Er din hjemmeside sikker? Sådan ser truslen ud i en AI-tid

Der sidder ikke en hacker og kigger på din klinik. Det er den gode nyhed. Den dårlige er, at det heller ikke er nødvendigt. Angreb på små hjemmesider er automatiserede: robotter scanner internettet døgnet rundt efter sider med kendte huller, og når de finder ét, udnytter de det uden at et menneske er involveret. Din side bliver ikke valgt. Den bliver fundet.

AI har ikke opfundet det problem, men det har gjort det billigere. Sikkerhedsleverandørernes rapporter peger på to tendenser: vejen fra “kendt hul” til “automatiseret angreb” bliver kortere, og AI-assisteret phishing bliver mere overbevisende, fordi indholdet på din side kan bruges som råstof til mails, der lyder som dig. Det er dokumenterede tendenser, ikke garantier, men retningen er tydelig.

Det er ikke en grund til panik. Det er en grund til at vide, hvordan din side egentlig er sat op.

Det korte svar: truslen mod små hjemmesider er automatiserede angreb på kendt, uopdateret software, ikke målrettede hackere. Din side er udsat, hvis den kører på et CMS og plugins, ingen opdaterer, og delt hosting, ingen holder øje med. Er den sat op med få bevægelige dele og opdateringer som nogens faste job, er langt det meste af den trussel ikke relevant for dig.

Hvor ældre setups er udsatte

Sikkerhedsleverandørernes årlige rapporter peger samstemmende på det samme mønster: indbrud på små hjemmesider sker sjældent gennem avancerede angreb. De sker gennem kendte huller i software, der ikke er blevet opdateret. Fire steder går det typisk galt:

Et CMS, der aldrig bliver opdateret

Mange små hjemmesider er bygget i WordPress, leveret af et bureau eller en freelancer, og derefter aldrig rørt igen. WordPress kan sagtens drives sikkert. Problemet er ikke systemet, det er ejerskabet: Når projektet er afleveret og betalt, er der ofte ingen, hvis job det er at opdatere det. Et CMS uden opdateringer bliver mere usikkert for hver måned, der går.

Plugins: meget af din side er andres kode

En typisk WordPress-side har et tocifret antal plugins: kontaktformular, booking, SEO, galleri, backup. Hvert plugin er kode skrevet af en tredjepart med sin egen vedligeholder, sit eget tempo og sin egen risiko for at blive forladt. Din sides sikkerhed er i praksis summen af alle de afhængigheder. Jo flere bevægelige dele, jo større angrebsflade.

Delt hosting på webhoteller

Billige webhoteller, ofte solgt videre gennem forhandlere, samler mange kunders sider på de samme servere. Kører serveren en gammel PHP-version, gælder det også din side. Og i dårligt isolerede miljøer kan naboens kompromitterede side blive dit problem. Du kan have gjort alt rigtigt og stadig bo det forkerte sted.

Et login, der vender ud mod internettet

Et CMS betyder en admin-side med brugernavn og kodeord, tilgængelig fra hele verden. Den bliver fundet af robotter, og den bliver forsøgt brudt op, hver dag, automatisk. Uden stærke kodeord, totrinsbekræftelse og en, der holder øje, er det et spørgsmål om tid og held.

Hvordan et mindre angrebsareal ser ud

Det modsatte af alt det her er ikke et dyrere abonnement på de samme dele. Det er færre dele.

En statisk hjemmeside har ingen database, intet admin-login og ingen plugins, der skal opdateres. Der er simpelthen mindre, der kan brydes op. Kombineret med moderne hosting, hvor isolation og HTTPS er standard, og opdateringer er nogens faktiske job, forsvinder de fire klassiske huller stort set. Ikke fordi statiske sider er magiske, men fordi sikkerhed skalerer med, hvor lidt du har stående fremme. Helt risikofrit er det ikke: dit domæne og din DNS kan stadig kapres, afhængigheder kan kompromitteres, når siden bygges, og selve hostingkontoen er kun så sikker som dens login. Men det er en kortere liste, og den er til at holde øje med.

Det er sådan, vi selv bygger. Men pointen her er ikke vores produkt. Pointen er, at du bør vide, hvilken kategori din side er i.

Fem spørgsmål til den, der passer din hjemmeside

1. Hvornår blev siden og dens plugins sidst opdateret, og hvem har ansvaret for, at det sker?
2. Hvor mange plugins kører siden på, og bliver de alle stadig vedligeholdt af deres udviklere?
3. Hvilken serversoftware kører hostingen, og hvor mange andre kunder deler den?
4. Hvordan ville vi opdage det, hvis siden blev kompromitteret?
5. Hvad sker der med siden, hvis aftalen stopper i morgen?

Kan din leverandør svare klart på alle fem, er du sandsynligvis i gode hænder, uanset teknologi. Kan de ikke, er det ikke et angreb på dem at spørge igen. Det er din virksomhed, der står på domænet.