Rett før påskehelgen ble Marks & Spencer rammet av et av de verste ransomware-angrepene landet har sett de siste årene. Andre store forhandlere, som Co-op, fulgte snart etter. Den totale økonomiske konsekvensen av disse to hendelsene alene er anslått til opptil 440 millioner pund.

Sannheten er imidlertid at majoriteten av løsepengevirus ikke retter seg mot profilerte organisasjoner som disse. I stedet går trusselaktørene etter et større antall mindre selskaper, hvorav mange ikke har ressursene eller kunnskapen til å forsvare seg tilstrekkelig. Som ny forskning viser, koster dette dem dyrt. Med ny lovgivning om cybersikkerhet på vei, bør det å bygge motstandskraft være en presserende prioritet.

Betaling gjennom nesen

Storbritannia har lenge vært et toppmål for ransomware-aktører, takket være sin relative rikdom og svært digitaliserte økonomi. Men det er en verden til forskjell mellom å bli hacket av ransomware og å få data stjålet og/eller kryptert. Bedre cyberhygiene og forbedret deteksjon og respons kan begge bidra til å redusere virkningen betydelig. Dessverre ser det ikke ut til at dette skjer, ifølge en Sophos-studie.

Sikkerhetsleverandøren spurte over 200 IT- og cybersikkerhetsledere i Storbritannia som en del av en bredere studie som dekker svarene til 3400 ofre for løsepengevirus. «State of Ransomware in the UK 2025» avslører at hele 70 % av britiske ofre fikk dataene sine kryptert, mye høyere enn det globale gjennomsnittet på 50 % og tallet på 46 % som ble rapportert av britiske ofre i 2024.

Med begge målestokkene er dette bekymringsfullt. Det ser ut til å vise at færre ofre for ransomware har den innsikten de trenger i IT-miljøet sitt for å forstå at de har blitt rammet. Forskjellen mellom Co-op og M&S var at førstnevnte investerte i hendelsesresponskapasiteter, som flagget mistenkte inntrengere og gjorde det mulig for dem å trekke ut støpselet til systemene sine før de kunne krypteres. Virkningen av det resulterende bruddet var deretter mindre alvorlig.

Kanskje som et resultat av dette følte britiske ofre at de ikke hadde noe annet valg enn å betale utpresseren sin, 103 % av løsepengekravet i gjennomsnitt, noe som er langt høyere enn det globale gjennomsnittet på 85 %. Dette betyr enda mer fordi mediankravet for løsepenger i Storbritannia var 5.4 millioner dollar (3.9 millioner pund) i fjor – det er mer enn det dobbelte av 2.5 millioner dollar (1.9 millioner pund) som ble rapportert i den forrige undersøkelsen. Rundt 89 % av løsepengekravene var på over 1 million dollar, opp fra 71 % i 2024.

«Min erfaring tyder på at krypteringshastigheten er svært tett knyttet til hvor raskt et angrep oppdages, og ofte om ekstern hjelp til hendelsesrespons ble engasjert tidlig nok i angrepet», forteller Chester Wisniewski, global felt-CISO i Sophos, til ISMS.online. «Organisasjoner med døgnkontinuerlig overvåking og EDR/XDR-verktøy har vanligvis større suksess med å stoppe angrep som pågår. Altfor ofte oppdager ofrene bare angrepet når de får løsepengebrevet, noe som er altfor sent.»

Hvor går de galt?

Utnyttede sårbarheter (36 %), ondsinnede e-poster (20 %) og kompromitterte legitimasjonsopplysninger (19 %) var de viktigste årsakene til første tilgang blant ofre for ransomware som ble spurt av Sophos. For å håndtere disse og andre trusler anbefaler sikkerhetsleverandøren en firepunktsplan:

Forebygging: Reduser de vanligste tekniske og operative årsakene til et angrep ved å bygge motstandskraft.

Beskyttelse: Beskytt de vanligste inngangspunktene for ransomware-aktører, som endepunkter inkludert servere. Dedikerte verktøy mot ransomware vil bidra til å blokkere og rulle tilbake ondsinnet kryptering.

Deteksjon og respons: Stopp og begrense et angrep så raskt som mulig før det rekker å forårsake større skade. Organisasjoner som ikke kan gjøre dette internt, kan bruke administrert deteksjon og respons (MDR).

Fremtidsplanlegging: Sett en hendelsesresponsplan på plass for å effektivisere gjenoppretting etter et angrep. Regelmessige sikkerhetskopier utenfor og utenfor nettstedet vil også akselerere gjenopprettingen.

«Nettkriminelle driver svært effektive bedrifter; de er ute etter minimal produksjon, maksimal inntekt, så det å dobbeltlåse de digitale dørene dine fungerer som en betydelig avskrekkende effekt», argumenterer Lauren Wilson, feltteknologidirektør hos Splunk. «Men det er ikke nok å bare forebygge – du må kunne oppdage, reagere og gjenopprette for å virkelig redusere den bredere virkningen av ransomware.»

Tid for å innrette seg

Britiske IT- og sikkerhetsledere må kanskje revurdere sine planer for motstandskraft mot løsepenger i lys av kommende lovgivning. Den nye lovforslaget om cybersikkerhet og motstandskraft skal forby løsepenger for offentlige og kritiske infrastrukturleverandører (CNI). Det vil bringe nye organisasjoner (som MSP-er) inn i virkeområdet. Og det vil sannsynligvis også kreve raskere og mer omfattende hendelsesrapportering, tredjeparts risikostyring og sterkere sikkerhet i forsyningskjeden. Det kan ilegge større bøter og vil garantert gi mer makt til bransjeregulatorer. Det søker også å samkjøre seg tettere med NIS 2, ISO 27001, ISO 27002 og andre sikkerhetsstandarder og rammeverk.

Dette er en flott mulighet for de som allerede jobber med ISO 27001 til å komme i forkjøpet til disse kommende kravene og styrke sin cyberrobusthet på en kostnads- og tidseffektiv måte. Wilson forteller ISMS.online at slike standarder er «utviklet for å øke cybermodenheten på en måte som gagner alle».

Hun legger til: «Én ting standarder som NIST eller ISO 27001 har til felles, er at de hjelper organisasjoner med å fokusere på å få det grunnleggende riktig. Tilgangskontroll, regelmessig oppdatering, bruk av multifaktorautentisering og opplæring for alle ansatte. Selv om det er lettere sagt enn gjort, kan det å fokusere på disse «grunnleggende» hjelpe mye med å bekjempe en høy andel cyberangrep.»

Sophos' Wisniewski er enig i verdien av standarder for beste praksis.

«De aller fleste angrep kan forebygges ved å ha grunnleggende kontroller implementert konsekvent på tvers av systemet», argumenterer han. «Vår siste rapport om aktive motstandere viser at de fleste ransomware-tilfeller starter med enten stjålne legitimasjonsopplysninger eller uoppdaterte sårbarheter, som begge er dekket av samsvarsrammeverk.»

Imidlertid kan ikke samsvar håndteres isolert, konkluderer Wilson.

«Det må sees på som en del av en helhetlig strategi for nettsikkerhet som omfatter mennesker, prosesser og teknologi», konkluderer hun. «Organisasjoner må investere i robusthet. Det betyr å forstå risiko, bygge forsvar og sørge for at nedetid minimeres hvis driften tas offline.»