–Har jeg gjort noe som har muliggjort angrepet? Denne følelsen ga seg ikke med det første, sier Sunde om den hektiske tiden under og etter selve angrepet.

Som administrerende direktør har hun det øverste ansvaret for en pensjonskasse som forvalter 3,7 milliarder kroner.

Angrepet i fjor høst viste tydelig at et ekstra sikkerhetsnivå ikke alltid er nok til å hindre hackere fra å ta seg inn i kjernesystemene. Hendelsen er første kjente tilfelle av falsk tofaktor-autentifisering i Norge.

–Vi er en forholdsvis liten pensjonskasse. Men vi har alltid hatt fokus på IKT-sikkerhet. Heldigvis hadde vår IKT-leverandør gode overvåkingssystem og vi hadde gode interne rutiner slik at angrepet ble oppdaget svært tidlig, sier Sunde.

Og dette er noe som alle samfunnsbedrifter kan lære av. For bedrifter som leverer viktige tjenester til innbyggerne, kan bli rammet av hackere eller hybrid krigføring. Folk med onde hensikter vil ramme der det smerter.

Vi må slutte å tenke på hackere som nerder på gutterommet eller jenterommet. Dessverre er det blitt en global bransje, og den er i sterk vekst.

Da hackerne kom seg inn i systemet til Haugesund kommunale pensjonskasse, sendte de en falsk e-post der de ba økonomiansvarlig om å behandle en internasjonal bankoverføring. 

E-posten ble tilsynelatende sendt fra sjefen selv.

–De hadde også klart å fange opp hvordan jeg signerer e-poster internt. Det var min medarbeiders årvåkenhet som gjorde at vi ikke ble lurt.

IKT gjennomgikk aktiviteten fra min konto i etterkant av angrepet. Og heldigvis kunne de slå fast at ingen personopplysninger var kommet på avveie.

Likevel tok det en god stund før arbeidsdagen ble normal igjen for kollegene i Haugesund. Og de innførte mange nye sikkerhetstiltak. 

Det er blant annet nye rutiner for hvilke typer PCer som skal brukes og hvilke enheter som skal ha tilgang til systemet. Og sjefen måtte få ny PC, mobiltelefon og ny apple-ID. Mange apper ble deaktivert.

–Plutselig har man ingen apper, alt må settes opp på nytt med ny Apple-id, også Bank ID. Da merker man hvor avhengig man er av telefonen. I den tiden følte jeg at jeg manglet armer og bein.

Selv om opplevelsen var skremmende, og skapte mye ekstraarbeid for mange mennesker, lyktes det ikke hackerne å stjele hverken penger eller opplysninger. 

For å forklare det, legger Sunde særlig vekt på ett ord: årvåkenhet.

–Rutinene vi hadde lagt opp til for at vi selv ikke skulle gjøre noe feil, viste seg å være supre mot hackerne.

I Norge er det flere miljøer som jobber jobber for å styrke sikkerhetskulturen på IKT-området. To av de viktigste er:

Norsk senter for informasjonssikring (NorSIS)

NorSIS er en uavhengig organisasjon og medlemsforening som fremmer sikkerhetskultur og en trygg digital hverdag. Målgruppen er allmennheten samt små og mellomstore bedrifter. 

 – en årlig kampanje som avholdes i oktober. Formålet er å øke kompetansen om internettsikkerhet hos næringslivet, det offentlige og media.

NSM er Norges fagorgan for forebyggende sikkerhet. De gir råd og gjennomfører tilsyn på sivil og militær side. Hensikten er å sikre informasjon, systemer, objekter og infrastruktur av nasjonal betydning. 

Dette direktoratet er også ansvarlig for å varsle og koordinere alvorlige IKT-angrep.

Pensjonskassen som fintet ut hackerne

IKT-sikkerhet

Tidligere i dag la Nkom fram sin årlige dekningsundersøkelse for bredbåndsektoren. Den viser hvor mange som har tilgang til bredbånd på ulike hastigheter i Norge. 

Mest spenning er knyttet til tallene for tilgang til 100 Mbit/s. Det henger sammen med regjeringens politiske mål for bredbånd om at alle i Norge skal ha tilgang til 100 mbit/s innen 2025.

Tallene viser stor forbedring fra fjoråret i bredbåndsdekningen av 100 Mbit/s. Økningen er størst for virksomheter og for bredbånd i distriktene. Totalt for Norge har 96,6 prosent av alle husstandene tilgang til fast bredbånd med hastighet over 100 mbit/s.

- Det er svært positivt at så mange flere har tilgang til raskt internett og spesielt gledelig at det er størst økning i spredtbygde områder, sier Truls Wickholm.

Fra 2022 til i år økte bredbåndsdekning for virksomheter over 11 prosentpoeng opp fra 70,3 til 81,6 prosent. Men også tilgang i distriktene har økt betydelig. Fra 2022 til i år stiger bredbåndsdekning i distriktene over 10 prosentpoeng opp fra 71,5 til 82,2 prosent.

- Bransjen har investert rekord mye i år, og vi er stolte over at den største  økningen er i områdene til våre medlemmer. Det viser viktigheten og ansvaret til de mindre og mellomstore bredbåndsselskapene, sier Wickholm.

Til tross for gode tall nasjonalt, står fortsatt en god andel uten tilgang til  godt bredbånd. Disse menneskene bor ofte i fjerne områder som er svært krevende og dyrt å bygge infrastruktur. For å få bygget ut til de siste og nå de politiske målene om 100 mbit/s bredbånd til alle innen 2025, er det nødvendig med offentlig støtte. 

I årets statsbudsjett stilte staten opp med 400 millioner, men Samfunnsbedriftene mener det vil kreve større midler for å nå målet innen 2025.

 - Samtidig er ikke jobben gjort. Det er fortsatt over 80 000 mennesker som står uten tilgang på godt internett. For å få med alle og unngå et digitalt skille, må staten stille med de ekstra midlene som kreves, sier Wickholm.

Bredbåndsdekning i distriktene er blitt mye bedre

Nkoms dekningsundersøkelse 2023

– Det handler like mye om oss mennesker. Som ledere, ansatte og brukere. Hvordan er vår kunnskap, våre rutiner og vår adferd når det gjelder sikkerhet? Er vi rustet for å møte truslene?

En gjennomtenkt sikkerhetskultur er avgjørende for at en virksomhet skal kunne håndtere cyberangrep og uønskede hendelser fra kriminelle grupper eller fremmede makter.

Visste du at ordet «cyber» kommer av kybernetes, som betyr styrmann på gresk? Ordet har altså gått en lang vei fra oldtiden og inn i vår digitale tidsalder.

Likevel kan den opprinnelige betydningen ha noe for seg. For alle må nå ta styringen over hvordan man håndterer truslene fra ondsinnende hackere, innsidere og hybrid krigføring. 

For å skape en god sikkerhetskultur, må vi alle bli «digitale styrmenn».

– Du er målet med et cyberangrep

- Det er mange skrekkeksempler på at svært oppegående folk er blitt narret til å klikke på en lenke eller laste ned noe som ikke skulle vært lastet ned, sier administrerende direktør Øivind Brevik i Samfunnsbedriftene.

Vi har sett det skje med norske kommuner og med internasjonale selskaper. Til og med Stortinget har blitt rammet av hackere.

For slike datasnoker er ikke bare IT-eksperter. De er også dyktige på å utnytte menneskelig sårbarhet. 

- IKT-sikkerhet er litt som en kjetting: Ingen er tryggere enn den svakeste lenken. Så det holder ikke at «han IT-fyren med hettegenser» kan det. Eller at sjefen kan det, sier Brevik.

Alle ansatte som har tilgang til bedriftens systemer, må opp på et visst bevissthetsnivå. For i praksis vil den mest «sårbare» ansatte bestemme hele bedriftens IKT-sikkerhet.

Skadelig programvare – eller «malware» – blir som regel installert av en intetanende ansatt på en datamaskin. Slike program kan surre og gå lenge. Målet er å skaffe tilgang til sensitiv informasjon eller å lamme bedriftens systemer.

Når hackere med onde hensikter har oppnådd det de vil, kan marerittet ramme. 

- De kan stanse driften av en viktig tjeneste og fremme krav om løsepenger. Eller de kan jobbe mer langsiktig og drive utpressing og kanskje tvinge noen til å bli en utro tjener, sier Brevik.

Det er en voldsom vekst i slik programvare. Ifølge Verdens økonomiske forum økte forekomsten med hele 358 prosent i 2020. Og målrettede utpressingsprogram – «ransomware» – økte med hele 435 prosent i samme år.

Det er også stadig flere som bruker slike program. «Hærer» med cyber-leiesoldater står klare til å benytte sofistikert programvare og utspekulerte metoder for å komme seg inn i ulike systemer. 

For det er mye penger å tjene på dette. Dessverre er det også blitt manges levebrød. Så nettopp du, eller en ansatt i din bedrift, kan være neste målskive.

- Man blir aldri utlært, for dette feltet er i rivende utvikling. Men det som hjelper, er å forberede seg, sier Brevik. 

- Om alle ansatte har IKT-sikkerhet i ryggmargen, minker sjansen betydelig for at akkurat din bedrift blir rammet. 

Og det er viktig for flere enn deg og dine ansatte. Det er viktig for alle innbyggerne som er avhengig av tjenestene som din samfunnsbedrift tilbyr.

Han truer bedriften din!

Nasjonal sikkerhetsmåned arrangeres ifølge NorSIS i Norge for 12. gang i oktober – og er også i år en nødvendig øvelse:

Fortsatt er det nemlig mange som ikke vet nok om hvordan de beskytter seg på nettet og ved bruk av digitale enheter, noe som gjør årets tema ekstra aktuelt: «Sammen for en trygg digital hverdag».

Som med så mye annet i livet, kan litt ekstra kunnskap komme godt med – spesielt om du vil unngå å bli de kriminelles neste offer. Her gir vi deg derfor ti tips vi håper kan gi deg en tryggere digital hverdag:

1. Jobb eller privat? De kriminelle skiller ikke

Enten du sitter på kontoret eller slapper av med mobilen i sofaen hjemme, er du et potensielt mål for nettkriminelle – som ikke skiller mellom jobb og privat, landegrenser eller tidssoner.

Du er tross alt er samme person hele døgnet – og bruker mest sannsynlig samme mobiltelefon … og kanskje laptop? Slik kan du til enhver tid nås via telefonanrop, SMS, e-poster, direktemeldinger, sosiale medier, annonser eller andre digitale kanaler.

I mange av angrepene mot store virksomheter de siste årene, ser man at det nettopp er de ansatte som har vært veien inn: Her har de nettkriminelle lurt folk når de «senker skuldrene» på privaten, og brukt dette for å komme seg forbi ellers solide sikkerhetssystemer.

I mange andre tilfeller er det rett og slett du som privatperson (og godt mulig din private bankkonto) som er målet. Uansett er det greit å ha bak øret at de kriminelle aldri hviler, og at de gjerne slår til når du minst venter det – kanskje mens du hviler?

Uansett hvor moderne teknologi de kriminelle har tilgang på, er det fortsatt mye vanskeligere å trenge seg gjennom sikkerhetssystemer enn å rett og slett lure deg. Enn så lenge er dette noe mennesker klarer bedre enn roboter. Og da tyr de til det urgamle svindelhåndverket sosial manipulasjon.

I praksis innebærer dette at de kriminelle spiller på og utnytter følelsene dine, og da spesielt frykt, grådighet, nysgjerrighet eller ensomhet.

For eksempel er det ikke rart om du blir stresset om noen ringer og sier de er fra banken – med beskjed om at noen holder på å tømme kontoen din. Grepet av stress, rekker du kanskje ikke å kjenne på magefølelsen om at det kanskje ikke egentlig er banken som ringer – og oppgir BankID-informasjonen de ber om. Først da vil kontoen tømmes for alvor. 

På samme måte er det med e-poster som lover en kjapp gevinst, en het romanse eller et helt fantastisk tilbud på en nettside du har snublet innom. Varer tilbudet kanskje bare i noen minutter til? Slikt kunstig tidspress er et klassisk grep for at du skal foreta deg noe før du har rukket å tenke deg om.

Husk at du alltid har tid til å puste med magen, selv om noen sier at det haster: Er dette noen som prøver å bruke følelsene dine mot deg?

3. … men teknologi gjør det lettere å bli lurt

Med stadig flere skriverier om svindel og nettkriminalitet i mediene, er flere også blitt bevisst på dette. Kanskje plukker vi ikke lenger opp anrop fra ukjente, utenlandske numre – eller unngår å trykke på lenker i e-poster med håpløst design og dårlig norsk språk.

Dette har de kriminelle forlengst skjønt, og derfor tar de i bruk stadig nye teknologiske virkemidler for å tilnærme seg deg på en mer tillitsvekkende måte.

Stikkordet her er nemlig tillit: Får du et anrop fra et norsk mobilnummer, stoler du kanskje mer på det – og plukker opp. Og enda verre: Får du en SMS eller telefon fra et telefonnummer du vet tilhører for eksempel banken eller politiet, tar du i hvert fall telefonen.

Problemet er bare at for kriminelle med teknisk innsikt, er det ikke vanskelig å gjemme seg bak falske telefonnumre, e-postadresser eller nettadresser. Såkalt «spoofing» er teknologien som gjør det mulig for utenlandske svindlere å kamuflere sitt egentlige nummer bak et norsk mobilnummer – eller sende deg en SMS som tilsynelatende kommer fra banken din. Og de kan enkelt lage falske nettsider som ser helt ekte ut, der du raskt kan komme til å taste inn kortnummer og BankID-koder – som de straks snapper opp.

Stoler du på avsenderen, øker altså sjansen for at du trykker på farlige lenker eller oppgir privat informasjon til uvedkommende – noe som er målet med såkalt «phishing», altså nettfisking. Det er som med fluefiske: Tror fisken at flua er ekte, biter den lettere på.

4. Er du usikker? Ikke oppgi informasjon!

Dette er et av de viktigste tipsene, så vi skal holde det kort og tydelig: Aldri oppgi privat informasjon til noen som kontakter deg og ber om dette. Og spesielt ikke om det er kortdetaljer, BankID, eller andre sensitive opplysninger.

Med BankID skal du faktisk ALDRI oppgi koden til noen som ber om det – ikke engang om noen sier de ringer fra banken eller politiet.

Her kommer vi tilbake til de to punktene over: Selv om noen sier at mye står på spill, og de tilsynelatende kontakter deg fra banken, Amazon, Kripos, Skatteetaten, Microsoft eller hva som helst annet, har du alltid tid til å puste med magen – og tenke deg om.

Og er du virkelig usikker, kan du trygt avslutte korrespondansen og heller oppsøke den som etter sigende skal ha kontaktet deg via kundeservice eller andre offisielle kanaler.

5. De kriminelle kjenner godt til norske forhold – og språket

Nordmenn har stort sett god økonomi, og vi er et folk med høy tillit til andre. Kanskje er det da ikke så rart at vi også ligger på svindeltoppen i Norden – vi blir godt lagt merke til i verden.

Derfor har de utenlandske kriminelle de siste årene gjort en langt bedre jobb med å tilnærme seg det norske samfunnet – sannsynligvis med god hjelp fra lokale (vi har også mange nettkriminelle her til lands, bare så det er sagt). Dette gir seg utslag i langt bedre og mer troverdig språk i e-poster, SMS-er og på falske nettsider. Du kan altså ikke nødvendigvis kjenne igjen et svindelforsøk på dårlig språk.

I tillegg kjenner de kriminelle godt til norske forhold, samfunnsendringer og vaner. Det betyr for eksempel at straks det er tid for restskatt, vil de sende ut falske krav (eller «utbetaling av skatt til gode») fra «Skatteetaten». Og i disse dager, når BankID på mobil fases ut, kommer det som ventet ekstra mange falske meldinger om «sperret BankID».

6. Angrepene kan være målrettet mot deg

Målrettede angrep krever innsikt om offeret, for å kunne finne «svake punkter» som kan brukes som en vei inn. Dette har tradisjonelt krevd mye research, men med såpass mye informasjon de fleste av oss har liggende åpent ute på nett, er det ikke lenger alltid mye jobb som må til.

Se for deg familiefaren Marius (42). Han er økonomiansvarlig i bedriften, men også en ivrig fotballtrener for datteren Marens J12-lag – noe han gjerne poster om på Facebook, for alle å se.

Også de som ikke bør se det. Basert på denne informasjonen, kan en kriminell enkelt sende en forfalsket e-post fra en adresse som tilsynelatende tilhører en annen fotballpappa som er tagget i et kampinnlegg på Facebook. Med emnefeltet «OBS! Endret kampplan» er sjansen stor for at Marius ikke bare åpner e-posten – men også laster ned vedlegget«kampoversikt.xls».

Som dessverre ikke er en kampoversikt, men et løsepengevirus som raskt sprer seg videre til bedriftsnettverket – ettersom Marius også bruker jobb-laptopen hjemme.

Du skal selvfølgelig kunne fortsette med å legge ut bilder og innlegg på sosiale medier. Men husk at du også kan styre hvem som skal få se hva du legger ut i innstillingene. Kanskje er det ikke så dumt å begrense kretsen en smule – og være litt bevisst på hva som går ut til omverden?

Apropos sosiale medier: Har du oversikt over hvor mange innbokser du har? Det at svindlere jobber målrettet, betyr også at de er utrolig gode til å være der du der – og tilpasser seg dette.

En phishing-lenke kan like gjerne komme i Facebook Messenger eller via Discord som på e-post. Og om du selger noe på Finn eller Tise, er det ikke utenkelig at noen kontakter deg med spørsmål om alternative betalingsløsninger – dette er godt mulig også svindel.

Svindlerne holder seg heller ikke bare til én kanal, spesielt ikke når de jobber målrettet: Først kan det for eksempel komme en SMS fra «banken» om at noe uregelmessig er oppdaget på kontoen din, før det like etter ringer fra samme nummer – med en som på perfekt norsk har hastverk med å hjelpe deg med å «stoppe pengeoverføringen».

Her misbrukes igjen teknologien for å legge tidspress på deg, slik at du kanskje glemmer hovedregelen om å aldri oppgi BankID og annen sensitiv informasjon over telefon, SMS eller på tvilsomme nettsider.

Altfor mange bruker passord som er lette å gjette. Men det hjelper heller ikke å ha et passord som er vanskelig å gjette om du bruker det samme passordet overalt.

Godt mulig er dette passordet da allerede i feil hender, takket være de siste års mange datalekkasjer. Søk bare selv med e-postadressen din (eller mobilnummeret) på nettsiden 

, så vil du sannsynligvis se at dine private data er lekket. Og at noen derfor har passordet knyttet til e-posten din, fordi de har stjålet data fra en eller annen obskur tjeneste der du en gang opprettet en brukerkonto.

Har du brukt det samme passordet overalt de siste årene, betyr dette at noen enkelt kan bruke dette for å logge inn på kontoene dine.

For å unngå dette, må du for det første bruke unike, sterke passord for hver enkelt tjeneste. Disse kan være vanskelige å huske på, så bruk svært gjerne et eget passordprogram som 1password, LastPass, Bitwarden, Keeper – eller det som for eksempel er bygget inn i mobilen din (disse kan også lage sterke passord for deg).

Faktisk har passord lenge gitt så mye falsk trygghet at Apple og flere andre nå beveger seg vekk fra dem, og i stedet introduserer såkalte passnøkler – som i stedet for passord lar deg logge inn med et biometrisk kjennetegn som et fingeravtrykk eller en ansiktsscan.

Men gode passord er ikke bare nok: Du må også bruke tofaktorautentisering – også kjent som 2-trinnsverifisering, multifaktor eller tilsvarende.

Her må du i tillegg til passord oppgi en engangskode, for eksempel via en app, eller godkjenne innloggingen via mobilen din. De aller fleste tjenester støtter dette i dag – og vi anbefaler sterkt at du bruker de ekstra minuttene det tar å sette det opp. Det kan være forskjellen på om noen får tatt over kontoene dine eller ikke, selv om de så får tak i passordet.

9. … og likevel brer kontokapring om seg

Som vi allerede har vært inne på: Der det dukker opp ny teknologi, ser de kriminelle nye muligheter. Dette gjelder også når det dukker opp teknologi som er ment å stoppe de kriminelle.

Det siste året har det nemlig vært mange tilfeller av såkalt kontokapring, der uvedkommende overtar kontoer i sosiale medier – og for eksempel bruker disse til å kontakte andre på vennelisten (med all den tilliten som følger med).

Her har et gjennomgående spørsmål dreid seg om hjelp med «en kode du straks får på SMS». Dette snakkes bort som en vennetjeneste, kanskje forklart som et lotteri eller tilsvarende – men er i realiteten engangskoden til din egentofaktorsikkerhet, som du altså får på SMS til din mobil.

Oppgir du denne til «vennen din», som i realiteten er en svindler som har stjålet hans eller hennes konto, kan du straks miste tilgang til din egen konto.

Ekstra ille er det om dette er e-post-kontoen din. Dette er nemlig en såkalt nøkkelkonto – du kan nullstille passord på andre tjenester ved å få en e-post tilsendt til deg selv. Mister du tilgangen til e-posten din, kan med andre ord noen andre overta store deler av din digitale identitet, på tvers av mange tjenester. Her kan skadeomfanget være omfattende.

Rådet her? Forstå hva disse engangkodene er for noe – og aldri oppgi dem til noen andre. Og skulle få et varsel på mobilen om å gi tilgang til en tjeneste der du ikke har logget deg inn, trykk nei. Selv om henvendelsen kommer flere ganger.

Takk for at du har lest helt ned til dette siste punktet – forhåpentlig har du lært noe, eller kanskje du bare er litt ekstra interessert i digital sikkerhet?

Dessverre vet vi at ikke alle har lest like mye som deg, langt mindre klikket seg inn på denne saken. Fortsatt er det nemlig slik at mange først begynner å bry seg om digital sikkerhet etter at skaden har skjedd – og at de som har mest behov for litt mer kunnskap om dette også er de som ikke ennå har sett behovet for det.

Uten å skulle drive med skremselspropaganda, er det derfor viktig at vi alle snakker litt mer om digital sikkerhet med våre nærmeste i det daglige. Enten det er ungdom, eldre foreldre eller kollegaer: Snakk om interessante ting du har fått med deg ved kaffemaskinen eller middagsbordet, og gjør deg tilgjengelig for «dumme» spørsmål – så slipper de kanskje å måtte lære om digital sikkerhet the hard way.

Digital sikkerhet er nemlig litt som med massevaksinering: Jo flere som er sikret, dess bedre blir vi alle beskyttet. God sikkerhetsmåned!

Digitalisering

Pensjonskassen som fintet ut hackerne

Bredbåndsdekning i distriktene er blitt mye bedre

– Du er målet med et cyberangrep

Han truer bedriften din!

Slik får du bedre digital sikkerhet

Les mer om ...

Hold deg oppdatert!