Checklista vid utpressningstrojan

Ett ransomwareangrepp börjar sällan med ett larm. Det börjar med att någon inte får upp en fil, att en mapp bytt namn eller att skrivaren plötsligt skriver ut sidor med instruktioner. Inom en timme kan filservern vara krypterad, och i värsta fall är säkerhetskopieringen redan på väg att gå samma väg.

Checklistan nedan är skriven för småföretag som saknar egen säkerhetsavdelning men ändå måste agera rätt när det gäller. Ordningen följer NIST SP 800-61 och CISA:s vägledning: begränsa, bedöm, anmäl, återställ och lär. Skriv ut den i förväg, fyll i namn och nummer för hand och förvara ett exemplar utanför det nätverk den ska skydda.

Varför småföretag ligger i skottlinjen

Utpressningstrojaner är inte längre hantverk. Ransomware-as-a-service har gjort attackerna till en tjänst där en part bygger verktyget, en annan sköter förhandlingen och en tredje säljer åtkomsten. Det sänker tröskeln och pekar ut småföretag som ett logiskt mål: färre skydd, kortare beslutsvägar och stark ovilja att hålla verksamheten stängd i veckor.

Siffrorna drar åt samma håll. I Verizon DBIR 2025 utgjorde ransomware 88 procent av intrången hos små och medelstora företag, mot knappt 39 procent hos större organisationer. Frågan är inte om det händer, utan vilken vecka.

Checklista fas 1: begränsa spridningen

De första trettio minuterna handlar om en sak: att hindra krypteringen från att nå nästa system. Allt annat kan vänta.

Koppla bort nätet. Dra ur nätverkskabeln och stäng av wifi och Bluetooth — trådlöst är en vanlig väg vidare när kabeln redan är ur.
Skydda kopiorna först. Dra ur externa diskar, montera av nätverksdiskar och pausa synkklienter. En krypterad backup förvandlar ett dåligt dygn till ett dåligt kvartal.
Stäng inte av datorn. Arbetsminnet töms vid omstart och är ofta det enda som visar hur angriparen kom in.
Fotografera lösepenningemeddelandet med mobilen, inklusive filnamn, adresser och eventuellt kryptoplånboks-id. Det är lättare att dela med försäkringsbolag och utredare än skärmdumpar i ett komprometterat system.
Ring, mejla inte. Sitter angriparen i e-postsystemet läser hen varje meddelande ni skriver om hen.
Logga med klockslag. Vem upptäckte vad och när — loggen blir grunden för både anmälan och efterarbete.

Så isolerar ni utan att förstöra bevis

Isolering betyder att bryta förbindelsen, inte att radera spåren. Flytta den drabbade maskinen till ett eget nät eller stäng porten i växeln, så att den fortfarande går att analysera. Att formatera om disken för att »få ordning« tar bort svaret på hur angriparen kom in.

Fas 2: bedöm omfattningen innan ni rör något

Gå igenom filservrar, databaser, e-post, delade molnmappar och de tjänstekonton som backup, fakturering och integrationer använder. Titta särskilt på konton som inte hör till en namngiven person: de används sällan, bevakas sällan och räcker långt för en angripare.

Kontrollera också om data lämnat miljön. Moderna utpressningstrojaner stjäl oftast en kopia innan de krypterar, och hotet att publicera den är ett tryckmedel i sig. Finns tecken på utflöde handlar ärendet om personuppgiftsincident, inte bara om driftstopp. Vår genomgång av tio tecken på att ett företag är komprometterat hjälper er bedöma läget.

Fas 3: anmälan, försäkring och juridik

Anmälan ska ske parallellt med det tekniska arbetet, inte efteråt.

GDPR. Kan personuppgifter ha röjts ska anmälan till IMY göras inom 72 timmar från upptäckten. Skriv den även om bilden är oklar — den kan kompletteras.
MSB. Driver ni samhällsviktig verksamhet gäller rapportering enligt cybersäkerhetslagen. Läs kraven innan ni behöver dem.
Polisanmälan. Ofta ett krav från försäkringsbolaget och ett underlag om ärendet leder till utredning.
Cyberförsäkringen. Ring incidentnumret tidigt. Många bolag har forensiker och jurister i premien, men bara om de kopplas in före återställningen.

Fas 4: återställning i rätt ordning

Den vanligaste orsaken till ett nytt angrepp är att man återställer en kopia som redan var infekterad.

Provåterställ enstaka filer i isolerad miljö och verifiera att kopian är ren.
Bygg om drabbade maskiner från kända avbilder i stället för att lita på dekrypteringsverktyg.
Byt samtliga lösenord, börja med administratörs- och tjänstekonton, och slå på MFA där det saknas.
Stäng ingången som användes — nätfiske, ouppdaterad VPN eller exponerad RDP — innan systemen kopplas upp.
Övervaka extra i minst trettio dagar, eftersom angripare ofta lämnar kvar en väg tillbaka.
Släpp upp verksamheten i faser: e-post och ekonomi först, resten när det är verifierat.

Säkerhetskopiering som tål ett angrepp

3-2-1-regeln är en bra grund: tre kopior, två medietyper, en utanför platsen. Mot en angripare med administratörsrättigheter räcker den inte. Lägg till att kopian ska vara omöjlig att ändra under en bestämd tid och att minst en kopia är helt frånkopplad när den inte används.

Testa återställningen kvartalsvis och skriv upp hur lång tid den tar. Microsoft 365:s papperskorg och versionshistorik är inte en backup — de skyddar mot felklick, inte mot en global administratör.

Lösepenning: varför svaret oftast är nej

FBI och CISA avråder, och skälen är praktiska snarare än principiella. Betalning ger ingen garanti för att nyckeln fungerar, den finansierar fortsatt brottslighet och gör er till en känd betalare inför nästa försök. I vissa fall tillkommer sanktionsrättsliga frågor som gör betalningen olaglig oavsett vad angriparen lovar.

Beslutet ska därför fattas i förväg av ledningen, med stöd av försäkringsbolag och jurist, och dokumenteras i planen. Då behöver ingen ta det klockan tre på natten.

Ansvar och tidsfönster i en tabell

Fyll i namnen i förväg. En plan utan namn är ett dokument, inte en plan.

Fas	Tidsfönster	Ansvarig	Bevis att spara
Begränsa	0–30 min	IT-ansvarig	Foton av lösepenningemeddelande, klocktider
Bedöma	30 min–2 h	IT och ledning	Lista över drabbade system och konton
Anmäla	0–72 h	Ledning och jurist	Anmälningar, försäkringsärende, intern logg
Återställa	24–72 h	IT och extern partner	Testprotokoll för backup, återställningsordning
Utvärdera	Inom 2 veckor	Ledningen	Protokoll från eftergenomgång, åtgärdslista

Fyra misstag som förvärrar läget

Att starta om. En omstart kan trigga mer kryptering och raderar minnesbevis.
Att kommunicera i det komprometterade systemet. Använd telefon tills e-postmiljön är verifierad.
Att återställa den senaste kopian utan kontroll. Har angriparen varit inne i två veckor kan den innehålla en bakdörr.
Att bara byta administratörslösenordet. Alla autentiseringsuppgifter ska bytas, inte ett urval.

Efter incidenten: två veckor som avgör nästa gång

Håll en genomgång inom två veckor, medan minnena är färska. Vad hände, i vilken ordning, vad fungerade och vad kostade tid? Uppdatera checklistan med det ni lärde er — först då blir den er egen.

Boka sedan en övning där teamet går igenom samma scenario utan att något är trasigt. En tabletop-övning på två timmar avslöjar oftast fler luckor än ett tekniskt test, eftersom den prövar beslut och kommunikation. Komplettera med ingångarna: MFA på allt som nås utifrån, RDP aldrig direkt mot internet och patchfönster som håller. Vår incidenthanteringsplan för småföretag innehåller strukturen som checklistan bygger på.

Vanliga frågor

Måste vi stänga av hela nätet vid ett angrepp? Oftast ja, åtminstone kortvarigt. Några timmars stillestånd är billigare än att låta krypteringen fortsätta medan ni utreder. Isolera först de segment där ni sett aktivitet, men var beredd att stänga mer.

Hur lång tid tar återställningen? Med testade kopior brukar kärnverksamheten vara igång inom 48–72 timmar. Saknas kopior handlar det om veckor, och då tillkommer kostnaden för stillestånd, jurister och data som aldrig kommer tillbaka.

Räcker det att anmäla till IMY om vi inte vet om data läckt? Anmäl inom 72 timmar och beskriv vad ni vet, vad ni inte vet och vad som gjorts. Myndigheten är van vid ofullständiga underlag; en sen anmälan är svårare att förklara än en tidig.

Kan vi använda de drabbade datorerna efter dekryptering? Nej, inte som de är. Dekryptering återställer filer men tar inte bort angriparens åtkomst. Bygg om från ren avbild, byt autentiseringsuppgifter och verifiera innan maskinen får nät igen.

Osäker på var ni står? Prata med vårt team om en genomgång av beredskapen — vi börjar med det som ger mest effekt per timme, inte med det som låter mest.

Ransomware: checklista för småföretag