Ransomware as a Service för småföretag

Ett ransomwareangrepp beskrivs ofta som ett brott. I praktiken är det en affärsmodell med leverantörskedja, prislista och teknisk support — bara utan avtal och utan lag. Den som vill tjäna pengar på ett svenskt småföretag behöver i dag varken kunna programmera eller själv leta upp offret.

Här går vi igenom rollerna, varför inträdesbiljetten är billig, attacken i sex steg och vad lagen kräver när det redan har hänt.

Rollerna: fem funktioner, inte en gärningsperson

RaaS är arbetsdelning: varje moment kan köpas, hyras eller läggas ut på entreprenad.

Utvecklaren (operatören) bygger krypteraren, betalportalen och läckagesajten, underhåller verktyget och tar 20–30 procent av varje lösensumma.
Affiliaten utför intrånget. Den tekniskt svåra delen är redan löst av operatören, och affiliate behåller 70–80 procent — därför är arbetet volymdrivet.
Initial access broker bryter sig in och säljer åtkomsten vidare med uppgifter om omsättning, antal anställda och sektor. Köparen får ett färdigt fotfäste utan eget intrång.
Förhandlaren sköter det psykologiska arbetet: deadlines, provexemplar av stulen data och ett tonläge som får betalning att framstå som ansvarsfull.
Vidareförsäljaren av läckdata köper stulna dataset för vidareförsäljning eller bedrägerier. Därför kan uppgifterna dyka upp långt efter att ärendet verkar avslutat.

Varför inträdesbiljetten är låg

Tre modeller dominerar: månadsabonnemang, ren vinstdelning utan förskott och engångslicens där affiliate står för arbetet själv. Som i all mjukvaruförsäljning ger låg tröskel fler kunder.

Motståndaren behöver inte vara skicklig, bara ihärdig: hundra adresser går snabbare att beta av än en enda stor organisation, och det räcker att en bråkdel betalar.

Attackkedjan i sex steg — och var ni kan bryta den

Varje steg är en chans att upptäcka och stoppa.

Ingång. Nätfiske mot ett konto utan flerfaktorautentisering, en VPN- eller VDI-portal öppen mot internet, en nätverksdelning med svagt lösenord eller ett fjärrstyrningsverktyg som ingen äger. Motmedel: inventera allt publikt, MFA på varje ingång.
Fotfäste. Angriparen skapar ett lokalt konto, installerar fjärrstyrning och stjäl sessionscookies. Motmedel: EDR som larmar på nya tjänster och schemalagda jobb.
Sidledes rörelse. Via SMB, RDP, administrativa delningar och uppgifter som läses ur minnet går angriparen vidare mot servrarna. Motmedel: segmentering, separata adminkonton, ingen lokal admin på klienterna.
Förberedelse. Behörigheter höjs, säkerhetskopieringsjobb stängs av och skuggkopior raderas. Motmedel: backupkonton som inte kan användas från det vanliga nätet, larm på raderade skuggkopior.
Exfiltrering. Data paketeras i arkiv och lämnar nätet via molntjänster eller kommandoradsverktyg. Motmedel: kontroll på utgående trafik, larm på stora arkiv.
Kryptering och utpressning. Krypteraren sprids brett, lösesedlar lämnas och en förhandlingskanal öppnas. Motmedel: offlinekopia som går att läsa tillbaka, isolering, färdig incidentplan.

Mellan steg 2 och 5 finns oftast dagar av arbetstid — därför väger larm och loggar tyngre än antivirusprogrammet.

Dubbel utpressning: därför räcker inte säkerhetskopian

När data först kopieras och sedan krypteras uppstår två hot samtidigt. Krypteringen slår mot driften: produktion, fakturering, kundtjänst. Stölden slår mot förtroendet: kundregister och personaluppgifter kan publiceras oavsett om ni kan återställa systemen.

En fungerande säkerhetskopia löser därmed halva problemet. Den som kan återläsa allt står ändå kvar med en personuppgiftsincident, partner som vill ha besked och ett publiceringshot med tidsfrist. Vissa grupper har gått över till ren utpressning utan kryptering.

Sektorstrender som spelar roll i Sverige

Vissa branscher är mer utsatta, inte för att de är rikare utan för att vardagen skapar exponering.

Tillverkande småföretag har maskinpark, äldre styrsystem och filservrar som delas mellan kontor och produktion. Stillestånd kostar per timme, och uppdateringar skjuts upp.
Bygg arbetar projektbaserat med tillfälliga konton, underentreprenörer och egen utrustning på plats. Behörigheter blir kvar långt efter projektets slut.
Redovisningsbyråer samlar hundratals kunders räkenskaper i samma system kring bokslut och deklaration. En kompromiss hos byrån blir en incident hos alla kunderna.
Vårdnära verksamhet hanterar känsliga personuppgifter, ofta med it-driften hos extern leverantör och jourtider då ingen läser larm.

Gemensamt är att driften ofta ligger hos en liten leverantör med många kunder — den som tar sig in där når flera företag samtidigt.

Vad som faktiskt minskar risken

Ingen enskild åtgärd stoppar allt; kombinationen nedan täcker de vanligaste vägarna in.

Offline- eller oföränderlig säkerhetskopiering med återläsningstest. Prova en fullständig återläsning varje kvartal och skriv ner hur lång tid den tar. En kopia som aldrig provats är en förhoppning, inte en återställningsväg.
Flerfaktorautentisering på allt som nås utifrån — VPN, e-post, adminkonsoler, fjärrstyrning och leverantörsåtkomst. Använd phishingresistenta metoder där det går.
Patchfönster med tidsgräns. Kritiska sårbarheter i internetexponerade system åtgärdas inom ett dygn, övriga enligt en fast månadsruta.
Segmentering. Produktion, kontor, gästnät och servermiljö ska inte kunna nå varandra fritt. Det köper tid när något redan är komprometterat.
EDR på samtliga enheter, med någon som faktiskt tittar på larmen; obevakad detektering ger bara en bättre logg.
Minsta behörighet och separata adminkonton. Daglig e-post och surf ska aldrig ske från ett konto med domänadministratörsrättigheter.

Incidentplan i tio punkter

Skriv planen i förväg, fyll i namn och nummer och förvara ett exemplar utanför nätverket.

Bryt förbindelsen: koppla ned drabbade system och stäng av wifi — men inte datorerna.
Skydda säkerhetskopiorna först — montera av nätverksdiskar och pausa synkklienter.
Larma internt enligt fast ordning: vem som beslutar och vem som talar med kunder.
Dokumentera med klockslag: vad som upptäcktes, av vem och när.
Fotografera lösesedeln, inklusive filnamn, adresser och eventuellt plånboks-id.
Ring, mejla inte — e-posten kan vara avlyssnad.
Kontakta försäkringsbolaget och era förhandsgodkända incidentleverantörer.
Bedöm om personuppgifter kan ha röjts — parallellt med tekniken.
Anmäl enligt lag och branschkrav inom respektive tidsfrist.
Återställ i prioriterad ordning från verifierad kopia och kontrollera att inga bakdörrar finns kvar.

Försäkring, anmälan och det juridiska

Anmälan sker parallellt med det tekniska arbetet.

Cybersäkerhetslagen (2025:1506). Omfattas ni av lagen ska en betydande incident rapporteras i fast trappa: tidig varning inom 24 timmar, incidentanmälan inom 72 timmar och slutrapport inom en månad. Rapporteringen görs i dag till CERT-SE vid NCSC. Tidsfristerna börjar löpa vid upptäckt.
GDPR artikel 33. Kan personuppgifter ha röjts ska anmälan till IMY göras inom 72 timmar. Skriv den även med oklar bild; den kan kompletteras.
Polisanmälan. Görs för datorintrång och bedrägeri, och behövs ofta för försäkringsärendet.
Försäkringen. Villkoren förutsätter ofta att grundskyddet fanns — backup, MFA och incidentplan. Kontrollera om incidentleverantören måste godkännas i förväg, annars blir kostnaden er egen.

Kostnaden i siffror

Tabellen är en grov uppskattning för ett företag med 10–30 anställda, byggd på schablonvärden — inte statistik, men den visar vilka poster som dominerar.

Post	Antagande	Uppskattning i SEK
Nedtid, 1 dygn	20 anställda, delvis produktionsstopp	25 000–60 000
Nedtid, 3 dygn	Samma, med förlorade ordrar	90 000–220 000
Nedtid, 10 dygn	Manuella rutiner, övertid, kreditpåverkan	300 000–700 000
Återuppbyggnad	Servrar, klienter, konton, verifiering	80 000–350 000
Incidentstöd och förhandlingshjälp	40–120 timmar	60 000–240 000
Juridik, anmälningar, kommunikation	Rådgivning och kundutskick	30 000–120 000
Summa vid tre dygns stopp	Exklusive lösensumma	260 000–800 000

Lägg till det som inte syns i tabellen: tappade kunder, längre säljcykler och ledningens tid till frågor i stället för drift.

Varför betalning sällan ger återställning

Betalning är ingen återställningsfunktion. Dekrypteringsverktygen är ofta ofullständiga eller fungerar bara på delar av materialet. Stulen data raderas inte för att ni betalar, och publiceringshotet kan återuppstå i ett nytt krav. Därtill kan betalningar stöta på sanktionsregler, försäkringen täcker sällan lösensumman, och pengarna finansierar nästa attacker.

Den enda återställningsväg ni själva kontrollerar är en kopia som angriparen inte kunde nå. Backupen, segmenteringen och incidentplanen är därför verksamhetsfrågor, inte it-frågor.

Nästa steg

Börja med det som går att göra i veckan: lista varje tjänst som är nåbar utifrån, sätt MFA på dem och prova en återläsning. Resten kan planeras i lugnare takt.

Vill ni veta vilka tjänster som är publika i ert nätverk och hur en attack skulle se ut hos er? Kontakta CyberLord för en genomgång av exponering, säkerhetskopior och incidentberedskap.

Ransomware as a Service: så köper kriminella inträde till småföretag