Løsepengevirus og databrudd: dette gjør dere de første 72 timene

Det er mandag morgen. Filene på fellesområdet har fått nye, merkelige navn, og ingen av dem kan åpnes. I hver mappe ligger en tekstfil med krav om betaling. Eller det kommer en e-post fra en kunde som har fått en faktura fra dere med feil kontonummer, fra en konto som tydeligvis er overtatt.

Det dere gjør de neste timene, avgjør hvor stor skaden blir. Denne guiden er laget for å kunne brukes mens det skjer.

Tegn på at noe er galt

• Filer som ikke kan åpnes, eller som har fått nye filendelser.
• En melding om løsepenger på skjermen eller som fil i mappene.
• Maskiner som plutselig er svært trege, eller antivirus som slår alarm.
• E-post sendt fra deres kontoer som ingen har skrevet.
• Varsler om innlogging fra ukjente steder, eller nye regler i innboksen ingen har laget.

De første timene

1. Koble fra nettverket. Trekk ut nettverkskabelen og slå av WiFi på maskiner som er berørt. Ikke slå dem av. Det som ligger i minnet kan være viktig for å forstå hva som har skjedd.
2. Stopp synkroniseringen. Pause OneDrive og andre synkroniseringstjenester, så krypterte filer ikke spres videre.
3. Sikre backupen. Koble fra eksterne disker og sjekk at backupløsningen ikke er påvirket. Backup som er koblet til nettverket, kan også bli kryptert.
4. Ring for hjelp. Kontakt IT-partneren deres eller et selskap som håndterer sikkerhetshendelser. Har dere cyberforsikring, ring forsikringsselskapet tidlig. Mange forsikringer krever at de varsles før dere bruker egne leverandører.
5. Bytt passord fra en trygg enhet. Start med administratorkontoer og Microsoft 365. Logg ut alle økter, og sjekk at det ikke er lagt til nye påloggingsmetoder eller administratorer.
6. Ikke slett noe. Løsepengemeldinger, mistenkelige filer og logger er bevis. Ta bilder av skjermen.
7. Før logg. Skriv ned hva dere oppdaget, når, hvem som gjorde hva, og hvilke systemer som er berørt. Loggen er gull verdt både for teknikerne, politiet, forsikringen og Datatilsynet.
8. Vurder personopplysninger. Kan uvedkommende ha fått tilgang til, endret eller gjort utilgjengelig opplysninger om kunder eller ansatte? Da har dere sannsynligvis et avvik som må vurderes for melding.

Skal vi betale?

Politiet og Nasjonal sikkerhetsmyndighet fraråder å betale løsepenger. Det finnes ingen garanti for at dere får dataene tilbake, eller for at stjålne data blir slettet. Betaling finansierer ny kriminalitet, og bedrifter som har betalt én gang, blir ofte angrepet igjen.

Beslutningen er likevel ledelsens. Uansett hva dere ender med, bør politiet kontaktes, og avgjørelsen bør tas med råd fra folk som har håndtert slike saker før.

Hvem skal varsles?

Hvem	Når	Merk
Datatilsynet	Innen 72 timer etter at dere ble kjent med bruddet	Hvis det ikke er usannsynlig at bruddet gir risiko for personene det gjelder
De berørte personene	Uten ugrunnet opphold	Når bruddet sannsynligvis gir høy risiko for dem
Politiet	Så snart som mulig	Anmeld forholdet. Det er også viktig for forsikringen
Nasjonalt cybersikkerhetssenter i NSM	Så snart som mulig	Tar imot varsler om hendelser og kan gi råd
Forsikringsselskapet	Med en gang	Les vilkårene for cyberforsikring før noe annet
Banken	Med en gang	Hvis betalinger eller kontonummer er berørt
Kunder og samarbeidspartnere	Når det er avklart hva som er berørt	Særlig hvis angrepet kan spre seg videre til dem

Hva er et brudd på personopplysningssikkerheten?

Mange tror et databrudd bare handler om at data er lekket. Etter personvernforordningen omfatter det tre ting:

• Konfidensialitet: uvedkommende har fått tilgang til opplysninger, for eksempel at e-post er lest av en angriper.
• Integritet: opplysninger er endret uten lov.
• Tilgjengelighet: opplysninger er utilgjengelige eller tapt, for eksempel fordi de er kryptert av løsepengevirus.

Et løsepengevirus kan altså være et avvik selv om ingenting er stjålet. I tillegg stjeler mange angripere i dag data før de krypterer, og truer med å publisere dem.

Meldingen til Datatilsynet

Meldingen sendes gjennom Datatilsynets meldeskjema for avvik. Har dere ikke all informasjon innen fristen, sender dere det dere har, og supplerer senere. Det er bedre å melde tidlig og ufullstendig enn for sent.

Meldingen bør beskrive:

• Hva som har skjedd, og når det ble oppdaget.
• Hvilke typer opplysninger og omtrent hvor mange personer det gjelder.
• Hvilke konsekvenser det kan få for dem.
• Hva dere har gjort, og skal gjøre, for å begrense skaden.
• Hvem Datatilsynet kan kontakte hos dere.

Alle avvik skal dokumenteres internt, også dem dere vurderer at ikke skal meldes. Skriv ned vurderingen og begrunnelsen. Er dere databehandler for en annen virksomhet, for eksempel en regnskapsfører eller IT-leverandør, skal dere varsle kunden uten ugrunnet opphold. Det er kunden som melder til Datatilsynet.

Etterpå: tilbake i drift

1. Finn ut hvordan angriperen kom inn, før dere gjenoppretter. Ellers kan det skje igjen samme uke.
2. Gjenopprett fra ren backup, og sjekk at backupen er fra før angrepet.
3. Bytt alle passord og slå på MFA overalt der det mangler.
4. Oppdater alle systemer og tett hullet som ble brukt.
5. Gå gjennom hva som skjedde og oppdater rutinene. Hva gikk bra, og hva tok for lang tid?

Slik reduserer dere risikoen

• MFA på alle kontoer. Se MFA i Microsoft 365.
• Backup lagret atskilt fra resten, som ikke kan endres eller slettes av en angriper. Se Backup av Microsoft 365.
• Oppdateringer på PC-er, servere, brannmur og nettverksutstyr.
• Færre administratorer, og egne administratorkontoer som ikke brukes til e-post.
• Beskyttelse på PC-ene. Business Premium inkluderer Defender for Business, som oppdager og stopper mistenkelig aktivitet.
• Opplæring i phishing. De fleste angrep starter med en e-post. Se Phishing på e-post.
• En beredskapsplan på papir, med telefonnumre. Når systemene er nede, er ikke planen i SharePoint til mye hjelp.

Vanlige spørsmål

Dette er praktiske råd og ikke juridisk rådgivning. Ved alvorlige hendelser bør dere få hjelp av folk som har håndtert slike saker før.