Hvad er ransomware? Sådan virker et ransomware-angreb, og hvordan beskytter du dig

Ransomware er skadelig software, der overtager dine filer eller hele din enhed og holder dem som gidsel, indtil du betaler. Det stjæler ikke computeren — det låser bare døren og kræver penge for nøglen.

Hvad er et ransomware-angreb egentlig, og hvordan stopper man et? Her forklarer vi, hvordan disse angreb forløber, hvad de kan gøre, og hvordan du beskytter dig mod ransomware ved at gøre dig selv til et langt sværere mål.

Hvad er ransomware i cybersikkerhed?

I cybersikkerhed er definitionen på ransomware enkel: malware (skadelig software) skabt til afpresning. Det blokerer adgangen til filer eller en enhed, normalt ved hjælp af kryptering, og kræver betaling. Mange varianter stjæler data først, hvilket gør det til en af de mest alvorlige cybersikkerhedstrusler i dag.

Navnet kombinerer "ransom" og "software" og beskriver lige så meget en forretningsmodel som en type program. Hvor trusler som spyware tjener på at forblive skjult, lønner ransomware sig først, når offeret ved, at filerne er låst, og forstår, hvad angriberen vil have.

Er ransomware et virus?

Ikke helt. Begge er typer malware, men de navngives efter forskellige kriterier. Et virus defineres ved, hvordan det spreder sig — ved at indsætte kopier af sig selv i andre filer eller programmer. Ransomware defineres ved, hvad det gør: det krypterer dine filer og kræver betaling.

Hvordan virker ransomware?

Ransomware arbejder i faser. Malwaren får først adgang til en enhed, finder vigtige data, kopierer dem ofte ud, krypterer filerne og viser derefter en løsesumsmeddelelse.

Hvordan får angribere adgang?

Der er tre hovedveje: phishing‑e-mail, stjålne legitimationsoplysninger og upatch‑et software. Kun den første kræver, at nogen klikker, så en infektion kan starte uden noget åbenlyst download overhovedet.

En phishing‑besked udgiver sig for at være en faktura, en leveringsmeddelelse eller en kollega, og vedhæftningen eller linket installerer malwaren, når det åbnes. Kompromitterede websteder og falske softwaredownloads virker på samme måde.

Legitimationsruten er mere snedig. En adgangskode, der er eksponeret i et urelateret brud, kan stadig virke på en fjernadgangsportaler måneder senere, hvilket giver angriberen en gyldig login i stedet for et indgangspunkt, de skal kæmpe for.

Upatch‑et software fjerner behovet for bedrag helt. Angriberen udnytter sårbarheden, og ingen brugerhandling er påkrævet.

Hvad sker der, når angribere får adgang?

Angribere krypterer sjældent med det samme. Først kortlægger de netværket, udvælger de mest værdifulde filer og kopierer dem til deres egne servere. Først derefter krypteres filerne, og løsemsnoten leveres med en deadline og en trussel om at offentliggøre de stjålne data.

Rekognoscering kan vare dage eller uger og fokuserer normalt på det, offeret mindst har råd til at miste — for eksempel fotobiblioteker på en hjemmemaskine eller kunderegistre og backups i et virksomhedsnetværk.

Hvorfor kræver angribere betaling?

Offeret vil betale mere for sine egne filer, end nogen anden nogensinde ville. Stjålne data må sælges til den, der køber, til den pris, de tilbyder. At låse en organisation ude af sine egne systemer skaber en køber, som angriberen kan forhandle med.

Hvad er eksempler på ransomware?

Ransomware‑angreb går tilbage til 1989, hvor et primitivt program distribueret på disketter krævede betaling med post. Det har udviklet sig støt siden midten af 2000'erne. To angreb i særdeleshed ændrede forventningerne til, hvor langt og hvor hurtigt ransomware kan sprede sig.

WannaCry

I maj 2017 inficerede WannaCry omkring 200.000 computere i cirka 150 lande på få dage. Det spredte sig selv via en fejl i forældede Windows‑systemer og krævede hverken en e‑mail‑fidus eller et klik fra nogen. En patch for den fejl havde været tilgængelig i flere uger, og maskiner, der installerede den, blev ikke ramt. WannaCry gjorde ransomware til forsider og efterlod en vigtig lærestreg: upatch‑et software kan forvandle én infektion til en epidemi.

Maze og moderne ransomware

Maze ændrede spillereglerne i 2019. Dets operatører stjal data, før de krypterede, og offentliggjorde uddrag fra ofre, der nægtede at betale, og viste dermed, at gode backups ikke længere er nok. Denne tilgang blev hurtigt standard. Grupper som LockBit, Akira og Qilin driver nu operationer, der ligner virksomheder, komplet med forhandlingsportaler og lækkesider.

Hvilke hovedtyper af ransomware findes der?

Ransomware‑typer sorteres ofte efter, hvad malwaren gør ved dine data og enhed fremfor efter hvilken gruppe der står bag. Kort sagt: hvad gør ransomware? Det krypterer dine filer, låser din enhed, stjæler dine data eller en kombination af disse.

Crypto‑ransomware

Crypto‑ransomware krypterer enkelte filer ved hjælp af stærk kryptografi, mens enheden forbliver i gang. Dokumenter, regneark og fotos kan være synlige, men vil ikke åbne og får ofte en ukendt filendelse. Computeren fungerer knap nok nok til at vise krav om løsesum.

Locker‑ransomware

Locker‑ransomware blokerer hele enheden i stedet for enkelte filer. En fuldskærmsmeddelelse erstatter det normale skrivebord, og tastatur og mus reagerer kun nok til, at betaling kan indtastes. Filene under ligger ofte uberørte, hvilket kan gøre lockers lettere at gendanne fra end crypto‑ransomware.

Datatyveri‑ransomware

Nogle moderne ransomware prioriterer at stjæle følsomme oplysninger ved siden af — eller i nogle tilfælde i stedet for — at kryptere filer. Aftvingelsen kommer gennem truslen om at offentliggøre eller sælge de stjålne data, hvilket betyder, at gendannelse fra en backup ikke løser privathedsrisikoen.

Hvad betyder dobbelt‑ og trippelafpresning, og hvad er Ransomware‑as‑a‑Service?

Ransomware er blevet en industri, og disse tre udtryk beskriver, hvordan den drives, snarere end hvordan koden virker.

Dobbelt‑ og trippelafpresning

Dobbeltafpresning kombinerer kryptering med tyveri. Betaler du for dekrypteringsnøglen, kan du stadig blive mødt med et nyt krav for at holde de stjålne filer private. Trippelafpresning tilføjer yderligere pres, fx ved at kontakte offrets kunder, tage tjenester offline eller chikanere medarbejdere direkte.

Hvad er Ransomware‑as‑a‑Service?

Ransomware‑as‑a‑Service (RaaS) fungerer som en abonnementsvirksomhed. Udviklere bygger malwaren og betalingsinfrastrukturen og lejer dem så ud til cyberkriminelle, der udfører angrebene og deler udbyttet. Denne model fjernede behovet for teknisk ekspertise, og antallet af aktive angribere er vokset tilsvarende, hvilket har gjort ransomware til en af de mest profitable former for cyberkriminalitet. Den forklarer også, hvorfor én ransomware‑familie kan optræde i tusindvis af uafhængige angreb.

Hvad er advarselstegnene på ransomware?

Ransomware afslører sig ofte før eller under et angreb, og tidlig genkendelse kan begrænse skaden. Hvis flere af nedenstående tegn optræder sammen, skal du betragte enheden som inficeret og handle straks.

Almindelige tegn på en infektion

Hold særligt øje med disse symptomer:

• Filer, der pludselig ikke kan åbnes, eller som har mærkelige nye filendelser
• En løsemsnote som tekstfil, tapet eller pop‑op
• En låst skærm, der kræver betaling for at genskabe adgang
• Sikkerhedssoftware, der er deaktiveret uden din handling
• Usædvanlig diskaktivitet eller et mærkbart langsomt system
• Filer på netværksdrev, delte mapper eller tilsluttede enheder, der bliver ulæselige

Hvordan ser en løsemsnote ud?

De fleste løsemsnoter følger en skabelon: en erklæring om, at filer er krypterede eller stjålne, en pris i kryptovaluta, betalingsinstruktioner eller en kontaktkanal og en deadline. Nogle tilføjer en nedtælling eller en trussel om at offentliggøre dataene.

Hvis du finder en løsemsnote, skal du straks frakoble den berørte enhed og undgå at slette krypterede filer, indtil du har identificeret ransomware‑familien.

Hvordan spreder ransomware sig til dine enheder?

At komme ind på én maskine er den lette del for en angriber. Skaden opstår ved det, der sker, når infektionen spreder sig udad.

Netværksdrev og delte mapper

Ransomware ser den første maskine som udgangspunkt. Alt, som den kompromitterede bruger kunne åbne, kan malwaren åbne, hvilket sætter mapper og netværksdrev i rækkevidde med det samme. Nogle varianter scanner også netværket efter andre enheder, og sådan bliver en enkelt bærbar computer til et virksomhedsomspændende problem på få timer.

Skylagring og backups

Synkronisering er ikke en backup. Hvis en mappe på den inficerede maskine synkroniseres til skyen, kan krypterede versioner erstatte de sunde automatisk. Angribere ved også dette, og det er rutine i moderne angreb at lokalisere og slette backups.

Aftagelig lagring

USB drev og eksterne diske er enklere og stadig effektive. Alt, der er tilsluttet under krypteringen, vil sandsynligvis blive krypteret sammen med resten, så en backup‑disk, der er permanent tilsluttet, giver mindre beskyttelse, end det ser ud til.

Det fælles træk er forbindelse, hvilket er grunden til, at tidlig isolation af en inficeret enhed er så vigtig.

Hvilken skade kan ransomware forvolde?

Løsesumskravet er den mest synlige omkostning ved et angreb, men for både privatpersoner og virksomheder rækker skaden langt ud over selve betalingen.

Konsekvenser for privatpersoner

For en hjemmebruger er tabene personlige. Et årtis familie­fotos, skattepapirer, skylagring og gemte dokumenter kan blive utilgængelige i løbet af en eftermiddag. Hvis angriberne også stjal data, bliver identitetstyveri en vedvarende bekymring. Mange ofre beskriver stresset som det værste, og det kan vare ved længe efter den tekniske situation er løst.

Konsekvenser for virksomheder

For en organisation er nedetid ofte den største udgift. Ordrer går i stå, medarbejdere sidder uden arbejde, og kunder finder andre leverandører, mens systemer genopbygges.

Stjålne data kan udløse underretninger om brud, tilsyn fra myndigheder og vanskelige samtaler med kunder, hvis information er lækket. Små virksomheder er hyppige mål, fordi angribere forventer svagere forsvar.

Hvordan forebygger man ransomware?

Der er ingen garanti for at undgå ransomware helt, men et par simple vaner forhindrer langt de fleste angreb.

Lav backups af dine data

Backups forvandler en katastrofe til en gene. Følg 3‑2‑1‑reglen: hav tre kopier af dine data på to forskellige lagringstyper, hvoraf én er offline eller offsite. Til den offline kopi brug en frakoblet ekstern disk eller en dedikeret backup‑tjeneste i stedet for sky‑synkronisering, som også spejler krypterede filer.

Hold software og enheder opdateret

Opdateringer lukker sikkerhedshuller, som ransomware udnytter, så slå automatiske opdateringer til for dit operativsystem, din browser, dine apps og din sikkerhedssoftware.

Beskyt dine konti

Stjålne logins er en standardvejringsvej ind, så kontosikkerhed er ransomware‑forsvar. Brug en unik adgangskode til hver konto, lad en adgangskode‑administrator huske dem og slå flerfaktorautentifikation til, hvor det tilbydes. Prioriter konti, der er mest kritiske ved kompromittering: e‑mail, skylagring og alt, der tillader fjernadgang til dine enheder.

Brug pålidelig sikkerhedssoftware

Sikkerhedssoftware tilføjer det lag, vaner ikke kan — det overvåger skadelige filer, mistænkelig adfærd og den karakteristiske aktivitet ved igangværende kryptering. Et dedikeret anti‑ransomware‑værktøj kan blokere mange angreb, før filer påvirkes. Betragt det som et lag blandt flere, ikke en erstatning for backups og opdateringer.

Hvad skal du gøre efter et ransomware‑angreb?

Efter et ransomware‑angreb er målet at begrænse skaden og finde ud af, hvad du har med at gøre, før du træffer beslutninger om genopretning.

Isolér den inficerede enhed

Frakobl maskinen fra Wi‑Fi og træk ethvert netværkskabel ud, så snart du mistænker ransomware. Fjern tilknyttede eksterne drev og USB‑sticks, og sæt cloud‑synkronisering på pause fra en anden enhed, hvis du kan.

Isolation forhindrer malwaren i at nå delte mapper og andre maskiner på netværket. Hvis en arbejdsenhed er ramt, underret dit IT‑team med det samme, da de muligvis ønsker at håndtere inddæmningen selv.

Bevar beviser og søg pålidelig hjælp

Gem løsemsnoten, og slet ikke de krypterede filer. Begge kan identificere ransomware‑familien, hvilket afgør, om et gratis dekrypteringsværktøj findes. Tag et foto af, hvad der står på skærmen, og noter, hvornår problemet startede.

No More Ransom‑projektet, der drives af retshåndhævende myndigheder og sikkerhedsvirksomheder, tilbyder identifikationsværktøjer og legitime dekrypteringsværktøjer uden omkostning. At anmelde angrebet til dine lokale myndigheder kan også være nyttigt, og i nogle lande er det påkrævet for virksomheder.

Skal du betale løsesummen?

At betale frarådes generelt. Der er ingen garanti for, at dekrypteringsnøglen kommer eller virker; nogle ofre betaler og får intet tilbage. Stjålne data kan stadig blive lækket eller solgt, da en kriminels løfte om at slette dem ikke kan verificeres. Betaling kan også markere dig som en villig betaler og invitere til gentagen afpresning—i nogle jurisdiktioner kan det desuden medføre juridisk risiko.

Kan filer krypteret af ransomware blive gendannet?

Muligheden for at gendanne afhænger af, om du har rene backups eller et fungerende dekrypteringsværktøj til den pågældende ransomware‑familie.

Gendan filer fra backups

Backups er den mest pålidelige vej tilbage, med én forudsætning. Gendan kun efter ransomware er fuldstændigt fjernet, ellers kan de nye kopier blive krypteret igen. En offline eller offsite backup foretaget før infektionen er ideel. Tjek også din sky‑tjenestes versionshistorik — nogle gemmer ældre kopi­er, der overlevede angrebet, selv når de live versioner ikke gjorde det. Test de gendannede filer, før du antager, at hændelsen er afsluttet.

Tjek for legitime dekrypteringsværktøjer

Der findes gratis dekrypteringsværktøjer, men kun til visse ransomware‑familier, normalt dem hvis udviklere begik fejl eller hvis nøgler blev beslaglagt af politiet. No More Ransom's identifikationsværktøj kan navngive stammen ud fra en prøvefil og pege på et matchende dekrypteringsværktøj, hvis det findes. Undgå "gratis dekrypteringsværktøj"‑downloads fundet via søgemaskiner — det er ofte en forklædning for ny malware. Hvis der ikke findes en dekrypter i dag, så behold de krypterede filer; en kan blive frigivet senere.

Relaterede artikler:

• Hvad er cyberkriminalitet: risici og forebyggelse
• Hvilke trin indgår i fjernelse af ransomware?
• Hvordan forhindrer man effektivt, at ransomware inficerer dine enheder?
• Hvad bør du vide om Cryptolocker‑malwaren?

Anbefalede produkter:

• Kaspersky Premium
• Download en gratis 30‑dages prøve af vores premium‑plan

FAQs

Kan ransomware inficere smartphones?

Ja, primært Android. Det kommer ofte via sideloadede apps, falske opdateringer eller skadelige links og låser oftest skærmen i stedet for at kryptere filer. iPhones rammes sjældent, selvom svindel‑pop‑ops nogle gange efterligner ransomware for at skræmme brugere til at betale.

Rammer ransomware kun virksomheder?

Nej. Virksomheder tiltrækker større krav, men privatpersoner bliver ramt konstant via phishing, skadelige downloads og inficerede websteder. Hjemmebrugere kan være lettere ofre, da færre har isolerede backups eller kører opdateret sikkerhedssoftware på alle enheder.

Kan ransomware sprede sig til andre enheder på mit netværk?

Ja. Mange varianter scanner efter netværksdrev, delte mapper og tilsluttede enheder efter at have inficeret én maskine. Sky‑synk og altid‑forbundne drev kan også kopiere krypterede filer over til backups. At frakoble den inficerede enhed begrænser spredningen.

Hvor lang tid tager et ransomware‑angreb?

Selve krypteringen kan være færdig på minutter eller timer. Men angribere, der stjæler data først, kan bruge dage eller uger inden for et netværk, så det synlige angreb virker pludseligt, fordi forberedelsen gik ubemærket forbi.