Annonce – sponsoreret indhold.
Hvis du leder efter en sikker rejseapp, kan du ikke afgøre det på designet eller på antallet af stjerner i app-butikken. Du kan til gengæld kigge efter syv konkrete tegn: jævnlige opdateringer, få tilladelser, en forståelig privatlivspolitik, solid login-beskyttelse, anerkendt betaling, en tydelig afsender og åbenhed om sikkerhed. Her gennemgår vi, hvorfor de syv tegn betyder noget, hvordan de virksomheder, der bygger apps, arbejder bag kulissen, og hvad du kan spørge rejsebureauet om.
Derfor skal du vælge en sikker rejseapp
Få andre apps samler så mange følsomme oplysninger ét sted. En typisk rejseapp kender dit fulde navn, fødselsdato, pasnummer, e-mail, telefonnummer og betalingskort. Den ved også, hvornår du rejser, hvor du bor, og hvornår din bolig står tom. For en kriminel er det en værdifuld samling: pasdata kan misbruges til identitetstyveri, kortoplysninger til svindel, og en rejseplan kan bruges til målrettede phishing-mails, der ligner en rigtig ændring fra flyselskabet eller hotellet.
Rejsende er desuden en let målgruppe. Vi booker i hast, tjekker ind på offentligt wifi i lufthavne og klikker på beskeder om gate-ændringer, uden at tænke os om. Det udnytter svindlerne.
Det, du ser i appen, er kun halvdelen af historien. Den anden halvdel er, hvordan appen er bygget. Hvis sikkerheden først tænkes ind lige før lancering, bliver den ofte et plaster på et system, der allerede har huller. Virksomheder, der arbejder med sikker softwareudvikling, tænker i stedet sikkerhed ind fra de første krav til driften efter lancering. Derfor er processen bag en app lige så vigtig som funktionerne i den. En app kan have en flot bookingflow og alligevel gemme dine data usikkert.
Sådan arbejder udviklerne bag kulissen
Du kan ikke læse en apps kildekode, men det er nyttigt at vide, hvad seriøse udviklere gør. Sikkerhed fordeles typisk over hele forløbet:
- Planlægning og krav: Teamet afklarer, hvilke oplysninger appen behandler, og hvilke krav til kryptering, adgangsstyring, logging og backup den skal opfylde. Lovkrav som GDPR indgår her.
- Trusselsmodellering: Man spørger sig selv, hvordan appen kan misbruges. Kan en bruger se en andens booking? Er integrationerne til fly- og hotelsystemer sårbare? Hvem kan bruge administrative funktioner?
- Sikkert design: Svarene omsættes til konkrete valg om dataflow, kryptering og fejlhåndtering, før koden bliver skrevet.
- Sikker udvikling: Udviklerne følger retningslinjer for sikker kodning, kigger hinandens kode igennem og kontrollerer de eksterne komponenter, appen bygger på.
- Test: Automatiske scanninger, test af brugerrettigheder og API’er og eventuelt penetrationstest finder svagheder, før appen når ud til dig.
- Release: Der er klare kriterier for, hvilke fund der skal være rettet, før en version må udgives, og hvem der godkender den.
- Drift og vedligeholdelse: Efter lancering overvåges appen, og nye sårbarheder i egen kode og tredjepartskode håndteres løbende.
Det er den sidste fase, du som bruger mærker mest: jævnlige opdateringer er tegn på, at nogen faktisk passer på appen.
Tjeklisten: 7 ting der afslører, om appen er sikker nok
Brug punkterne, før du downloader en ny app, og igen, hvis du har brugt den længe uden at tænke over det.
- Appen opdateres jævnligt. Åbn appens side i App Store eller Google Play og se opdateringshistorikken. En app, der ikke har fået en opdatering i lang tid, har sandsynligvis uløste sårbarheder. Teksten “fejlrettelser og forbedringer” gentaget i det uendelige siger dog heller ikke meget. Gode udbydere beskriver ofte, hvad der er rettet.
- Den beder kun om de tilladelser, den har brug for. En app til hotelbooking behøver ikke adgang til dine kontakter, mikrofon eller dit fotobibliotek. Lokation kan give mening til kort og transport, men vælg “kun når appen er i brug”. Afvis tilladelser, du ikke kan begrunde.
- Privatlivspolitikken er konkret og kan læses. Den skal fortælle, hvilke data der indsamles, hvorfor, hvor længe de gemmes, og hvem de deles med. Vage formuleringer som “vi deler data med udvalgte partnere” uden nærmere forklaring er et dårligt tegn. Se også efter, om du kan få indsigt i og slettet dine data. Det har du ret til efter GDPR.
- Login er beskyttet med mere end et simpelt kodeord. Tjek, om appen tilbyder tofaktorlogin, adgangskoder via biometri eller passkeys. Når din konto indeholder pasoplysninger og kortdata, bør et gætteligt kodeord ikke være den eneste barriere. Brug et unikt kodeord, helst fra en kodeordshåndtering.
- Betalingen går via en anerkendt betalingsløsning. Du skal se kendte betalingsmetoder og bekræftelse i din bank-app, når det er relevant (3D Secure). Appen skal ikke gemme dit kortnummer uden at spørge. Seriøse udbydere overholder kortbranchens sikkerhedsstandard, PCI DSS, eller lader en certificeret betalingsudbyder håndtere kortdata. Ved du ikke, hvordan din betaling er beskyttet, så spørg.
- Udgiveren er til at finde. Hvem står bag appen? Der skal være et virksomhedsnavn, en adresse, et CVR-nummer eller tilsvarende, en kundeservice, der svarer, og en hjemmeside med samme navn. Vær på vagt over for kopi-apps, der ligner kendte brands, men har en anden udgiver. Tjek anmeldelsernes indhold, ikke kun gennemsnittet.
- Virksomheden er åben om sikkerhed. En ansvarlig udbyder har en beskrivelse af, hvordan den beskytter data, en kontaktadresse til folk, der finder fejl, og en klar procedure for at informere dig, hvis dine oplysninger kommer ud. Efter GDPR skal virksomheder normalt anmelde et brud på persondatasikkerheden til Datatilsynet inden 72 timer, når det er relevant. Hvis udbyderen kan fortælle, at sikkerhed indgår i udviklingsforløbet fra start til drift, er det et godt signal.
Spørgsmål du kan stille rejsebureauet
Mange bookinger sker gennem et rejsebureau eller en rejsearrangørs app. Du har ret til at spørge, og et seriøst bureau bør kunne svare uden undvigelser. Skriv eller ring og spørg for eksempel:
- Hvilke personoplysninger gemmer I om mig, og hvor længe?
- Deler I mine pasoplysninger eller kortdata med andre, for eksempel flyselskaber eller underleverandører, og hvorfor?
- Hvem håndterer betalingen, og gemmer I mit kort?
- Kan jeg slå tofaktorlogin til?
- Hvordan får jeg besked, hvis der sker et sikkerhedsbrud, og hvem kontakter jeg, hvis jeg mistænker misbrug?
- Hvordan tester og opdaterer I jeres app og booking-system?
Det sidste spørgsmål afslører meget. Et bureau, der arbejder struktureret med sikkerhed, kan typisk fortælle om test, kontrol før lancering og opfølgning på sårbarheder. Hvis du booker last-minute og vælger blandt ukendte udbydere, er spørgsmålene ekstra vigtige. Vores 7 tips til at finde en billig rejse i sidste øjeblik kan hjælpe dig med at finde gode tilbud, men et godt tilbud er ikke meget værd, hvis bookingsiden er usikker.
Er du i tvivl om dine rettigheder, kan du få vejledning hos Forbrugerrådet Tænk. Hvis du tror, dine oplysninger er blevet misbrugt, kan du kontakte din bank og Datatilsynet. Center for Cybersikkerhed samler generelle råd om sikker brug af digitale tjenester.
Typiske fejl, når du vælger rejseapp
Den mest almindelige fejl er at stole på udseendet. En poleret app kan være dårligt sikret, og en enkel app kan være solid. Næsten lige så almindeligt er det at klikke “accepter alle” på tilladelser og vilkår i tidspres i lufthavnen. Mange bruger også det samme kodeord på tværs af bookingkonti, så ét lækket login åbner flere døre. Andre bruger rejseappens gratis wifi-login eller offentligt netværk til at betale uden at overveje alternativer som mobildata. Endelig er det en fejl at beholde gamle apps på telefonen. Slet dem, du ikke bruger, og opdater resten, inden du rejser, så du ikke skal gøre det på et ukendt netværk.