Mange virksomheter minimaliserer sin egen betydning. Tenker at ingen hackere er opptatt av dem. De er trygge fordi de er små, har få ansatte, er uinteressante eller perifere. Den tryggheten er falsk, advarer Roar Thon, fagdirektør i Nasjonal sikkerhetsmyndighet (NSM).
Roar Thon kommer til konferansen 21. oktober for å lære oss mer om trusselbildet vi står ovenfor – og det er mange trusselaktører der ute. Det aller meste av det vi kan klassifisere som digital kriminalitet skjer faktisk bare helt tilfeldig, og det er det mange som ikke forstår, sier han.
De som står bak dataangrepet aner ikke om de har endt opp i Horten, Harstad eller Hammerfest. Heller ikke om det er en transportbedrift eller matvarebutikk.
– Dette er en risiko uavhengig av hvem du er. Enten så tjener hackerne på det, eller ikke, men det koster så utrolig lite for dem å gå inn og overta den PC-en, sier Thon.
Dette er et «numbers game» for hackerne også, som i seg selv øker sannsynligheten for angrep.
– Hvis jeg krypterer PC-er og systemer til 100 bedrifter, så er det ikke gitt at det er 100 bedrifter som kommer til å betale meg penger for at de skal få tilbake dataene sine. Men noen kommer til å gjøre det, og dermed så kommer jeg til å tjene masse penger på det, sier Thon.
Den mest vanlige formen for angrep i dag er at noen kommer seg inn og krypterer dine data. For å få kontrollen tilbake kreves løsepenger.
– De utnytter i realiteten våre sårbarheter, som ligger der i teknologi, mennesker og prosesser. Derfra går de videre. Det gjør de som sagt helt uavhengig av hvem du er, og det må faktisk alle virksomheter forholde seg til, understreker Thon.
– Finnes det noen tall på hvor mange angrep som skjer på landsbasis?
– Det er det store spørsmålet, for det er enorme mørketall. Det er ikke alle som forteller at de har blitt rammet, for man synes ikke det er noe særlig kult å fortelle om, sier sikkerhetseksperten.
– Men tenk bare på hvor mange forsøk det er. I løpet av vår samtale nå har sannsynligvis både du og jeg fått epost av noen som forsøker å lure oss, fortsetter han.
Det er ikke så lett å finne konkrete tall på hva denne type kriminalitet utgjør, men det er liten tvil om at det dreier seg om enorme summer på global basis.
– Det finnes en rekke aktører som forsøker å regne på dette her. Noen tall sier at inntektene fra datakriminalitet ville vært verdens fjerde største økonomi om det var et land, forteller Thon.
Fagdirektøren påpeker at det er svært mange norske virksomheter som er altfor dårlig på grunnleggende sikkerhet. Med det mener han dårlige passordrutiner og manglende to-faktor-autentisering, som du kanskje kjenner igjen fra BankID. Ikke minst handler det ofte om for dårlige oppdateringsrutiner.
– Hvis du utsetter å oppdatere for eksempel Windows-maskinene dine, for å ta et eksempel, går utviklingen så fort at det dukker opp enormt mange sårbarheter på et par år. Det er nettopp dette kjeltringene bruker og utnytter, understreker Thon.
Digital kriminalitet handler til syvende og sist om penger. Det er en egen næringskjede. Om ikke den som oppdager sikkerhetshullet har til hensikt å bryte seg inn, vil disse hullene være en salgsvare.
– Det selges kanskje videre til noen som har en genuin interesse av å utnytte det, advarer han.
Thon mener det er naturlig for mange å ha en såkalt «analog» tankegang. At ingen er interessert i din informasjon, eller dine data.
– Det er mulig det, men prøv å drive bedrift i en måned uten at noe teknologi fungerer. Ingenting er tilgjengelig. Flåtestyringssystemet ditt er borte, kunderegisteret ditt er borte.
Høsten 2023 opplevde en rørleggerbedrift på Gjøvik marerittet. Deres dataleverandør ble hacket, og systemene gikk ned. Resultatet var et titalls millioner av kroner i tap og permittering av 35 ansatte. De driver med manuelt arbeid. Hvordan kan det ha så store konsekvenser, tenker du kanskje? Svaret er selvfølgelig at det er svært få i dag som ikke er avhengige av digitale systemer.
– Ingenting av det de brukte i det daglige fungerte. De visse kort og godt ikke hvor de skulle neste dag, eller hva oppdraget var. De mistet oversikt over hva de hadde på lager. De kunne ikke levere inn anbud, og de ante ikke hva de hadde i bestilling, forteller Thon.
– De økonomiske konsekvensene for bedriftene som opplever dette her kan være enorme. Verditapene for samfunnet er enorme. Dette er alvorlige saker, og dette angår alle. Jeg unner ingen å oppleve dette. Da er det bedre å forebygge før det skjer, sier Roar Thon.
Men hvordan kan man forebygge? Hva skal og kan man gjøre?
– Det er ikke gitt at alle virksomheter skal kunne dette her til fingerspissene, men de må etterspørre sikkerhet av dem som drifter systemene deres, og i programmene og løsningene de kjøper. Så kan det hende at man er nødt til å gjøre investeringer i bedriftens systemer. Nyere teknologi er faktisk sikrere enn gammel teknologi, sier Thon.
Det som er ganske sikkert er at det kommer til på bli stilt større og flere juridiske krav til virksomheter i fremtiden om hvor godt man er rustet når det kommer til digital sikkerhet.
– Det kommer det i enda større grad til å bli. Har man ikke dette på stell får man kanskje ikke anledning til å være med i anbudsrunden av nye kontrakter og avtaler en gang. God digital sikkerhet er et konkurransefortrinn, sier Roar Thon.
