Vad är en cyberattack?

En avsiktlig handling för att utpressa, förstöra eller spionera

Enkelt förklarat innebär en cyberattack att någon utför en avsiktlig, skadlig handling för att bryta sig in i, skada eller störa digitala system, som exempelvis nätverk, datorsystem och servrar. Målet är att olovligen ta kontroll av systemet och antingen försöka pressa offret på pengar, stjäla, ändra eller förstöra känslig information till att störa normala affärsprocesser. Att arbeta förebyggande med säkerhet och personuppgifter, exempelvis med hjälp av ett , är avgörande för att minska riskerna.

Typer av Cyberattacker

En cyberattack är ett samlingsbegrepp för en rad olika typer av angrepp som du kan läsa mer om här.

• Malware, en förkortning av ”malicious software”, är skadlig programvara som är designad för att skada eller utnyttja operativsystem. Malware kan ta olika former, såsom virus, trojaner, ransomware och spionprogram.
• Virus är en form av skadlig programvara som har förmågan att kopiera sig själv och sprida sig till andra datorer eller filer. När ett virus infekterar en dator kan det orsaka skada genom att ändra, korrumpera eller förstöra filer och program.
• Trojaner är skadlig programvara som lurar användare genom att utge sig för att vara legitim programvara eller filer. När de infiltrerar enheter kan de stjäla information, spionera eller installera andra skadliga program utan användarens tillstånd.
• Ransomware är en typ av skadlig programvara som krypterar användarens filer och sedan kräver att offret betalar en lösensumma till den attackerande parten för att få tillgång till dekrypteringsnyckeln.
• Spionprogram är skadlig programvara som installerar sig självt på enheter utan användarens tillstånd för att samla information, inklusive användaraktivitet och personliga data, utan användarens vetskap.
• Phishing: Bedrägeriförsök där angriparen försöker komma över information eller bereda sig tillgång till system som denne ej skall ha tillgång till.
  • Spear Phishing: All phishing där det inte skickas slumpmässigt utan attackeraren har valt ut och riktat attacken mot ett specifikt mål, målgrupp, visst land, region eller kundbas.
  • Angler Phishing: Bedrägeriförsök som är noggrant planerade och skräddarsydda för en specifik individ och således ytterst svåra att identifiera.
  • Whaling: En form av phishing där målet kan vara någon person högre uppsatt i ledningen men oftast riktat mot personer med hög behörighet i organisationens IT-infrastruktur.
  • Smishing: Phishing över SMS eller andra snabbmeddelandetjänster.
  • Vishing: Bedrägliga samtal där den ringande parten försöker komma över uppgifter eller bereda sig tillgång till system som denne ej skall ha tillgång till.

• Clone-phishing / Reply-chain attack: Angriparen har lyckats skapa eller fått tillgång till en legitim e-post som mottagare har förtroende för. Genom denna försöker angriparen lura sina offer genom att bland annat fortsätta och utnyttja konversationer som redan är uppstartade. Bluff-fakturor är vanliga vid sådana här attacker.
• Social Engineering: En teknik för att lura en individ till att utföra handlingar som ej ligger i individens eller organisationens bästa intresse. Social Engineering används i flertalet attackförsök.
• Denial-of-Service (DoS) och Distributed Denial-of-Service (DDoS) är former av attacker som har som mål att överbelasta en server, ett nätverk eller en digital tjänst genom att skicka en oproportionerlig mängd förfrågningar eller trafik. En viktig distinktion mellan dem är att vid en DDoS-attack använder angriparen vanligtvis ett botnät, som är en samling av många datorer eller enheter, för att skicka förfrågningar från ett brett spektrum av IP-adresser. Denna metod gör det betydligt svårare för den attackerade parten att filtrera ut den skadliga trafiken eftersom det inte finns en enkel, direkt källa att blockera.
• En Man-in-the-Middle (MitM)-attack är när en angripare avlyssnar och manipulerar kommunikationen mellan två parter utan deras vetskap. Genom att placera sig mellan parterna kan angriparen stjäla information, infoga skadlig kod eller ändra meddelanden. Det är en allvarlig säkerhetsrisk som kan leda till förlust av känslig information.
• SQL-injektion är en attack där angriparen utnyttjar säkerhetsbrister i applikationens databashantering genom att infoga skadlig SQL-kod i inmatade datafält. Det gör det möjligt för angriparen att komma åt, ändra eller ta bort data i databasen och kan leda till allvarliga konsekvenser som datastöld eller att säkerhet och integritet äventyras.
• En Zero-Day Exploit är en typ av attack som utnyttjar en sårbarhet i programvara eller hårdvara som inte tidigare har upptäckts eller blivit känd för utvecklarna eller allmänheten. Denna typ av sårbarhet innebär att det inte finns någon tidigare känt sätt att skydda sig mot attacken när den inträffar, vilket ger angriparen en fördel. Eftersom sårbarheten är ny och okänd för utvecklarna, har de inte haft tid att skapa och distribuera en patch eller fix för att åtgärda problemet innan attacken inträffar. Därför kan Zero-Day Exploits vara särskilt farliga och utnyttjas för att skada system, stjäla data eller utföra andra skadliga handlingar innan sårbarheten upptäcks och åtgärdas.
• DNS Tunneling är en teknik som utnyttjar Domain Name System (DNS) för att skicka icke-DNS-trafik över internet. Vanligtvis används DNS för att översätta domännamn till IP-adresser, så vi kan skriva google.com istället för IP-numret till Googles server. I fallet med DNS Tunneling manipuleras dessa förfrågningar och svar för att gömma annan typ av dataöverföring. DNS tunneling används ofta av angripare för exfiltrering av data från en organisation innan hotaktören nyttjar ett ransomware för att kryptera filerna hos organisationen.

• Command and Control (C&C): Command and Control (C&C) är en teknik där angripare övertar kontrollen över datorer eller system. Det möjliggör styrning och manipulering av de infekterade enheterna på avstånd. Angriparen kan utföra olika skadliga aktiviteter, inklusive spridning av skadlig kod och stöld av känslig information. C&C-tekniken används av cyberkriminella för att genomföra spionage, sabotage och andra skadliga handlingar.
• Live of the Land (LotL) attack: En form av cyberattack som utnyttjar befintliga funktioner och verktyg inom ett operativsystem för att genomföra och maskera angrepp. Istället för att introducera ny skadlig kod, använder LotL-attacker redan befintliga systemresurser och verktyg för att kompromettera och navigera genom målsystemet. Genom att utnyttja dessa inbyggda funktioner blir det svårare för säkerhetsprogram att upptäcka och stoppa attacken eftersom skadlig aktivitet inte nödvändigtvis genererar misstänkt trafik eller avvikande beteende. På så sätt kan angriparen smidigt röra sig inom systemet, stjäla data, installera ytterligare skadlig kod eller utföra andra skadliga aktiviteter utan att väcka uppmärksamhet. Denna typ av attack är utmanande att förebygga eftersom den inte följer de traditionella mönstren för en konventionell attack och utnyttjar istället systemets egna resurser för att utföra skadlig verksamhet.
• Cryptojacking: Cryptojacking är en form av attack där en angripare olovligen får tillgång till ett eller flera system eller tjänster för att använda deras beräkningskraft för att utvinna digital valuta, såsom Bitcoin eller Monero. Istället för att traditionellt hacka och stjäla data fokuserar cryptojacking på att utnyttja systemets processorkraft för att utföra kryptografiska beräkningar som krävs för att generera eller validera transaktioner på ett blockchain-nätverk det som kallas mining. Angriparen installerar vanligtvis skadlig kod på offrets enhet eller nätverk, vilket gör att deras datorer eller andra enheter kan användas för mining utan deras medgivande eller kunskap. Detta kan resultera i prestandaproblem på de infekterade enheterna och ökad energiförbrukning. Cryptojacking kan utföras på individuella datorer, servrar eller till och med stora företagsnätverk och har blivit ett allt vanligare hot på internet.
• Brute force: En teknik där angriparen automatiserat prövar många lösenord mot en tjänst eller enhet för att ”gissa” sig till det rätta lösenordet. Attackerna använder sig av fördefinierade lösenordslistor i kombination med ordlistor.
• Insider Threat: En användare med legitim tillgång till ett system eller tjänst förstör eller stjäl information, eller bereder en annan person tillgång till systemet för att göra detsamma.
• Cross-Site-Scripting (XSS): Detta är en sårbarhet som tillåter angripare att injicera skadlig kod, oftast JavaScript, i webbsidor som sedan körs i besökarens webbläsare. Genom denna sårbarhet kan angripare utföra olika skadliga handlingar såsom stöld av information, loggning av tangenttryckningar och omdirigering till andra sidor. Det finns två huvudsakliga typer av XSS-attacker: lagrad och reflekterad, där skadlig kod antingen sparas permanent eller reflekteras tillbaka till användaren via osäkra webbsidor eller applikationer. För att förhindra XSS-attacker bör webbutvecklare sanera och validera all användargenererad data innan den visas på en webbsida och använda säkerhetsåtgärder som Content Security Policy (CSP).
• Advanced Persistent Threat (APT): En attack som är skräddarsydd för att under lång tid kunna existera inom en miljö och kan anses väldigt sofistikerade. Teknikerna är oftast många och mycket av dessa hackers arbete går ut på att utse mål och planera tillvägagångssättet. Hotaktören jobbar hela tiden för att försöka vara så tyst som möjligt i förhoppning att undgå att bli upptäckt, och därför är dessa typer av attacker både mycket svåra att detektera men också problematiska vid upptäckt då det kan vara komplicerat att få ut hotaktören ur miljön. De grupper eller personer som sysslar med dessa attacker är ofta högt tekniskt kunniga och ofta välfinansierade med tydliga mål och planer över sina angrepp. När en hackergrupp av denna typ utgör ett hot mot samhället registrerar man dem som en APT-grupp för att sprida information om dem och vilka tekniker de gjort sig kända för att jobba med. Exempel på kända APT-grupper är nordkoreanska Lazarus Group (APT38), iranska Charming Kitten (APT35) och ryska Fancy Bear (APT28).

Vanliga konsekvenser

En cyberattack kan få förödande och resurskrävande följder som sträcker sig långt utanför den tekniska skadan.

För organisationen

• Ekonomiska förluster: Inkluderar både direkta kostnader genom stöld och indirekta kostnader som produktionsbortfall.
• Återställning: Höga kostnader för att sanera och återställa system efter ett intrång.
• Varumärkesskada: Förlust av både kundförtroende och framtida affärsmöjligheter.

För individen

• Ekonomisk brottslighet: Risk för kreditkortsbedrägerier och identitetsstöld.
• Psykologisk påverkan: En långvarig känsla av osäkerhet och misstro efter att ha blivit utsatt.

För samhället

• Kritisk infrastruktur: Attackerna kan slå ut viktiga samhällsfunktioner som:
  • Elnät och energiförsörjning.
  • Sjukvård och patientsäkerhet.
  • Transport och logistik.

Så skyddar du dig mot cyberattacker

För att skydda din organisation krävs en kombination av proaktiva och reaktiva säkerhetsåtgärder. Här är de viktigaste områdena att fokusera på:

Teknisk säkerhet

• Håll systemen uppdaterade: Genomför regelbundna uppdateringar av programvara och system för att täppa till säkerhetshål.
• Använd skyddsprogram: Implementera robusta antivirusprogram och brandväggar.
• Övervaka nätverket: Genomför kontinuerlig övervakning av nätverkstrafik för att snabbt upptäcka och svara på misstänkta aktiviteter.
• Implementera MFA: Aktivera MFA på alla konton och system. Enligt säkerhetsanalyser från bland annat Microsoft kan MFA stoppa över 99,9 % av alla kontobaserade cyberattacker, vilket gör det till en av de mest effektiva skyddsåtgärderna en organisation kan införa.

Mänskliga faktorn

Många attacker börjar med att en användare råkar öppna en infekterad fil eller klickar på en skadlig länk.

• Utbildning: Genomför regelbundna säkerhetsutbildningar för att höja medvetenheten hos personalen.
• Övningar: Praktiska övningar minskar risken för kostsamma mänskliga misstag.

Strategiskt ledarskap

Om din organisation saknar intern expertis kan externa tjänster vara en effektiv lösning:

• CISO as a Service: Erbjuder expertis och ledarskap för att stärka er cybersäkerhetsstrategi utan behovet av en heltids-CISO.

Hantering av cyberattacker

Ett effektivt svar på en cyberattack kräver en välplanerad incidenthanteringsplan. Processen kan delas upp i fem kritiska steg:

1. Identifiering: Upptäcka och bekräfta att en attack pågår.
2. Innehållning: Isolera de infekterade delarna för att begränsa skadan och förhindra att attacken sprids vidare i nätverket.
3. Utrotning: Eliminera hotet och ta bort skadlig kod eller obehörig åtkomst.
4. Återställning: Återgå till normal drift genom att återställa system och tjänster.
5. Efteranalys: Utvärdera händelsen för att dra lärdomar och stärka framtida försvar.

Kommunikation och regelefterlevnad

Utöver det tekniska arbetet är informationsflödet och juridiken avgörande:

• Kommunikationsstrategi: Informera berörda parter som kunder, anställda, myndigheter och i vissa fall allmänheten.
• Dataskyddsombud (DSO) och CISO: En ovärderlig roll för att säkerställa att organisationen följer   och upprätthåller högsta möjliga säkerhetsstandard för personuppgifter.

Nyckeln till framgång: Att ständigt lära av incidenter och förbättra säkerhetsåtgärderna är det som bygger långsiktig motståndskraft.