En webbplats du besöker kan lista ut vilka andra sajter och appar du kör samtidigt, bara genom att mäta hur lång tid det tar att läsa från din SSD. Tekniken heter FROST och demonstrerades av forskare vid Graz University of Technology den 28 maj 2026. Den kräver ingen skadlig kod, ingen behörighetsdialog och ingen installation. Du behöver bara öppna fel webbsida. I tester identifierade attacken besökta webbplatser med 89 procents träffsäkerhet och körande appar med 96 procents träffsäkerhet.
Det otäcka är att det här inte är en bugg. FROST utnyttjar en webbstandard som fungerar precis som den ska.
Så fungerar FROST i praktiken
FROST är en sidokanalsattack. Den stjäl inte data direkt, utan läser av indirekta fysiska signaler. I det här fallet handlar det om hur snabbt din SSD svarar när flera processer slåss om samma disk.
Attacken bygger på fem steg:
- Den skadliga sajten fyller din disk. JavaScript-koden skapar en gigantisk fil via OPFS-API:et, så stor att den upptar upp till 60 procent av ditt lediga diskutrymme på Chrome och Safari.
- Koden läser konstant från filen. Den utför slumpmässiga 4 KB-läsningar mot SSD:n, om och om igen.
- Dina andra appar skapar störningar. När du öppnar en ny sajt eller startar ett program måste även det läsa från samma SSD.
- Konkurrensen blir mätbar. De två processerna krockar om diskens resurser och skapar små fördröjningar, latenstoppar, som går att registrera i webbläsaren.
- AI tolkar mönstret. En neuralnätsmodell (CNN) analyserar tidsmönstren och matchar dem mot kända signaturer för specifika sajter och appar.
Varje webbplats och app har nämligen ett eget läsmönster mot disken, ungefär som ett fingeravtryck. Modellen lärde sig känna igen dem med en F1-score på 88,95 procent i sluten testmiljö. Ars Technica beskriver tekniken som ett nytt sätt för webbsajter att spionera på besökare via SSD-aktivitet.
OPFS är inte en lucka, det är en funktion
Origin Private File System (OPFS) är en helt legitim webbstandard. Den finns i Chrome, Firefox och Safari och den är till för att webbappar ska kunna lagra data snabbt lokalt. Tänk in-browser-kodredigerare, videoredigerare och produktivitetsverktyg som behöver snabb lagring utan ständig serverkontakt.
Problemet sitter i fysiken, inte i koden.
OPFS isolerar data digitalt mellan olika webbplatser. En sajt kan inte läsa en annans filer. Men alla filer hamnar fysiskt på samma SSD som resten av datorn använder. Och den fysiska disken går inte att isolera mjukvarumässigt. När två processer läser från samma enhet uppstår mätbar konkurrens, oavsett hur väl webbläsaren separerar dem logiskt.
Det är därför webbläsartillverkarna inte tänker täppa till hålet. De klassar FROST som korrekt användning av ett API enligt specifikationen. Ingen patch är planerad. Sandboxing, flikisolering och ursprungsseparation är aktiva hela tiden och attacken fungerar ändå.
Vad det betyder för dig som vanlig användare
Den realistiska risken för en svensk privatperson är fortfarande låg men inte noll. Det här är ingen massattack mot vem som helst. Det är ett verktyg för riktad övervakning.
För att ens fungera måste OPFS-filen bli större än din dators page cache, alltså det utrymme operativsystemet använder för att mellanlagra filer i RAM. Har du gott om minne och en SSD med massor av ledigt utrymme krävs det en rejäl fil innan attacken biter. På en dator där disken redan är nästan full eller där minnet är knappt, blir det betydligt lättare.
Tre situationer där det här faktiskt spelar roll:
- Du vill dölja vilka sajter du besöker. Visselblåsare, journalister med känsliga källor eller den som lever under kontroll i hemmet.
- Du delar dator. En sajt kan teoretiskt avslöja vad någon annan på maskinen gjorde i ett annat fönster.
- Du jobbar med skyddsvärd information. Det är här attacken går från kuriosa till verkligt hot.
Dataläckaget går dessutom långsamt. På Linux uppmätte forskarna 661,63 bitar per sekund och på macOS 891,77 bitar per sekund via OPFS. Det räcker gott för att tracka beteende över tid men det är ingen snabb stöld av filer. Om du är nyfiken på vad annan information om dig redan läcker på nätet kan du börja med att kolla vad din IP-adress faktiskt avslöjar om dig.
Så skyddar du dig mot FROST
Du behöver inte göra något drastiskt om du surfar vanligt. Men för den som vill ha kontroll finns det konkreta steg, från lätt till paranoid.
| Åtgärd | Skyddsnivå | Nackdel |
|---|---|---|
| Använd Tor Browser | Hög | OPFS är redan av men långsammare surf |
| Stäng av OPFS i webbläsaren | Hög | Kan krascha vissa webbappar |
| Surfa känsligt i virtuell maskin | Mycket hög | Krångligare, kräver resurser |
| Håll gott om ledigt diskutrymme | Låg | Försvårar bara, stoppar inte |
I Tor Browser är OPFS avstängt som standard, vilket gör den till det enklaste valet för känslig surfning. Vill du stänga av OPFS manuellt finns inställningen i `chrome://flags` i Chrome, `about:config` i Firefox och under Develop-menyn i Safari.
Vill du köra opålitliga sidor helt isolerat är en virtuell maskin med egen virtuell disk det säkraste. Då finns det ingen gemensam fysisk SSD för angriparen att mäta mot.
Forskarna föreslog även åtgärder som webbläsartillverkarna skulle kunna bygga in: att begränsa OPFS-filers storlek till vad som ryms i RAM, sänka precisionen på högupplösta timers när OPFS är aktivt och varna användaren när en sajt snabbt äter upp lagringsutrymme. Kaspersky har en genomgång av hur FROST-attacken fungerar tekniskt om du vill läsa djupare.
Inte första gången hårdvaran skvallrar
FROST är en i en lång rad attacker som utnyttjar att mjukvarans gränser inte gäller i den fysiska världen. Strömförbrukning, elektromagnetisk strålning och exakta tidsmätningar har alla använts för att läcka hemligheter ur system som på pappret är säkra.
Sidokanaler är ett aktivt forskningsfält även i Sverige, bland annat vid KTH där forskare studerar hur maskininlärning kan både hitta och utnyttja den här typen av sårbarheter. Det FROST visar tydligare än de flesta är att en helt korrekt implementerad standard ändå kan bli ett integritetsproblem så fort den möter verklig hårdvara.
Vill du grotta vidare i hur SSD-teknik fungerar och var fallgroparna finns har vi skrivit om hur du avslöjar falska SSD:er som lurar testprogram. Och om du undrar hur du skyddar dig mot hot på nätet mer generellt finns en bra startpunkt i vår guide om hur du skyddar dig mot hackare.
FAQ
Kan FROST stjäla mina lösenord eller filer?
Nej. FROST läser inte innehållet i dina filer eller vad du skriver. Den identifierar vilka webbplatser du besöker och vilka appar du kör genom att analysera tidsmönster på din SSD. Det är beteendeövervakning, inte datastöld.
Behöver jag installera något för att bli drabbad?
Nej och det är det som gör attacken ovanlig. Du behöver bara besöka en skadlig webbplats. Ingen nedladdning, ingen behörighetsdialog och ingen varning från webbläsaren. Koden körs som vanlig JavaScript i bakgrunden.
Vilka webbläsare påverkas?
Chrome, Firefox och Safari exponerar alla OPFS-API:et som attacken bygger på. Tor Browser har OPFS avstängt som standard och är därför inte sårbar utan vidare ändringar.
Kommer det en patch som löser problemet?
Inte enligt nuvarande planer. Webbläsartillverkarna ser FROST som korrekt användning av en standard enligt specifikationen, inte som en bugg. Det betyder att skyddet ligger på dig som användare tills standarden eventuellt ändras.
Påverkas jag om jag har en hårddisk istället för SSD?
Attacken är demonstrerad mot SSD:er, som dominerar i moderna datorer. Principen med diskkonkurrens skulle teoretiskt kunna gälla annan lagring men forskningen fokuserade på SSD eftersom det är vad de allra flesta använder idag.
Hjälper det att surfa i inkognitoläge?
Nej. Inkognitoläge döljer din historik lokalt men stänger inte av OPFS-API:et. Attacken fungerar likadant oavsett om du surfar privat eller inte. För riktigt skydd krävs Tor Browser, avstängt OPFS eller en virtuell maskin.
Fredrik Albinsson är chefredaktör för PC Concept och har varit med sedan sajten grundades. Med över 15 års erfarenhet inom IT och teknikjournalistik leder han redaktionens arbete och sätter riktningen för innehållet. Han bevakar framför allt utvecklingen inom digitala tjänster och appar.