Ransomware

Fra bred virus til målrettet afpresning

Tidligere ramte ransomware typisk enkelte computere via brede phishingkampagner og krypterede med det samme. Styrelsen for Samfundssikkerhed (SAMSIK, tidligere CFCS) beskriver, at angriberne i stigende grad går målrettet efter organisationer, bruger tid på at bevæge sig rundt i netværket og først krypterer, når de har nok rettigheder til at gøre stor skade. Kriminelle kan desuden købe adgange og værktøjer på en slags kriminel platform (Ransomware-as-a-Service).

Kryptering kombineres ofte med datatyveri – såkaldt dobbelt afpresning. Selv om I kan gendanne fra backup, kan angriberne stadig true med at lække kunde-, person- eller økonomioplysninger.

Hvorfor små virksomheder også rammes

SAMSIK vurderer i Cybertruslen mod Danmark 2025, at truslen fra cyberkriminalitet er meget høj, og at antallet af ransomwareangreb mod danske organisationer i 2024 var rekordhøjt. Myndigheden fremhæver, at konsekvenserne – udgifter til håndtering og genopretning, driftsforstyrrelser og tabt tillid – kan være særligt hårde for små og mellemstore virksomheder med begrænsede ressourcer.

Angriberne går efter den mindste modstand. En virksomhed med uopdateret fjernadgang, genbrugte adgangskoder og backup på samme netværk er et lettere mål end en større virksomhed med styr på det grundlæggende.

Forebyggelse – det myndighederne anbefaler

SAMSIK’s vejledning om ransomware og CISA’s #StopRansomware Guide peger på de samme hovedpunkter. Ingen af dem står alene; det er kombinationen, der virker:

• Opdatér styresystemer, programmer og især udstyr og servere, der er tilgængelige fra internettet, fx VPN og firewall.
• MFA på alle konti og altid på fjernadgang. Fjernskrivebord (RDP) bør ikke være åbent direkte mod internettet.
• Begræns rettigheder: Medarbejdere arbejder uden administratorrettigheder, og administratorkonti bruges kun til administration.
• Segmentér netværket, så et angreb på én computer ikke uden videre når servere og backup.
• Endpointbeskyttelse og overvågning: Antivirus, EDR og nogen, der reagerer på alarmer. Tidlige tegn på malware kan være et angreb under opbygning.
• Backup opbevares adskilt fra det daglige netværk, med en kopi offline eller uforanderlig, beskyttet med MFA – og gendannelse testes jævnligt.
• Træn medarbejderne i at genkende phishing.
• Beredskab: Ransomware skal være tænkt ind i beredskabsplanen, med vigtige dokumenter og telefonnumre også på papir.

Hvis I bliver ramt

SAMSIK anbefaler at holde hovedet koldt og følge beredskabsplanen, hvis den findes. De første skridt er:

• Isolér berørte enheder fra netværket – også enheder, der har været forbundet med dem.
• Kontakt jeres IT-partner eller IT-sikkerhedseksperter med det samme.
• Anmeld til politiet og kontakt eventuelt forsikringsselskabet. Vurdér med det samme, om der er sket brud på persondatasikkerheden, som skal anmeldes til Datatilsynet.
• Slet ikke noget, og geninstallér ikke i panik – spor er vigtige for at finde ud af, hvordan angriberen kom ind.
• Gendan først fra en backup, der er kontrolleret fri for malware, og efter at indgangsvejen er lukket.
• Tjek nomoreransom.org, som drives af bl.a. Europol med Rigspolitiet som partner – for nogle typer ransomware findes gratis dekrypteringsværktøjer.

Ransomware og malware – forskellen

Ransomware er én type malware, men adskiller sig ved formålet: afpresning. Andre typer malware vil typisk forblive skjult og stjæle eller overvåge. Ransomware gør sig bevidst synlig til sidst – men forinden er angrebet ofte foregået i det skjulte i dage eller uger.

Spørgsmål I kan stille

• Kan vores backup slettes eller krypteres af en, der har overtaget en administratorkonto?
• Hvornår har vi sidst testet en fuld gendannelse – og hvor lang tid tog det?
• Er der systemer, der er tilgængelige fra internettet uden MFA, fx fjernskrivebord eller VPN?
• Hvem ringer vi til først, hvis skærmene viser et løsesumskrav en søndag aften?
• Ligger beredskabsplan og vigtige telefonnumre også på papir?

Hvornår giver det mening at få hjælp?

Ved et igangværende angreb: Ring til jeres IT-partner med det samme. Vil I forberede jer, kan Furesø Data gennemgå backup, adgange og beredskab med fokus på, om I kan komme tilbage efter et angreb.

Spørgsmål og svar

Relaterede ord