När ett stort företag drabbas av dataintrång eller när en myndighet läggs ned av ransomware dyker ordet "hackergrupp" snabbt upp i nyhetsrapporteringen. Men begreppet används ofta slarvigt. Det täcker allt från organiserade brottssyndikat med ekonomiska motiv till statligt finansierade enheter som spionerar på andra länder, och ideologiskt drivna aktivister som vill synliggöra politiska budskap. Att förstå skillnaden mellan dessa kategorier gör det mycket lättare att förstå hotbilden – och framför allt vad man själv kan göra för att skydda sig.
Olika typer av hackergrupper
Det första som är värt att fastställa är att en hackergrupp inte är en homogen storhet. Säkerhetsvärlden delar vanligtvis in aktörerna i tre huvudkategorier.
Kriminella grupper är den vanligaste varianten och den som de flesta företag och privatpersoner riskerar att stöta på. Deras mål är ekonomiska. Ransomware, alltså skadlig kod som krypterar offrets filer och kräver lönegrad för att låsa upp dem, har varit deras främsta inkomstkälla under flera år. Vissa av dessa grupper har varit storskaliga verksamheter med rollfördelning som liknar ett vanligt företag: några utvecklar verktygen, andra sköter förhandlingar med offren, åter andra tvättar pengarna. Grupper som REvil och Lapsus$ har blivit allmänt kända genom omfattande attacker mot företag, och flera av deras medlemmar har senare greps och åtalats i olika länder.
Statligt finansierade grupper, ofta kallade APT-grupper (advanced persistent threats), arbetar med ett helt annat uppdrag. Deras syfte är vanligtvis spionage – att stjäla forskningsresultat, militär information, teknologi eller politiskt känsligt material. De är i regel mer tålmodiga och metodiska. En attack kan pågå i månader eller år utan att upptäckas, medan gruppen långsamt kartlägger målet och gräver sig allt djupare in i nätverket. Att koppla en sådan grupp till en specifik stat är svårt, och säkerhetsföretag uttrycker sig därför ofta försiktigt med formuleringar som "bedömningen är att aktören har kopplingar till..."
Hacktivister drivs av idéer snarare än pengar. Den mest kända är förmodligen Anonymous, ett löst nätverk som gör anspråk på att agera mot organisationer de anser agera oetiskt eller o juridiskt. Deras metoder omfattar bland annat överbelastningsattacker mot webbplatser och läckage av stulen information. Oavsett vad man tycker om deras motiv gäller samma lagar som för andra intrång – i Sverige är obehörig inträngning i datasystem brottsligt oavsett syfte.
Hur en typisk attack ser ut
Det finns givetvis ingen enda mall, men de flesta lyckade intrång följer ett ganska likartat förlopp. Grupperna letar efter den enklaste vägen in, inte den mest avancerade.
Ofta börjar det med så kallad spaning: att samla offentligt tillgänglig information om målet, till exempel medarbetarnamn, e-postadresser, vilken teknik organisationen använder och vilka säkerhetshål som ännu inte har lagats. Därefter kommer själva inträngningen, och här är phishing överlägset vanligast. Ett godtrognt utformat mejl som förfalskar en kollega, en leverantör eller en myndighet räcker ofta för att någon ska klicka på en länk eller ange sina inloggningsuppgifter på en förfalskad inloggningssida.
När gruppen väl är inne försöker den utöka sin tillgång – flytta sig genom nätverket, höja sina behörigheter och hitta det som faktiskt är värt att komma åt. Detta skede kan pågå länge. Först därefter vidtas själva "slaget": filer krypteras, data stjäls, eller en webbplats läggs ned. Att grupperna numera ofta stjäl information innan de krypterar är en medveten pressmetod – de hotar med att publicera känsliga uppgifter om offret inte betalar, även om en backup finns.
Det som kanske förvånar många är hur ofta de tekniska sårbarheterna är välkända. En otillåten säkerhetsuppdatering, ett standardlösenord som aldrig byttes eller ett konto utan tvåfaktorsautentisering utgör i praktiken en öppen dörr.
Varför små organisationer också drabbas
Ett vanligt missförstånd är att hackergrupper bara riktar in sig på stora företag och myndigheter. Verkligheten är att automatiserade attacker skannar internet kontinuerligt efter sårbara system, oavsett storlek. En mindre skola, en tandläkarmottagning eller en förening med dåligt skyddad nätverk är i praktiken ett enklare mål än ett stort bolag med säkerhetsavdelning.
Små organisationer drabbas dessutom ofta indirekt. En angripare kan ta sig in via en leverantör, enextern IT-partner eller ettmolntjänst som redan är komprometterad. Säkerhetskedjan är aldrig starkare än dess svagaste länk.
Vad du själv kan göra
Det goda nyheterna är att de flesta attacker går att avvärja med ganska grundläggande medel. Perfekt säkerhet finns inte, men det behövs inte heller – för en angripare väljer oftast det enklaste målet.
Håll system uppdaterade. Många stora intrång bygger på sårbarheter som hade kunnat åtgärdas med en uppdatering som funnits tillgänglig i flera veckor eller månader. Se till att både datorer, servrar, telefoner och nätverksutrustning hålls aktuella.
Använd tvåfaktorsautentisering. Stulna lösenord är fortfarande en av de vanligaste ingångarna. Med tvåfaktorsautentisering blir ett läckt lösenord betydligt mindre värdefullt för en angripare.
Ta backup – men gör det rätt. En backup som alltid är ansluten till nätverket kan krypteras av ransomware precis som originalet. Följ gärna principen om att ha minst en kopia som ligger offline eller är skrivskyddad, och testa att återställningen faktiskt fungerar.
Var skeptisk till oväntade meddelanden. Phishing blir allt svårare att upptäcka. Ett bra råd är att aldrig klicka på länkar i mejl som uppmanar till brådska, utan istället gå in via organisationens officiella kanaler. Om ett "chefen" mejlar och ber om en snabb betalning – ring och kontrollera.
Segmentera nätverket. För organisationer handlar mycket om att begränsa skadan om något ändå går fel. Att separera system, begränsa användarrättigheter och logga nätverkstrafik gör det svårare för en inkräktare att röra sig fritt.
Ha en plan innan krisen kommer. Vet vem som ska ringa vem, vem som fattar beslut om att stänga av system, och hur kommunikationen ska gå till. De organisationer som hanterar intrång bäst är sällan de med bäst teknik – utan de som hade en tydlig plan.
Om olyckan är framme
Har du eller din organisation drabbats av ett intrång är första steget att begränsa skadan: koppla från drabbade system, byt lösenord och aktivera incidentrutiner. I Sverige kan man anmäla till polisen, och Drabbade organisationer kan även vända sig till CERT-SE, som är den nationella kontaktpunkten för it-säkerhetsincidenter. Företag inom många sektorer har dessutom skyldighet att anmäla persondataincidenter till Integritetsskyddsmyndigheten (IMY).
Ett råd som återkommer hos säkerhetsexperter är att aldrig betala lösensumma om det inte finns tvingande skäl. Betalning finansierar fortsatt verksamhet hos gruppen, ger ingen garanti för att filerna återfås, och gör dig till ett mål för upprepade krav.
Slutsats
En hackergrupp är i grunden en aktör som utnyttjar tekniska och mänskliga svagheter för ett syfte – pengar, spionage eller påverkan. Hotet är verkligt och växande, men det är varken magiskt eller ostoppbart. Den stora majoriteten av attackerna misslyckas mot organisationer som gör det grundläggande: uppdaterar system, kräver tvåfaktorsautentisering, tränar medarbetare och har fungerande backuper. Cybersäkerhet handlar inte om att vara ogenomtränglig, utan om att vara tillräckligt svår att vara värt besväret för nästa angripare.