Mer än 30 000 e-bokslån gjordes under attacken mot Biblio

Integritetsskyddsmyndigheten, IMY, har fått in 14 anmälningar efter hackerattacken mot e-bokstjänsten Biblio. Stockholms stadsbibliotek har polisanmält händelsen.

Det var i början av juni som flera svenska bibliotek, bland annat Stockholms stadsbibliotek, drabbades av en hackerattack som innebar att vissa låntagares inloggningsuppgifter hamnade i fel händer. Wedobooks som ligger bakom Biblio konstaterar nu, på sin hemsida att mer än 33 000 lån gjordes under attacken. I stort sett alla de lånen var e-böcker, bara 98 ljudböcker lånades. Böcker av 10 882 olika författare lånades ut men Wedobooks hävdar att de har hittat vissa gemensamma nämnare, ”men inget som ger någon uppenbar förklaring till varför just dessa lån gjordes”.

Tiotusentals falska konton skapades och konton knutna till lånekort började systematiskt låna stora mängder medier och kommunernas och därmed bibliotekens kvoter för e-medier tog slut. Sedan har de drabbade biblioteken, liksom de som inte har drabbats, gjort om sättet man loggar in på.

Viktor Johnsson, jurist på Integritetsskyddsmyndigheten, förklarar att det är biblioteken eller snarare kommunerna som anmäler personuppgiftsincidenter. Det är de som är personuppgiftsansvariga, inte Biblio eller Wedobooks.

– Det som händer nu är att vi går igenom samtliga anmälningar för att göra en bedömning av vad som har skett. Just i de här fallen har jag svårt att se att vi kommer att inleda tillsyn. Vi kommer dock att kunna använda oss av informationen i andra sammanhang för att se vad vi kan behöva göra i form av utbildnings- eller informationsinsatser framöver, säger Viktor Johnsson.

Han understryker att anmälningarna är viktiga även om Integritetsskyddsmyndigheten inte kommer att gå vidare med just de här ärendena.

– Som det verkar har pinkoderna inte varit tillräckligt säkra. Det kan tala för vikten av att inte göra pinkoder för generiska eller enkla. Även om det är enkelt vid initieringen av ett konto så kan det leda till en större problematik senare, förklarar Viktor Johnsson.

De koder som många lånekortsanvändare hade var helt enkelt för lättgissade. Som 1, 2, 3, 4 eller de fyra sista siffrorna i personnumret.

– Med tanke på att det är offentliga uppgifter eller allmänna handlingar i Sverige så kan det vara väldigt lätt att gissa sig fram till ett sådant lösenord, säger Viktor Johnsson.

Vad är det som gör att ni på Integritetsskyddsmyndigheten inte kommer att inleda en tillsyn?

– Det är många aspekter vi tar hänsyn till när vi väljer var och hur vi ska rikta våra insatser. För att avgöra vilken sorts insats det kan röra sig om tittar vi bland annat på antalet registrerade, vad man har vidtagit för åtgärder efter det inträffade och vilken sorts uppgifter det handlar om. Det kan också vara ett ärende som vi tror skulle kunna leda till något vägledande eller avgörande i framtiden, om det finns ett så kallat praxisvärde, understryker Viktor Johnsson.

I det här fallet, förklarar han, har de drabbade biblioteken upptäckt incidenten och de har vidtagit vissa åtgärder för att minska risken att liknande saker ska kunna ske igen.

Viktor Johnsson säger att det finns många potentiella motiv för en cyberattack som den här. Det kan röra sig om att kartlägga en viss person eller vissa personer eller om att samla in data som sedan ska användas av angriparen i nästa steg.

Jan Olsson, kriminalkommissarie vid Nationellt it-brottscentrum, känner inte till det aktuella intrånget eller polisanmälan men förklarar att ju mer en angripare vet om någon person desto mer kan användas i en riktad så kallad phishing-kampanj. Han är inne på samma spår som Viktor Johnsson, att den kunskap som har samlats in kan användas i många olika sammanhang.

Stockholms stadsbibliotek har polisanmält dataintrånget som innebar otillbörliga lån av e-medier på befintliga konton, och stadsbibliotekarie Elisabeth Aquilonius konstaterar att de personuppgifter som kan ha röjts är den information som finns på Mina sidor. Det handlar om namn, adress, e-post och telefonnummer, pågående lån och reservation, beroende på vilken information som är inlagd.

– Den stora konsekvensen för låntagarna i övrigt är att de som en följd av detta behöver byta pinkod för att fortsatt kunna komma åt tjänster som lån i automat, publika datorer och tillgång till meröppet. De behöver också registrera ett lösenord för att komma in på Mina sidor då vi har lanserat ett säkrare inloggningsförfarande, skriver Elisabeth Aquilonius i ett mejl till Biblioteksbladet.