Af Sofie Freja Christensen, cybersikkerhedsekspert for Ingeniørforeningen, IDA, og Security and Compliance Manager i Dubex

Frygten for at få et dårligt omdømme har historisk set afholdt mange virksomheder fra at anmelde hackerangreb til politiet. Men nye tal, som de små og mellemstore virksomheders organisation, SMV Danmark, har indhentet hos Rigspolitiet, viser, at danske virksomheder sidste år anmeldte 2.075 hackerangreb. Det er en stigning på 64 procent i forhold til 2021. Og selv om det umiddelbart vidner om en højere aktivitet fra cyberkriminelle, som i stigende grad rammer danske virksomheder, så kan det også tolkes som en positiv udvikling.

For den markante stigning i anmeldelser til politiet tyder på, at der er ved at ske en kulturændring, hvor danske virksomheder er blevet mere interesserede i at dele viden om hackerangreb med politiet i håb om at få stoppet eller pågrebet de cyberkriminelle, som kan være et dybt skadeligt og bekosteligt bekendtskab for den enkelte virksomhed.

Svært at finde bagmændene

Tidligere har mange virksomheder haft svært ved at se formålet med at bruge tid på en anmeldelse. Det skyldes en udbredt opfattelse af, at de cyberkriminelle alligevel ikke bliver pågrebet, eller at man som virksomhed ikke skal regne med at få tilbagemelding på sagen fra politiet.

For de virksomheder, der rammes af hackerangreb, handler det naturligvis primær om at få lukket hændelsen, identificere årsagen og sikre it-systemerne. Omvendt bliver der ikke nødvendigvis brugt særlig mange kræfter på at finde bagmanden, som i ro og mag kan arbejde videre. Og skulle det lykkes at identificere gerningsmændene, så kommer det politiske problem med at få udleveret eller dømt bagmændene i andre lande. Det kræver en samlet indsats og internationalt samarbejde at bekæmpe hackere.

Samarbejde med myndighederne

Men forhåbentlig er flere faktorer ved at ændre sig, for det er helt afgørende, at danske virksomheder bliver bedre til at arbejde sammen – og sammen med myndighederne – om at afdække de enkelte cyberangrebs natur. Kun ved at dele viden og erfaringer om angrebene kan vi gradvist opbygge en større robusthed på tværs af brancher og myndigheder.

Center for Cybersikkerhed hævede for nylig trusselsniveauet for cyberaktivisme med henvisning til primært prorussiske hackergruppers høje aktivitetsniveau og øgede kapacitet. Men mange andre grupper er også aktive, og flere af de notorisk berygtede hackergrupper har splittet op i mindre enheder, så de lettere kan gå under radaren.

Utilstrækkeligt sikkerhedsniveau

Særligt for mindre virksomheder er det en stor udfordring at dæmme op for de cyberkriminelle, som bliver stadig mere professionelle og i stigende grad tager nye værktøjer i brug. Hvor mange store virksomheder er blevet langt bedre til at passe på og derved også sværere at afpresse for hackerne, så går de kriminelle i stigende omfang efter mindre virksomheder, hvor sårbarheden er stadig stor. Den seneste rapport fra Erhvervsstyrelsen viser, at 44 procent af de små og mellemstore virksomheder har et utilstrækkeligt sikkerhedsniveau, og kigger man på sundhedstilstanden for de samfundskritiske it-systemer i staten, ser det heller ikke for godt ud.

Derfor er det vigtigt, at virksomhederne anmelder det til politiet, hvis de bliver ramt af et hackerangreb. Dels giver det et mere præcist billede af problemets omfang, og dels betyder det forhåbentlig på sigt, at politiet får flere ressourcer og dermed endnu større ekspertise på området. Den viden gør det også nemmere at forebygge nye angreb.

Stor lukkethed

Generelt har der hersket stor lukkethed, når virksomheder bliver ramt af eksempelvis ransomwareangreb, hvor gerningsmændene stjæler og krypterer data og kræver løsesum for at frigive dem. Mange virksomheder har undladt at anmelde angreb, fordi de er bange for hvilke konsekvenser, det vil have for deres omdømme. Indrømmet – der er ikke meget stjernestatus forbundet med, at ens virksomhed bliver lagt ned af ondsindede hackere, der måske tilmed har held til at liste følsomme informationer ud ad bagdøren. Men frygten for at få uoprettelige skader på virksomhedens omdømme er overdrevet. Og det er vigtigt, at vi nedbryder tabuet og fokuserer på både virksomheders modstandsdygtighed og evne til at respondere på en hændelse. Hvis man som virksomhed håndterer et hackerangreb på en god måde, har vi historisk set ikke set negativ påvirkning af omdømmet.

Et anderledes trusselslandskab

Et forbilledligt eksempel er Norsk Hydro, der i 2019 blev ramt af et ransomwareangreb. Virksomheden besluttede at have en meget åben kommunikationsstrategi udadtil og samarbejdede med politiet om efterforskningen. Angrebet kostede over en halv milliard kroner for Norsk Hydro i tabt produktivitet, men den åbne tilgang og delingen af viden med politiet førte til, at angrebet blev opklaret og 12 personer blev anholdt. Faktisk havde det en positiv indvirkning på deres aktiekurs.

Samtidig ser vi ind i et anderledes trusselslandskab, fordi virksomhederne tager flere og flere teknologier i brug. Det giver en anden og større angrebsflade i takt med den stigende digitalisering, og hackergrupper er begyndt at tage både automatisering og kunstig intelligens i brug. Eksempelvis kan Chat GPT hjælpe med at lave scripts til hacking, og dermed vil det påkrævede vidensniveau for at lancere hackerangreb falde.

Så selv om der formentlig fortsat er et stort mørketal af hackerangreb, der ikke anmeldes til politiet, så er der grund til at håbe, at stigningen i anmeldelser er udtryk for en ny erkendelse, som kan skabe grundlag for et stærkere samarbejde mellem myndigheder og virksomheder om at lukke sikkerhedshullerne. I givet fald er det en glædelig udvikling, som vil styrke danske virksomheders sikkerhedsberedskab og evne til at modstå ødelæggende angreb på vital infrastruktur i Danmark.

Indlægget har været bragt som klumme i ITWatch 20. februar

Flere anmeldelser af hackerangreb kan være positivt

Stor stigning i virksomheders anmeldelser af hackerangreb er tegn på, at man er blevet mere transparent om it-sikkerhed.