Modul 1 · 1.3
Ransomware och utpressning
Modul 1: Varför du är ett mål · Lästid: 10 minuter
Lärandemål: Efter den här lektionen kan du förklara hur ransomware tar sig in, vad dubbel utpressning är och vilka åtgärder som begränsar skadan.
Nyckelbegrepp: ransomware, kryptering, dubbel utpressning, initial åtkomst, lateral rörelse, lösensumma, dekrypteringsverktyg (No More Ransom)
Vad ransomware är
Ransomware är skadlig programvara som gör dina filer eller system oanvändbara och sedan kräver en lösensumma. Ordet kommer från engelskans ransom: lösensumma. Oftast sker det genom kryptering: programvaran gör om dina filer till oläsliga data, med en nyckel som bara angriparen har. Du ser fortfarande att filerna finns kvar, ofta med en konstig filändelse, men du kan inte längre öppna dem. På skärmen eller i varje mapp finns ett meddelande: betala inom några dagar, annars är allt borta.
Kryptering i sig är inget skadligt. Det är samma teknik som skyddar din bärbara dator vid stöld (lektion 5.2) och som säkrar din anslutning till en webbplats. Skillnaden är vem som har nyckeln. Bra kryptering går inte att knäcka. Därför är "vi löser upp krypteringen senare" nästan aldrig ett alternativ, om inte de som skapat ransomwaren har gjort ett misstag.
Enligt det nederländska NCSC drabbar ransomware inte bara filer, utan även system och säkerhetskopior. Det sistnämnda är den viktigaste punkten i den här lektionen.
Hur det tar sig in
En ransomware-attack är inte ett ögonblick, utan en rad steg. Det börjar med initial åtkomst: första foten mellan dörren. De vanligaste vägarna:
| Åtkomstväg | Hur det går till | Vad som stoppar det |
|---|---|---|
| Phishing med bilaga eller länk | En medarbetare öppnar en "faktura" eller "följesedel" som startar skadlig programvara | Medvetenhet (lektion 9.2), uppdateringar, begränsade rättigheter |
| Stulna inloggningsuppgifter | Ett läckt lösenord fungerar på webmailen, VPN:et eller fjärradministrationen | Unika lösenord, tvåfaktorsautentisering (2FA) (modul 2) |
| En känd sårbarhet i ett system som är anslutet till internet | En föråldrad VPN-server, brandvägg, NAS eller webbplats med en offentligt känd sårbarhet | Snabb uppdatering (lektion 5.1), inte öppna mer än nödvändigt |
| Fjärradministration som står öppen | Ett program för att fjärrstyra en dator, nåbart från hela internet | Endast via en säker anslutning, med 2FA |
| En leverantör | IT-företaget eller programvaran hos en leverantör missbrukas | Avtal och minimala rättigheter (modul 7) |
Efter den första åtkomsten väntar angriparen ofta. Han tittar runt, letar efter administratörskonton och hoppar från dator till dator. Det kallas lateral rörelse. Han letar främst efter två saker: var de viktiga uppgifterna finns och var säkerhetskopiorna finns. Först när han har hittat båda slår han till, ofta på natten eller under helgen, när ingen märker det.
Varför en ansluten säkerhetskopia inte hjälper
Många små företag har en säkerhetskopia: en extern hårddisk som alltid sitter i datorn, eller en nätverksdisk (NAS) dit en kopia går varje natt. Det är bättre än inget vid en trasig hårddisk. Mot ransomware hjälper det ofta inte.
Orsaken är enkel. Ransomware krypterar allt som den infekterade datorn eller det kapade kontot kommer åt. Sitter säkerhetskopiedisken i datorn kommer ransomwaren åt den. Ligger säkerhetskopian på en nätverksdisk som du loggar in på med samma konto kommer ransomwaren åt den. En angripare som lugnt har tittat sig omkring raderar ibland till och med säkerhetskopiorna medvetet innan han krypterar.
Samma sak gäller synkronisering. En mapp som automatiskt synkroniseras med molnet synkroniserar också den krypterade versionen. Ibland kan du fortfarande gå tillbaka till en äldre version av en fil, men det beror på tjänsten och hur länge den sparar versioner.
En säkerhetskopia som överlever ransomware har minst en kopia som angriparen inte kan nå eller inte kan ändra: en hårddisk som ligger löst i en låda, eller en säkerhetskopia hos en separat leverantör med en egen inloggning som du inte använder på din arbetsdator, eller en lagring där ändring och radering är tekniskt omöjlig under en tid. I modul 6 ordnar du det steg för steg. En säkerhetskopia som ditt webbhotell gör på separata servrar, skilt från ditt paket, är för din webbplats och e-post redan en kopia på avstånd. Kontrollera dock hur länge den sparas och vem som kan radera den.
Dubbel utpressning
Förr var en bra säkerhetskopia det fullständiga svaret på ransomware: återställ och klart. Angripare har anpassat sig. Vid dubbel utpressning stjäl de först en kopia av dina uppgifter och krypterar sedan. Då finns det två hot:
- Betala, annars får du inte tillbaka dina filer.
- Betala, annars publicerar vi dina uppgifter: kundregister, offerter, löneuppgifter, mejllådor.
En säkerhetskopia hjälper mot det första, inte mot det andra. Även det nederländska NCSC varnar för att angripare ibland hotar att publicera stulna uppgifter. Dessutom är stöld av personuppgifter i sig en personuppgiftsincident, med anmälningsplikt till Integritetsskyddsmyndigheten (IMY) (lektion 8.2), oavsett om du betalar eller inte.
Ibland går en angripare ännu längre och kontaktar dina kunder eller affärspartner direkt med beskedet att deras uppgifter har tagits från dig. Trycket ligger då inte bara på dig, utan även på ditt rykte.
Betala eller inte?
Myndigheters och polisens råd är tydligt: betala helst inte. No More Ransom, ett initiativ från bland annat Europol och den nederländska polisen, uttrycker det så här: att betala lösensumma ger inga garantier. Det finns goda skäl:
- Du har ingen garanti för att du får en fungerande nyckel, eller att dekrypteringen lyckas.
- Du har ingen garanti för att stulna uppgifter verkligen raderas efteråt.
- Du bekräftar att ditt företag betalar, vilket gör dig till ett attraktivt mål för en ny attack.
- Du finansierar nästa attack mot andra.
- Vägen in är ännu inte stängd. Utan utredning kan det hända igen.
Det nederländska NCSC anger återställning från en säkerhetskopia som den mest tillförlitliga lösningen. Lyckas inte det, kontrollera om det finns en dekrypterare: ett gratis program som kan dekryptera filer från en viss ransomware-familj, eftersom forskare hittat ett fel i den familjen eller beslagtagit nycklar. No More Ransom (https://www.nomoreransom.org) samlar dessa dekrypterare och hjälper dig avgöra vilken ransomware du har. Långt ifrån alla familjer har en lösning, men det kostar inget att kolla.
Gör under alla omständigheter en polisanmälan, och kontrollera om du har en anmälningsplikt: till IMY om personuppgifter har berörts, till tillsynsmyndigheten om du omfattas av cybersäkerhetslagen (2025:1506) (lektion 9.1), och ibland till en uppdragsgivare enligt ditt avtal.
Vad som begränsar skadan
Du kan minska risken för en attack och begränsa skadan om det ändå händer. En översikt, med lektionen där du lär dig det:
- Uppdatera, särskilt allt som är anslutet till internet: VPN, router, NAS, webbplats (lektion 5.1).
- Tvåfaktorsautentisering (2FA) på e-post, fjärradministration och alla administratörskonton (lektion 2.3 och 2.4).
- Minimala rättigheter: arbeta inte dagligen med ett administratörskonto, och ge inte alla tillgång till allt (lektion 7.1).
- En säkerhetskopia utom räckhåll för dina vanliga konton, och testa regelbundet om återställning fungerar (modul 6).
- Ett incidentkort så att alla vet vad de ska göra: koppla bort nätverket, stäng inte bara av, ring (lektion 8.1 och 8.3).
- Medvetenhet: en kollega som direkt rapporterar att han öppnat en konstig bilaga ger dig timmars försprång (lektion 9.2).
I praktiken: så här kan det se ut
Ett exempel, sammanställt utifrån situationer som ofta förekommer. Ett installationsföretag med tolv anställda hade en VPN-server för att komma åt filerna hemifrån. Firmwaren hade inte uppdaterats på ett och ett halvt år. Via en känd sårbarhet tog sig en angripare in, tittade sig omkring i en vecka och hittade administratörskontot för nätverksdisken. En lördagsnatt krypterades datorerna, nätverksdisken och USB-disken med säkerhetskopian som var ansluten till den. Det som fanns kvar: e-posten och webbplatsen, som fanns hos ett webbhotell med egen säkerhetskopiering, samt en gammal kopia av bokföringen på en disk som revisorn hade hemma. Med den kunde företaget fakturera igen efter några dagar. Offerterna och ritningarna från de senaste månaderna var borta.
En uppdatering och en lös disk i en låda hade gjort skillnaden mellan några dagar och några månader.
Sammanfattning
- Ransomware krypterar filer, system och säkerhetskopior och kräver en lösensumma; bra kryptering går inte att knäcka.
- Ransomware tar sig in via phishing, stulna lösenord, ouppdaterade system anslutna till internet, fjärradministration eller en leverantör; därefter tittar angriparen ofta sig omkring först.
- En säkerhetskopia som sitter i datorn eller som är nåbar med samma konto krypteras ofta med.
- Vid dubbel utpressning stjäls uppgifterna först; en säkerhetskopia hjälper då inte mot hotet att publicera, och det räknas som en personuppgiftsincident.
- Betala helst inte; återställ från en säkerhetskopia, kolla hos No More Ransom om det finns en dekrypterare och gör en polisanmälan.
Quiz
Uppgift
Uppgift D1.3: Vad händer om det sker i natt? Gå igenom för ditt eget företag vad ransomware skulle kunna kryptera i natt. Skriv ner var dina säkerhetskopior finns, om de är nåbara från en vanlig arbetsdator eller med ett vanligt konto, och vilka system som är anslutna till internet. Besvara sedan reflektionsfrågorna.
Uppgift D1.3: Vad händer om det sker i natt?
Så här gör du: (1) Gör en lista över alla ställen där viktiga filer finns: datorer, bärbara datorer, nätverksdisk, molnlagring, mejl, bokföring, webbplats. (2) Skriv vid varje ställe var säkerhetskopian finns, och om den säkerhetskopian är åtkomlig från en vanlig arbetsdator eller med ett konto du använder dagligen. (3) Kontrollera vilka system som är anslutna till internet och åtkomliga utifrån (VPN, fjärrhantering, NAS, router, webbplats), och när de senast uppdaterades. (4) Kontrollera om det finns minst en kopia som utpressningsprogram inte kan nå (lös i lådan, eller hos en separat part med egen inloggning). (5) Titta en gång på https://www.nomoreransom.org/sv/index.html för att se hur sidan fungerar, så att du vet det om det behövs.
Dina bockar och anteckningar sparas bara i den här webbläsaren; vi skickar dem ingenstans. Är du inloggad sparar vi i Mina kurser bara att du har gjort uppgiften.
Läs mer
Stegen i WebOkés artiklar gäller för WebOkés egen miljö; hos andra leverantörer fungerar det på liknande sätt.
- WebOké Backups: visa, återställa eller ladda ner en backup
- DirectAdmin-guide 16.1: Vilka backuper finns hos WebOké
- Nederländska NCSC, Vad är ransomware: https://www.ncsc.nl/ransomware/wat-is-ransomware
- No More Ransom: https://www.nomoreransom.org/sv/index.html