Autofyll er den største sikkerhetsrisikoen på datamaskinen din akkurat nå—her er hvorfor

Autofyll er en av de små funksjonene som stille får moderne databehandling til å føles enkel. Du besøker en påloggingsside, og nettleseren din fyller hjelpsomt inn e-postadressen og passordet ditt. Du kjøper noe på nettet, og kredittkortdetaljene dine dukker opp ryddig uten at du trenger å rekke etter lommeboken. Det er raskt, praktisk og usynlig—til det ikke er det.

Mens autofyll sparer tid og mental innsats, kan det være en gullgruve for hackere, ondsinnede nettsteder eller til og med snokingprogramvare som vet hvordan den kan lokkes til å lekke sensitiv informasjon. Nettleserutvidelsene dine kan allerede se passordene dine, men med autofyll kan hvem som helst se dem under de riktige forholdene.

Autofyll er den ultimate bekvemmelighetsfellen

Rask, friksjonsfri og stille risikabel

Autofyll ble designet med ett formål: å gjøre repeterende skjemaer smertefrie. Det husker navnet ditt, adressen din, telefonnummeret ditt, påloggingsinformasjonen din, og noen ganger til og med kredittkortdetaljene dine, slik at du ikke trenger å skrive dem på nytt hver gang du møter et kjent felt. For de fleste av oss, høres det tilstrekkelig ufarlig ut. Tross alt krypterer nettlesere som Chrome, Edge, Firefox, Safari og andre disse dataene og beskytter dem med systemets passord eller et valgfritt hovedpassord.

Men problemet er ikke intensjonen—det er miljøet som autofyll opererer i. Når du besøker et nettsted, har nettleseren din ingen perfekt måte å vite hvilke inndatafelt som er legitime og hvilke som er satt opp av en ondsinnet aktør. Autofyllrutiner fungerer basert på feltnavn og struktur, ikke sikkerhetskontekst. Det betyr at hvis et tvilsomt nettsted skjuler usynlige felt eller skript bak siden, kan nettleseren din uvitende fylle dem ut, og frigjøre data du aldri mente å dele.

Med andre ord er ikke autofyll smart nok til å vite når det blir lurt i de fleste tilfeller. Og du kan være sikker på at nettkriminelle har funnet ut hvordan de kan utnytte det.

Usynlige felt, synlige konsekvenser

Hvordan ondsinnede nettsteder høster mer enn du skriver

De mest beryktede autofyll-angrepene er avhengige av én enkel teknikk: skjulte inndatafelt. En ondsinnet nettside kan inkludere innloggingsbokser du ikke kan se—gjort usynlige med CSS eller skjult utenfor skjermen. Når autofyll-funksjonen din aktiveres, fyller den ikke bare det synlige e-post- eller brukernavnfeltet, men også disse skjulte feltene.

Hvis disse feltene tilsvarer sensitive data som adressen din, telefonnummeret ditt eller lagret kredittkortinformasjon, kan disse dataene bli stille sendt tilbake til angriperen. Du, derimot, vil sannsynligvis ikke se noen advarsler eller pop-ups; alt skjer i bakgrunnen, vanligvis på under ett sekund.

Det som gjør dette verre er at nettlesere varierer i hvordan de håndterer autofyll. Noen fyller ut alt automatisk når du klikker i ett felt, mens andre krever eksplisitte bekreftelser. Selv de mer sikre kan manipuleres hvis JavaScript lurer nettleseren til å tro at et felt er legitimt. Det er en sårbarhet som er innebygd i hvordan autofyll fungerer, ikke nødvendigvis en programvarefeil som kan lappes bort.

Selv passordadministratorer kan utnyttes

Nettleserutvidelser er ikke idiotsikre

Tredjeparts passordadministratorer skulle fikse svakheter ved nettleserbasert autofyll, som er en av grunnene til at du ikke bør bruke nettleserens innebygde passordadministrator. De hjelper til en viss grad, med store passordadministratorer som Bitwarden, 1Password eller Dashlane som har strengere autofyllpolitikk. De fyller bare inn kjente URL-er, krever manuell brukerbekreftelse og krypterer dataene ende-til-ende. Likevel kan selv disse bli utsatt for phishing.

En godt laget falsk påloggingsside som nøye etterligner en ekte, kan lokke både deg og passordbehandleren din til å fylle inn påloggingsinformasjon automatisk. Når disse detaljene er sendt inn, er de borte. Den svakeste lenken er alltid brukerens bekreftelse. Hvis du stoler på feil domene eller klikker feil, fungerer autofyll som tiltenkt, bare for feil nettsted.

Kombiner det med økningen av nettleserutvidelser og skript på tvers av nettsteder, og autofyll begynner å se mindre ut som en praktisk funksjon og mer som en risiko som venter på den rette utnyttelseskjeden.

Kryptering vil ikke redde deg fra feilklikk

Sikker lagring betyr ikke sikker levering

Nettlesere lagrer data sikkert, vanligvis beskyttet bak datamaskinens passord eller synkroniseringspassordet ditt. Det stemmer til en viss grad, men bare fordi autofyll-dataene dine er kryptert, betyr det ikke at de er utilnærmelige.

For eksempel, i Chrome, hvis noen får tilgang til brukerkontoen din eller synkroniserer profilen din på en annen enhet, kan de se all autofyll- og lagret passorddata uten å trenge ekstra tillatelser. Windows og macOS gjør sitt beste for å forhindre denne typen tilgang, men skadelig programvare spiller ikke rettferdig. Når et system er kompromittert, kan krypterte autofyll-data relativt enkelt hentes ut, dekodes og sendes til en fjernserver.

Generelt sett er autofyllsikkerhet bare så sterk som enhetens generelle sikkerhet. Og med tanke på hvor ofte folk lar PC-ene sine være ulåst, koblet til offentlig Wi-Fi, eller pålogget nettlesere på jobb, er ikke det et veldig betryggende sikkerhetsnett.

Deaktiver autofyll og ta tilbake kontrollen

Slå av det du faktisk ikke trenger

Å deaktivere autofyll vil føles upraktisk i starten, spesielt hvis du har mange nettbaserte kontoer. Den gode nyheten er at du ikke trenger å slutte brått. Du kan deaktivere visse autofyll-kategorier, som betalingsinformasjon og adresser, samtidig som du beholder autofyll for påloggingsinformasjon styrt av en pålitelig passordbehandling. Nettlesere tilbyr også vanligvis ganske detaljert kontroll over hvilke felt som huskes og når de fylles inn.

Hvis du stoler på en passordbehandler, er det best å bruke manuelle utfyllingsgenveier i stedet for automatisk innsetting. Alternativt kan du enkelt kopiere og lime inn viktig informasjon fra en ferdiglaget notatfil eller passordbehandler.

Autofyll er ikke et brudd som venter på å skje—det er et brudd som venter på å bli utnyttet. Teknologien i seg selv er ikke ond; den opererer bare innenfor et system som antar gode intensjoner fra nettet, og det er en antagelse den moderne internett sjelden belønner.