Fyra orelaterade säkerhetsnyheter kom fram under de senaste veckorna. En forskare upptäckte att ett eftermonterat billarm kallat KARR — installerat i uppskattningsvis över 2 miljoner fordon — kan låsas upp, avaktiveras eller stängas av i det tysta av vem som helst inom Bluetooth-räckvidd. En hotforskare på Bitsight upptäckte att en populär billig streamingsticka, H96, i flera år i det tysta har hyrt ut sina ägares internetanslutningar och klickat på bedrägliga annonser medan den utgett sig för att vara en mobiltelefon. En hackare erkände sig skyldig till dataintrång kopplade till uppgifter om över 100 miljoner människor. Personen tog sig inte in genom någon listig exploit, utan via kundlösenord som hade legat kvar sedan en infostealer-infektion flera år tidigare, på konton där flerfaktorsautentisering aldrig hade aktiverats. Och forskare visade att skadlig kod under rätt förutsättningar kan extrahera passkeys som synkroniserats via Google Password Manager — själva systemet som många av oss började använda specifikt för att komma bort från lösenordsrisker.

Lästa var för sig handlar detta om fyra olika problemkategorier: ett hårdvarufel, ett bedrägeriupplägg i leveranskedjan, ett företagsintrång och ett problem i en kryptografisk implementation. Men de har en gemensam grundorsak som inte har något med den berörda tekniken att göra. I varje fall installerades, aktiverades eller skapades det sårbara en gång — och sedan tittade ingen på det igen.

Mönstret under rubrikerna

Säkerhetsskuld byggs upp precis på de platser där du slutar vara uppmärksam. Ett billarm monteras in som en del av ett tillvalspaket hos bilhandlaren och finns sedan inte längre i dina tankar, förrän det är orsaken till att din bil hamnar i någon annans händer. En streamingsticka kopplas in i tv:n, fungerar bra i flera år och ger aldrig upphov till någon varning eftersom den fortfarande spelar upp det du ber den om — annonsbedrägerierna och delningen av bandbredd sker osynligt vid sidan av. Ett inloggningslösenord skapas, fungerar när en inloggningsruta visas och blir sedan liggande i en databas i åratal efter att enheten som läckte det är glömd sedan länge, eftersom det inte är en uppgift någon lägger in i kalendern att byta ett lösenord man inte tänker på. En passkey konfigureras specifikt för att vara ”säkrare än ett lösenord”, och det ryktet blir en anledning att sluta tänka på vad som skyddar enheten där den finns.

Inget av detta krävde en sofistikerad angripare som hittade något nytt fel som ingen hade förutsett. Billarmet och stölden av passkeys innebar verklig teknisk forskning. Men det som faktiskt gjorde att skadan kunde ske i stor skala var gapet mellan ”konfigurerat en gång” och ”aldrig granskat igen”.

En 20-minutersgranskning av sådant du redan äger

Du behöver inte köpa något eller bli en annan sorts person för att täppa till det mesta av detta gap. Du behöver gå igenom kategorierna ovan en gång, och behandla det som en återkommande syssla snarare än en engångsuppgift vid konfigureringen.

1. Eftermonterade enheter och tillbehör

Gå igenom allt som installerats av en tredje part i stället för att vara inbyggt — billarm, dashcam, smarta lås och eftermonterade spårare. Kontrollera i tillverkarens app eller på webbplats om det finns en funktion för uppdatering av fast programvara och kör den faktiskt. När det gäller KARR-larmet noterade forskarna att ett enkelt visuellt kännetecken är ett ”KARR”-klistermärke på förarsidans fönster; om du har ett, kontrollera med installatören eller tillverkaren om det finns en uppdatering innan du antar att allt är i sin ordning. Den mer övergripande vanan som är värd att bygga upp är denna: allt som har en radiosändare och en tillverkarapp är en enhet som behöver underhåll ibland, precis som din telefon eller bärbara dator.

2. Vad som än är inkopplat i tv:n

Generiska streamingboxar som säljs på marknadsplatser under namn som H96, ofta marknadsförda för en engångsavgift med ”obegränsat” innehåll, är värda att granska noggrant. Om du äger en sådan ska du förstå att risken inte bara handlar om piratkopierat innehåll — det handlar om att själva enheten kan bete sig som en andra dator i ditt nätverk, med en egen agenda. Om du inte kan verifiera vad en enhet gör i ditt nätverk, och den kommer från ett obekant varumärke som lovar något som verkar för bra för priset, är det skäl nog att isolera den i ett gästnätverk eller ersätta den med en etablerad streamingenhet från ett företag som har ett rykte att skydda.

3. Gamla lösenord, särskilt återanvända eller vilande

Intrånget som var kopplat till den Snowflake-länkade hackarens erkännande berodde inte på ett fel i plattformen. Det berodde på uppgifter som flera år tidigare hade samlats in av skadlig kod på någons dator, uppgifter som ingen hade bytt ut, på konton där flerfaktorsautentisering hade stängts av. Det är ett helt undvikbart fel, och det är vanligt: alla konton du konfigurerar en gång och sällan loggar in på är precis den typ av konto som kan ha ett läckt, flera år gammalt lösenord just nu. Om din lösenordshanterare erbjuder en kontroll av intrång eller återanvändning, kör den. Om ett konto tillåter MFA och det är avstängt, slå på det — den här enda kontrollen skulle ha stoppat intrånget som exponerade uppgifter om över 100 miljoner människor.

4. Kontot som skyddar dina passkeys

Passkeys är en verklig förbättring jämfört med lösenord när det gäller de specifika problemen nätfiske och återanvändning. Men den senaste forskningen om att stjäla synkroniserade passkeys via Google Password Manager är en nyttig påminnelse om att en passkey inte är magisk — den ärver säkerheten från det konto och den enhet som den synkroniseras genom. Det innebär att kontot där din lösenordshanterare eller passkey-synkronisering finns förtjänar det starkaste skydd du har: en stark, unik lösenkod på själva enheten, MFA på kontot som sköter synkroniseringen och uppmärksamhet på vad du installerar på enheten, eftersom forskningen bygger på att skadlig kod redan körs på datorn, inte på ett fel som du kan ”patcha” i själva passkeys.

Varför detta är värt att göra nu i stället för senare

Ingen av dessa fyra berättelser beskriver ett hot som du behöver få panik över i dag. Men alla fyra beskriver hot som växte i månader eller år, just för att ingen återkom och kontrollerade dem. Lösningen är inte ett nytt verktyg eller en prenumeration — det är att välja en återkommande tidpunkt, kanske i samband med en vana du redan har, som att kontrollera kontoutdraget, och ställa en tråkig fråga om sådant du redan äger och redan litar på: när kontrollerade jag detta senast, och finns det fortfarande någon annan än jag som har anledning att hålla ett öga på det?