Hopp til innhold
Tilbake til bloggen

Slik stopper du løsepengevirus i bedriften

Isometrisk illustrasjon av flerlaget digitalt forsvar

Du stopper løsepengevirus med tre lag: tiltak som hindrer angriperen i å komme inn, sikkerhetskopier som angriperen ikke får tak i, og en plan for de første timene hvis noe likevel skjer. Ingen av delene krever en stor IT-avdeling. De krever at noen tar ansvar, gjør de riktige grepene i riktig rekkefølge og tester at de virker. Her får du de konkrete tiltakene norske myndigheter anbefaler, hva du gjør i det øyeblikket skjermene låser seg, hvem du må varsle, og hvordan du får dataene tilbake uten å slippe angriperen inn igjen.

Clevo
Gjør sikkerhetshull om til tiltak
Clevo identifiserer sikkerhetshull, oppsummerer funnene for ledelsen og bidrar direkte med å forbedre bedriftens cybersikkerhet.
Se Clevos sikkerhetstjenester

Kort oppsummert

  • Flerfaktorautentisering, automatiske oppdateringer, e-postfiltrering, begrensede administratorrettigheter og et oppdelt nettverk er kjernen i forebyggingen.
  • Sikkerhetskopier må ligge adskilt fra resten av systemet og testes jevnlig. En kopi som aldri er gjenopprettet, er et håp, ikke en plan.
  • Ved mistanke: koble maskinene fra nettverket med en gang, men ikke slett noe. Loggene trengs til både opprydding og etterforskning.
  • Varsle politiet, og vurder om dere må melde til Datatilsynet (innen 72 timer ved brudd på personopplysninger) eller NSM.
  • Myndighetene fraråder å betale løsepenger. Betaling gir ingen garanti for at dere får dataene tilbake.

Innholdsfortegnelse

Hva løsepengevirus gjør med en bedrift

Løsepengevirus er skadevare som låser eller krypterer hele eller deler av innholdet på datamaskinene deres, slik at dere skal betale for å få det tilbake. For en liten eller mellomstor bedrift betyr det typisk at regnskapssystemet, kundedatabasen, fellesmappene og kanskje nettbutikken plutselig er utilgjengelige.

Moderne angrep går ofte et steg lenger. Ifølge Nasjonal sikkerhetsmyndighet kan angriperen i tillegg true med å publisere sensitive dokumenter og data hvis dere ikke betaler. Da hjelper det ikke alene å ha gode sikkerhetskopier: dere har også et mulig datalekkasjeproblem, med kunder, ansatte og kanskje Datatilsynet involvert.

Slik ser et typisk forløp ut:

  1. Inngangen. En ansatt klikker på en lenke i en phishing-e-post, et passord er lekket og brukes uten flerfaktorautentisering, eller en server har en kjent sårbarhet som ikke er tettet.
  2. Kartleggingen. Angriperen beveger seg rundt i nettverket, skaffer seg høyere rettigheter og finner ut hvor de viktige dataene og sikkerhetskopiene ligger. Dette kan pågå i dager eller uker uten at noen merker det.
  3. Tyveriet. Data kopieres ut, slik at angriperen har noe å presse dere med.
  4. Krypteringen. Filene låses, ofte på en kveld eller i en helg, og en løsepengemelding dukker opp.

Poenget med å kjenne forløpet er at hvert steg er et sted dere kan stoppe angrepet. Jo tidligere, jo billigere.

Tiltakene som stopper angriperen før han kommer inn

NSM har en tydelig liste over tiltak mot digital utpressing. For en bedrift uten egen IT-avdeling er dette de grepene som gir mest effekt per krone. Vi har lagt dem i den rekkefølgen vi ville tatt dem.

1. Flerfaktorautentisering på alt som vender ut mot internett

E-post, Microsoft 365 eller Google Workspace, VPN, regnskapssystem og fjernstyring. Et stjålet passord alene skal ikke være nok. NSM nevner flerfaktorautentisering først blant tiltakene sammen med automatiske oppdateringer og filtrering.

2. Automatiske sikkerhetsoppdateringer

Angripere utnytter ofte sårbarheter som allerede har en rettelse. NSM påpeker at systemer og programvare må holdes oppdatert for å tette nettopp disse hullene. Slå på automatiske oppdateringer på PC-er og telefoner, og lag en fast rutine for servere, rutere, brannmurer og programtillegg på nettsiden.

2. Automatiske sikkerhetsoppdateringer

3. Filtrering av e-post og nett

Skadelige vedlegg og lenker kommer jevnlig til alle bedrifter. Filtrering stopper mye av dette før det når innboksen. Sjekk også at e-postdomenet ditt er satt opp med SPF, DKIM og DMARC, slik at det blir vanskeligere å utgi seg for å være deg. Du kan starte med vår gratis sjekk av e-posten.

4. Ingen administratorrettigheter i hverdagen

Når ansatte jobber med vanlige brukerkontoer, blir det vanskeligere for løsepengevirus å kryptere systemmapper. Administratorrettigheter skal bare brukes når de trengs, på egne kontoer med ekstra beskyttelse.

5. Del opp nettverket

Hvis alt henger sammen i ett flatt nettverk, når viruset alt. Med nettverkssegmentering kan dere begrense hvor stor del av systemene som blir rammet. Gjestenettet skal for eksempel aldri dele nett med regnskapsmaskinen, og sikkerhetskopiene skal ikke være synlige fra vanlige arbeidsstasjoner.

5. Del opp nettverket

6. Lær de ansatte å kjenne igjen angrepene

Phishing er en av de vanlige inngangene for angripere. Korte, jevnlige økter og realistiske phishing-tester gjør at folk stopper opp før de klikker, og at de sier fra i stedet for å skjule en feil.

7. Finn hullene før angriperen gjør det

En sikkerhetstest viser hvor bedriften faktisk er sårbar: åpne tjenester, svake passord, feilkonfigurerte skytjenester, gamle programtillegg. Les mer om hvordan du prioriterer i guiden vår om å beskytte bedriften mot dataangrep.

Sikkerhetskopier som tåler et løsepengevirus

Sikkerhetskopien er det som avgjør om et angrep blir en dårlig uke eller en krise som truer bedriften. Men angriperne vet det, og leter aktivt etter kopiene for å slette eller kryptere dem først. Derfor holder det ikke å ha en kopi. Den må være beskyttet.

Krav Hvorfor Slik gjør dere det i praksis
Flere kopier på flere steder En enkelt kopi kan bli rammet sammen med resten NorSIS anbefaler å lagre kopier på flere steder og oppbevare eksterne kopier trygt
Skille fra produksjonen Har angriperen tilgang til nettverket, skal han ikke nå kopiene NSM anbefaler skille nettverksmessig, domenemessig eller rettighetsmessig, for eksempel egne innloggingskontoer som ikke brukes til noe annet
Kopier som ikke kan endres Kopier som ikke kan slettes eller overskrives i en periode, overlever selv om en administratorkonto blir stjålet Slå på uforanderlig lagring eller lås for sletting hos backupleverandøren
Skytjenestene med Microsoft 365 og Google Workspace synkroniserer, men synkronisering er ikke det samme som sikkerhetskopi Ta egen kopi av e-post, OneDrive, SharePoint og Google Disk
Jevnlig gjenopprettingstest Det er først ved gjenoppretting dere ser om kopien virker NorSIS anbefaler at gjenopprettingstest utføres jevnlig, slik at metoden også er kjent

En enkel test dere kan gjøre i morgen: velg en tilfeldig mappe fra forrige måned og gjenopprett den til et annet sted. Ta tiden. Hvis det tar en ettermiddag å få tilbake én mappe, vet dere hvor lang tid hele systemet vil ta.

Når angrepet er i gang: de første timene

Det viktigste er å handle raskt uten å ødelegge spor. Heng opp en kort sjekkliste der alle ser den, og sørg for at telefonnumrene står på papir. Når systemene er låst, får du ikke tak i dem digitalt.

  1. Koble fra. NorSIS råder til å koble fra datamaskinene umiddelbart, for eksempel ved å trekke ut nettverkskabelen og slå av Wi-Fi. Målet er å hindre at viruset sprer seg til flere maskiner og til sikkerhetskopiene.
  2. Ikke slett, ikke formater. La maskinene stå så langt det er mulig. Politiet understreker at logger bør sikres og bevares, både for å kartlegge angrepet og for at de skal kunne etterforske.
  3. Ring IT-leverandøren eller sikkerhetsrådgiveren. Få hjelp til å finne ut hvordan angriperen kom inn, og hvilke kontoer som er kompromittert.
  4. Bytt passord fra en ren enhet. Start med administratorkontoer, e-post og skytjenester, og logg ut alle aktive økter.
  5. Dokumenter alt. Ta bilde av løsepengemeldingen, noter klokkeslett og hva dere har gjort. Det trengs til varsling, forsikring og etterforskning.
  6. Ikke kontakt angriperen på egen hånd. Ta beslutninger om kommunikasjon sammen med rådgiver og ledelse.

Hvem dere må varsle

NSM råder virksomheter som blir angrepet til å varsle sektorresponsmiljø, NSM og politiet. Noen varsler er frivillige og nyttige, andre er lovpålagte med korte frister.

Hvem Når Hva det gjelder
Politiet Så snart som mulig Datakriminalitet kan anmeldes på nett. Næringslivets nødplakat for digitale angrep oppgir også nummeret til NC3 hos Kripos
Datatilsynet Uten ugrunnet opphold, om mulig innen 72 timer Når personopplysninger er rammet, gjelder 72-timersfristen for avviksmelding
NSM Første varsel innen 24 timer, oppdatering innen 72 timer, rapport innen én måned For tilbydere av samfunnsviktige tjenester etter digitalsikkerhetsloven
Forsikringsselskapet Etter vilkårene i avtalen Hvis bedriften har cyberforsikring, krever den ofte rask melding
Kunder og ansatte Når det er høy risiko for dem Berørte personer kan ha krav på å bli informert

Er dere usikre på om dere er omfattet av digitalsikkerhetsloven, eller hva som regnes som et personvernbrudd, bør dere avklare det før det skjer. Da slipper dere å lese lovtekst mens klokken går.

Skal dere betale løsepengene?

Norske myndigheter er tydelige: ikke betal. Betaling garanterer ikke at dere får tilgang til dataene igjen, pengene kan finansiere annen kriminalitet, og bedriften kan bli mer utsatt for nye angrep. Prosjektet No More Ransom peker på det samme, og skriver at betaling styrker de kriminelles forretningsmodell.

Før dere i det hele tatt vurderer spørsmålet, bør dere sjekke tre ting:

  • Finnes det et gratis dekrypteringsverktøy? No More Ransom har en samling dekrypteringsverktøy for kjente varianter. Last aldri ned verktøy fra andre, ukjente kilder.
  • Har dere rene sikkerhetskopier? I så fall er gjenoppretting veien videre.
  • Hva er faktisk stjålet? Trusselen om publisering forsvinner ikke ved betaling. Dere har ingen garanti for at kriminelle sletter noe.

Gjenoppretting: tilbake i drift uten å slippe angriperen inn igjen

Den vanligste feilen etter et angrep er å gjenopprette for fort. Hvis hullet angriperen kom inn gjennom fortsatt står åpent, eller kopien inneholder skadevaren, kan dere bli rammet på nytt i løpet av dager.

NSM og politiet gir de samme rådene:

  1. Bruk bare kopier dere er trygge på. Velg en kopi fra før angriperen kom inn, ikke bare fra før krypteringen. Politiet råder til at kopiene skannes for skadevare før de tas i bruk.
  2. Gjenopprett i et rent miljø. NSM anbefaler å gjenopprette på en del av nettverket dere vet ikke er kompromittert, og overvåke de gjenopprettede enhetene etterpå.
  3. Prioriter det som holder bedriften i gang. Lag en rekkefølge på forhånd: hvilke systemer trenger dere første dag, første uke og første måned?
  4. Tett hullet. Finn ut hvordan angriperen kom inn, og rett det før systemene kobles på nett igjen.
  5. Automatiser der det går. NSM vektlegger automatiserte og skriptbare rutiner for gjenoppretting, slik at færre manuelle steg kan gå galt midt i en krise.

Etterpå er det verdt å gå gjennom hendelsen med ledelsen: hva fungerte, hva tok for lang tid, og hva må endres i rutinene?

Vårt syn: sikkerhet som faktisk blir fikset

Vi ser ofte bedrifter som har fått en lang teknisk rapport om svakhetene sine, og som legger den i en skuff fordi ingen vet hvor de skal begynne. Det er ikke rapporten som stopper løsepengevirus. Det er tiltakene som blir gjort.

Derfor jobber vi annerledes. Når vi tester en bedrift, får ledelsen en kort oppsummering på vanlig norsk: hva som er funnet, hva det betyr for driften, og hva som bør gjøres først. Deretter retter vi hullene selv, sammen med dere. Det er særlig viktig for små og mellomstore bedrifter uten egen IT-avdeling, der det ellers ikke finnes noen som har tid til å følge opp.

Du snakker direkte med fagpersonen som gjør jobben, uten mellomledd eller selgere. Når det gjelder løsepengevirus, er det akkurat det du trenger: noen som kjenner systemene dine før det skjer, og som vet hva som må gjøres hvis det skjer.

Sejad

Slik hjelper vi bedrifter mot løsepengevirus

Vi hjelper små og mellomstore bedrifter med hele kjeden: en sikkerhetstest som viser hvor angriperen kan komme inn, gjennomgang av sky og e-post i Microsoft 365, Google og AWS, og opplæring og phishing-test for de ansatte. Funnene får du som en forståelig oppsummering, og vi retter problemene sammen med dere.

Clevo

Trenger dere hjelp med rutiner, risikovurdering og regelverk som GDPR og NIS2, finner du det under risiko og regler. Vil du starte enkelt, kan du ta en gratis sjekk av e-posten din.

Vanlige spørsmål

Kan antivirus alene stoppe løsepengevirus?

Antivirus er ett lag, men angripere som har stjålet et passord eller utnytter en sårbarhet, kan komme forbi. Derfor anbefaler NSM en kombinasjon av flerfaktorautentisering, oppdateringer, filtrering, begrensede rettigheter og segmentering. Det er helheten som gir beskyttelsen.

Hvor ofte bør vi teste sikkerhetskopiene?

NorSIS anbefaler jevnlige gjenopprettingstester. En praktisk rytme for mange små bedrifter er en enkel test av noen filer hver måned og en større test av et helt system et par ganger i året. Det viktigste er at testen faktisk blir gjort og at flere enn én person kan metoden.

Er Microsoft 365 eller Google Workspace en sikkerhetskopi?

Nei, ikke i seg selv. Tjenestene synkroniserer data, og krypterte eller slettede filer kan synkroniseres like raskt som vanlige endringer. Ta en egen sikkerhetskopi som ligger adskilt fra kontoene dere bruker til daglig.

Må vi anmelde angrepet til politiet?

NSM råder virksomheter til å varsle politiet, og datakriminalitet kan anmeldes på nett. En anmeldelse hjelper politiet å se sammenhenger og kan avdekke andre som er rammet. Sørg for å bevare logger og spor, så politiet har noe å jobbe med.

Hva koster et løsepengeangrep for en liten bedrift?

Den største kostnaden er ofte ikke løsepengekravet, men nedetiden, tapt salg, timer brukt på gjenoppretting og skade på omdømmet. Forebygging og testede sikkerhetskopier koster langt mindre enn å stå uten systemer i flere dager.

Kilder

Anbefalinger