Af Azends rådgivere i IT-sikkerhed og compliance · Opdateret 23. oktober 2026
Ransomware er skadelig software, der krypterer en organisations data og kræver betaling for at frigive dem igen. De senere år er metoden blevet udvidet: data bliver også kopieret ud inden krypteringen, så angriberen kan true med at offentliggøre dem. Det kaldes dobbelt afpresning, og det er grunden til at backup alene ikke længere er et fuldt svar.
Et ransomware-angreb er sjældent en enkelt hændelse. Det er et forløb, ofte over dage eller uger, hvor krypteringen er det sidste skridt, ikke det første.
01
Angriberen kommer ind. Typisk via en phishet adgangskode, en fjernadgang uden multifaktor-godkendelse, eller en usikret sårbarhed i et system, der kan nås fra internettet.
02
Adgangen gøres varig, så den ikke forsvinder ved en genstart eller et adgangskodeskifte.
03
Netværket kortlægges. Hvor ligger filserverne, hvor ligger backuppen, hvem har administratorrettigheder.
04
Højere rettigheder erhverves, målet er domæneadministrator eller tilsvarende.
05
Data kopieres ud af virksomheden. Det er her afpresningsgrundlaget skabes.
06
Skyggekopier slettes, backupjobs stoppes, backupkataloget angribes. Dette sker bevidst før krypteringen.
07
Filerne krypteres, ofte natten til en lørdag eller op til en helligdag, hvor der er længst tid før nogen bemærker det.
Det vigtigste at forstå ved den liste er, at der er dage med signaler, før skaden sker. Det er derfor detektion har så stor betydning: der er tid at gribe ind i, hvis nogen ser efter.
Backup er den eneste foranstaltning, der giver mulighed for at komme tilbage uden at betale. Men den skal opfylde tre betingelser, som mange backup-opsætninger ikke gør:
Og selv med perfekt backup løser den ikke dobbelt afpresning. Er data kopieret ud, er de ude.
Hos mindre og mellemstore virksomheder prioriterer vi typisk ransomware beskyttelse i denne rækkefølge, fordi de første punkter lukker flest døre for færrest penge:
✓ Uge 1: MFA på alle konti med adgang udefra, og gennemgang af hvem der har administratorrettigheder
✓ Uge 2: Backup med en kopi, der ikke kan slettes med de almindelige administratorkonti, og en testgendannelse af et vigtigt system
✓ Uge 3: Opdatering af alt, der kan nås fra internettet, især firewall og VPN
✓ Uge 4: Adfærdsbaseret overvågning på computere og servere, og en kort beredskabsplan, der siger hvem der gør hvad
Rækkefølgen kan flytte sig, hvis jeres kortlægning viser et åbenlyst hul. Men den sikrer, at I hurtigt er beskyttet mod de angrebsveje, vi oftest ser brugt.
De første timer afgør meget af forløbet. Har I en beredskabsplan, så følg den. Ellers er dette de vigtigste skridt:
✓ Afbryd de ramte maskiner fra netværket, men sluk dem ikke. Spor i hukommelsen kan gå tabt
✓ Kontakt jeres it-partner med det samme, og dokumentér hvad I ser, fx med billeder af skærmen
✓ Undlad at slette filer eller geninstallere, før omfanget er afklaret
✓ Anmeld angrebet til politiet
✓ Er der persondata involveret, skal bruddet anmeldes til Datatilsynet inden for 72 timer
✓ Er I omfattet af NIS2, gælder der også en frist for at varsle myndighederne om væsentlige hændelser
For enkelte ældre ransomware-familier findes der gratis dekrypteringsværktøjer via det internationale samarbejde No More Ransom. Det er værd at undersøge, men regn ikke med det. Gendannelse fra en sikker backup er næsten altid vejen tilbage.
Danske og internationale myndigheder anbefaler at man ikke betaler. Der er tre praktiske grunde ud over det principielle: der er ingen garanti for at der udleveres en fungerende nøgle, betalingen bekræfter at målet er betalingsvilligt, og en betaling fjerner ikke de data der allerede er kopieret ud. Beslutningen bør desuden aldrig træffes første gang under en krise, den hører i beredskabsplanen.
Vi gennemgår om jeres backup faktisk kan bruges til at komme tilbage, og hvor lang tid det ville tage. Læs mere om backup og disaster recovery hos Azend, eller tag en uforpligtende snak med en af vores rådgivere.
Ransomware kaldes på dansk ofte løsepengevirus eller afpresningssoftware. Det er skadelig software, der krypterer data og kræver betaling for at frigive dem.
Backup er afgørende, men ikke tilstrækkeligt alene. Den skal være uforanderlig eller adskilt fra produktionsmiljøet, gendannelsen skal være testet, og gendannelsestiden skal være kendt. Og backup løser ikke, at data kan være kopieret ud og bruges til afpresning.
Det varierer, men det er sjældent minutter. Typisk går der dage eller uger med rekognoscering, rettighedseskalering og udtræk af data først. Netop derfor har detektion så stor værdi, der er tid at gribe ind i.
Myndighederne anbefaler at man ikke betaler. Der er ingen garanti for en fungerende nøgle, betalingen finansierer og bekræfter angrebsmodellen, og den fjerner ikke data der allerede er kopieret ud. Beslutningen bør være truffet på forhånd i beredskabsplanen.
De vigtigste foranstaltninger er MFA på alt, der kan nås udefra, hurtig opdatering af firewall og VPN, færre administratorrettigheder, en backup der ikke kan slettes af angriberen, og overvågning der opdager angrebet i de dage, før krypteringen sker.
Afbryd de ramte maskiner fra netværket uden at slukke dem, kontakt jeres it-partner, og følg beredskabsplanen. Anmeld angrebet til politiet, og til Datatilsynet inden for 72 timer, hvis persondata er berørt.
✓ Sikkerdigital.dk: Ransomware
✓ Sikkerdigital.dk: Sådan skal du gøre, hvis din virksomhed bliver afpresset online
✓ Styrelsen for Samfundssikkerhed: Reducer risikoen for ransomware (pdf)
De to tal, der definerer hvad jeres backup reelt skal kunne.
Paraplyen over virus, orm, trojansk hest, ransomware og spyware.
Adfærdsovervågning på computere og servere.
Ny IT-partner? Lad os tage en snak.
400+ virksomheder bruger allerede Azend
Ny IT-partner? Lad os tage en snak.