It-detektiven: Så säkras spåren i datorn

De flesta som anlitar Peter Bayer är arbetsgivare. Eller snarare deras advokater. Det är främst de som känner till att it-forensiker finns om man vill ha en opartisk utredning av digitala brott.

– Det är en bra arbetsgivare som vill försäkra sig om rätt beslutsunderlag. Men det finns också de som passar på för att de vill göra sig av med en person.

Det händer också att facket kontaktar Peter Bayer, men det hör till sällsyntheterna.

– Det är viktigt att betona att it-forensiskt arbete går ut på att opartiskt pröva en hypotes, inte för att ”sätta dit” folk, säger Peter Bayer.

Ett typiskt scenario är att en anställd blir inkallad till it-chefen och förevisad loggfiler, som bevisar exempelvis porrsurfning. Den anklagade bedyrar sin oskuld. Oftast beror det på att personen inte har gjort något, åtminstone i de fall där Peter Bayer blivit inkopplad.

– Jag har aldrig haft ett ärende där den anställda har varit så dum att jag har fått göra en undersökning fastän veder­börande är skyldig.

Den anställda kan mycket riktigt ha hamnat på en porrsajt, men utan att det syns. En internetsida är preparerad på olika vis. Det vanliga är med ”oskyldig” reklam. Men det kan också vara virus, en skadlig kod som smyglotsar användaren till porrsajten. Någon tjänar pengar på klicket som viruset gör utan användarens vetskap.

Peter Bayer uppmanar alla it-avdelningar att inte gå in i den misstänktas dator själva utan att åtminstone ha rådfrågat en expert.

– I minst åttio procent av mina fall har en it-tekniker varit inne och försämrat och ibland förstört beviskedjan.

Det Peter Bayer gör är att stänga av datorn. Han jämför med polisen som spärrar av brottsplatsen. Sedan gör han en kopia av hårddisken. Det krävs en skrivskyddsanordning för att den ska bli identisk. Sedan kan han göra sökningar på kopian.

– Vanliga it-avdelningar har inte teknisk möjlighet att titta på den här nivån, även om ledningen tror det.

Ett av Peter Bayers uppdragsområden är att hjälpa myndigheter vid intrång, ett växande problem. Men det vanligaste uppdraget gäller stöld av företagshemligheter.

– Många raderar dokumenten i tron att det är säkert. Men en it-forensiker kan återskapa dem. En jurist tycker att det ger en ännu tydligare bild om det kan dokumenteras att du har försökt dölja något, säger Peter Bayer.

Ibland kan en dator ha infekterats av att användaren råkar klicka på en länk i ett giftigt e-postmeddelande. Ibland kan infektionen bero på att användaren har tagit med sig jobbdatorn hem, där någon kan ha råkat ladda ner program eller spel som innehåller skadliga koder. När så datorn pluggas in på jobbet igen finns programvaran i datorn. Då hjälper inget skalskydd, inga brandväggar.

– Arbetsgivare har en falsk tillit till säkerhetsprodukter.