Pågår angreppet nu? Ring oss. Koppla bort det drabbade nätverket från internet, men stäng inte av och formatera inte innan någon har säkrat loggar och bevisning.
Första dygnet
Timme för timme
-
0–1 timme – isolera och larma
Koppla bort drabbade system från nätet. Stäng av trådlöst, dra ur nätverkskablar, men låt datorerna vara påslagna – minnet kan innehålla det enda spåret av angriparen. Larma ledningen och er IT-partner. Byt lösenord på konton ni kommer åt utifrån, i första hand e-post och administrativa konton.
-
1–4 timmar – förstå omfattningen
Vilka system är drabbade, vilka konton är kapade, finns det data som kan ha kopierats? Leta efter tecken på att angriparen fortfarande är inne – nya konton, schemalagda jobb, vidarekoppling av e-post. Utse en person som håller ihop allt och skriv logg över varje beslut.
-
4–24 timmar – anmäl och säkra
Polisanmäl. Om personuppgifter kan vara röjda: gör riskbedömningen och förbered anmälan till IMY inom 72 timmar. Kontakta banken om betalningar kan ha påverkats och försäkringsbolaget om ni har cyberförsäkring. Bestäm vem som får uttala sig.
-
1–3 dygn – återställ kontrollerat
Verifiera att backuperna är hela och fria från angriparen innan ni återställer. Bygg upp i en ren miljö, återställ bara data, och täpp igen vägen in – annars är ni tillbaka i samma läge inom några veckor.
-
Vecka 1–4 – städa och förklara
Genomgång av alla konton och behörigheter, obligatorisk tvåfaktorsinloggning, uppdaterade system, ny rutin för incidenter. Och kommunikation: kunder, leverantörer och personal behöver veta vad som hände – utan spekulation.
Lösensumman
Ska vi betala?
Nej. Rådet från svenska och internationella myndigheter är samstämmigt, och skälen är praktiska, inte bara principiella:
- Det finns ingen garanti. En stor del av dem som betalar får ändå inte tillbaka sina data – eller blir utsatta igen, eftersom betalningen visar att man betalar.
- Det finansierar brottsligheten och gör nästa angrepp möjligt, ofta mot någon i er egen bransch.
- Det kan vara olagligt. Att betala någon som står under sanktioner kan innebära en sanktionsöverträdelse – en fråga för er jurist, inte för IT-avdelningen.
- Återställning är oftast möjlig. Har ni backuper som fungerar är vägen tillbaka en fråga om timmar eller dagar, inte om pengar.
Hotet är dessutom inte alltid kryptering. Allt vanligare är att angriparen bara stjäl data och kräver pengar för att inte publicera den. Även då gäller samma sak: anmäl, dokumentera, informera – och räkna med att data kan bli offentlig.
Anmälningarna
Vem ska informeras – och när?
| Mottagare | När | Varför |
|---|---|---|
| Polisen | Direkt | Dataintrång och utpressning är brott. Anmälan behövs även för försäkringen. |
| IMY | Inom 72 timmar | Om personuppgifter har röjts eller riskerar att ha röjts. |
| CSIRT / sektorsmyndighet | Tidig varning inom 24 timmar | Om ni omfattas av cybersäkerhetslagen. Se NIS2-incidenten. |
| Bank och kortinlösen | Samma dag | Vid bedrägeriförsök, kapade betalningar eller misstänkt kortmissbruk. |
| Försäkringsbolaget | Enligt avtal, ofta inom 24 timmar | Ersättning och krav på vilka konsulter som får anlitas. |
| Kunder och partner | Enligt avtal | Avtalskrav, men också förtroende. Fakta slår tystnad. |
| De registrerade | Utan onödigt dröjsmål | Vid hög risk för deras rättigheter och friheter. |
Sex misstag vi ser oftast
- Att börja om från scratch i panik. Formaterade diskar och återställda system tar bort både angriparen och bevisningen – och gör det omöjligt att veta vad som stals.
- Att tro att det är över när systemen fungerar. Angripare lämnar ofta kvar en väg in. Utan genomgång av konton, behörigheter och schemalagda jobb är ni sårbara igen.
- Att återställa en backup som redan innehåller angriparen. Backuper ska verifieras, inte bara finnas.
- Att svara angriparen själv. Förhandling kräver vana. Gör det i så fall med hjälp av någon som gjort det förut – och aldrig utan att veta vad ni har rätt att göra.
- Att tiga mot kunderna. Det som skadar förtroendet mest är inte angreppet, utan att kunderna fick veta det av någon annan.
- Att inte byta det som läckte. Ligger lösenord eller kunddata i det stulna materialet ska de behandlas som röjda, oavsett vad angriparen påstår.
Frågor och svar
Det vi får frågor om
Ska vi stänga av datorerna?
Koppla bort dem från nätverket, men låt dem vara påslagna om ni kan. Flyktigt minne och loggar kan vara avgörande bevisning.
Måste vi polisanmäla?
Dataintrång och utpressning är brott och bör anmälas. Det krävs dessutom ofta av försäkringsbolaget för att ni ska få ersättning.
Hur vet vi om data har stulits?
Ofta går det inte att avgöra med säkerhet. Då utgår man från det värsta rimliga scenariot i riskbedömningen och informerar därefter – det är också vad en granskning förväntar sig.
Hur lång tid tar återställningen?
Med fungerande och verifierade backuper: från några timmar till några dagar. Utan dem kan det handla om veckor. Det är den enskilt viktigaste faktorn.
Kan ni hjälpa oss mitt i ett pågående angrepp?
Ja. Vi börjar med att säkra bevisning och stoppa spridning, och tar sedan frågorna om anmälan, information och återställning i rätt ordning.
Vad kostar ett angrepp?
Driftstopp, återställningsarbete, kundförluster, eventuell sanktionsavgift och försämrat förtroende. För de flesta små och medelstora företag är stilleståndet den största posten – inte lösensumman.
Källor och vidare läsning
- NCSC – temafördjupning om utpressningsangrepp
- Polisen – anmäl dataintrång
- CISA – Ransomware Response Checklist
Myndighetsinformation ändras. Kontrollera alltid aktuella regler och tidsfrister hos ansvarig myndighet, och ta juridisk rådgivning vid rättsliga bedömningar.
Fler akuta lägen