Løsepengevirus har kryptert filene

Løsepengevirus krypterer filene på maskinene og serverne i bedriften, slik at de ikke kan åpnes. Filene får en ny endelse, og angriperen legger igjen en melding med krav om betaling, ofte som en tekstfil i mappene eller som bakgrunnsbilde på skjermen.

Stegene under står i den rekkefølgen du bør gjøre dem. Ikke gjør noe annet med maskinene før du har fått hjelp.

1. Koble maskinene fra nettverket

Trekk ut nettverkskabelen og slå av wifi på maskinene som er rammet. Vet du ikke hvilke maskiner det gjelder, slår du av ruteren og svitsjene. Viruset sprer seg til andre maskiner på det lokale nettverket, så det er ikke nok å koble fra internett.

Koble også fra VPN og slå av programmer for fjernstyring, som TeamViewer og AnyDesk. Da kan ikke angriperen komme inn den veien.

2. Koble fra sikkerhetskopiene

Har du en USB-disk koblet til en maskin, eller en NAS på nettverket, kobler du dem fra nå. Angripere leter ofte etter sikkerhetskopiene først, og en disk som er tilkoblet, blir låst sammen med resten.

3. Ikke slå av maskinene

La maskinene stå på, og ikke start dem på nytt. Det som ligger i minnet og loggene, kan vise hvordan angriperen kom inn, og noe av det forsvinner når maskinen slås av.

Unntaket er en maskin der du ser at stadig flere filer blir låst, og som du ikke får koblet fra nettverket. Den bør du slå av.

4. Ta bilder og skriv ned klokkeslettet

Bruk mobilen til å ta bilder av meldingen fra angriperen og av en mappe med låste filer. Ikke bruk maskinene som er rammet.

Skriv ned når du oppdaget angrepet. Skriv også ned fortløpende hva som blir gjort, når og av hvem. Forsikringsselskapet, politiet og Datatilsynet kommer til å be om dette.

5. Ring IT-leverandøren

Ring i stedet for å sende e-post. Angriperen kan ha tilgang til e-posten og lese det du skriver. Har du ingen IT-leverandør, eller får du ikke tak i dem, kan du ringe oss på 40 10 10 30. Vi hjelper bedrifter med å stenge angriperen ute, hente tilbake data og sette opp systemene på nytt.

6. Vent med å legge tilbake sikkerhetskopien

Har du en sikkerhetskopi som ikke er rammet, skal du ikke legge den tilbake ennå. Angripere er ofte inne i nettverket i flere uker før de slår til. Er de der fortsatt, låser de filene på nytt, og da kan du miste sikkerhetskopien også. Når du legger tilbake en kopi, skriver du dessuten over sporene som viser hvordan angriperen kom inn.

Vent til angriperen er stengt ute og du vet hvordan de kom inn. Det samme gjelder OneDrive og SharePoint, der du kan sette alle filene tilbake slik de var på et tidspunkt de siste 30 dagene. Vent med det til maskinene som synkroniserer filene, er renset.

7. Ikke slett noe, og ikke svar angriperen

La de låste filene og meldingen ligge. Politiet har flere ganger tatt over serverne til slike grupper og gjort nøklene tilgjengelige, av og til flere måneder etter angrepet. På No More Ransom, som drives av Europol, politiet i flere land og sikkerhetsselskaper, finnes det gratis verktøy som låser opp filer fra mange kjente varianter.

Ikke svar på meldingen, og ikke klikk på lenkene i den. NSM og politiet fraråder å betale. Du har ingen garanti for å få filene tilbake, og angriperen kan publisere data de har stjålet uansett.

8. Meld fra

Ring forsikringsselskapet så tidlig som mulig. Mange bedriftsforsikringer dekker dataangrep, men selskapet kan kreve at du bruker leverandører de har avtale med.

Inneholder filene personopplysninger, må du melde fra til Datatilsynet innen 72 timer etter at du oppdaget angrepet. Angripere tar ofte kopi av dataene før de låser dem, så du kan også måtte varsle de personene opplysningene gjelder.

Anmeld angrepet til politiet. Bare en liten del av dataangrepene mot norske virksomheter blir anmeldt, og politiet kan bare etterforske det de får vite om.

Ring også NSM på 02497. Nummeret er åpent hele døgnet. Er bedriften omfattet av digitalsikkerhetsloven eller sikkerhetsloven, har du plikt til å varsle.

9. Finn ut hvor du har kopier av data

Mens du venter på hjelp, kan du skrive ned steder der data kan ligge utenfor maskinene som er rammet:

• e-post i Microsoft 365 eller Google Workspace, som vanligvis ikke blir låst
• regnskap og fakturaer hos regnskapsføreren eller i Tripletex, Fiken og lignende
• gamle bærbare maskiner, minnepinner og disker
• vedlegg du har sendt til kunder og leverandører

Ikke koble noe av dette til maskinene eller nettverket før angriperen er stengt ute og maskinene er satt opp på nytt.

Uten sikkerhetskopi er filene trolig tapt

Krypteringen som løsepengevirus bruker, kan ikke knekkes. Uten nøkkelen fra angriperen kan verken IT-leverandøren, politiet eller firmaer som henter data fra ødelagte disker, låse opp filene. Det eneste unntaket er når det finnes et gratis verktøy for akkurat den varianten som har rammet deg, og det gjelder bare noen få, som regel eldre varianter.

Har du ingen sikkerhetskopi, må du regne med at det som bare lå på maskinene som er rammet, er tapt. Det du kan få tilbake, er det som også ligger andre steder: e-post, filer i skytjenester, eldre versjoner i OneDrive eller SharePoint og kopier som andre har. Noen varianter låser bare deler av store filer for å bli ferdige raskere. Da kan deler av databaser og virtuelle maskiner noen ganger reddes.

Betaler du, er det ikke sikkert du får filene tilbake. Nøkkelen fra angriperen virker ikke alltid, det tar ofte lang tid å låse opp filene med den, og noen filer blir ødelagt underveis.

Slik jobber IT-leverandøren videre

Når IT-leverandøren din eller vi tar over saken, gjøres arbeidet som regel i denne rekkefølgen:

1. Kartlegge hvilke maskiner, servere og brukerkontoer som er rammet, om angrepet pågår fortsatt, og hvilken variant det er. Varianten avgjør om det finnes et verktøy som kan låse opp filene.
2. Stenge angriperen ute: sperre kontoene angriperen har brukt, bytte passord på administrator- og tjenestekontoer og fjerne programmer for fjernstyring som angriperen har installert.
3. Sikre loggene fra brannmuren, VPN og Microsoft 365 før de blir skrevet over, og ta kopi av diskene på de viktigste maskinene. Det er i disse sporene svaret på hvordan angriperen kom inn, ligger, og forsikringsselskapet og politiet trenger dem.
4. Finne ut hvordan angriperen kom inn, og tette hullet.
5. Sjekke at sikkerhetskopiene er hele, og at de ble tatt før angriperen kom inn.
6. Sette opp maskinene og serverne på nytt og legge tilbake dataene.
7. Følge med på nettverket i ukene etterpå, fordi angripere ofte prøver å komme tilbake.
8. Skrive en rapport om hva som skjedde, som du kan bruke overfor forsikringsselskapet, Datatilsynet og politiet.

Slik gikk det i Lørenskog kommune

Lørenskog kommune ble rammet av løsepengevirus våren 2026. Den 7. april lastet en ansatt ned en fil med skadevare fra en nettside som så ekte ut. Angriperne kom seg inn på kommunens servere 22. april, brukte drøye to uker på å kartlegge nettverket og slo til 8. mai. Dagen etter oppdaget kommunen angrepet og et krav om løsepenger, og stengte alle nettverk og servere (Lørenskog kommune).

Angriperne kom ikke til sikkerhetskopiene, og kommunen valgte å ikke ha kontakt med dem. Men angriperne hadde kopiert store mengder data før de slo til, blant annet om barnevern, helse og omsorg, skole og barnehage og om de ansatte. I omtrent to måneder trodde kommunen at ingen sensitive personopplysninger hadde kommet på avveie. Den 6. juli la angriperne ut en liste over filnavn på det mørke nettet, og store mengder sensitive opplysninger om tusenvis av barn og voksne ble publisert der (NRK).

En gjennomgang fra Deloitte viste at IT-systemene sendte tre runder med varsler mellom 13. april og 8. mai. Ingen fulgte dem opp, fordi det var uklart hvem som hadde ansvaret. Det gikk 26 dager fra første varsel til noen gjorde noe. Kommunedirektøren har foreslått 34,5 millioner kroner til IT i budsjettet for 2027, som en direkte følge av angrepet (NRK).

Lørenskog hadde sikkerhetskopier som ikke ble rørt, men dataene kom på avveie likevel. Selv om du får lagt tilbake alt, kan du derfor måtte melde fra til Datatilsynet og varsle dem opplysningene gjelder.

Etter angrepet

Maskiner og servere bør settes opp på nytt, ikke bare renses. En maskin angriperen har hatt kontroll over, kan ha bakdører som er vanskelige å finne. Finn ut hvordan angriperen kom inn, og tett hullet før noe kobles til nettverket igjen. Ofte er det VPN eller fjernskrivebord uten tofaktorpålogging, en brannmur som ikke er oppdatert, eller et passord som har kommet på avveie.

Sørg for at minst én sikkerhetskopi ikke er koblet til nettverket, eller ikke kan slettes, og test jevnlig at du kan hente filer tilbake fra den. Slike sikkerhetskopier setter vi opp og tester for bedrifter.