Ransomware: så skyddar du ditt företag mot utpressningsvirus

Kort svar: Ransomware (utpressningsvirus) är skadlig kod som krypterar dina filer så att du inte kommer åt dem, och kräver en lösensumma för att låsa upp dem. Ofta hotar angriparen också med att läcka stulna uppgifter. Det tar sig oftast in via nätfiske, svaga fjärråtkomster eller ouppdaterade system. Det viktigaste skyddet är säkra, frånkopplade säkerhetskopior, tvåfaktorsautentisering och uppdaterade system. Betala inte lösensumman – det finns ingen garanti att du får tillbaka något, och det finansierar fortsatt brottslighet.

Vad är ransomware?

Ransomware är en typ av skadlig kod (malware) med ett enkelt men brutalt affärsupplägg: lås offrets data och sälj tillbaka nyckeln. Ett angrepp följer ofta samma mönster:

1. Angriparen tar sig in i systemet.
2. Koden sprids och krypterar filer på datorer och servrar.
3. Ett meddelande dyker upp med krav på lösensumma, oftast i kryptovaluta.
4. Allt fler använder dubbel utpressning: de kopierar även ut data och hotar att publicera den om du inte betalar – så att en säkerhetskopia ensam inte räddar dig från läckan.

För ett företag kan det innebära att hela verksamheten står stilla: inga order, ingen fakturering, ingen åtkomst till kunddata.

Hur tar sig ransomware in?

De vanligaste vägarna in är förvånansvärt vardagliga:

• Nätfiske – en anställd klickar på en länk eller öppnar en bilaga. Detta är den absolut vanligaste ingången. Läs vår guide om nätfiske.
• Svag eller oskyddad fjärråtkomst – exempelvis fjärrskrivbord (RDP) utan tvåfaktorsautentisering.
• Ouppdaterade system – kända sårbarheter i program och operativsystem som inte har säkerhetsuppdaterats.
• Stulna inloggningsuppgifter – återanvända lösenord som läckt någon annanstans.
• Leverantörskedjan – via en komprometterad leverantör eller programvara.

Nästan alla dessa vägar stängs av samma grundläggande åtgärder som skyddar mot annat: stark autentisering, uppdateringar och medveten personal.

Så skyddar du ditt företag – de åtgärder som faktiskt fungerar

1. Säkerhetskopiera rätt – enligt 3-2-1

Säkerhetskopior är din livlina vid ett angrepp. Följ 3-2-1-regeln:

• 3 kopior av viktig data
• på 2 olika typer av lagring
• varav 1 förvaras frånkopplad eller utanför nätverket (offline/off-site)

Det sista är avgörande: ransomware försöker aktivt kryptera även dina säkerhetskopior. En kopia som är fysiskt frånkopplad eller oföränderlig (immutable) kan koden inte komma åt. Testa regelbundet att återställningen faktiskt fungerar – en backup du aldrig provat är en gissning, inte ett skydd.

2. Stark autentisering

Slå på tvåfaktorsautentisering överallt, särskilt på e-post, fjärråtkomst och administratörskonton. Använd en lösenordshanterare så att inga lösenord återanvänds.

3. Uppdatera allt

Installera säkerhetsuppdateringar snabbt på operativsystem, program och nätverksutrustning. Många angrepp utnyttjar sårbarheter som det redan fanns en fix för.

4. Begränsa behörigheter

Ge användare bara den åtkomst de behöver (minsta privilegium). Då kan en kapad användare inte kryptera allt. Skilj vanliga användarkonton från administratörskonton.

5. Skydda e-post och surfning

Använd spamfilter och skydd mot skadliga bilagor, och blockera farliga filtyper. Eftersom nätfiske är den vanligaste ingången ger detta stor effekt.

6. Utbilda personalen

Träna alla i att känna igen nätfiske och gör det tryggt att rapportera misstänkta meddelanden. Människan är både den vanligaste svagheten och det bästa larmet.

7. Ha en incidentplan

Vet i förväg vem som gör vad om det smäller: vem kopplar bort drabbade system, vem kontaktar IT-säkerhetsexpertis, vem informerar ledning, kunder och myndigheter. En plan i lugn stund är värd mycket när stressen slår till.

Om olyckan är framme

1. Isolera – koppla bort drabbade enheter från nätverket för att stoppa spridning, men stäng inte nödvändigtvis av dem (det kan förstöra spår).
2. Larma – kontakta er IT-säkerhetsexpertis. It-incidenter kan rapporteras till CERT-SE.
3. Bedöm dataläckan – har personuppgifter drabbats kan det vara en anmälningspliktig personuppgiftsincident som ska anmälas till IMY inom 72 timmar. Se vår guide om personuppgiftsincident. Omfattas ni av NIS2/cybersäkerhetslagen tillkommer krav på tidig varning inom 24 timmar.
4. Återställ från säkerhetskopia när miljön är sanerad.
5. Polisanmäl.

Ska man betala lösensumman?

Myndigheter, inklusive svenska och internationella brottsbekämpande organ, avråder från att betala. Skälen:

• Ingen garanti. Många som betalar får inte tillbaka all data, eller drabbas igen.
• Det finansierar brottsligheten och gör dig till ett attraktivt mål framöver.
• Läckan kvarstår ofta – vid dubbel utpressning finns dina data redan hos angriparen.

Ett företag med fungerande, testade säkerhetskopior har oftast inget behov av att ens överväga att betala. Det är just därför backup är den viktigaste investeringen.

Vanliga frågor

Vad är skillnaden mellan ransomware och vanligt virus? Ett vanligt virus kan göra många olika saker. Ransomware har ett specifikt syfte: att kryptera din data och utpressa dig på pengar för att låsa upp den. Många moderna varianter stjäl dessutom data och hotar att läcka den.

Räcker en säkerhetskopia som skydd? Backup är det viktigaste skyddet mot att förlora data, men inte hela svaret. Den skyddar inte mot att stulna uppgifter läcks (dubbel utpressning), och den måste förvaras frånkopplad och testas regelbundet för att fungera. Kombinera den med stark autentisering, uppdateringar och utbildning.

Kan små företag drabbas? Ja, i högsta grad. Små och medelstora företag är ofta måltavlor just för att de har svagare skydd. Många angrepp är dessutom automatiserade och slår brett, inte riktade mot specifika offer.

Bör vi betala om vi saknar backup? Även då avråder myndigheter från att betala, eftersom det varken garanterar att du får tillbaka data eller att läckan stoppas. Kontakta IT-säkerhetsexpertis och polis först. Låt detta bli anledningen att äntligen ordna testade säkerhetskopior.

Vad är dubbel utpressning? Att angriparen både krypterar din data och kopierar ut den, och sedan hotar att publicera den om du inte betalar. Det gör att enbart en säkerhetskopia inte skyddar mot själva läckan – därför är förebyggande skydd så viktigt.

Vill du stärka säkerheten kring din webbplats? Testa vårt verktyg 14 dagar gratis och läs vår guide om tvåfaktorsautentisering.

Källor

• CERT-SE – Sveriges nationella CSIRT
• Myndigheten för samhällsskydd och beredskap (MSB) om cybersäkerhet
• Polisen om utpressning och it-brott
• Europol – No More Ransom-initiativet