger vd:n om hur man skyddar sig på nätet?
Man har password och dubbla password.
–Man skulle haft trippla password! –Hoppas att han har det.
Och vet ni vad de hade för password?
Jag skämtar inte. De hade Password01.
Jag älskar Svenska nyheter, så det var kul att ge en smocka tillbaka.
SVT låter proffshackare attackera privatpersoner och företag–
–för att visa på sårbarheterna i vårt samhälle.
David, Linus, Jesper och Jinny fick 48 timmar på sig–
–att hacka två offentliga personer: influencern Therese Lindgren–
–och programledaren Kristoffer Appelquist.
Att infiltrera och kapa deras största och viktigaste onlinekonton.
Password01... Jag undrar om experterna tror–
–att det verkligen är kriminella superhjärnor som ligger bakom.
Men regeringen behöver hjälp med att hålla it-säkerheten på rimlig nivå.
Vi har tittat på vad han har för online footprint.
Vi har tittat i läckta databaser och hittat några lösenord.
Det är troligtvis gamla lösenord till gamla konton som läckt.
Vi har kollat hans sajter online.
Ofta är privatpersonen redan hackad utan att veta om det.
På internet finns ju massor med information till salu.
T.ex. din mejladress eller lösenordet till din mejl ligger ute till salu.
De är otroligt billiga att köpa, så man kan köpa miljontals av dem.
Sen om jag väljer just dig, så kan jag pröva lösenordet–
–för många använder samma lösenord på flera ställen.
Det är framför allt två lösenord han är väldigt kär i.
–Han är inget mastermind på lösenord? –Nej.
"Katamaran" har använts mer än en gång. Sen det bästa lösenordet–
–som gör att man gillar honom: "hatasj". Han har nog pendlat mycket.
Det är ganska jobbigt, för vi har testat lösenorden vi har kommit över.
Det är inget som funkar riktigt. Jag och Linus har kodat en cool grej.
Men det kräver tillgång till datorn.
Vi måste på nåt sätt kunna leverera nån form av kod, en bakdörr.
Vi måste få tillgång till en enhet på hans dator.
Det ska gå. Vi ska inte misslyckas.
Nu är det mycket folk här. Vi MÅSTE ha tillgång till Kristoffers dator.
Vi kan inte göra det från utsidan på den tid vi har.
–Ja... Det är lite fuskigt, men... –Ja, men du ber oss trolla.
Vi får så sjukt lite tid på att göra nåt som normalt tar jävligt lång tid.
När du fiskar efter privatpersoner och lösenord–
–så skjuter du 10 000 mejl, och kör det hela tiden. Nån nappar då och då.
Här ber du oss att gå in och bara... /FINGERKNÄPP/
–Det går inte. –Om vi får bort honom från datorn...
Det är en klassisk grej som folk gör, att de lämnar sin dator olåst.
Kristoffer har godkänt att låta sig hackas.
Det enda han vet är att det sker de närmaste veckorna–
–och att han ska intervjuas av SVT.
Jag hakar på er. Jag lånar en kamera. Jag vet inte hur det funkar, men...
Jag är från Göteborg, det går bra. Det enda vi ber om som fusk är att...
...få tillgång till datorn i en minut.
Du får hänga med, och kan du greja med hans dator så får du göra det.
Jag sitter och läser kommentarer. Jag letar efter...
...språkbruk som jag kan använda i ett phishing-mejl.
Phishing är när man mejlar och uppger sig vara någon–
–och sen försöker lura mottagaren att köra en fil eller klicka på en länk–
–där de kanske behöver logga in med lösenord eller nåt liknande.
Vår nya identitet är Frida Kvarnesson.
Jag vet inte ens om det är ett namn, men nu är det det i alla fall.
Vi har allt det här materialet för att skapa den här karaktären–
–och förhoppningsvis få in Therese i en falsk säkerhet–
–att det är ett barn och ingen som kan göra henne nåt ont.
Vi hoppas det ökar chansen att hon ger ifrån sig inloggningsuppgifter.
Det är obehagligt att jag loggar in med mitt pekfinger. Bara en sån sak.
Jag startade en sminkkanal på Youtube, men bara efter nåt år–
–så började jag nämna att jag led av panikångest.
Då fick jag väldigt många frågor om psykisk ohälsa och personliga frågor.
Jag ändrade då mitt innehåll lite efter vad de som såg mina videoklipp–
–var intresserade av. Det passade mig mycket bättre också.
I dag är det en livsstilskanal. Jag filmar mina dagar.
I dag är det en miljon följare både på Youtube och Instagram.
Jag är verkligen ett kontrollfreak, så det känns obehagligt att jag...
...inte riktigt har kontroll över det tekniska.
Skulle min Youtube-kanal försvinna för att nån hackar sig in på den–
–eller vad som nu kan hända på nätet, då vet inte jag vad jag gör.
Jag har inte ett nummer till Youtube som kan lösa det. Det är läskigt.
Jag är väldigt utsatt. Varje dag får jag sms från Snapchat, Instagram...
...och Facebook, där det står: "Det här är koden du ska skriva in."
En tvåstegs-verifiering. Så många försöker ju ta sig in på mina konton.
Men hittills har jag aldrig varit med om att jag har blivit hackad.
"Hej, Tessan!"
"Min pappa träffade på dig inne i stan."
Vi kan "slamma" in en heart-emoji.
Förhoppningsvis klickar hon på länken–
–och kommer till en inloggningssida för sitt Youtube-konto–
–som vi har lagt upp – en falsk sida. Hon ombeds att logga in på Youtube.
Förhoppningsvis tänker hon sig inte för, utan skriver in uppgifterna.
Då ska vi haffa det och logga in på hennes Youtube.
Jag tycker att jag är ganska reserverad. Jag får nog äta upp det.
Men jag sparar inte mina lösenord så att de auto-fylls i.
När man ska skriva in kontokortsnumret–
–så frågar den om man vill spara det, men jag trycker alltid nej.
Jag brukar stänga av platstjänster på appar.
Jag tänker ändå lite på det, jämfört med min sambo som bara trycker ja.
Phishing står bakom 50–70 % av alla dataintrång. Det är nyckeln in–
–för de mest komplexa brotten vi har i världen. I själva mejlet...
Enligt SCB skickades det till tre miljoner svenskar för nåt år sen–
–dessa typer av mejl. Och jag vet att det är ännu fler.
Så det är det brott där man använder sig av internets kraft mest.
Det är ett enkelt sätt att lura oerhört många människor.
Det räcker att var tusende går på det så berikar sig de som utför phishing–
–oerhört mycket. Det är otroligt mycket pengar i det.
Planen är att försöka infektera Kristoffers dator med en bakdörr.
Ett dolt program som ger möjlighet att fjärrstyra datorn–
–och spionera på användaren.
Men många variabler och hinder gör det svårt, och tiden är knapp.
För att undvika misstankar agerar Jesper tv-fotograf.
Målet är att föra in skadlig kod i Kristoffers dator via ett usb–
–utan att han märker det.
–Tjena! Välkommen. –Tack. Jesper heter jag.
Jag fick en kamera och såg ut som att jag hörde hemma.
Jag gick runt i lokalen och simulerade att jag var en i teamet.
Samtidigt hade jag kontakt med mina kollegor på utsidan.
Ni som är med i Jönssonligan och har tänkt råna en bank–
–men inte vetat hur ni kommer över ritningarna, kan skatta er lyckliga.
Såna ritningar har läckt ut! Vilka är de här hackarna?
De är snillrika. Vi måste jobba ännu hårdare för att komma ifatt.
Jag är programledare på SVT och gör Svenska nyheter.
Jag jobbar heltid med det 20 veckor om året.
Annars gör jag podd som vi spelar in och klipper här.
Vi förbereder intervjun, då. Vi tar en bild när Jesper sätter sig.
Jag tar en här inne när det är tomt.
När ni gick iväg och gjorde intervjun så var jag ensam i ett av rummen.
Det var ingen dörr mellan. Jag kunde ha petat honom i nacken från datorn.
Väldigt nära! Inte mycket ljud behövs för att nån ska vända sig.
Medan teamet förbereder intervjun–
–åker David och Linus till Thereses lägenhet för att gillra fler fällor.
–Har du hennes adress? –Nej, det har jag faktiskt inte.
–Ska jag ta fram den? –Ja, gör det.
Therese: Det värsta som kan hända är allt som äventyrar min säkerhet.
Det krävs ju bara en knäpp person–
–för att det ska bli jätteobehagligt för mig och för min familj.
Det värsta som kan hända är att det sprids privata uppgifter–
–som telefonnummer och hemadress, och att fel person använder det mot mig.
David håller på att förbereda ett kuvert med hennes adress på–
–och ett brev med en usb-nyckel, alltså ett usb-minne.
På usb:t har vi en bakdörr. Det ser ut som en pdf-fil men är en bakdörr.
Den ska vi släppa i hennes brevlåda.
Vi lockar henne att öppna filen.
Vi säger att vi nominerar henne till ett pris–
–för att hon är en bra influencer och har gjort ett bra samarbete.
Jag ska se om jag kan angripa hennes wifi.
Det kan gå vägen eller helt åt skogen, men nu kör vi.
Jag och David väntade utanför hennes port på att nån skulle gå in.
Sen var planen att följa efter. Det kom två personer–
–som gick in i den angränsande porten så då gick vi in där i stället.
Det visade sig att vi kom in i hennes trappuppgång via den porten också.
Jag har pinkoden till dörren, om vi vill komma tillbaka.
Usb-stickan är levererad. Stoppar hon in den i datorn och går på fisket–
–så får vi tillgång till hennes dator och kan ta hemligheter–
–och kanske komma åt bl.a. lösenord.
Vi har inspelade signaler från wifi:t.
Knäcker vi wifi:t, åker vi tillbaka.
Vi försöker med så många attackytor som möjligt–
–i stället för alla ägg i en korg.
Risken är ju att det inte funkar. Hon kanske inte ens läser mejlet.
Nån annan kanske läser hennes mejl. Mycket kan gå fel.
Det är därför vi skjuter brett, för att öka chansen att lyckas.
Vi är överens om att man ska gå till utkanten av sitt mandat.
Där händer det intressanta grejer, oavsett om man är programledare–
–eller om man är rektor för en skola.
Gå till utkanten av vad du får göra och tänk vad du helst vill göra–
–och försök att pressa in det i ditt mandat.
Det blir mycket roligare om man gör så.
Det får bli vad det blir. Usb-minnet lägger filer lokalt på usb:t–
–men skickar också två anslutningar till våra servrar på internet.
Älvsjö. Den kör.
–Det är usb-minnet kanske. –Ja, ja, ja!
Jag anar att min inställning till it-säkerhet–
–är lite som folks inställning till säkerhet på sjön.
"Jag behöver inte flytväst, för jag går aldrig nära kanten."
Du tänker ett steg för kort. Börjar det brinna, måste du hoppa överbord.
Då är skillnaden mellan att överleva och dö en flytväst.
Man förstår inte vad man håller på med. Jag tror inte att jag är sämst.
Jag har ändå ansträngt mig nån gång. Jag vill inte vara en som inte ville–
–att det skulle komma bilar, för att hästar säkrare.
Det är ju så här det är.
Det finns ju inget värre än att sitta i ett internt system–
–som nån farbror som heter Leif har gjort, som är jättedåligt–
–bara för att undvika att dela med oss av våra matvanor–
–till Silicon Valley. Vilket de ändå får reda på nån annanstans.
Jag kan inte göra nåt åt det. Det är bara att gilla läget.
–Är den fortfarande öppen? –Ja.
–Nu! –Ja! Vi är inne!
Vi har tillgång till i princip alla filer, och tankar ner dem.
Dokument, bilder, men framför allt lösenord.
Vi tankade hem det som kan ha sparade lösenord, som webbläsare, databaser.
–Tack så mycket. Vi ses i kväll. –Ja, det gör vi.
Även om hackarna har tillgång till Kristoffers dator–
–behöver de komma över lösenorden. Här kommer key chain in i bilden.
Key chain är en krypterad behållare där datorn sparar lösenord–
–pinkoder och kreditkortsuppgifter. För våra hackare är det skattkistan.
Problemet är att låset är robust och svårdyrkat.
Du har för närvarande plats 1 i kön.
Folk använder ofta samma grund till lösenord och lägger sen på saker.
Det är supervanligt att folk lägger på årtal och specialtecken.
Så att han har ett av sina tidigare kända lösenord med ett årtal efter–
–är nåt vi måste prova i alla fall.
Välkommen till Skatteupplysningen.
Hej. Linus heter jag. Jag vill ha lite uppgifter om en persons barn.
Vi kan se vad vi har för uppgifter.
Det är enkelt att ringa Skatteverket, det är som en öppen bok.
–Gäller det Kristoffer Appelquist? –Ja.
Två vuxna barn och ett minderårigt. Vill du veta vilka de vuxna är?
Samtliga.
–Var det adresser du ville ha? –Personnumren.
Nåt vi vet är jättevanligt är att använda barnens födelseår.
–Bara de sex första siffrorna? –Nej, alla.
–Jättebra. Tack så mycket. –Tack. Hej.
Det är inte Danmark, det här, med halvhemliga personnummer.
Vi gissade lösenord för fullt. Det är ganska segt mot Apples key chain.
Det gick trögt. Timmarna tickade på. Vi hade ju deadline åtta på kvällen.
Jag kommer nog behöva skjuta ut mig på den här. Jag hinner inte med det.
–Therese? –Ja. Det kommer att bli svårt.
Vi har försökt knäcka hennes wifi, men inte lyckats.
Vi har lagt ett brev med usb-minne i hennes brevlåda.
Det har hon inte stoppat i vad vi kan se. Kvar har vi phishing-attacken.
Jag kan tänka mig att Thereses dag börjar med att hon tar morgonkaffet.
Sen öppnar hon sin dator, och så är det 56 000 olästa mejl.
Scroll, scroll. "Nu filmar vi." Jag tror inte att hon har tid.
Bara sen i går har jag fått sms som ser annorlunda ut.
Det är sms med asiatiska tecken, jag vet inte vilket språk. Och...
Och i går när jag satt på Youtube, så blev jag utloggad.
Sambon frågade: "Brukar det hända?" Det har inte hänt på åtta år–
–att jag plötsligt loggats ut från ingenstans från Google och Youtube.
Så det är konstigt.
Hackarna inser att tiden inte räcker till att både stjäla Therese lösen–
–och ta sig förbi hennes tvåfaktors- autentisering. Hacket avbryts.
–Hallå där. –Hejsan! Hej!
–Hur är läget? –Bra.
Du har på gatan träffat en pappa till ett fan.
Ja!
Jag blev så glad också.
Och så fick jag mejl från hans dotter och blev jätteglad.
Jag klickade på länken, för hon hade sett nåt i nån video. Jag klickade.
Vad hände då?
Det kom upp att jag skulle fylla i mina uppgifter. Då stängde jag ner.
–Ah... –Vi skickade phishing-mejl till dig.
Målet var att få dig att klicka–
–och förhoppningsvis, nån tidpunkt när du inte är så alert, logga in–
–och så hoppas vi att de uppgifterna används nån annanstans.
Åh, fy! Hette det phishing, phishing- mejl, när man skickar ut länkar?
–Precis. Nätfiske på svenska. –Jag förstår.
Mycket bra jobbat, Therese!
Det här var jätteobehagligt, men det var väldigt intressant.
Jag har lärt mig mycket om att reflektera.
–Jättesnällt, Therese. –Tack så mycket för i dag.
Alla behöver vi bli bättre på vår säkerhet på internet, prata om det.
Vi behöver utbilda oss själva och varandra.
Vi behöver ställa krav på politiker om större kraftansträngningar–
–när det kommer till vår it-säkerhet.
De behöver ge mer pengar till polisen–
–så att de kan utreda och förebygga brott på internet.
Det är viktiga frågor.
Lösenord ska vara unika. Det är det absolut viktigaste.
För skulle det läcka i en tjänst, så behöver du bara byta det lösenordet–
–och du riskerar inte att det händer nåt på de andra sajterna.
Det andra är att det måste vara långt – åtminstone 12–15 tecken.
Barnens namn – nej. Hundens namn eller registreringsnumret – nej.
123456 – nej, för jösse namn!
Hellre än en teckensoppa kan man ha en fras. Man kan ha:
"Minmammasjönghelangårförmig- närjagskullesova."
Ju längre, desto svårare att knäcka. Det är lättare att komma ihåg fraser.
Men vi ska inte behöva komma ihåg lösenord – använd lösenordshanterare!
Det finns hur många som helst. Ta reda på dina behov, och välj verktyg.
–Tja! Bra jobbat! -Jävlar vad gött!
Genombrottet kom då min dator knäckte lösenordet till hans key chain.
Det var en kombination av hans gamla kända lösenord "hatasj"–
–och födelseåret till ett av barnen. Då öppnades skattkistan: key chain.
Nu har vi alla lösenord i key chain. Vi har lösenord till Chrome-log in.
Den måste vi avkryptera nu, för där i ligger fler lösenord.
David lyckades avkryptera den och där bara rasslade hemligheterna fram.
Vi har alla lösenord för Chrome Extensions nu. Allt – hela skiten!
–Rubbet! –162 stycken. Gött.
–Instagram kan vi logga in på, va? –Vad kan vi hitta på för bus?
–Jag tänker att en bild är kul. –Jag kan kolla Facebook.
Han måste ju tåla lite bus.
Vi tar en bild där vi står med en skylt: "Dubbla passwords."
Är ni redo? Smajl.
Tio timmar har gått sen hackarna infekterade Kristoffers dator.
Nu behöver Jesper inte låtsas vara nån annan. Dags att avslöja sig.
–Tjenare! Jesper heter jag. –Välkommen.
Jag jobbar som it-säkerhetsspecialist – det har du nog redan förstått.
–Det har jag. –Du ser lite konfunderad ut.
Nej, men... Jag tror att vi har haft kontakt under dagen.
–Du har gjort att jag fått mejl. –Så kan det nog vara.
–I alla fall de senaste timmarna. –Just det.
–Har du märkt nåt mer? –Jag tror Instagram, Facebook och...
–Kan vi kolla Instagram nu, eller? –Ja, absolut.
Fan, du har inte postat på Instagram? Nej, nej, nej...
Vi kollar på senaste posten. Är det nerver nu, eller?
–Ja, det är klart. –Inte så pubertalt.
Känner du igen nån? /JESPER SKRATTAR/
Tack så hemskt mycket. Det står "dubbla passwords".
Ett bevis på att jag var ägd, så det gjorde lite ont.
Alltså, jag är inte it-chef på nåt jävla säkerhetsföretag.
–Jag är en clown. –Ja, men en bra clown ändå.
Men jag har inte gjort det här ensam, utan jag har haft hjälp. Här är de.
Ser ni oss? Ni har frusit.
–Ja, nu. Tjena! –Hej!
Jag och David satt på hotellrummet och var med via Teams.
Vi kunde styra hans dator därifrån.
–Har du din dator framför dig? –Det har jag.
Är det nåt på din dator just nu?
Jag öppnade det här dokumentet som jag hade–
–med över 100 användarnamn och lösenord, rakt upp på skärmen.
–Shit! –Du ska ha trippla password.
Tack. Jag visste att det där skulle bita mig i arslet. Förlåt för det.
Det var kul att hacka Kristoffer, då Svenska nyheter är rätt provocerande.
Han tog det bra.
Men...just det. Det är lite jobbigt, för det är inte bara mina lösenord.
Det är ju SVT:s lösenord–
–som jag har fått att hantera som affärshemligheter. Fan, vad jobbigt!
Men vet ni? Jag blir också svinglad.
För om jag hade haft den här listan, vad mycket arbetstid jag hade tjänat!
Jag har ju gått med på det, så det är inte mycket att gnälla på.
Det är en ögonöppnare hur alla ens grejer hänger ihop.
"Det där lösenordet har jag även dit, så om nån listar ut det"...
Jag förstår att nån illvillig kan ställa till det ordentligt för mig.
Lite som att stå vid tavlan i Lyxfällan:
"Jag visste att jag har dålig ekonomi men inte att det var så här illa."
Bra summering.
Hackarnas phishing mot Therese misslyckades.
Therese klickade på en länk, men angav aldrig inloggningsuppgifterna.
Kristoffers dator blev infekterad.
Hackarna kunde efter åtta timmar låsa upp datorns key chain.
De kom över drygt 100 inloggningar, bl.a. Kristoffers Instagramkonto.
Kristoffer: Jag blev glad över att få ställa upp i det här programmet.
Anledningen är enkel: Det vore roligt att få veta vad jag är sämst på–
–så att jag kan bli bäst på det istället. Nu kan jag börja göra rätt.
Jag sökte på lösenord. Sen har jag bara läst. Måste ni döda mig nu?
–Nej, alltså... Är kameran avstängd? –Vi behöver fixa detta.
Det ni har hittat, det måste vi åtgärda – och det är ganska akut.
Textning: Barbro Garneij Svensk Medietext för SVT