Fast i nätet – geniet bakom första cyberattacken

Vägen till helvetet är stensatt med goda föresatser. Fråga bara Albert Einstein, Robert Oppenheimer – eller Robert Morris.

I november 1988 spred sig en självreplikerande datormask i dramatisk takt över hela Arpanet (den amerikanska föregångaren till world wide web). Datorsystem på en lång rad universitet och forskningscentrum, exempelvis Nasa, saktades ner till ultrarapid. Normala arbetsprocesser blev så gott som omöjliga att genomföra; det kunde exempelvis ta dagar för ett vanligt mejl att komma fram. När det inte hjälpte att starta om datorerna testade vissa institutioner i stället att formatera dem helt och hållet. Stora sektioner av Arpanet släcktes ner medan administratörer kämpade natt och dag för att stoppa spridningen.

• Det här är en artikel från tidningen Teknikhistoria, prenumerera på den här!

Medan de slet sitt hår dök det plötsligt upp ett meddelande på Usenet som löste problemet åt dem, genom att förklara exakt hur de kunde hejda maskens framfart. Vem som låg bakom avslöjandet? Maskens egen upphovsman.

Det visade sig att den skyldige inte var någon illasinnad datornörd i sin mammas källare, eller en utländsk terrorist. Utan en snudd på geniförklarad forskarstudent vid Cornell University. Robert Morris, som han hette, hade enligt egen utsago skapat masken som ett forskningsprojekt för att mäta exakt hur stort Arpanet var. Planen var att den visserligen skulle sprida sig i smyg, via olika säkerhetsbrister i dåtidens Unix-system. Däremot hade den inga destruktiva funktioner – åtminstone inga planerade sådana. När han insåg att den började föröka sig okontrollerat och sakta ner dyrbara datorsystem fick han panik.

Men hans ångest föll på döva öron. Robert Morris blev den första i USA att dömas för att ha orkestrerat något på den här tiden helt nytt: en cyberattack.

Och kanske var det tur att det inte låg någon illvilja bakom den första vitt spridda datormasken. Även om ”Morris-masken” blev en kostsam historia för de drabbade var den en välbehövlig, och relativt lindrig, väckarklocka för institutioner med eftersatt cybersäkerhet. För om en ensam student kunde tvinga ner flera stora universitet och forskningsinstitut på knä av misstag – vad skulle inte då en genuint illasinnad aktör, med en armé av kodare, kunna åstadkomma?

Det är en fråga som fortfarande, efter flera decennier av katt-och-råtta-lek mellan hackare och säkerhetsexperter, är högst relevant. Det är visserligen föga troligt att en ensam person skulle kunna slå ut stora delar av dagens internet. Men mer riktade attacker och intrång har blivit vardagsmat. Många som läser den här texten har förmodligen redan glömt att den största lösenordsläckan någonsin ägde rum så sent som i fjol, då över 8 miljarder inloggningsuppgifter till olika tjänster spreds vind för våg. Kanske även att cybertjuvar på uppdrag av ryska agenter stal personlig information om 500 miljoner Yahoo-medlemmar år 2014. Eller att Adobe, Sony, Microsoft, Samsung och Uber alla råkat ut för liknande attacker.

Själva attackmetoderna har givetvis blivit oerhört mycket mer raffinerade än på 80-talet. Men de har också demokratiserats. Den tonåring som anklagas för att ha infiltrerat spelutvecklaren Rockstar och läckt det kommande Grand Theft Auto VI påstås inte ha använt något annat vapen än sin telefon.

På sätt och vis är det inte konstigt att de ständigt återkommande attackerna mot teknikföretag och underhållningstjänster snabbt faller i glömska, i skuggan av de digitala attackernas mest blodisande form: cyberkrigföring. En term som vi blivit välbekanta med under Rysslands pågående invasion av Ukraina.

I början av 2022 slogs exempelvis flera ukrainska myndigheters och bankers webbtjänster ut temporärt, och vissa vandaliserades även med digital rysk propaganda. Angreppsmetoderna? Inte minst överbelastningsattacker och skadlig programvara – i form av maskar.

34 år efter att Robert Morris råkade tvinga ner proto-internet på knä fortsätter hans innovation att sprida skräck och förödelse långt bortom hans vildaste fantasier.