Blivit hackad? Så hanterar du attacken steg för steg

Har ditt företag blivit hackat? Det börjar ofta med något smått. En kollega kan inte logga in. Kunder får konstiga mejl från din adress. Filerna på servern har fått nya namn och går inte att öppna. Ibland är attacken tydlig direkt. Ett meddelande på skärmen kräver betalning och uppmanar dig att kontakta angriparna via Tox, en krypterad chattapp, för att förhandla. I andra fall dröjer det timmar eller dagar innan det står klart att företaget har drabbats av ett dataintrång eller en ransomwareattack.

Vad du gör de första timmarna avgör ofta hur stor skadan blir. I den här guiden får du veta vad incidenthantering är, vad du ska göra i vilken ordning när du blir hackad, hur du agerar vid de vanligaste typerna av attacker och vilka regler för rapportering som gäller. Guiden ersätter inte en färdig incidentplan, men den ger dig en tydlig början.

Vad är incidenthantering?

Incidenthantering är det arbete du gör för att upptäcka, begränsa och återhämta dig från en säkerhetsincident. En incident kan vara allt från ett kapat e-postkonto till en attack som slår ut hela verksamheten.

God incidenthantering handlar inte bara om teknik. Den kräver tydliga roller, snabba beslut, rätt kommunikation och att du rapporterar till rätt myndighet i tid. Därför är det en ledningsfråga lika mycket som en it-fråga.

För många verksamheter är incidenthantering också ett lagkrav. Cybersäkerhetslagen kräver att säkerhetsåtgärderna åtminstone omfattar incidenthantering, och ISO 27001 ställer krav på en dokumenterad process för att hantera incidenter.

Incidenthantering eller kontinuitetshantering?

Begreppen hänger ihop men är inte samma sak. Incidenthantering handlar om att stoppa och utreda själva angreppet. Kontinuitetshantering handlar om hur verksamheten fortsätter att fungera medan systemen ligger nere. Vid en större attack behöver du båda samtidigt.

Tecken på att du har blivit hackad

En attack syns inte alltid direkt. Var uppmärksam om du eller dina kollegor märker något av det här:

• Filer går inte att öppna, har bytt filändelse eller så ligger det ett meddelande med krav på betalning.
• Konton låses, lösenord fungerar inte längre eller du får inloggningsvarningar du inte känner igen.
• Du förlorar åtkomsten till system som du normalt kan ansluta till.
• Det skickas mejl från ditt företag som ingen har skrivit, eller så har det dykt upp regler som vidarebefordrar mejl.
• Kunder eller leverantörer hör av sig om fakturor med nya kontonummer.
• Din it-leverantör eller en myndighet kontaktar dig om misstänkt aktivitet.

Om du är osäker, behandla det som en incident tills du vet mer. Det är bättre att larma i onödan än för sent.

Steg 1: Behåll lugnet och samla rätt personer

Det första du gör är att larma, inte att börja laga själv. Kontakta den som ansvarar för it och säkerhet, och se till att någon i ledningen får veta vad som händer.

Utse en person som leder arbetet och fattar beslut. Det ska helst vara någon som inte själv sitter fast i det tekniska arbetet. Den personen håller ordning på vem som gör vad och vem som pratar med vem.

Saknar du egen kompetens för att utreda en attack, ta in extern hjälp direkt. Ju tidigare en incidenthanterare kommer in, desto mer spår finns kvar att arbeta med.

Börja också skriva ner allt från första minuten: vad du såg, när, vem som gjorde vad och vilka beslut som togs. Loggboken behövs senare, både för utredningen och för eventuell rapportering.

Steg 2: Begränsa skadan utan att förstöra spår

Målet är att stoppa spridningen och samtidigt bevara så mycket information som möjligt om vad angriparen har gjort.

• Koppla bort, stäng inte av. Dra ur nätverkskabeln eller stäng av wifi på drabbade datorer och servrar. Låt dem vara påslagna, eftersom viktiga spår kan finnas i arbetsminnet.
• Spärra misstänkta konton. Byt lösenord och avsluta aktiva inloggningar, och börja med administratörskontona. Gör det från en dator som du vet inte är drabbad.
• Skydda din backup. Har du säkerhetskopior i samma miljö, koppla bort dem från nätverket så att de inte också krypteras eller raderas.
• Rensa inte och installera inte om. Då försvinner spåren, och du vet inte om angriparen finns kvar någon annanstans.

Betala inte heller någon lösensumma. CERT-SE rekommenderar att aldrig betala, eftersom det inte finns någon garanti för att du får tillbaka dina data eller att angriparen inte återkommer med nya krav. Alla beslut i frågan ska fattas av ledningen, med stöd av experter och polis.

Steg 3: Ta reda på vad som har hänt

Innan du kan åtgärda något behöver du förstå läget. Börja med att ta reda på vilka system, konton och data som är drabbade. Försök sedan förstå hur angriparen kom in, till exempel via ett nätfiskemejl, ett stulet lösenord eller en osäkrad tjänst, och hur länge hen har haft tillgång.

Den viktigaste frågan är om information har kopierats eller skickats ut, och i så fall vilken. Berörs personuppgifter, kunders data eller tjänster som andra är beroende av, avgör det vem du behöver rapportera till.

Spara loggar från brandvägg, e-post, inloggningar och servrar innan de skrivs över. Många system sparar loggar bara under en kort tid. Du behöver inte ha alla svar för att gå vidare, men du behöver en bild som är tillräckligt bra för att fatta beslut.

Steg 4: Rapportera i tid

Flera regelverk kan kräva att du rapporterar en incident, och tidsfristerna är korta. Klockan börjar ofta gå när du förstår att det är en allvarlig incident, inte när du är klar med utredningen.

Omfattas din verksamhet av cybersäkerhetslagen ska betydande incidenter rapporteras till Myndigheten för civilt försvar. Du lämnar en första upplysning inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport inom en månad. Vad som räknas som en betydande incident står i myndighetens föreskrifter om incidentrapportering (MCFFS 2026:8).

Berörs personuppgifter gäller GDPR. Innebär incidenten en risk för de drabbade ska du anmäla den till Integritetsskyddsmyndigheten (IMY) inom 72 timmar från att du upptäckte den. Är risken hög kan du också behöva informera de drabbade direkt. En incident som inte behöver anmälas ska ändå dokumenteras internt.

Tillverkar du produkter med digitala delar har du dessutom krav enligt CRA. Aktivt utnyttjade sårbarheter och allvarliga incidenter rapporteras till ENISA och nationell CSIRT, med en tidig varning inom 24 timmar. Arbetar du i finanssektorn kan även DORA ställa egna krav på rapportering till Finansinspektionen.

Gör även en polisanmälan. Det behövs ofta för försäkringen, och polisens bild av läget blir bättre ju fler som anmäler. Kontakta också ditt försäkringsbolag tidigt, eftersom många cyberförsäkringar har egna krav på hur incidenten ska hanteras.

Steg 5: Kommunicera internt och externt

Tystnad skapar ofta mer oro än själva incidenten. Samtidigt kan fel information i fel läge göra skadan större.

Utgå från att angriparen kan läsa din e-post och ditt chattverktyg. Använd därför en reservkanal, till exempel telefon eller ett separat konto, när du planerar arbetet.

Informera dina kollegor tidigt om vad som gäller: vilka system de inte ska använda, vem de ska kontakta och att de inte ska prata om händelsen utanför företaget. Utse en talesperson som svarar på frågor från kunder, leverantörer och media, så slipper du motsägelsefulla besked.

Säg det du vet, inte det du tror. Var ärlig med att utredningen pågår och berätta när du återkommer. Påverkas kundernas data eller tjänster har de rätt att få veta det, och de kan ha egna krav på att rapportera.

Steg 6: Återställ och säkra miljön

När angriparen är utestängd och du vet hur intrånget gick till kan du börja återställa. Att gå tillbaka för tidigt är en vanlig orsak till att samma angripare kommer in igen.

Börja med att täppa till vägen in. Åtgärda sårbarheten, inför flerfaktorsinloggning där den saknas och ta bort konton och behörigheter som angriparen har skapat. Byt alla lösenord som kan ha läckt, även för tjänstekonton och integrationer.

Återställ sedan från en backup som du vet är ren, och kontrollera att den togs innan angriparen kom in. Starta de mest kritiska systemen först. Övervaka miljön extra noga de första veckorna, eftersom angripare ofta lämnar bakdörrar för att kunna komma tillbaka.

Steg 7: Dra lärdomar

En incident är inte över när systemen fungerar igen. Samla alla som var inblandade inom ett par veckor och gå igenom vad som hände, utan att leta syndabockar.

Gå igenom vad som fungerade, vad som tog för lång tid och vad du hade behövt veta tidigare. Gör om svaren till konkreta åtgärder med en ansvarig och ett datum. Uppdatera sedan riskanalysen och incidentplanen. Det du lär dig nu är det mest värdefulla underlaget du har inför nästa gång.

Så agerar du vid olika typer av attacker

Stegen ovan gäller vid alla incidenter. Men beroende på vilken typ av attack det är finns det några saker du behöver tänka extra på.

Ransomware och utpressning

Vid en ransomwareattack krypteras dina filer och angriparen kräver betalning för att låsa upp dem. Ofta har angriparen dessutom kopierat data innan krypteringen och hotar att publicera den. Utgå därför från att data har läckt, även om det inte syns, eftersom det påverkar din rapportering enligt GDPR.

Ta en bild av lösenmeddelandet, men kontakta inte angriparna på egen hand, varken via Tox eller någon annan kanal. Kontrollera också att backupen inte är drabbad innan du återställer från den.

Kapat e-postkonto och fakturabedrägeri

Ett kapat e-postkonto används ofta för att lura kunder eller kollegor att betala till fel konto. Angriparen kan läsa mejl i veckor och väljer sedan rätt läge att slå till.

Byt lösenord, avsluta alla aktiva inloggningar och leta efter regler som vidarebefordrar eller döljer mejl. Ring kunder och leverantörer som kan ha fått falska mejl. Har pengar redan betalats ut, kontakta banken direkt. Ju snabbare du är, desto större är chansen att stoppa överföringen. Saknas flerfaktorsinloggning är det dags att införa det. Läs mer i vår guide om säkerhet i Microsoft 365 och molnet.

Dataintrång med läckta personuppgifter

Vid ett dataintrång där personuppgifter kan ha kommit i fel händer gäller GDPR:s regler om personuppgiftsincidenter, och klockan börjar ticka när du upptäcker incidenten.

Ta reda på vilka uppgifter som berörs och hur många personer det gäller. Bedöm sedan risken för de drabbade. Läckta lösenord, personnummer eller hälsouppgifter innebär en högre risk än en e-postadress. Mer stöd finns i vår checklista för personuppgiftsincidenter.

När leverantören blir hackad

Allt fler incidenter börjar hos en leverantör, till exempel en it-partner eller en molntjänst. Ansvaret för dina egna data och system ligger ändå kvar hos dig.

Ta reda på vilken åtkomst leverantören har till dina system, och stäng den tillfälligt om det behövs. Kräv konkret information om vad som är påverkat, vilken risk det innebär för dig och vad du förväntas göra. Bedöm sedan om incidenten gör att du själv behöver rapportera. Läs mer i artikeln När leverantören blir hackad – vad gör du då?

Vanliga misstag

Det vanligaste misstaget är att stänga av datorerna. Det stoppar inte alltid angriparen, men det raderar spår i arbetsminnet. Nästan lika vanligt är att börja om från noll direkt. En ominstallation utan utredning gör att du aldrig får veta hur angriparen kom in, och då kan det hända igen.

Många planerar också arbetet i de system som är drabbade. Läser angriparen din e-post ser hen dina planer. Andra väntar med att rapportera tills de vet mer, men tidsfristerna räknas i timmar. En rapport kan kompletteras senare, men den kan inte lämnas in i tid i efterhand.

Slutligen försöker många hantera allt själva. It-avdelningen är bra på att hålla igång systemen, men att utreda ett intrång kräver annan kompetens. Och när störningen väl är över är det lätt att glömma lärdomarna. Då gör du om samma misstag nästa gång.

Förbered dig innan det händer

Det mesta i den här guiden går mycket lättare om du har förberett dig. Gå igenom punkterna nedan:

• ✓Det finns en incidentplan som säger vem som gör vad, och den finns även på papper.
• ✓Du har en kontaktlista med it, ledning, leverantörer, försäkringsbolag och extern incidenthjälp.
• ✓Du vet vilka regelverk du omfattas av och vem du ska rapportera till.
• ✓Din backup är skyddad från resten av nätverket och du har testat att återställa från den.
• ✓Loggar sparas tillräckligt länge för att gå att använda vid en utredning.
• ✓Det finns en reservkanal för kommunikation som inte är beroende av dina vanliga system.
• ✓Du har övat på ett scenario det senaste året, till exempel med en krisövning.
• ✓Du vet vilka leverantörer som har tillgång till dina system och hur de larmar dig vid en incident.

Saknas någon av punkterna är det där du ska börja.

Vanliga frågor om att bli hackad

Vad ska jag göra först om företaget har blivit hackat?

Larma den som ansvarar för it och säkerhet, och koppla bort drabbade datorer från nätverket utan att stänga av dem. Börja sedan dokumentera allt du ser och gör. Saknar du egen kompetens, ta in extern incidenthjälp direkt.

Ska jag betala lösensumman vid en ransomwareattack?

Nej. CERT-SE avråder från att betala, eftersom du inte kan vara säker på att få tillbaka dina data. Att betala gör dig också till ett mer attraktivt mål för nya attacker.

Ska jag polisanmäla ett dataintrång?

Ja. En polisanmälan behövs ofta för försäkringen och hjälper polisen att få en bild av vilka angripare som är aktiva. Spara loggar och annan information som kan vara bevis.

Måste jag rapportera incidenten till en myndighet?

Det beror på vilka regelverk du omfattas av. Vid personuppgiftsincidenter som innebär en risk ska du anmäla till IMY inom 72 timmar. Omfattas du av cybersäkerhetslagen ska betydande incidenter rapporteras till Myndigheten för civilt försvar, med en första upplysning inom 24 timmar.

Hur vet jag om jag har blivit hackad?

Vanliga tecken är låsta konton, inloggningar du inte känner igen, mejl som ingen har skickat, filer som inte går att öppna och system som plötsligt blir långsamma. Många intrång upptäcks först när en kund, leverantör eller myndighet hör av sig.

Hur lång tid tar det att återhämta sig efter en cyberattack?

Det varierar från några dagar till flera månader. Det som avgör mest är om du har en fungerande backup, en incidentplan och hur snabbt du upptäckte intrånget.

Täcker försäkringen en cyberattack?

Vanliga företagsförsäkringar täcker ofta inte cyberincidenter fullt ut. En cyberförsäkring kan täcka kostnader för utredning, återställning och avbrott, men den har ofta krav på hur du ska agera. Kontakta försäkringsbolaget tidigt i incidenten.

Vad ska en incidentplan innehålla?

En incidentplan ska beskriva roller och ansvar, hur du larmar, kontaktuppgifter till interna och externa parter, hur du bedömer allvarlighetsgrad, vem du rapporterar till och hur du kommunicerar. Den ska finnas tillgänglig även när systemen ligger nere, och den ska övas regelbundet.

Behöver du hjälp nu?

Om du misstänker att du har blivit hackad just nu, vänta inte. Secifys incidenthanterare hjälper dig att begränsa skadan, utreda vad som har hänt och rapportera rätt och i tid.

Vill du hellre förbereda dig innan något händer kan vi hjälpa dig att ta fram en incidentplan och öva den med dina kollegor.