Forløbet, fra indgang til kryptering
Et typisk forløb starter længe før, skærmene bliver sorte. Angriberen skaffer sig adgang, oftest via phishing, stjålne loginoplysninger eller en upatchet, internetvendt tjeneste som en VPN eller et fjernskrivebord. Derefter bevæger han sig rundt i netværket, eskalerer rettigheder, finder backups og forretningskritiske systemer, og stjæler data undervejs.
Først når fodfæstet er solidt, bliver krypteringen udløst, som regel uden for arbejdstid.
At krypteringen er sidste skridt betyder også noget vigtigt. Der har typisk været dage eller uger, hvor angrebet kunne være opdaget med ordentlig overvågning.
Hvad er dobbelt afpresning?
Ved dobbelt afpresning krypterer angriberne ikke kun jeres data. De stjæler dem først. Selv hvis I kan gendanne alt fra backup, fortsætter afpresningen. Betal, eller data bliver offentliggjort eller solgt.
Regnestykket ændrer sig, fordi backup alene ikke længere neutraliserer hele truslen. Og fordi et datalæk samtidig udløser forpligtelser efter GDPR og underretningsfrister efter NIS2-loven for omfattede virksomheder.
Spørgsmålet om at betale
Betaling garanterer hverken fungerende dekryptering eller at stjålne data bliver slettet. I har kriminelles ord for det. Betaling finansierer samtidig næste angreb og markerer jer som betalingsvillige. Myndighederne fraråder det generelt, og i visse tilfælde kan betaling til sanktionerede grupper være ulovlig i sig selv.
Den reelle beslutning bør ikke træffes i panik under et angreb. Tag stilling på forhånd i jeres incident response-plan, sammen med backup-strategien og forsikringsdækningen. Så er spørgsmålet afklaret, før det bliver akut.
De fem ting, der reelt beskytter
- Backup efter 3-2-1-princippet med mindst én kopi offline eller uforanderlig, og regelmæssig test af, at gendannelsen faktisk virker.
- MFA på alt eksternt tilgængeligt. VPN, mail, administrationsadgange. Stjålne koder er den hyppigste indgang.
- Patching af internetvendte systemer hurtigt efter offentliggjorte sårbarheder.
- Segmentering og least privilege, så ét kompromitteret endpoint ikke giver adgang til hele netværket, og så backupsystemerne ikke kan nås med almindelige driftskonti.
- Detektion og respons med EDR, SIEM eller XDR, der opdager angriberens bevægelser i dagene før krypteringen, mens skaden stadig kan begrænses.
Er I ramt lige nu, så gå direkte til akut it-sikkerhedshændelse. Skal I forebygge, er det systemovervågning, der opdager bevægelserne i dagene før.