De siste årene har vi sett en rekke profilerte cyberhendelser, fra angrep i forsyningskjeden til nulldagssårbarheter, ransomware og deepfakes. Trusselaktører utvikler sine forsøk på å få tilgang til forretningsnettverk, stjele sensitive data og svindle organisasjoner.
I denne Halloween-bloggen deler IO-lederteamet hendelsene som sendte dem frysninger nedover ryggraden.
Kido-skoler – angrep på forsyningskjeden
Vår finansdirektør, Jon Orpen, sier:
I september fikk hackere tilgang til dataene til tusenvis av barn i en barnehagekjede. Kido-skolerDe fikk først tilgang til informasjonen via programvaren for barnepass, Famly. Angriperne publiserte profiler av 20 barn på nettet og truet med å publisere flere med mindre de fikk betalt i Bitcoin. De truet også foreldre direkte via telefonsamtaler. Jeg har små barn og har vært gjennom «barnehagesystemet», så dette angrepet resonerte virkelig med meg.
Kort tid etter at truslene ble fremsatt, kom det betydelig offentlig motreaksjon. Angriperne fjernet innleggene og hevdet å ha slettet informasjonen, og angrepet ble fordømt som et «nytt lavmål» for nettkriminelle. Angrepet viser oss imidlertid at nettkriminelle er vilkårlige i angrepene sine, til og med villige til å målrette barn for å oppnå målene sine.
Cyberangrepet mot Kido Schools er bare ett av flere nylige høyprofilerte angrep der trusselaktører har målrettet leverandører for å få tilgang til organisasjoners sensitive data. Status for informasjonssikkerhetsrapport 2025 fant at tre av fem (61 %) av respondentene hadde blitt påvirket av en cybersikkerhets- eller informasjonssikkerhetshendelse forårsaket av en tredjepartsleverandør eller forsyningskjedepartner, og mer enn en fjerdedel (27 %) hadde blitt påvirket mer enn én gang.
Det er et must å gjennomgå informasjonssikkerhetstiltakene leverandørene dine har på plass i det nåværende trussellandskapet.
Oracle E-Business Suite – Nulldagssårbarhet
Vår tekniske direktør, Sam Peters, sier:
Oracle har nylig oppdatert en sikkerhetsfeil i E-Business Suite. CVE-2025-61884, som kan ha blitt brukt av trusselaktører til å tvangsutnytte sensitive bedriftsdata fra flere virksomheter. En oppdatering fra Oracle beskrev sårbarheten som «eksternt utnyttbar uten autentisering, dvs. den kan utnyttes over et nettverk uten behov for brukernavn og passord. Hvis den utnyttes, kan denne sårbarheten gi tilgang til sensitive ressurser.»
Bedriften understreket at de anbefaler kundene å fortsette med aktivt støttede versjoner og installere sikkerhetsoppdateringer for sikkerhetsvarsler og kritiske oppdateringer uten forsinkelse.
Selv om nulldagsangrep er uforutsigbare av natur, kan bedrifter styrke forsvaret sitt ved å sørge for at programvaren er oppdatert, at oppdateringer er installert og ved å ha en omfattende tilnærming til risikostyring. ISO 27001-standarden, for eksempel, gir et rammeverk som støtter bedrifter i å bygge og vedlikeholde et robust styringssystem for informasjonssikkerhet, og styrke operasjonell robusthet i tilfelle et angrep.
Implementering av omfattende og gjennomtenkte planer for hendelsesrespons og forretningskontinuitet som kreves for samsvar med ISO 27001, vil gjøre det mulig for organisasjoner å reagere raskt på nulldagsangrep og minimere skade.
Marks & Spencer – Angrep på forsyningskjede og løsepengevirus
Vår administrerende direktør, Chris Newton-Smith, sier:
Et angrep på Den britiske detaljhandelsgiganten Marks & Spencer (M&S) skapte overskrifter i april i år. Trusselaktører høstet kundedata og distribuerte løsepengevirus som forstyrret selskapets IT-systemer samt driften på nett og i butikk, noe som førte til anslåtte økonomiske tap på 700 millioner pund.
Angriperne skal ha brukt sosial manipulering og angrep en M&S IKT-leverandør for å få tilgang. De utga seg for å være en M&S-ansatt og overtalte tredjepartsleverandøren til å tilbakestille passordet til en intern bruker. Da de fikk tilgang til nettverket, samlet de også sensitive kundedata før de distribuerte løsepengeviruset for å kryptere M&S-systemer.
Bedriften stengte raskt ned nettbaserte bestillingssystemer og suspenderte kontaktløse betalinger for å forhindre ytterligere skade, og fysisk salg gikk tilbake til manuelle prosesser. De involverte også politiet, engasjerte eksterne cybersikkerhetseksperter og kommuniserte hendelsen og den pågående virkningen til kundene. Selv om noen rapporter kritiserte forhandleren for manglende planer for forretningskontinuitet og hendelsesresponsplaner, er det tydelig at M&S tok umiddelbare skritt for å redusere ytterligere risiko.
Dette flerlagsangrepet demonstrerer viktigheten av kontinuerlig tredjeparts risikostyring for bedrifter; det fremhever også behovet for nettverkssegmentering for å begrense omfanget av skade som kan oppstå i tilfelle et angrep.
ISO 27001 kan igjen støtte organisasjoner her. Samsvar med og sertifisering av standarden krever at organisasjoner vurderer og implementerer nødvendige sikkerhetskontroller, inkludert regelmessige sikkerhetskopier, informasjonssikkerhetstiltak implementert som en del av bredere planer for forretningskontinuitet, og handlingsrettede tiltak for å identifisere, vurdere, reagere på og håndtere hendelser.
Arup – AI-dypfalsk
Vår markedsføringssjef, Dave Holloway, sier:
Årets Status for informasjonssikkerhetsrapport viser en nedgang i deepfake-hendelser sammenlignet med vår rapport fra 2024 (20 % mot 30 %), men AI-drevne trusler er fortsatt det organisasjoner tenker mest på. Et bemerkelsesverdig og ekstremt sofistikert deepfake-angrep i fjor førte til at ingeniørselskapet Arup tapte 25 millioner dollar til nettkriminelle.
Det er rapportert at en Arup-ansatt ble manipulert til å gjennomføre transaksjonen da gjerningsmennene utga seg for å være ledende ansatte i selskapet i en falsk videokonferanse. Den ansatte mistenkte først at de hadde mottatt en phishing-e-post, da den spesifiserte behovet for at en transaksjon skulle utføres. Angriperne brukte imidlertid AI-genererte deepfakes for å utgi seg for å være betjentene, noe som overbeviste den ansatte om samtalens legitimitet; de utførte deretter transaksjonene.
I et intervju med Verdens økonomiske forumArups IT-sjef, Rob Grieg, beskrev hendelsen som «teknologiforsterket sosial manipulering» og mistenker at «dette skjer oftere enn mange er klar over».
Bekjempelse av AI-drevne trusler representerer en kontinuerlig og utviklende utfordring for bedrifter. Opplæring av ansatte kan sikre at ansatte er klar over røde flagg de skal se opp for, og rollebaserte tilgangskontroller sikrer at bare spesifikke ansatte har tilgang til spesifikke nettverk eller konfidensiell informasjon, for eksempel økonomisk informasjon. Imidlertid er en robust og godt innøvd hendelsesplan fortsatt viktig å ha dersom et angrep skulle lykkes.
Salesforce – Løsepengevirusangrep
Vår CRO, Ross Down, sier:
Ocuco angrep på CRM-leverandøren Salesforce følger et lignende mønster som angrepet på M&S. Hackere målrettet ansatte og tredjepartsapper for å få tilgang til selskapets nettverk, og angivelig kompromitterte de tredjepartsintegrasjonen Salesloft Drift ved å bruke stjålne OAuth-tokens for å få uautorisert tilgang.
Så snart de hadde fått tilgang, kunne trusselaktørene eksportere betydelige mengder sensitive data, og hevde å ha stjålet nesten en milliard poster fra dusinvis av Salesforce-kunder, inkludert Fujifilm, Qantas, The Gap og flere.
Gruppen krevde løsepenger fra Salesforce, men de instruerte også de berørte kundene om løsepenger og begynte å lekke offerdata på nettet. Det er imidlertid rapportert at Salesforce nektet å betale løsepengene, og det finnes heller ingen bevis for at noen av ofrene betalte løsepenger. I stedet har Salesforce siden deaktivert Drifts forbindelse til systemene sine.
I skrivende stund pågår hendelsen fortsatt, og angripere fortsetter å true med å lekke ytterligere Salesforce-kundedata. Denne hendelsen er nok en påminnelse om viktigheten av tredjeparts risikostyring, planlegging av forretningskontinuitet og planlegging av hendelsesrespons for å redusere og dempe virkningen av et angrep.
Den gode nyheten er at organisasjoner forbereder seg på disse eventualitetene. 80 % av respondentene i vår rapport om informasjonssikkerhetstilstanden i 2025 sa at de hadde tatt i bruk forbedrede hendelsesberedskaps- og gjenopprettingsmuligheter, mens 18 % planlegger å gjøre det i løpet av de neste 12 månedene.
Risikostyring: Proaktivitet er nøkkelen
Etter hvert som AI utvikler seg, forsyningskjeder vokser og angrepsflaten utvides, vil cyberangrep som hendelsene IOs lederteam har fremhevet bare øke i både kompleksitet og sofistikasjon. Implementering av beste praksisstandarder som ISO 27001 for informasjonssikkerhetsstyring og ISO 42001 for AI-administrasjon lar organisasjoner redusere cyberrisiko, samt forbedre hendelsesidentifisering og -respons.
Klar til å handle? Vår sjekkliste for cyberhygiene gir ti beste fremgangsmåter bedrifter kan implementere for å styrke sitt cyberforsvar.
