Løsepengeangrep: fem tiltak som gjør virksomheten vanskeligere å ramme

NSM har over flere år pekt på løsepengeangrep som en av de mest alvorlige digitale truslene mot norske virksomheter. Likevel viser fersk bransjedata at mange fortsatt ikke har kontroll på egen sikkerhetsprioritering.

NSM har i flere år pekt på løsepengevirus som en av de alvorligste digitale truslene norske virksomheter står overfor. Det bekreftes i årets risikorapport, Risiko 2026, hvor NSM advarer om vesentlige mangler i det forebyggende sikkerhetsarbeidet i norske virksomheter. Likevel viser Atea sikkerhetsrapport 2026 at 23 prosent av virksomhetene ikke vet hvor stor andel av IT-budsjettet som faktisk går til sikkerhet, og at nesten 24 prosent av de som har en beredskapsplan aldri øver på den — eller ikke vet om de gjør det.

Gapet mellom trusselbilde og beredskap handler sjelden om vilje. Det handler om prioritering. Og det som overrasker mange, er at de mest effektive tiltakene sjelden er de dyreste. De handler oftere om å konfigurere riktig det man allerede eier, enn å kjøpe noe nytt.

Et angrep som sjelden er tilfeldig, men ofte oppleves sånn

Mørketallsundersøkelsen 2024 fra Næringslivets Sikkerhetsråd (NSR) viser at 63 prosent av virksomhetene som har opplevd et sikkerhetsbrudd, mener at hendelsen skyldtes tilfeldigheter eller uflaks. Realiteten er som regel mer sammensatt: strukturelle svakheter i tilgangsstyring, arkitektur og eksponering mot internett gjør enkelte virksomheter til vesentlig lettere mål enn andre.

Mørketallene forsterker bildet. Samme undersøkelse viser at bare 24 prosent av virksomhetene som hadde opplevd datainnbrudd eller datatyveri, anmeldte forholdet til politiet. Tallgrunnlaget er begrenset — NSR påpeker selv at det bygger på få respondenter, men funnet peker likevel mot betydelige mørketall i det reelle omfanget av løsepengeangrep mot norske virksomheter.

Myten om at patching er nok

NSM advarer selv mot en vanlig felle: at fokus på sikkerhetsoppdateringer alene er tilstrekkelig. Manglende patching er en reell sårbarhet, men langt fra den eneste — og ofte ikke den viktigste. NSM peker på at virksomheter også må lukke sårbarheter knyttet til arkitektur, rettighetsstyring og konfigurasjon, ikke bare programvareoppdateringer.

Det stemmer godt med hvordan løsepengevirus faktisk kommer inn. Phishing og misbruk av gyldige, stjålne eller gjettede, brukerkontoer er blant de vanligste inngangsveiene. Samtidig utnytter angripere også kjente sårbarheter i systemer som er eksponert mot internett, ofte fordi oppdateringer ikke er installert raskt nok. Patching er med andre ord nødvendig, men ikke tilstrekkelig alene. Det må kombineres med god rettighetsstyring og redusert eksponering.

Virksomheten kan dermed bli svært god på den delen av sikkerhetsarbeidet som måles, samtidig som mindre synlige svakheter får utvikle seg.

Fem tiltak med størst effekt per krone

NSM har samlet 44 konkrete sikkerhetstiltak mot digital utpressing, fordelt på åtte tiltaksgrupper, i en offentlig tilgjengelig og leverandøruavhengig veiledning. Med utgangspunkt i NSMs anbefalinger har vi trukket frem fem tiltak som for mange virksomheter vil gi stor risikoreduserende effekt:

1. Fjern unødvendige rettigheter. Sluttbrukere bør ikke ha adminrettigheter de ikke trenger, og kommunikasjon mellom servere bør følge prinsippet om minste privilegium.

2. Innfør MFA overalt — også på driftskontoer. Flerfaktorautentisering er langt fra bare et tiltak for e-postkontoer; det er ofte driftskontoene med utvidede rettigheter som er mest attraktive for en angriper.

3. Begrens ekstern tilgang til det som faktisk trenger å være tilgjengelig. Administrasjonsgrensesnitt, driftsverktøy og andre fjernaksessløsninger bør ikke eksponeres direkte mot internett. Beskytt tilgangen med sterk autentisering, tydelige tilgangsbegrensninger og kontinuerlig overvåking. Vurder om betinget tilgang og ZTNA kan redusere eksponeringen sammenlignet med tradisjonelle fjernaksessløsninger.

4. Segmenter nettverket og kontroller dataflyten. Et flatt nettverk lar en angriper bevege seg fritt etter først å ha kommet inn. Segmentering begrenser hvor langt et angrep når.

5. Test gjenoppretting, ikke bare sikkerhetskopiering. NSM peker på at gjenoppretting nesten alltid tar lengre tid enn virksomheter har forutsett. En backup ingen har testet å gjenopprette fra, er en plan — ikke en beredskap.

Flere av disse tiltakene kan gjennomføres ved å konfigurere og bruke eksisterende teknologi bedre. Andre, som segmentering eller ZTNA, kan kreve investeringer, men effekten avhenger først og fremst av riktig implementering, tydelig eierskap og kontinuerlig oppfølging.

Hvorfor «billig» ikke betyr «gjort»

At tiltakene i stor grad handler om riktig bruk av det man allerede har, snarere enn om nye innkjøp, betyr ikke at de er enkle å gjennomføre. De krever omkonfigurasjon av eksisterende systemer, tydelig eierskap, og ikke minst; kontinuerlig oppfølging over tid. En rettighetsstruktur som er ryddet opp i én gang, forringes raskt uten rutiner for å holde den ryddig.

Det er nettopp her Ateas funn om samarbeid blir relevant. Sju av ti norske virksomheter oppgir at de samarbeider med en ekstern leverandør for å ivareta IT-sikkerheten, og blant private virksomheter sier hele 87 prosent at de vil støtte seg på sin IT-partner dersom de rammes av en alvorlig cyberhendelse. Det er en erkjennelse av at kontinuerlig oppfølging og døgnkontinuerlig overvåking er krevende å bygge opp alene, uansett budsjett.

Uansett hvor godt tiltakene er implementert, vil noe før eller siden glippe. Det er her døgnkontinuerlig overvåking blir relevant, for å oppdage det som likevel kommer gjennom, og for å begrense konsekvensene når det skjer.

Når forebygging ikke er nok

Forebyggende tiltak må kombineres med evnen til å oppdage og håndtere avvik når de oppstår. NetNordics SOC overvåker relevante hendelser døgnet rundt og bidrar til rask analyse og respons med en gjennomsnittlig tid til første deteksjon på 2,3 minutter og til innledende respons på 12 minutter, målt på tvers av prioriterte sikkerhetshendelser hos NetNordic sine SOC-kunder.

* Tallene gjelder gjennomsnittlig tid fra en prioritert alarm oppstår til den er detektert og analysert av SOC-analytiker (deteksjon), og til innledende respons/containment er iverksatt (løsning). Tallene omfatter ikke nødvendigvis full utbedring av en hendelse. Basert på NetNordics egne driftstall.

Gjennom Network as a Service kan segmentering og kontroll av dataflyt inngå som en integrert del av nettverksleveransen. Våre Cyber Advisory-rådgivere hjelper virksomheter med å prioritere blant NSMs 44 tiltak ut fra faktisk risiko, modenhet og kritiske verdier; ikke ut fra hva som er enklest å krysse av på en liste.

De fleste av tiltakene som gjør en virksomhet vanskeligere å ramme, handler ikke om nye innkjøp. De handler om tid, eierskap og oppfølging. Det er en investering de fleste virksomheter allerede har råd til, de har bare ikke satt av tiden.

Vil du vite hvor godt virksomheten er rustet mot løsepengeangrep? Book en gjennomgang med våre rådgivere.

Kilder: NSM, Risiko 2026 · NSM, Sikkerhetstiltak mot digital utpressing og andre angrep (nsm.no) · Atea sikkerhetsrapport 2026 · Næringslivets Sikkerhetsråd (NSR), Mørketallsundersøkelsen 2024