Lösesedlar i ransomware: vad de säger och vad du ska göra
CyberLord-teamet Författarprofil
För en incidenthanterare finns ingen bild mer obehaglig än en skärm med en lösesedel. Det är beviset på att försvaret brustit och att krisen börjat.
En lösesedel är dock inte bara en betalningsbegäran. Den är ett psykologiskt vapen, skrivet för att styra läsaren genom rädsla, tidsbrist och känslan av att alla utvägar är stängda. Under det senaste decenniet har sedlarna gått från slarviga textfiler till professionella kampanjer med förhandlingsportaler och läckplatssidor.
Den här genomgången beskriver vad en lösesedel innehåller, hur sex familjer format genren och vad en incidenthanterare kan läsa ut av texten på skärmen. Allt inom ramen för ett lagligt och auktoriserat incidentarbete.
Vad en lösesedel egentligen består av
Nästan varje sedel, oavsett språk och år, bygger på samma fem byggstenar:
- Vad som hänt. Filerna är krypterade, data är kopierad eller båda.
- Vad det kostar. Ett belopp, ofta i bitcoin eller monero, och en adress att betala till.
- En klocka. Ett datum då beloppet höjs och ett senare datum då nyckeln påstås raderas.
- En kanal. En onion-adress, ett mejlkonto eller en förhandlingsportal.
- Ett hot. Publicering av stulen data, kontakt med kunder eller myndigheter.
Det som skiljer en amatörmässig sedel från en professionell är tonen. Nybörjare hotar. Etablerade aktörer förklarar, erbjuder support och beskriver sig som affärspartner, eftersom en lugnad och resonerande motpart betalar mer och snabbare än en panikslagen.
WannaCry: mallen som satte standarden
WannaCry slog till 2017 och satte den visuella schablonen för hela branschen: röd bakgrund, ett stort lås och två nedräkningar. Texten inleddes med ”Ooops, your files have been encrypted!” och förklarade därefter att dokument, bilder, videor och databaser inte längre gick att öppna.
Den psykologiska mekanismen är brådska kombinerad med knapphet. Två datum, ett höjt pris och ett löfte om att nyckeln försvinner gör att offret fattar beslut innan någon hunnit ringa jurist. Den röda färgen signalerar fara snabbare än en mening hinner läsas.
WannaCry spreds automatiskt och drabbade sjukhus, tåg och fabriker inom några dygn. Varianter dyker fortfarande upp, och sedeln är den mest igenkända i genren.
LockBit: utpressning med företagston
LockBit blev under några år den mest produktiva ransomware-operationen och drev modellen ransomware-as-a-service i industrialiserad skala. Tonen i sedlarna är påfallande saklig: man beskriver sig som affärsmän, hänvisar till sitt rykte och påpekar att ingen skulle betala om man inte höll vad man lovade.
Det mest anmärkningsvärda är erbjudandet om en ”penetrationstest efter betalning”. Draget gör utpressningen till en transaktion med mervärde och sänker tröskeln att betala — och hotet som annars får offer att kontakta polis försvinner.
REvil och den dubbla utpressningen
REvil, även känt som Sodinokibi, populariserade den dubbla utpressningen: först stjäls data, sedan krypteras systemen, och offret hotas med publicering om inte summan betalas. Det ändrar hela kalkylen för organisationer som har fungerande säkerhetskopior.
Sedeln är byggd för att stänga varje tänkbar flyktväg. Den säger uttryckligen att återställning från säkerhetskopior är meningslös eftersom kopian redan är stulen, och att nyckeln raderas om polisen kontaktas. Offret ställs inför ett falskt val: betala i tysthet eller förlora allt.
Bland offren finns en programvaruleverantör med över tusen drabbade underleverantörer, en livsmedelsjätte och en datortillverkare. Gruppen upplöstes efter gripanden och interna konflikter.
Conti: brottslighet som organisation
Conti drevs som ett företag med avdelningar, chefer och en egen förhandlingsenhet. Sedeln speglar strukturen: artig inledning, tydlig tidsplan i två steg och en hänvisning till en förhandlingsportal i stället för ett mejlkonto.
Tidseskaleringen är kärnan. Efter tre dagar fördubblas summan, efter sju dagar påstås nyckeln raderas. Den sakliga tonen är också avsiktlig: en motpart som hyperventilerar förhandlar sämre. Läckta interna dokument visade att förhandlarna hade manus och utbildning i psykologiska knep, ungefär som en säljorganisation.
Bland offren finns Irlands nationella hälsovård och en centralamerikansk regering.
BlackCat/ALPHV: tystnaden som hot
BlackCat, även känt som ALPHV, skrevs i Rust och drev på den tekniska utvecklingen, men det intressanta ur ett kommunikationsperspektiv är hur kort sedeln blev. Där äldre familjer förklarade kryptering i detalj, nöjer sig BlackCat med att konstatera att nätverket är komprometterat och att känsliga uppgifter redan lämnat huset.
Frånvaron av teknik är budskapet. När företag har fungerande säkerhetskopior är krypteringen inte längre det största hotet. Det är dataskyddsförordningens anmälningsplikt, myndighetsböter och kundernas förtroende som kostar. Formuleringen ”Silence == Leak” är ett kort ultimatum som är lätt att minnas: tiga och betala, eller bli en nyhet.
Gruppen anmälde i ett fall sitt eget offer till den amerikanska finansinspektionen för att ha underlåtit att rapportera intrånget i tid. Utpressningen blev därmed ett regulatoriskt tryck utifrån.
Black Basta och tolv timmar
Black Basta riktar sig medvetet mot medelstora företag, ofta mellan femtio och femhundra anställda. Resonemanget är pragmatiskt: mindre organisationer har sällan ett eget incidentteam i beredskap och betalar därför snabbare.
I sedlarna är tidsfönstret extremt kort, i vissa fall tolv timmar innan data publiceras. Samtidigt varnar man offret för att försöka återställa på egen hand och påstår att filerna då förstörs permanent. Syftet är att skapa beroende: utan egen expertis och utan tid blir angriparen den enda tillgängliga samtalspartnern.
Från textfil till läcktorg
Utvecklingen kan sammanfattas i fyra steg. Först en textfil på skrivbordet med ett belopp. Sedan en webbplats med nedräkning och betalningsinstruktioner. Därefter en läckplatssida där stulna filer publiceras styckevis för att bevisa att hotet är verkligt. I dag ett ekosystem: förhandlingsportal, kundtjänst, pressmeddelanden och i allt högre grad AI-genererade sedlar som anpassas efter offrets bransch, storlek och offentliga siffror.
En sedel från 2025 eller 2026 kan innehålla en rad som refererar till offrets omsättning enligt den senaste årsredovisningen. Det är inte personlig service utan automatiserad profilering. Samma automatisering föreslår en summa strax under vad offret kan tänkas betala, ofta kalibrerad mot en försäkring.
Vad en lösesedel berättar för en incidenthanterare
För den som leder incidentarbetet är sedeln en artefakt, inte ett hotbrev. Den ger ledtrådar:
- Filändelsen och namnkonventionen pekar ofta mot en känd familj och därmed mot eventuella dekrypteringsverktyg.
- Tidsstämplar visar när krypteringen började och därmed ungefär hur länge angriparen varit inne i nätet innan dess.
- Kontaktkanalen avslöjar om operationen är en etablerad tjänst med portal eller en ensam aktör.
- Textens kvalitet säger något om resurserna bakom, men också om vilken förhandlingstaktik som kan förväntas.
- Hotet om publicering avgör om ärendet också är en dataintrångsincident med anmälningsplikt.
Dokumentera sedeln med skärmbild, filnamn, hashvärde och tidpunkt. Den behövs i polisanmälan, i försäkringsärendet och i den tekniska utredningen.
Laglig respons i rätt ordning
De första timmarna avgör hur mycket som går att rädda — och ordningen spelar roll.
Koppla bort, stäng inte av. Dra ur nätverkskabeln eller stäng av trådlöst på drabbade system. Minnesinnehåll kan vara avgörande bevisning, och en omstart raderar det.
Bevara bevis. Säkra sedeln, exempel på krypterade filer, loggar från brandvägg, VPN och identitetstjänst. Arbeta på kopior, inte original.
Tillkalla hjälp med mandat. Kontakta ett incidentteam och, vid behov, juridik och försäkringsbolag. Allt arbete ska ske på uppdragsgivarens skriftliga uppdrag och inom det egna systemets gränser.
Anmäl. I Sverige lämnas anmälan till Polisen, och incidenter som påverkar samhällsviktig verksamhet eller personuppgifter kan också behöva rapporteras till MSB respektive Integritetsskyddsmyndigheten inom föreskriven tid.
Kontrollera återställning. Verifiera att säkerhetskopiorna är kompletta och fria från angriparens närvaro innan de används. Återställer ni infekterade kopior börjar nedräkningen om.
Överväg dekryptering utan betalning. För äldre eller stängda familjer finns kostnadsfria verktyg, bland annat genom No More Ransom-samarbetet. Pröva alltid den vägen innan någon summa diskuteras.
Betalning finansierar fortsatt brottslighet, garanterar ingenting och kan göra organisationen till en känd betalare i nästa kampanj. Beslutet är affärsmässigt, men det ska fattas med fakta och juridik på bordet, inte under en nedräkning.
Vill ni testa om er organisation klarar de första timmarna? Kontakta oss för en övning inom skriftligt avtalat omfång.
Vanliga frågor
Ska vi betala? Myndigheter avråder konsekvent. Låt ett incidentteam bedöma återställningsmöjligheter, pröva kostnadsfria dekrypteringsverktyg och kartlägg datastöldens omfattning först.
Får alla tillbaka filerna om de betalar? Nej. En majoritet får ett fungerande verktyg, men långt ifrån alla återställer allt. Betalningen löser heller aldrig den stulna datan.
Kan vi återställa från säkerhetskopior själva? Ja, men bara efter att ha verifierat att kopiorna är intakta och att angriparen inte finns kvar. Annars återinförs intrånget.
Måste vi polisanmäla? Utpressning är ett brott, och en anmälan är ofta nödvändig för försäkring och rapporteringsskyldighet. Den kan göras parallellt med det tekniska arbetet.