Hvordan foregår et ransomware-angreb?
Et typisk forløb starter længe før, skærmene bliver sorte. Angriberen skaffer sig adgang — oftest via phishing, stjålne loginoplysninger eller en upatchet, internetvendt tjeneste (fx VPN eller fjernskrivebord). Derefter bevæger angriberen sig rundt i netværket, eskalerer rettigheder, lokaliserer backups og forretningskritiske systemer — og stjæler data undervejs.
Først når fodfæstet er solidt, udløses krypteringen, ofte uden for arbejdstid. At krypteringen er sidste skridt betyder også, at der typisk har været dage eller uger, hvor angrebet kunne være opdaget med ordentlig overvågning.
Hvad er dobbelt afpresning?
Ved dobbelt afpresning krypterer angriberne ikke kun data — de stjæler dem først. Selv hvis I kan gendanne alt fra backup, fortsætter afpresningen: betal, eller data offentliggøres eller sælges. Det ændrer regnestykket, fordi backup alene ikke længere neutraliserer hele truslen, og fordi et datalæk samtidig udløser forpligtelser efter GDPR og — for omfattede virksomheder — underretningsfrister efter NIS2-loven.
Skal man betale løsesummen?
Betaling garanterer hverken fungerende dekryptering eller at stjålne data slettes — I har kriminelles ord for det. Betaling finansierer samtidig næste angreb og markerer jer som betalingsvillige. Myndigheder fraråder generelt betaling, og i visse tilfælde kan betaling til sanktionerede grupper i sig selv være ulovlig.
Den reelle beslutning bør dog ikke træffes i panik under et angreb. Tag stilling på forhånd i jeres incident response-plan, sammen med jeres backup-strategi og forsikringsdækning — så er spørgsmålet afklaret, før det bliver akut.
Hvad beskytter reelt mod ransomware?
- Backup efter 3-2-1-princippet med mindst én kopi offline eller uforanderlig (immutable) — og regelmæssig test af, at gendannelse faktisk virker.
- MFA på alt eksternt tilgængeligt: VPN, mail, administrationsadgange. Stjålne koder er den hyppigste indgang.
- Patching af internetvendte systemer hurtigt efter offentliggjorte sårbarheder.
- Segmentering og least privilege, så ét kompromitteret endpoint ikke giver adgang til hele netværket — og backupsystemer ikke kan nås med almindelige driftskonti.
- Detektion og respons (EDR/SIEM/XDR), der opdager angriberens bevægelser i dagene før krypteringen, mens skaden stadig kan begrænses.