– For mange bedrifter er det vanskelig å drive videre hvis regnskap, bilag, kundelister og andre viktige dokumenter blir kryptert og utilgjengelige. Av den grunn er det forståelig at mange velger å betale løsepengene i håp om å få åpnet pc-ene igjen, sier Caroline Gjerding i Amesto AccountHouse til Bergens Tidende.

Hun er regiondirektør i det store regnskapsbyrået som Tove Tvedt Skarstein bruker.

Gjerding kjenner selv til bedrifter i bergensregionen som har betalt seg ut av virusangrepet.

Pinlig å rapportere

– Jeg anbefaler det ikke, men har ingen problemer med å se at mange fristes. For en del bedrifter er det jo snakk om å overleve eller ikke, og beløpene utpresserne krever er oftest ikke på mer enn noen tusen kroner, sier Gjerding.

– Det er all grunn til å tro at slik datakriminalitet er kraftig underrapportert, sier Stian Petersen. Han er seniorrådgiver innenfor datasikkerhet hos rådgivingsgiganten KPMG.

Også Skarstein, som driver butikk på Os, tror langt flere utsettes for utpressing enn det som kommer til uttrykk i offisiell statistikk.

– Mange finner det nok pinlig å si at de har hatt for dårlig sikkerhet og gjort en feil, tror Skarstein.

Selv ble hun bedt om å betale 10 000 kroner til en såkalt bitcoin-konto. Det er en konto hvor man bruker såkalt digital valuta hvor alle transaksjonene ligger åpne, men hvor det ikke skal være mulig å spore eieren av kontoen.

Verst med kundelister

For Tove Tvedt Skarstein startet utpressingen da hun kom hjem fra ferie.

– Det var 1400 meldinger i boksen, og e-posten med den falske fakturaen var naturlig og tilforlatelig med et perfekt språk. Men da jeg åpnet fikk jeg det midt i fleisen. Hele maskinen var kryptert og låst, kun med denne trusselen om å betale løsepenger.

For Skarstein var det aldri aktuelt å betale. Hun kunne drive butikken videre uten dokumentene på pc-en.

– Jeg kunne jo ikke vite om maskinen ville bli låst opp selv om jeg betalte. Og betaler man først en gang kan jo svindleren fristes til å prøve seg igjen.

I starten var Skarstein mest redd for å ha spredt viruset til det store regnskapsbyrået hun brukte, ettersom e-posten med fakturaen ble videresendt til dem.

– Men vi har systemer som sikrer at den slags virus ikke slipper gjennom, sier Caroline Gjerding i Amesto.

For butikkeieren selv var det tapet av kundelister og private foto som smertet mest.

To smartinger i Fusa hjalp

I stedet for å betale, brukte Skarstein to unge IT-smartinger i Fusa som driver selskapet Fusit AS.

Rune Gangstø, som er en av driverne i Fusit, har vært borti rundt ti saker hvor både private og mest lokale bedrifter er blitt utsatt for krav om løsepenger.

– For Tove Tvedt Skarstein tok vi ut alt fra PC-en, isolerte det på egen disk, fjernet alt som lå der, la inn operativsystemet på nytt og de dekrypterte filene, sier Gangstø.

Alternativet for Skarstein var å kaste hele PC-en og kjøpe ny.

Hun understreker at mange vil ha langt viktigere eller mer sensitiv informasjon liggende på maskinene sine enn hun hadde. Da blir det selvfølgelig langt tøffere å stå imot utpressingen.

Beskyttelsespenger

Stian Petersen tror norske bedrifter vil oppleve utpressing i nye former og langt oftere enn vi har sett hittil.

– Det er slutt på å gå etter kontanter. De fleste ranene av virksomheter i dag foregår digitalt, sier Petersen.

– Etter hvert som samfunnet er blitt mer og mer digitalisert, er pengestrømmen også blitt det samme. Siden de kriminelle går etter pengene, er også de blitt digitalisert. Stadig flere forbrytelser skjer digitalt, og oppgjør kan skje i bitcoins.

Petersen spår også at gamle mafiametoder med bruk av beskyttelsespenger vil bli tatt i bruk igjen. På den måten at bedrifter loves å bli spart for trøbbel om de betaler i forkant.

Backup

Seniorrådgiveren understreker at det alltid vil være en risiko for å bli ranet for ting som er knyttet til nettet.

– Men det går an å gjøre det vanskeligere å bryte seg inn, og ikke minst redusere skadevirkningene om forbrytelsen likevel har skjedd.

Av de mer enkle rådene trekker Petersen frem backup-løsninger. Altså at man lagrer sine viktige data også andre steder enn på egen maskin.

– De som outsourcer regnskapene og andre deler av virksomheten til seriøse aktører, som har dette som sin kjernevirksomhet, vil som regel ha en nokså trygg backup-løsning, mener Petersen.

Han advarer også mot å spre tilgangen til data på for mange personer i en bedrift.

– For det man har tilgang til, kan rammes, og ikke engang toppsjefen trenger tilgang til alt bedriften har samlet digitalt, sier Petersen.

Handler mest om kultur

Han minner likevel om at det er styret og ledelsen som er ansvarlig for datasikkerheten i en bedrift.

– Og denne sikkerheten er ikke noe man bare kan delegere til en IT-sjef eller kjøpe seg ut av gjennom ny teknologi. Litt grovt kan man kanskje si at bare 20 prosent av bedriftenes informasjonssikkerhet handler om teknologi. Hele 80 prosent dreier seg om å bygge kultur for dette i bedriften, sier Petersen.

Bandittene som prøvde å presse Tove Tvedt Skarstein for penger, ble ikke anmeldt.

– Jeg fikk en klar følelse av at det ikke var noen vits, sier hun.