– Ser ut som sikkerhetsglipp hos Dagens Næringsliv 

• Få nyhetsbrev fra Journalisten.

– For meg høres det først og fremst ut som DN har hatt en sikkerhetsglipp i systemene sine, sier Andersen til Journalisten.

Etter å ha lest beskrivelsen som Dyar Al-Ashtari, som er siktet for datainnbrudd hos DN, har gitt til Journalisten, mener Andersen at forklaringen på hvordan de fikk tilgang til upubliserte DN-artikler, er teknisk troverdig.

Skraper nettsider

Andersen har lang erfaring som innsyns- og gravejournalist.

– Fremgangsmåten ligner på det vi gjør når vi skraper (hente ut, kopiere ut fra nettsider, red. anm.) nettsider, sier Andersen.

Han forklarer at ideen med API er nettopp å kunne hente ut informasjon, «å kalle på API-et».

– Men vanligvis må man ha en tilgangsnøkkel for å kunne nå dette delingspunktet. Deretter er bruken en helt ordinær bruk av et API, teknisk sett. Så er det en vurdering om vedkommende burde forstått at han ikke skulle hatt tilgang der. Jeg kan ikke uttale meg om det juridiske, presiserer Andersen.

Han sier at han selv har hentet ut mye informasjon ved hjelp av lignende metoder.

– Å hente ut informasjon via slike API-er er hva vi gravejournalister har drevet med i mange år. Jeg har selv fått tilgang til ting jeg ikke skulle hatt, når jeg har skrapet offentlige nettsider.

Blitt enklere

 Andersen viser til at det i dag er så mye enklere å utnytte slike muligheter enn tidligere.

– Før måtte man være webutvikler for å klare dette, i dag kan man benytte en vanlig språkmodell, sier Andersen.

Sjefredaktør i Dagens Næringsliv, Janne Johannessen, mener at det å hente ut upubliserte artikler fra DNs systemer ikke kan sammenlignes med skraping av offentlig informasjon.

– Tvert imot. Al-Ashtari beskriver et skript som sender ulike artikkel-ID-er til et internt API for å hente ut upubliserte artikler. Det bekrefter at dette var en systematisk fremgangsmåte der uvedkommende skaffet seg uberettiget tilgang til upublisert journalistikk. At en tilgang ikke var tilstrekkelig sikret, betyr ikke at den var tillatt. Våre logger viser at denne aktiviteten pågikk i flere uker.  

– Ikke funnet hull i våre systemer

Aptoma avviser at det skal ha vært problemer i produksjonssystemet DrPublish, som selskapet har levert til Dagens Næringsliv og over hundre andre norske papir- og nettaviser.

DN-artiklene Al-Ashtari fikk tilgang til var skrevet i produksjonssystemet DrPublish. Mediehuset tok derfor raskt kontakt med Aptoma. Daglig leder Geir Berset bekrefter dette.

– Vi hadde tett kontakt med DN i begynnelsen. Vi har ikke avdekket sikkerhetshull eller uautorisert tilgang til våre systemer i forbindelse med denne saken, sier Berset.

Han forklarer at man må skille mellom produksjonssystemet DrPublish, som Aptoma har levert, og distribusjonssystemet til avisen, som Aptoma ikke leverer.

– Vi har hatt full gjennomgang, og har ikke avdekket noen hull, datalekkasjer eller misbruk i våre produksjonssystemer i forbindelse med denne saken.

– Ikke levert av oss

Berset forklarer at forhåndsvisningsmodulen ikke er en del av produksjonssystemet Aptoma leverer.

– Vi tilbyr ikke forhåndsvisningsmodulen i produksjonssystemet. Det vil si: Journalister kan trykke «forhåndsvis» i DrPublish, men det åpner et annet system som ikke er levert av oss, sier Berset.

På spørsmål om hvor feilen kan ligge, svarer Berset at han ikke vil spekulere i dette, og ber oss henvende oss til Dagens Næringsliv.

– Jeg ønsker ikke å teoretisere hva som har skjedd. Vi involverer oss ikke i våre kunders forvaltning av øvrige IT-systemer, sier Berset.

– Hva med skjermbildet fra Swagger, som viser API-ene hos DN, med DrPublish?

– Det er selvsagt uheldig for oss at det viser et mappenavn eller subdomene med vårt produktnavn siden det gir assosiasjoner til oss, men vi har ikke kontroll på hvilke navn andre aktører gir sine mapper og subdomener, sier Berset. 

Johannessen bekrefter at det DN-selv som har laget preview-løsningen:

– DN Media Group har selv utviklet løsningen for forhåndsvisning som ble utnyttet. DN er åpne om at vi har hatt sikkerhetshull, ellers hadde ikke hackingen vært mulig. Sikkerhetshullene ble raskt tettet, og vi har hele veien delt all dokumentasjon om sårbarhetene med politiet, sier hun og legger til:

– Vi er enige i at KI har gjort slike svakheter langt enklere å finne og utnytte, og vi har styrket sikkerheten vår. Et sikkerhetshull er ikke en tillatelse til å hente ut informasjon. Dersom noen bevisst utnytter et sikkerhetshull for å skaffe seg tilgang til et internt redaksjonelt system de ikke har tillatelse til å bruke, må det anses som hacking eller datainnbrudd.

LES OGSÅ:

Siktet finansmann forteller: Slik fikk han tilgang til upubliserte DN-artikler