Siktet finansmann forteller: Slik fikk han tilgang til upubliserte DN-artikler

• Få nyhetsbrev fra Journalisten.

I flere artikler kobler Dagens Næringsliv 31 år gamle Dyar Al-Ashtari til innbrudd i avisens datasystem og stjeling av upubliserte artikler. Avisen anmeldte saken som datainnbrudd, og politiet pågrep Al-Ashtari.

I et intervju med Journalisten forteller Al-Ashtari hvordan han fikk tak i artiklene. Han sier de lå enkelt tilgjengelig på nettsiden til DN, og avviser innbrudd.

– Enhver kunne hente ut artiklene med enkel bruk av kunstig intelligens. En kunne tømme hele neste dags avis kvelden før, hevder han.

Journalisten har forsøkt å kontrollere påstandene fra Al-Ashtari, men har ikke kunnet verifisere alle.

– Ikke innbrudd

Al-Ashtari får støtte av sin forsvarer, advokat Petter Enholm. Slik han har fått saken forklart, handler den ikke om innbrudd eller tyveri, men om dårlig datasikkerhet hos DN, mener Enholm.

– Med tiden vi lever i, er det så mange advarsler og formaninger om å ta sikkerheten på alvor, men så feiler DN så eklatant, på helt elementære områder, i dette tilfelle har de ikke sikret et API-endepunkt, som lå helt åpent. Man kunne lese alle artiklene før publisering, ja lage seg sitt eget arkiv over DNs artikler, sier Enholm.

– DNs logger fra systemet vil vise at det jeg forklarer er korrekt, sier Al-Ashtari.

Sjefredaktør og administrerende direktør i DN, Janne Johannessen, ser annerledes på saken.

– Når det skjer et tyveri, vil de fleste mene at det er tyven som har gjort noe galt. At en person som er siktet for datainnbrudd og hans advokat snur skyldspørsmålet på hodet, er spesielt, skriver hun i en e-post til Journalisten. 

– DN anser fortsatt datainnbruddet som et tyveri. Her har personer vi skriver om skaffet seg uberettiget tilgang på vår journalistikk før publisering. Tyveri av journalistikk er alvorlig. Politiet har sikret bevis og tatt ut siktelse. Om de juridiske vilkårene for straff er oppfylt i denne saken, er opp til påtalemyndigheten å vurdere.

Hun legger til:

– Ingen av opplysningene fra Dyar Al-Ashtari og Petter Enholm er nye for oss. Alt dette og en rekke andre forhold ble beskrevet for politiet før Al-Ashtari ble siktet i saken. 

Hun innrømmer imidlertid at åpen dokumentasjon av DNs API ikke skulle ha ligget ute.

– Ekstremt alvorlig

Fredag 25. september publiserer Dagens Næringsliv dokumentaren «Dubai-pengene». Saken tar blant annet for seg de tidligere forretningspartnerne Dyar Al-Ashtari og Sam Farao og pengestrømmer fra Dubai til Norge.

DN-redaktøren om hackingen: – Da gikk alarmen hos oss

Samme dag finner DN ut at noen har delt artikkelen allerede kvelden før publisering. De oppdager også at dokumentaren har blitt publisert på et helt nytt nettsted opprettet samme kveld – altså før avisen selv har publisert artikkelen.

Avisen anmelder tyveriet til politiet.

«Bare 30 sekunder etter at lenken til den upubliserte saken var laget, ble lenken åpnet av en enhet tilhørende Dyar Al-Ashtari, hovedpersonen i dokumentaren», skriver DN.

– At uvedkommende har stjålet og skaffet seg tilgang til vår journalistikk, er ekstremt alvorlig, sier sjefredaktør Johannessen til egen avis mandag 28. september.

– Personer som vil stoppe kritisk journalistikk, tar i bruk stadig mer avanserte metoder. Nå også tyveri, legger hun til.

Pågrepet og ransaket

Politiet finner at Al-Ashtari har åpnet en artikkel fra DN dagen før publisering. Han går fra mistenkt til siktet, og blir pågrepet. Politiet ransaker også hjemmet hans 14. oktober.

Etter å ha blitt løslatt og ha forklart seg for politiet, har han mandagen etter sagt ja til å bli intervjuet av Journalisten sammen med sin advokat Petter Enholm hos Hjort. Al-Ashtari deltar via videolink.

Enholm har datasikkerhet som spesialfelt. Dyar Al-Ashtari engasjerte ham da han ble anmeldt.

Pengejakt i DN

Dagens Næringsliv har i lang tid forsøkt å finne ut hvor pengene til Al-Ashtari egentlig stammer fra. Han er ung og har mye penger.

Alle rundt ham gikk og ventet på at avisen skulle publisere saken om ham, sier han til Journalisten.

Han forteller videre at han torsdag 24. september får rede på at DNs store graveartikkel skal være rett rundt hjørnet.

Al-Ashtari sier at forklaringen han gir Journalisten, er den samme som han har gitt politiet.

Ifølge ham er han på jobb torsdagen før DN publiserte. En venn som han kaller «Peder», sender ham en skjermdump klokken 19.33. Den viser at DN har publisert en video om saken.

– «Jeg tror saken om deg er publisert», sa han, og viste at han hadde funnet videoen på en emneside.

Han kunne imidlertid ikke åpne den, forteller Al-Ashtari.

«Peder» sender Al-Ashtari lenken til videoen, men han får heller ikke åpnet den på datamaskinen. Men i DN-appen kommer videoen frem, forteller han. Der har Al-Ashtari bruker, selv om han ikke er betalende abonnent.

– De hadde ikke frontet videoen, men den var tydeligvis publisert. Jeg så den, og sendte app-lenken tilbake til Peder, som lastet ned videoen, sier Al-Ashtari.

– Lastet du den også ned?

– Hvorfor skulle jeg det? Den lå jo ute. Dette var nettsiden til DN, det var ingen som hadde brutt seg inn.

På dn.no ligger videoen fortsatt ute, datert 24. september klokken 16.50.

Sendte over lenker

Al-Ashtari forteller at han gikk tilbake til arbeidet sitt. «Peder» derimot, mente det måtte være mer å hente, forteller Al-Ashtari.

– «Nå som de har publisert videoen under emnesiden til navnet ditt, må også artikkelen være tilgjengelig», mente han. Han gjorde det til sin misjon å finne artikkelen, sier Al-Ashtari.

Ikke lenge etter sendte «Peder» fire DN-lenker til artikler om ham, forteller han.

– Jeg fikk tilsendt en helt vanlig lenke fra DN. Jeg ser de har publisert en artikkel, jeg ser det står «Dubai-pengene», jeg ser det samme bildet man kunne se i videoen, med ansiktet mitt og sånne gule linjer, selskapsnavn og så videre. Jeg leser ingressen, men så ber den meg logge inn og betale for å lese resten av artikkelen. Jeg har ikke DN pluss, og får ikke lest, men jeg sender den videre til Sam Farao [hans tidligere forretningspartner], som jeg tenker sikkert er pluss-bruker, og helt sikkert vil lese artikkelen, siden han også er omtalt.

Ifølge Al-Ashtari hadde Farao heller ikke abonnement på DN. Farao opprettet derfor en bruker, betalte for tilgang og leste saken høyt for Al-Ashtari over telefon.

Snart får han også selv åpnet og lest lenkene, forteller han. Journalisten har ikke brakt på det rene hvordan Al-Ashtari senere åpnet artiklene han mottok.

Han sier at to av de andre artiklene han fikk tilsendt var oppfølgingsartikler til dokumentaren. Den fjerde fremsto ifølge ham som en uferdig artikkel.

– Jeg oppfattet de første som publisert, unntatt den fjerde. Den kunne man se var uferdig, men jeg tenkte ikke så mye på det, jeg var mest fokusert på hovedartikkelen, sier Al-Ashtari.

DN-redaktør Johannessen sier at teaservideoen er ikke en del av det som ble anmeldt, eller tatt ut uautorisert.

– Våre logger viser aktivitet mot systemene våre flere dager før videoen var tilgjengelig, så videoen forklarer ikke hvorfor og hvordan tilgangen på dokumentarartikkelen ble skaffet. Lenken til artikkelen ble lagt på videoen etter publisering av saken.

Etter anmeldelsen

Først uken etter, da DN omtalte at artiklene var stjålet, gikk Al-Ashtari tilbake til «Peder» for å spørre hvordan han egentlig hadde skaffet artiklene, forteller han.

– Jeg skjønte at noen prøvde å få det til å høres som om jeg har gjort noe kriminelt. Jeg engasjerer advokat, og tar en dyp samtale med Peder, via nett, ikke vanlig telefon.

Bakgrunnen for samtalen, forteller han, var at han ville forklare seg for politiet.

Han sier videre at kompisen «Peder» er sakesløs, og han vil ikke oppgi hans identitet.

– Jeg ville selv forklare hva som hadde skjedd, for jeg tror ikke min kollega og venn er i stand til å gjøre dataangrep, eller tyverier, eller hva det var de anklaget meg for da.

Han forteller at «Peder» i denne samtalen går dypt inn i detaljene på det tekniske, eksakt hvordan han fant artikkelen og fikk tak i lenken.

– Og nå bare gjenforteller jeg det «Peder» har sagt til meg, forklarer Al-Ashtari, og fortsetter:

– Han matet en KI-modell med informasjon om videoen og emnesiden, og ba den lete etter artikler om Dyar Al-Ashtari. Han hadde funnet underdomener til DN, blant annet preview.dn.no, eller var det editor.dn.no.

Det siste er Al-Ashtari usikker på.

– Jeg vet ikke hvilken KI-modell han brukte. Det viktige er fremgangsmåten, sier Al-Ashtari. 

– Åpent tilgjengelig

Al-Ashtari forklarer videre at dokumentasjonen under underdomenet var åpent tilgjengelig.

– Det fremgikk hvordan man kunne generere forhåndsvisningslenker til artikler. «Peder» fikk KI-en til å lete etter Al-Ashtari i dokumentasjonen. Han brukte ulike artikkel-ID-er, som den sendte til API-et. Artikkel-ID-en er et tall, som er inkrementalt. Altså den teller opp én og én. Hver gang en ny artikkel blir publisert, så plusser man på et tall. Peder hadde ved hjelp av et skript sendt ulike tall i KI-en sin, til han hadde landet på artiklene, som på det tidspunktet lå inne i DN, sier Al-Ashtari.

– Det er godt mulig de i systemet hadde status som upublisert. Gjennom det åpne API-et fikk man så tilbake en forhåndsvisningslenke, som man kunne trykke på, og deretter lese artikkelen. Det var ikke autorisasjonskontroll, man trengte ikke brukernavn, man trengte ikke passord eller være abonnent for å kalle API-et.

–Ja, hvem som helst med en internettforbindelse og en nettleser kunne gått inn og gjort det samme. Men man måtte være abonnent hos DN for å kunne åpne og lese lenken som man fikk.

Han sier det samme kan søkes opp på nettet.

– Hvis du googler preview.dn.no så finner du indekserte lenker under det underdomenet til DN. Det er fullt åpent. Hvem som helst kan gå inn der.

Journalisten har forsøkt å finne de omtalte lenkene gjennom Google, men har ikke lyktes.

– Krever ikke et datageni

Al-Ashtari understreker at det ikke var noe med lenkene som tydet på at dette var upublisert.

– Vi har ikke gått inn på interne systemer, jeg har åpnet en lenke som jeg ble tilsendt. «Peder» har ikke gått inn på noen servere. Han har ikke tatt ut noe som ikke er hans, stjålet noe som ikke er hans, brukt brukernavn og passord til noe som ikke er hans eller hentet ut nøkler som ikke er hans. Dette var åpent, og det kommer loggene til DN til å vise. Det krever ikke et datageni å gjøre det han gjorde. Det krevde et KI-abonnement til 200 kroner i måneden og ti minutters arbeid.

Al-Ashtari bekrefter at lenkene ble spredt videre. Blant annet sendte Sam Farao lenken videre til Trond Sundnes, partner i First House og tidligere konsernsjef i DN Media Group. Ifølge DN var han rådgiver for Farao. Sundnes fikk ikke åpnet lenken.

– De varte fem minutter. Jeg fikk se dem, Farao fikk se dem, men da den kom til Trond Sundnes var de allerede gått ut på tid, sier Al-Ashtari.

Vil ikke demonstere

– Hvis det er så enkelt, kan du demonstrere det her og nå og lage en preview-lenke?

– Nei, det kan vi ikke begi oss ut på. Vi mener det er fullt lovlig. Men vi kan ikke risikere at DN og politiet skal anklage oss for kriminalitet, sier Enholm.

– Så lenge politiet ikke har skjønt at dette ikke er et innbrudd, kan vi plutselig bli anklaget for å ha gjort et nytt innbrudd, sier Al-Ashtari.

– Med din databakgrunn, er det naturlig å tenke seg at det er du, og ikke «Peder», som har gjort dette?

– Jeg kan teknologi, og ja, jeg kunne gjort det, men jeg gjorde det ikke. Det kan man også se av chatloggene mellom meg og «Peder». Det var heller ikke jeg som ba han om det. Han har vært interessert, mer enn meg, sier Al-Ashtari.

Journalisten har ikke fått se disse chatloggene.

Til denne forklaringen sier DN-redaktør Johannessen:

– Våre tekniske undersøkelser avdekker mer om den såkalte «Peder» enn det Journalisten tilsynelatende har fått fra den siktede i saken. Opplysninger vi har delt med politiet viser også at dette var en målrettet operasjon som gikk over tid, og at angrepene på DN var mer omfattende enn historien Al-Ashtari og hans advokat forteller.

Publisert på nett

I løpet av kvelden før DN-publiseringen skal nettstedet «dubaipengene.com» ha blitt opprettet. Nettstedet kan i dag ikke nås. Hos Wayback Machine foreligger artikkelen fortsatt, skrapet av nettstedet 25. september klokken 10.35. Teksten er nær identisk med DNs egen, men er endret fra DN som avsender av artikkelen til dubaipengene.com.

Hvem som står bak nettstedet, er uklart. Det framgår heller ikke av Whois.com, en tjeneste som gir informasjon om registrerte domenenavn.

Heller ikke Al-Ashtari eller Enholm oppgir å vite det. De ble etter eget sigende klar over eksistensen av nettstedet først etter at det var lagt ned.

Ifølge Enholm er dette heller ikke en del av siktelsen.

På spørsmål om han selv kan stå bak publiseringen, svarer Al-Ashtari:

– Mye kan sies om meg, men så jævla idiot er jeg ikke at jeg publiserer en stjålet DN-artikkel om meg selv, så alle kan se hvor mye jeg tjener. Jeg har ingenting med den nettsiden å gjøre. Jeg delte forhåndsvisningslenken med noen få, og den kan ha spredt seg videre. Hvem som står bak nettsiden aner jeg ikke, kanskje noen som misliker meg, sier Al-Ashtari.

DN mener dataangrepet er et forsøk på å skremme avisens journalister og kilder.

– DN har fra starten oppfattet dataangrepet som et forsøk på å stanse kritisk journalistikk ved å skremme våre journalister og våre kilder. Vi leser utspillet som Journalisten her videreformidler, i samme lys, fastslår DNs sjefredaktør.

– En tankevekker

Både Enholm og Al-Ashtari sier at de ville vært teknisk i stand til å lage slike forhåndsvisningslenker.

– Jeg ville nok anbefalt norske aviser å ta en skikkelig teknisk gjennomgang av hva de har der ute, som er tilgjengelig uten autorisering, sier Al-Ashtari.

Det strafferettslige spørsmålet er om framgangsmåten for å lage, åpne og spre forhåndsvisningslenker til upublisert DN-innhold var ulovlig. Noe advokat Enholm mener at det ikke er.

– I en relevant dom om en som hentet registreringsnumre fra Vegvesenets domene, ble en mann frikjent i 2020. Det ulovlige er om man bruker «enten misbruk av passord, eller verktøy for å skaffe ulovlig tilgang til å misbruke en sårbarhet». Men dette er ikke en sårbarhet. Her lå det helt åpent, hvordan skal man mene at dette var en sårbarhet? sier Enholm.

Opp til retten

– DN kan mene noen har misbrukt en sårbarhet hos dem?

– Da handler det om å bruke verktøy, som passordgeneratorer, virus, trojanere og så videre. Vi er ikke der. Vi er der med å lese en åpen lenke, slik dette er blitt forklart for meg. Det blir selvsagt opp til retten å vurdere, men vi mener verken jussen eller siktelsen bæres av faktum i saken, sier Enholm.

– Mye av dette ligger helt åpent for alle. Dette bør være en tankevekker for Dagens Næringsliv, og sikkert også andre. Jeg jobber selv som advokat med digital sikkerhet. Hva hvis kilder var nevnt i ikke-ferdige artikler som var tilgjengelige? Deres navn kunne komme på avveie på grunn av DNs manglende kontroll, sier Enholm.

Snur skyldspørsmålet

Dagens Næringsliv har fått lese alle sitatene fra Dyar Al-Ashtari og advokat Petter Enholm til Dagens Næringsliv. Vi har også stilt flere spørsmål om de tekniske løsningene.

Sjefredaktør Johannessen svarer at hun ikke ønsker å gå inn på detaljer rundt det tekniske, men bekrefter blant annet API-utfordringer.

– Åpen dokumentasjon av vårt API skulle ikke ha ligget ute, og KI har gjort det enklere å utnytte slik informasjon. Dokumentasjonen var noe av det første vi fant og stengte etter datatyveriet, og den er nå beskyttet. Det har ikke vært mulig å skaffe seg tilgang på artikler med denne informasjonen etter hendelsen, opplyser Johannesen.

Hun forteller at DN skjerpet rutinene og sikret sine systemer ytterligere etter denne hendelsen. I sitt svar understreker hun også at sensitiv informasjon ikke har vært tilgjengelig for utenforstående.

– Det er allerede offentlig kjent at systemet artikkelen var hentet fra ikke brukes til å håndtere sensitiv informasjon eller kildekontakt.

Hun legger til:

– Dyar Al-Ashtari og hans advokat Petter Enholm bagatelliserer det å aktivt hente ut upublisert journalistikk fra en avis. Det blir ikke riktig av meg å gå inn i en diskusjon med en person som er mistenkt for datainnbrudd om hvor krevende det egentlig er å hacke et stort norsk mediehus. Detaljer om DNs systemer og datasikkerhet ønsker jeg ikke å dele. 

Politiadvokat Terje Mørner, som sier politiet etterforsker saken videre og ikke ønsker kommentere hva Al-Ashtari har forklart til Journalisten.

LES OGSÅ:

– Ser ut som sikkerhetsglipp hos Dagens Nærningsliv