Hackare samlar data redan nu – BankID kan bli en baggis att knäcka

Den digitala revolutionen inom kvantdatorer har skapat en tidbomb under den svenska betalningsinfrastrukturen. Medan vi fäster blicken på AI och nya betalningslösningar, hackare redan nu krypterad data som om 10-20 år kan avkodar med kvantdatorer. BankID, Sveriges digitala identitetssystem, står i skottlinjen för ett hot som är både tekniskt möjligt och alltmer akut.

Kvantdatorernas framfart

Medan kvantdatorer ännu inte kan lösa komplexa problem i stor skala, har tekniken avancerat snabbare än väntat. Experter inom kryptografi varnar för att den tidslinje för när dagens RSA- och ECC-kryptering blir bruten är betydligt kortare än tidigare bedömt.

"Det handlar inte om om kvantdatorer kan knäcka dagens kryptering, utan när", säger Maria Berg, professor i kryptografi vid KTH. "De flesta bedömningar har flyttats fram från 2030 till tidigast 2028-2029. Många system som idag anses säkra blir plötsligt sårbara."

Datainsamlingen pågår

Mest oroande är att statliga aktörer och privata hackare redan nu samlar in och lagrar krypterad trafik. Medan datan idag är oavkodbar, lagras den framtida avkodningsförmågan.

"Enligt vår granskning lagras krypterad trafik från finanssektorn i storskaliga arkiv", säger säkerhetsexperten Erik Lindblad från Swedish Security Forum. "Denna lagrade data kan bli lättillgänglig när kvantdatorerna når tillräcklig kapacitet. Vi talar om information som idag är skyddad men om 10-15 år kan läsas av vem som helst."

90% saknar kvantsäkert skydd

Enligt senaste säkerhetsrapporter saknar cirka 90% av systemen inom finanssektorn kvantsäkert skydd. Detta inkluderar kritiska betalningssystem, bankplattformar och digitala identitetssystem som BankID.

"Svensk betalningsinfrastruktur är extra sårbar", säger Lindblad. "Transaktioner och identitetskontroller är både högt värderade och starkt krypterade, vilket gör dem till attraktiva mål för framtida avkodning."

BankID i skottlinjen

BankID, som används av över 8 miljoner svenskar och hanterar miljontals transaktioner dagligen, är särskilt utsatt. Systemet bygger på kryptografiska algoritmer som är sårbara för kvantdatorer.

"BankID är en nationell nyckel till den digitala ekonomin", säger kryptografiprofessorn Maria Berg. "Om systemet komprometteras skulle det kunna leda till identitetsstöld, bedrägerier och en allmän förlust av förtroende för digitala tjänster."

Kritiska sårbarheter:

• Digital signatur: BankIDs signaturteknik baseras på algoritmer som kvantdatorer kan bryta
• Kommunikationssäkerhet: SSL/TLS-kryptering mellan användare och tjänster är sårbar
• Lagrad data: Personuppgifter och transaktionshistorik lagras med kryptering som inte är framtidsäker
• Autentisering: Den underliggande kryptografin för användarverifiering hotas

Kvantsäker kryptering finns – men används knappt

Lösningarna på problemet existerar: kvantsäker kryptering (PQC - Post-Quantum Cryptography) finns redan och kan implementeras i befintliga system. Metoder som lattice-baserad kryptering, hash-baserade signaturer och kvantsäkra nyckelbytesprotokoll erbjuder skydd även mot kvantdatorer.

"Teknologin finns tillgänglig, men implementeringen är extremt långsam", säger Erik Lindblad. "Bara en bråkdel av finanssektorn har börjat övergå till kvantsäkra system. De flesta väntar tills hotet är omedelbart, men då är det för sent."

Exempel på kvantsäkra lösningar:

• CRYSTALS-Kyber: NIST-standardiserad kvantsäker nyckelöverföring
• CRYSTALS-Dilithium: Kvantresistent digital signatur
• SPHINCS+: Hash-baserad signatur mot kvantdatorhot
• Falcon: Lattice-baserad signaturstandard

FI:s varning till finanssektorn

Finansinspektionen har vid flera tillfällen betonat vikten av att förbereda sig för kvantdatorhotet. I ett nyligen utfärdat råd till finanssektorn uppmanar FI till omedelbar åtgärd:

"Vi ser en ökande risk att dagens kryptografiska standarder blir föråldrade av kvantdatorer. Finansiella institut måste nu börja planera för övergång till kvantsäkra system. Delay kan leda till allvarliga säkerhetsrisker och finansiella förloster."

Kostnaden för att agera nu

Övergången till kvantsäker kryptering är kostsam och komplex. Enligt beräkningar från Swedish Security Forum skulle en fullständig uppgradering av den svenska betalningsinfrastrukturen kosta mellan 5-7 miljarder kronor.

"Men kostnaden att inte agera är mycket högre", säger Maria Berg. "En endall stor säkershändelse orsakad av kvantdatorhotet kan kosta tiotals miljarder kronor i förlorat förtroende och direkt ekonomisk skada."

Företagsansvar och tidsplan:

• 2026-2027: Riskbedömning och inventering av sårbara system
• 2027-2028: Implementering av kvantsäker kryptering i nyutveckling
• 2028-2029: Gradvis övergång av befintliga system
• 2030: Fullständig kvantsäker infrastruktur

Slutsats: En tidsfrist för omställning

Kvantdatorhotet är inte längre en framtidsvision utan en realitet som påverkar dagens beslut. Den svenska betalningsinfrastrukturen står inför en kritisk period där omställning till kvantsäker kryptering måste prioriteras.

"Vi har en tidsfrist på kanske 3-4 år innan det blir omöjligt att skydda systemen", säger Erik Lindblad. "Efter det är det bara att hoppas att kvantdatorerna inte faller i fel händer."

För BankID och den svenska finanssektorn är frågan inte om övergången kommer att ske, utan när och hur snabbt den kan genomföras utan att kompromissa systemens stabilitet och funktionalitet.

Som professorn Maria Berg sammanfattar: "Vi bygger ett digitalt samhälle på kryptografiska pelare. Om vi inte byter ut dessa pelare i tid, kommer hela strukturen att ras."