Labrador-løsning røpet innhold i artikler gjennom nettadresser

• Få nyhetsbrev fra Journalisten.

Tirsdag morgen publiserte Kampanje artikkelen «Diar-topp går til sportsbransjen». URL-en til artikkelen, som også inneholdt ordlyden i tittelen, var imidlertid tilgjengelig allerede kvelden før.

Artikkelen var ikke publisert og lå heller ikke på forsiden. Lenken kunne heller ikke åpnes. Men nettadressen – altså URL-en – var synlig og fortalte hva slags reportasje Kampanjes redaksjon hadde klar. Neste morgen ble den da også publisert.

– Dette ser vi alvorlig på. Vi har vært i kontakt med Labrador, som har forsikret oss om at de vil gjennomføre nødvendige tiltak for å hindre at uvedkommende får tilgang til URL-er til upubliserte saker, sier ansvarlig redaktør i Kampanje, Knut Kristian Hauger, til Journalisten.

Som hos mange norske nettaviser gir nettadressen informasjon om innholdet i reportasjen. Kampanje er ikke alene om dette. Utfordringen oppstår hvis URL-en blir synlig før artikkelen skal tilgjengeliggjøres for leserne.

Det viser seg at norske Labrador CMS, som er publiseringsløsningen til 418 nettaviser i 20 land, har hatt en løsning som gjør at nettadressene har kunnet bli synlige på nettstedene før artiklene har blitt publisert.

Fikk tips

Journalisten fikk tips om dette i forbindelse med vår reportasje om hvordan artikler hos Dagens Næringsliv kom på avveie.

Siktet finansmann forteller: Slik fikk han tilgang til upubliserte DN-artikler

Informative nettadresser har vært en sentral funksjon hos Labrador CMS. Men når disse har blitt tilgjengelige før publisering, kan de røpe hva artiklene handler om, selv om det ikke har vært mulig å åpne dem.

Det startet med at vi fikk et tips om denne artikkelen:

«www.journalisten.no/nesten-tre-av-ti-journalister-har-droppet-saker-fordi-fagkilder-ikke-kunne-uttale-seg/687121».

Den var søndag kveld satt opp for publisering mandag morgen, men tipseren vår hadde klart å finne nettadressen allerede søndag kveld.

Neste kveld fant frilansjournalisten som har skrevet denne saken, noe av det samme:

«https://www.journalisten.no/mediene-skal-vaere-felleskap-ikke-rastoff-for-ki/687184» var mulig å søke opp. Denne artikkelen – et debattinnlegg som ble publisert onsdag – var heller ikke satt opp for tidsstyrt publisering.

– Den lå på det tidspunktet i «gult» hos oss. Da er den ferdig, men ikke publisert, slik vi har oppfattet det. Vi har sett på det som en mellomstasjon mellom kladd og publisert, sier ansvarlig redaktør Roger Aarli-Grøndalen i Journalisten.

Han ønsker ikke å gjøre problemet større enn det er, men liker ikke at URL-ene har vært synlige, og at det dermed har vært mulig å se artikkeltittelen.

– Teoretisk kan noen ha gjettet seg fram til hva artikkelen handlet om. Så langt er det ingenting, så vidt jeg vet, som tyder på at noen har gjort dette, sier Aarli-Grøndalen.

Stengt umiddelbart

Etter at Journalisten tok kontakt, stengte Labrador tirsdag for muligheten til å hente ut slike nettadresser fra systemene sine.

Onsdag sendte Labrador også ut et nyhetsbrev til kundene sine med informasjon om endringen.

– Systemet har sendt leserne til en fremtidig URL. Etter Journalistens dokumentasjon, ønsker vi å stoppe denne måten å hente ut data på, sier daglig leder Jan Thoresen.

Les mer om hva Thoresen svarer lenger nede i artikkelen.

Vår undersøkelse de siste dagene har omfattet 26 norske nettaviser som bruker Labradors løsninger. Vi fant over 140 nettadresser, de fleste til upubliserte artikler, hos 23 av avisene. Dermed har man teoretisk kunnet følge med på hva disse nettavisene kom til å publisere.

Nettadressene røper ikke bare titler og informasjon om artikler under arbeid. I enkelte tilfeller røpet URL-ene også interne arbeidsbeskjeder og publiseringsplaner, siden dette har vært skrevet inn i artiklenes tittelfelt. Eksempelvis har det stått «Morgensak tirsdag» før artikkelens egentlige tittel.

Mye informasjon

Mandag kveld hadde Kampanje flere upubliserte artikler med nettadresser som var synlige i systemet. Flere av nettadressene ga god informasjon om redaksjonens arbeid.

Kampanje-redaktør Knut Kristian Hauger synes lite om at informasjonen om sakene redaksjonen arbeider med, har vært synlig gjennom nettadressene i forkant.

– Opplysninger om hvilke saker redaksjonen arbeider med og har klargjort for publisering, skal ikke komme på avveie. Vi har bedt Labrador redegjøre for hvordan dette kunne skje, og avklare omfanget. Vi har så langt ingen opplysninger som tilsier at uvedkommende har kunnet lese upubliserte artikkeltekster, se tilhørende bilder eller fått tilgang til annen sensitiv informasjon, sier Hauger.

– Åpenbart uheldig

Kommunal Rapport hadde mandag ni nettadresser til upubliserte artikler, og flere av dem ga god informasjon om innholdet. Enkelte av artiklene er fremdeles ikke publisert.

– Det er åpenbart uheldig at upublisert innhold helt eller delvis blir eksponert gjennom sidekanaler i publiseringssystemene. Ettersom jeg selv var direkte involvert i å avdekke denne siste sårbarheten, fikk vi også raskt varslet systemleverandøren om forholdet, sier utviklingsredaktør Espen Andersen.

– Slik som for de fleste andre redaktørstyrte medier, tar Kommunal Rapport datasikkerhet, kildevern og beskyttelse av upublisert materiale på høyeste alvor, legger han til.

Vår gjennomgang avdekket også flere URL-er til upubliserte artikler hos Forskning.no.

– Dette er potensielt svært alvorlig. Vi jobber både med mye kritisk journalistikk og journalistikk med sperrefrist om ny forskning, så det er avgjørende at vi kan bruke publiseringssystemet uten slike sikkerhetsbrudd, sier ansvarlig redaktør Aksel Kjær Vidnes.

Geir Terje Ruud, konstituert ansvarlig redaktør i FriFagbevegelse og LO-Aktuelt, peker på at mediene må forvente at flere vil forsøke å få tilgang til systemene.

Ni artikler fra FriFagbevegelse dukket opp i vår undersøkelse.

– Vi setter stor pris på Labrador som en god, norsk teknologipartner. Vi stoler på at de jobber seriøst med sikkerhet og er glad for at de tettet dette hullet raskt. Men det er naturligvis et varsko til oss og andre om at vi må fortsette å ta sikkerhet på alvor og at vi trolig kommer til å bli utsatt for en rekke forsøk på å komme enda lenger inn i våre systemer enn dette.

– Ønsker vi ikke

Daglig leder Jan Thoresen i Labrador forteller at funksjonen med tekstbaserte nettadresser har vært ønsket av kundene. Når en artikkel har vært ferdig, har den blitt publisert, men midlertidig skjult og altså ikke vist for leserne.

– Men nettadressen kunne oppdages, om man gikk inn for det, medgir Thoresen.

URL-en kunne blant annet brukes til å opprette Facebook-innlegg med fremtidig publisering. De informative lenkene har også bidratt til bedre søkemotor­optimalisering.

Tirsdag skrudde Labrador av funksjonen, slik at den fulle URL-en først blir synlig når artikkelen er endelig publisert.

– Det er viktig at redaksjonen har kontroll på hva de publiserer. Hvis man går aktivt inn, slik Journalisten har gjort, kall det uredelig, og hacker våre systemer, ser vi at det har vært mulig å hente ut de fulle URL-ene. Det ønsker vi ikke, og skrur dette av, sier Thoresen.