Passordet
Show quick summaryHide summary
What it's about: Every month the IT department of a Bergen insurance company sends a fake phishing email, and every month the same senior accountant, Reidun, clicks the link and types something in. When IT security officer Vemund finally reads what she has been typing, he finds a message about a real fraud attempt nobody answered.
Den første tirsdagen i hver måned, før noen var kommet på jobb, sendte IT-avdelingen i Vågen Forsikring en falsk e-post til alle de tre hundre ansatte. Noen ganger lot den som om den kom fra Posten, med en pakke som ikke kunne leveres, andre ganger fra personalavdelingen, med nye regler for feriepenger. Hensikten var å lære folk å kjenne igjen svindel før de ekte svindlerne prøvde seg. Den som klikket på lenken, havnet på en innloggingsside som så helt ekte ut. Den som i tillegg skrev inn brukernavn og passord, fikk en vennlig beskjed om at dette var en øvelse, sammen med et nettkurs på tjue minutter.
Vemund Haugland hadde ansvaret for testene, og han var stolt av dem. På et halvt år hadde andelen som gikk i fella, sunket fra elleve til tre prosent. Bare ett navn dukket opp på lista hver eneste gang: Reidun Kleppe i regnskapsavdelingen, ansatt siden 1989. Lederen hans, Merete, hadde ikke mye tålmodighet med det navnet. «Hun har tatt nettkurset hver eneste gang, med full score, og likevel klikker hun og skriver inn opplysninger måned etter måned. Det er en risiko vi ikke kan leve med. Snakk med henne før neste test, ellers må vi vurdere å begrense tilgangen hennes.» «Kan det tenkes at noen andre bruker kontoen hennes?» «Da er det enda verre. Finn ut av det.»
Vemund begynte med loggene. Klikkene kom alltid fra Reiduns egen datamaskin, og alltid mellom sju og kvart over sju om morgenen, lenge før de fleste kollegene hadde hengt av seg jakka. Det tydet ikke på en hacker i et annet land. Det tydet på en kvinne som kom tidlig på jobb, åpnet innboksen med en kopp kaffe og klikket på det første hun så.
Det var bare én ting som ikke stemte. Testsystemet lagret aldri passord, det hadde Vemund selv sørget for, men det lagret det som ble skrevet i feltet for brukernavn. Han hadde aldri brydd seg om det feltet. Han hadde bare sett på diagrammene, der Reidun var en liten rød prikk som ødela den fine kurven hans. Nå åpnet han den detaljerte loggen for første gang, og det han så, fikk ham til å sette fra seg kaffekoppen.
I mars hadde hun skrevet: sjekk sak 4471. I april: sak 4471 er fortsatt ikke løst. I juni: leser dere bare tallene? Og i forrige uke bare to ord: sak 4471, haster. Vemund søkte opp saken i brukerstøttesystemet. Den var meldt inn i februar, av Reidun Kleppe, og den var lukket automatisk etter tretti dager fordi ingen hadde svart. Overskriften var kort: mistenkelig e-post fra direktøren.
Han tok med seg laptopen og gikk ned to etasjer. Reidun satt ved et vindu med utsikt over Vågen, med lesebrillene langt nede på nesa og en skillingsbolle på en serviett ved siden av tastaturet. Hun så ikke det minste overrasket ut. «Nå, der kom du endelig. Vil du ha en halv bolle? Du ser ut som du trenger det.» «Du har klikket på alle testene våre med vilje.» «Selvfølgelig har jeg det. Jeg kjenner igjen en falsk e-post på tre meters avstand. Men det var den eneste måten jeg kunne være sikker på at noen hos dere faktisk leste det jeg skrev.»
Hun forklarte det hele, rolig og nøyaktig, slik man kan forvente av en som har avstemt kontoer i over tretti år. I februar hadde hun fått en e-post som så ut til å komme fra administrerende direktør. Han skrev at han satt i et hemmelig møte om et oppkjøp, og at en faktura på nesten en halv million måtte betales samme dag, uten at hun snakket med noen om det. Avsenderadressen var nesten riktig, men den hadde én bokstav for mye i firmanavnet. «Jeg betalte selvsagt ikke. Direktøren vår har aldri bedt om noe uten å si takk, og denne gangen gjorde han ikke det. Så jeg meldte fra slik vi har lært, og så hørte jeg aldri noe mer.» «Saken ble lukket automatisk. Det er ingen unnskyldning, men det er forklaringen.» «Det var det jeg trodde. Men det er ikke derfor jeg skrev at det haster.»
Den nye kollegaen hennes, en ung mann som hadde begynt i august, hadde kommet bort til henne forrige mandag med en e-post han var usikker på. Den hadde den samme ekstra bokstaven i avsenderadressen, og denne gangen gjaldt det en faktura fra et advokatkontor. Han hadde allerede lagt betalingen inn i nettbanken, fordi han ikke turte å si nei til direktøren. «Jeg fikk stoppet den i tide. Men neste gang er det kanskje ingen som sitter ved siden av ham.» «Hvorfor ringte du ikke bare til oss?» «Jeg ringte tre ganger. Dere har en automatisk stemme som sier at jeg skal melde inn en sak.» Vemund hadde ikke noe godt svar på det, og Reidun lot ham tenke en stund før hun fortsatte. «Dere er veldig flinke til å telle hvor mange som klikker. Men ingen teller hvor mange som melder fra. Jeg har meldt fra om fire ekte svindelforsøk i år. Vet du hvor mange svar jeg har fått?» «Jeg har en mistanke.» «Null. Det er også et tall, vet du.»
Resten av dagen gikk med til det IT-avdelingen burde ha gjort i februar. Det falske domenet ble blokkert, alle i regnskap fikk en advarsel, og saken ble meldt til politiet. Merete holdt et kort møte der hun snakket om at rutinene skulle gjennomgås og ansvaret plasseres, men hun unngikk å se på Vemund, og han unngikk å se på diagrammet sitt.
Dagen etter kom han likevel med et forslag. Hvis Reidun kjente igjen svindel bedre enn alle andre i huset, burde kanskje hun lage neste test. «Hun som har den dårligste statistikken i hele firmaet?» «Hun har den beste. Vi har bare målt feil ting.»
Den første tirsdagen i oktober, litt før sju, fikk alle de tolv ansatte i IT-avdelingen en e-post fra kantina. Det sto at det var blitt bestilt altfor mange skillingsboller til et møte som var avlyst, og at de som var raske, kunne reservere to hver ved å logge inn via lenken. Klokka åtte hadde elleve av dem gått i fella. Den tolvte var Vemund, og han hadde skrevet inn passordet sitt to ganger, fordi han trodde han hadde skrevet feil første gang.