Illustration: Llustra
Da Sofie Østergaard fik en mail, hvor der var vedhæftet en faktura på 10.000 euro, var der sådan set ikke noget besynderligt ved det. Det var det mangeårige medlem af HK Privat vant til. Hun arbejder i et firma, hvor hun blandt andet fungerer som sekretær for internationale samarbejdspartnere.
Mailen var netop fra en af disse samarbejdspartnere, en mand fra Italien. Pengene skulle betales til et projekt, som Sofie Østergaard ikke kendte noget videre til. Men det var ikke unormalt, at hun ikke havde den detaljeviden. Imidlertid var der ikke penge nok på kontoen. Men hun vidste, at der var andre indbetalinger undervejs, så hun kommunikerede lidt frem og tilbage med samarbejdspartneren. Og i sidste ende blev de 10.000 euro - svarende til omkring 75.000 kroner - overført.
Og så var der sådan set ikke mere i det. Indtil en måned senere, hvor den italienske samarbejdspartner undrede sig over sit kontoudtog - og endnu mere over den mailudveksling, hun efterfølgende sendte ham, og som han intet kendte til.
- For det var jo ikke ham, jeg havde kommunikeret med. Nogle havde hacket hans Gmailkonto og nøje luret af, hvordan han plejede at skrive. Vi kommunikerede stille og roligt over en måneds tid om, hvornår der var penge på kontoen til at betale, så jeg fattede slet ikke på noget tidspunkt mistanke, fortæller Sofie Østergaard, der i virkeligheden hedder noget andet, men som ikke har lyst til at stå frem med sit rigtige navn. Hendes identitet er redaktionen bekendt.
- Bagefter havde jeg selvfølgelig ret dårlig samvittighed og tænkte virkelig over, om jeg kunne have gjort noget for at undgå det. Han blev rigtig sur og prøvede at tørre den af på mig, men det var jo hans mail, som ikke var sikker. Min chef var heldigvis meget rimelig og bakkede mig op. Sofie Østergaards virksomhed dækkede udgiften. Og sagen blev politianmeldt. Uden resultater. Efter noget tid fik de besked fra politiet om, at de ikke kunne gøre mere.
Truslen er på højeste niveau
Truslen om cyberkriminalitet som blandt andet den, Sofie Østergaard blev ramt af, rammer rigtig mange danske virksomheder. Mens over halvdelen af de store virksomheder har oplevet brud på it-sikkerheden i løbet af 2021, så gælder det for knap hver 4. af de små virksomheder med under 50 ansatte. Det viser en ny analyse fra erhvervsorganisationen for små og mellemstore virksomheder, SMVdanmark, på baggrund af tal fra Danmarks Statistik (se statistik på side 19).
Og trusselsniveauet imod danske virksomheder er da også ”meget højt” (det øverste trin på den skala, de opererer med), lyder det fra Center for Cybersikkerhed, den nationale it-sikkerhedsmyndighed under Forsvarets Efterretningstjeneste. Det er der imidlertid ikke noget nyt i - sådan har det været i en del år.
- Og min dystre forventning er også, at det kommer den til at være i lang tid fremover, siger Mark Fiedel, der er chef for cyberanalyseafdelingen ved Center for Cybersikkerhed. - Det her kommer først til at gå væk, når vi står i den lykkelige situation, at folk ikke længere ønsker at stjæle fra hinanden. Truslen er et grundvilkår. Hvis du er aktiv på internettet og afhængig af digitale tjenester, så kan du være nærmest sikker på, at der er nogle kriminelle, som på et tidspunkt vil forsøge at udnytte det. Og skurkene, de cyberkriminelle, er en svær modstander.
Her er ifølge Mark Fiedel ikke tale om enkelte lykkeriddere, som i deres fritid sender en stribe mails afsted og håber det bedste. Det foregår i industriel skala, hvor det er ens arbejde at snyde virksomheder for penge. Det foregår fra mange steder i verden, men især i de tidligere stater fra Sovjetunionen er der en stor koncentration.
- Det foregår topprofessionelt og svarer til at køre en stor transnational virksomhed, hvor nogle sidder på fuldtid og udvikler, andre sidder og markedsfører i kriminelle fora og så videre. De her kriminelle grupper er desværre rigtig dygtige og innovative. Og desværre også rigtig dygtige til at undgå at blive ramt af det internationale politisamarbejde, siger Mark Fiedel.
7-ELEVEN nægtede at betale
Der er to overordnede metoder, som kriminelle grupper benytter sig af. ”Business e-mail compromise”, hvor cyberskurkene udnytter, at meget forretning foregår via e-mail ved at hacke mailkonti og udgive sig for at være en kunde, chef eller noget helt tredje og på den måde snyde en medarbejder til at overføre penge. Det, som vi de senere år har hørt om som ”CEO-fraud” er et eksempel på det.
Og så ”ransomware-angreb”, hvor de kriminelle via fx vedhæftede filer eller links til falske sider får adgang til virksomhedens filer og systemer - og så låser systemerne eller truer med at offentliggøre eller dele stjålne data med andre kriminelle - og efterfølgende sender et krav om en løsesum for at låse systemerne op. Det har ikke ændret sig synderligt over de seneste år.
- For der er et begrænset behov for at ændre sin teknik, så længe den virker. Og det virker - det er det, der er problemet, siger Thomas Wong, som er direktør ved Improsec A/S for deres tekniske afdeling. En virksomhed, som rådgiver danske virksomheder om it-sikkerhed.
- Men de er blevet mere sofistikerede og præcise. Det er klart ransomware-angreb, som fylder mest i billedet. For få år tilbage så man, at de kriminelle sigtede mere bredt. I dag er de it-kriminelle blevet bedre til at researche og finde frem til, hvor det virkelig gør ondt på forretningen i en specifik virksomhed. Og dermed kan de måske lukke en hel produktion ned eller tage kopier af meget kritiske data og kræve en løsesum for at give data tilbage, forklarer Thomas Wong.
Et af de senere, større eksempler på et ransomware-angreb var, da 7-Eleven blev nødt til akut at lukke alle sine 176 butikker i Danmark. Kriminelle lykkedes med at kryptere flere af kædens servere, så de ikke kunne bruge deres betalingssystem.
De krævede en million amerikanske dollars i løsesum for at låse op igen - penge, som 7-Eleven nægtede at betale. Det lykkedes at genåbne alle butikker igen efter 5 dage, men nu - flere måneder senere - er deres systemer ikke 100 % oppe at køre endnu.
- For nogle vil det være langt billigere at betale en løsesum end fx ikke at kunne producere i en måned. Så nogle, men bestemt ikke alle, virksomheder betaler. Og så længe det regnestykke eksisterer, så vil det fortsætte, siger Thomas Wong.
DET STARTER MED SUND FORNUFT
Netop det at have en basal, sund skepsis er for den enkelte medarbejder råd nummer ét for at undgå at blive ramt. Men det er ifølge Thomas Wong ikke nok kun at vejlede sine medarbejdere til, hvad de skal gøre og ikke gøre. Det er et for stort ansvar - for der er altså kun én medarbejder, som skal klikke på noget forkert, før den er helt gal.
- Det helt afgørende er at reducere mængden af ting, som overhovedet når frem til medarbejderne. Jeg tror nok, at de fleste virksomheder forstår alvoren, men jeg tror også, at der er en tendens til at overvurdere de systemer, som er sat op. Og hvis der er huller, skal de kriminelle nok finde dem.
VIRKSOMHEDERNE ER ALTID BAGUD
Blandt arbejdsgiverne anerkender man også, at man ikke er nået helt i mål med at sikre sig imod cyberkriminalitet. Hos arbejdsgiverorganisationen Dansk Industri har de i rigtig mange år opfordret virksomheder til at prioritere cybersikkerhed højt.
- Hele verden har haft et efterslæb med at prioritere cybersikkerhed, men vi er ved at komme efter det, ikke mindst de større virksomheder. Vi kan også se, at det bliver sværere at afsætte midler til det, jo mindre virksomheden er, siger Morten Rosted Vang, der er fagleder for digital ansvarlighed og cybersikkerhed i Dansk Industri.
- Men man kan også sige, at vi hele tiden er bagud i forhold til de kriminelle. Hackerne skal kun lykkes én gang for at få succes, mens virksomhederne skal have succes hele tiden. Det er en ulige kamp. Men de fleste virksomheder har helgvis fået øjnene op for alvoren i den kamp.
Hos arbejdsgiverforeningen Dansk Erhverv oplever man også, at især de større virksomheder tager truslen meget alvorligt, og at der er en stigende interesse for fx it-sikkerhedsnetværk og webinarer om emnet. Men der er fortsat også en for stor gruppe af virksomheder, som tænker, at de nok ikke bliver ramt, eller at det ikke er så alvorligt, vurderer Christian von Stamm Jonasson, der er chefkonsulent i Dansk Erhverv med ansvar for it, tele og medier.
- Det er desværre nok sådan, at mange først rigtig tager det seriøst, når der kommer sager frem blandt virksomheder, som ligner én tilpas meget, siger han.
I Sofie Østergaards virksomhed blev der efterfølgende snakket meget om sagen, hvor hun kom til at overføre 10.000 euro til en cybersvindler. Og der er også taget forholdsregler efterfølgende.
- Jeg ved, at nogle af mine kolleger har fået lignende henvendelser, og en chef har fået sin e-mail hacket. Men vi har selvfølgelig lært virkelig meget af oplevelsen. Og i dag er det sådan, at hvis man får mails om bankoverførsler med kontonumre, vi ikke kender, så skal det bekræftes pr. telefon, siger Sofie Østergaard.