Ransomware-angreb: 4 læringer fra en ægte sag med Jan Kaastrup

Ét klik på en vedhæftet fil. Tre dage senere havde hackerne fuld kontrol over netværket, og 2,5 TB data var på vej ud af virksomheden. Det skete hos en af de bedst sikrede virksomheder, cybersikkerhedsekspert Jan Kaastrup har efterforsket.

Jan Kaastrup, CIO og cybersikkerhedsekspert hos CSIS
Bio: Jan Kaastrup har mere end 25 års erfaring med cybertrusler og avancerede cyberangreb. De seneste ti år har han primært hjulpet hackede virksomheder med at efterforske angrebet og komme sikkert tilbage. Han er medforfatter til bogen “Usynlig fjende”.

Ransomware-angreb kan ikke undgås helt, heller ikke med et højt sikkerhedsniveau. Det var budskabet, da Jan Kaastrup, CIO hos CSIS, gennemgik en reel sag på GoLearns webinar “Den usynlige fjende” den 28. maj. Det afgørende er, hvor hurtigt angrebet bliver opdaget og stoppet, og her spiller både medarbejdere og ledelse en hovedrolle.

Se hele optagelse af webinaret med Jan Kaastrup, hvor han gennemgår et reelt randsomware-angreb dag-for-dag, lige her

Hvorfor er ransomware-angreb blevet den største forretningsrisiko?

Ved et ransomware-angreb stjæler de kriminelle virksomhedens data og krypterer filerne – og helst også backuppen. Derefter afpresser de virksomheden på to måder: betal for en dekrypteringsnøgle, eller se jeres data blive offentliggjort.

Ifølge Jan Kaastrup er cyberangreb gået fra slet ikke at være på direktionens bord til i dag at være den største forretningsrisiko for langt de fleste virksomheder. Og der er grund til at tage det alvorligt:

• Cyberkriminalitet er i dag verdens tredjestørste økonomi, kun overgået af USA og Kina.
• Styrelsen for Samfundssikkerhed vurderer truslen fra cyberkriminalitet mod Danmark som meget høj.
• Ransomware-grupperne driver forretning med “visitkort”, ydelseskataloger og læksider, hvor ofrenes data lægges frem med et nedtællingsur.

Og nej, I er ikke for små til at være interessante. De kriminelle er opportunistiske og går ind dér, hvor døren står åben: en firewall, der ikke er opdateret, en medarbejder, der klikker, eller en leverandør, der er blevet hacket.

Sådan forløb angrebet - dag for dag

Sagen ramte en stor dansk virksomhed med et usædvanligt højt sikkerhedsniveau. Alligevel gik det sådan her:

• Dag 1: En medarbejder modtager en mail i en igangværende tråd med en samarbejdspartner, hvis mailkonto er hacket. Svaret er på perfekt dansk og har en vedhæftet fil. Medarbejderen klikker, og pc’en bliver inficeret.
• Dag 3: Efter tre dages forsøg bryder hackerne igennem virksomhedens ekstra sikring (AD-tiering) og får fuld kontrol over netværket.
• Dag 4: 2,5 TB data bliver trukket ud med et helt legitimt backupværktøj, så ingen alarmer går i gang.
• Dag 5: Ransomware rulles ud, og hackernes “visitkort” dukker op på serverne. Først nu opdager virksomheden angrebet.

Gruppen bag krævede 6 millioner dollars. Backuppen holdt, så krypteringen var ikke et problem. Men de stjålne data endte med at blive offentliggjort.

Medarbejderen gjorde det rigtige - processen svigtede

Sagens vigtigste læring: Medarbejderen, der klikkede, rapporterede faktisk mailen som
mistænkelig lige efter. Men virksomheden fangede ikke, at der var klikket på filen, og derfor skete der ikke mere.

"På et eller andet tidspunkt i jeres liv kommer I til at trykke på et link, I ikke skulle have gjort, eller åbne en fil, som I ikke skulle have gjort. Der må man bare ikke gå i panik.” – Jan Kaastrup

Havde virksomheden reageret på meldingen, kunne angrebet ifølge Jan Kaastrup være stoppet. Derfor skal medarbejdere rapportere mistænkelige mails – både når de har klikket, og når de ikke har. Og det må aldrig være tabubelagt at have klikket. Bliver folk udskammet, tør de næste ikke sige noget.

Det er ledelsen, der afgør, hvor stor skaden bliver

Jan Kaastrups pointe til ledelser er skarp:

"“I de fleste alvorlige ransomware-hændelser er det sjældent angriberne, men ledelsen, der afgør, hvor omfanget af skaden bliver.” - Jan Kaastrup

Alligevel er det ifølge Jan Kaastrup kun 2 procent af ledelserne, der øver sig på krisesituationer. Og 80 procent af organisationer har ikke en formaliseret beredskabsplan. Virksomheden bør arbejde med tre ting:

• Time-to-hack: Gør det så svært og langsomt som muligt at bryde ind.
• Time-to-detect: Opdag angrebet så tidligt som muligt.
• Time-to-respond: Reagér hurtigt på alarmer – døgnet rundt – og øv krisen for hele virksomheden.
  

Hvad betyder det for jer?

1. Gør det trygt og nemt at rapportere. Sørg for, at en melding om en mistænkelig mail bliver fulgt op. Det gælder også spørgsmålet om, hvorvidt der er klikket.
2. Få styr på betalingerne. Fakturasvindel, hvor kontonummeret er skiftet ud, er en af de største trusler lige nu. Ring altid til leverandørens officielle nummer – ikke nummeret i mailen – før første overførsel til et nyt kontonummer.
3. Træn medarbejdere og ledelse. Brug password manager og multifaktorgodkendelse, og hold kriseøvelser, så ledelsen ved, hvad den skal gøre, før det sker.
   
   

Key takeaways

Angrebet i Jan Kaastrups sag lærer os tre ting:

• Ingen er for små eller for godt sikrede. Hackerne leder ikke efter bestemte virksomheder. De går ind dér, hvor døren står åben, og selv et højt sikkerhedsniveau kan brydes.
  
  
• Et klik er ikke katastrofen. Tavshed er. Medarbejderen meldte mailen med det samme. Havde virksomheden fulgt op, kunne angrebet være stoppet.
  
  
• Ledelsen afgør skadens omfang. Det er beredskab, øvelse og hurtige beslutninger, der gør forskellen, når det sker.

Det betyder, at sikkerhed lige så meget handler om mennesker som om teknik. Medarbejderne skal kunne se et angreb og turde sige til. Ledelsen skal vide, hvad den gør, når alarmen går.

GoLearns online kurser i IT-sikkerhed er bygget op i korte moduler, så I kan sætte ind præcis dér, hvor jeres medarbejdere har brug for det.

👉 Se vores kurser i IT-sikkerhed her
👉 Se hele webinaret her 

GoLearn er Nordens førende online læringspartner for forretningskritiske kompetencer. Vi tilbyder et bredt udvalg af digital kompetenceudvikling, udviklet af førende danske eksperter inden for en række af fremtidens vigtigste emner f.eks. AI og ChatGPT, GDPR, IT-sikkerhed, AI-forordningen og moderne ledelse.

Læs mere: golearn.dk