Vid en Man-in-the-Middle-attack (MITM) placerar sig en angripare i hemlighet mellan dig och tjänsten du använder. Angriparen kan då avlyssna eller ändra trafiken. Attacken kan ske i nätverket eller via en falsk inloggningssida som fungerar som mellanhand. Skyddet beror på kryptering, hur ni kontrollerar att tjänsten är äkta och hur inloggningen fungerar.
Här förklarar vi hur attacken fungerar tekniskt, varför kryptering som HTTPS är avgörande och hur du skyddar din organisation mot avlyssning.
Grunderna i en man-in-the-middle-attack
En man-in-the-middle-attack, ofta förkortad som MITM, är en typ av cyberattack där en aktör placerar sig mellan två parter som försöker kommunicera med varandra. Målet är att avlyssna eller manipulera informationen som utbyts.
Tänk dig att du skickar ett brev till en vän. Normalt går det direkt fram. I en MITM-attack fångar någon upp brevet på vägen, läser det och ändrar kanske innehållet innan det skickas vidare. Det läskiga är att varken du eller mottagaren märker att något är fel.
På nätet fungerar det på liknande sätt. När du surfar på nätet, skickar e-post eller använder en app, utbyter din enhet data med servrar och andra enheter. En MITM-attack försöker fånga upp och manipulera denna data.
Hur en MITM-attack fungerar
För att förstå hur en MITM-attack fungerar, låt oss bryta ner processen i några grundläggande steg:
- Position i trafiken: Vid en nätbaserad MITM-attack behöver angriparen få en position där trafiken kan avlyssnas eller styras om. Detta kan ske genom att hacka ett Wi-Fi-nätverk eller genom att skapa ett falskt nätverk som ser ut att vara legitimt.
- Avlyssning: När angriparen har tillgång till nätverket, kan de börja avlyssna trafiken som passerar genom det. Detta kallas ofta för "sniffing".
- Omdirigering av trafik: Angriparen använder därefter olika tekniker för att omdirigera offrens trafik genom sin egen enhet. Detta kan göras genom att manipulera nätverkets routingtabeller eller genom att använda tekniker som ARP-spoofing.
- Försök att kringgå skyddet: Korrekt konfigurerad HTTPS med validerat certifikat hindrar normalt en nätverksangripare från att läsa eller ändra innehållet. Angriparen kan försöka få användaren att ignorera en certifikatvarning, använda okrypterad HTTP eller besöka en annan domän. Att fånga krypterad trafik betyder inte att angriparen kan dekryptera den.
- Manipulation och/eller avlyssning: Om angriparen lyckas kringgå skyddet, till exempel genom ett falskt certifikat som användaren accepterar, kan trafiken läsas eller ändras. Angriparen kan då antingen bara läsa den (passiv attack) eller aktivt ändra den innan den skickas vidare till den avsedda mottagaren (aktiv attack).
TLS-specifikationen beskriver hur kryptering och verifiering av motparten skyddar mot avlyssning och manipulation. Certifikatvalideringen är en del av skyddet.
Olika typer av MITM-attacker
Det finns flera olika sätt som en angripare kan genomföra en MITM-attack på. Här är några av de vanligaste:
- ARP Spoofing: Angriparen lurar nätverkets enheter att tro att angriparens MAC-adress är den legitima gateway-adressen.
- DNS Spoofing: Genom att manipulera DNS-uppslag kan angriparen omdirigera trafik till falska webbplatser.
- HTTPS Spoofing: Angriparen försöker lura offret att acceptera ett falskt TLS-certifikat för att kunna avlyssna HTTPS-trafik.
- Wi-Fi Eavesdropping: Genom att sätta upp ett falskt Wi-Fi-nätverk kan angriparen fånga upp all trafik som passerar genom det.
- Session Hijacking: Angriparen stjäl en användares aktiva session för att få obehörig åtkomst till en tjänst eller webbplats.
Konsekvenser av en MITM-attack
En MITM-attack kan leda till allt från stöld av känslig information, identitetsstöld, finansiella förluster och integritetskränkningar till spridning av skadlig programvara.
Låt oss titta närmare på de potentiella konsekvenserna:
- Stöld av känslig information: Angriparen kan komma över inloggningsuppgifter, kreditkortsnummer och annan personlig information. Detta kan ge obehöriga tillgång till allt från dina sociala mediekonton till dina bankkonton.
- Identitetsstöld: Med tillgång till personlig information kan angriparen utföra identitetsstöld. De kan öppna kreditkort i ditt namn, ansöka om lån eller till och med begå brott under din identitet.
- Finansiell förlust: Om bankuppgifter eller kreditkortsinformation stjäls kan det leda till direkta ekonomiska förluster. Angriparen kan tömma dina konton eller göra stora inköp innan du hinner reagera.
- Skadad integritet: Avlyssning av personlig kommunikation kan leda till allvarliga integritetsöverträdelser. Privata konversationer, bilder eller dokument kan hamna i fel händer och potentiellt användas för utpressning.
- Spridning av malware: Angriparen kan infoga skadlig kod i den data som passerar genom dem. Detta kan leda till att din enhet infekteras med ransomware eller annan skadlig programvara, vilket kan orsaka ytterligare skador och förluster.
Så skyddar du dig mot MITM-attacker
Lyckligtvis finns det flera sätt att skydda sig mot MITM-attacker:
- Använd HTTPS: Se alltid till att webbplatser du besöker använder HTTPS. Kontrollera även att domänen är rätt. HTTPS visar att anslutningen till den domänen är krypterad, inte att webbplatsen är betrodd.
- Var försiktig med offentliga Wi-Fi: Undvik att använda offentliga Wi-Fi-nätverk för känsliga transaktioner. Om du måste, använd en VPN.
- Använd godkänd VPN vid behov: En VPN kan skydda trafiken mellan enheten och VPN-servern, till exempel på ett delat nätverk. Den ersätter inte HTTPS, domänkontroll eller skydd mot nätfiske.
- Håll programvara uppdaterad: Se till att ditt operativsystem, webbläsare och andra program är uppdaterade.
- Använd tvåfaktorsautentisering: Detta gör det svårare för angripare att få tillgång till dina konton även om de lyckas stjäla dina inloggningsuppgifter. SMS och engångskoder kan dock fångas av en falsk inloggningssida, se avsnittet om AiTM nedan.
- Var uppmärksam på varningar: Om din webbläsare varnar dig för osäkra anslutningar eller ogiltiga certifikat, ta det på allvar.
- Använd starka och unika lösenord: Detta minskar risken för att en komprometterad inloggning leder till att flera konton äventyras.
AiTM-attacker och MFA-bypass
HTTPS skyddar nättrafiken, men en adversary-in-the-middle-attack (AiTM) kan i stället lura användaren att logga in på en falsk domän. Sidan fungerar som en proxy till den riktiga tjänsten. Angriparen kan då fånga lösenord och sessionskakor och återanvända en inloggad session även om användaren genomfört SMS- eller TOTP-baserad MFA. Microsoft beskriver hur sessionskakor stjäls i AiTM-attacker.
Använd nätfiskeresistent MFA, till exempel FIDO2/WebAuthn eller passkeys, där det stöds. Autentiseringen är knuten till rätt tjänst och domän, vilket skyddar mot den här typen av falsk inloggningssida. CISA:s vägledning om nätfiskeresistent MFA beskriver metoderna.
Om ett konto komprometteras behöver IT även återkalla aktiva sessioner och kontrollera ändrade MFA-inställningar och vidarebefordringsregler. Ett lösenordsbyte ensam räcker inte alltid. AiTM är en form av phishing: en falsk inloggningssida får användaren att lämna ifrån sig sin session. Öva hur användare rapporterar en misstänkt inloggningssida, bygg rapporteringen in i säkerhetskulturen och koppla hanteringen till er incidentprocess.
MITM-risker hör hemma i riskbedömningen. Ta med dem när ni bedömer och prioriterar risker, och följ upp åtgärderna i ett GRC-system där risker och åtgärder hänger ihop. Kända svagheter i era egna system hittar ni med sårbarhetsskanning.
Vanliga frågor
Hur vet jag om jag utsatts för en MITM-attack?
Varningar om certifikat, oväntade inloggningssidor och okända inloggningar kan vara tecken på en attack. En långsam uppkoppling är däremot inget bevis på MITM. Avbryt en misstänkt anslutning och rapportera till IT. Om någon kan ha tagit över ett konto behöver ni byta lösenord från en enhet ni litar på och avsluta aktiva inloggningar. Kontakta banken vid misstänkta betalningar.
Är MITM-attacker vanliga?
MITM och AiTM är dokumenterade angreppsmetoder. Hur vanliga de är beror på miljö och vilken typ av angrepp som räknas. Korrekt HTTPS skyddar mot att en lokal nätverksangripare läser innehållet; AiTM-nätfiske kan i stället stjäla sessioner genom en falsk inloggningssida.
Kan MITM-attacker ske på mobiltelefoner?
Ja. Även telefoner kan ansluta till falska nätverk eller öppna en falsk inloggningssida. Håll operativsystem och appar uppdaterade, kontrollera domänen, ignorera inte certifikatvarningar och använd nätfiskeresistent MFA (FIDO2/WebAuthn eller passkeys) där det stöds.
Skyddar en VPN mig helt mot MITM-attacker?
Nej. En VPN kan skydda trafiken mellan enheten och VPN-servern, men skyddar inte automatiskt mot en falsk inloggningssida, en komprometterad enhet eller stulna sessionskakor. Använd HTTPS, kontrollera domänen och välj nätfiskeresistent MFA där det går.
