Ransomware er skadelig software, der låser dine filer eller hele din enhed, og derefter kræver penge for at give adgangen tilbage. Navnet kommer af det engelske ord ransom, altså løsesum.
Angrebene har ændret karakter siden de første store bølger. I dag bliver data ofte kopieret ud, inden de låses, så afpresningen fortsætter, selv hvis offeret har en backup.
Denne guide forklarer, hvordan angrebene faktisk foregår, hvad der virker som beskyttelse, og hvad du bør gøre, hvis du bliver ramt.
Hvad ransomware er — og hvad det ikke er
Ransomware er et program, der enten krypterer dine filer eller spærrer adgangen til enheden, og som derefter viser et krav om betaling.
Det er værd at skelne den fra en anden type besked, som mange forveksler den med.
Afpresningsmails hævder, at afsenderen har hacket din computer, filmet dig gennem webcam eller har adgang til dine oplysninger, og kræver betaling for ikke at offentliggøre det.
I langt de fleste tilfælde er der ingen reel adgang. Beskederne sendes i massevis, og afsenderen ved ikke, hvem modtageren er. Ofte er den eneste “dokumentation” en adgangskode fra et gammelt datalæk.
Er dine filer stadig tilgængelige, og fungerer computeren normalt, er der ikke tale om ransomware.
Hvordan et angreb foregår
Et angreb starter sjældent med selve krypteringen. Der går typisk et stykke tid, hvor angriberen bevæger sig rundt i systemet, før den låsende del udløses.
De mest udbredte indgangsveje er:
- Phishing — en mail eller besked, der får modtageren til at åbne en vedhæftet fil eller indtaste sine loginoplysninger
- Stjålne loginoplysninger — adgang købt eller høstet fra tidligere datalæk, ofte til fjernadgang eller en VPN-forbindelse
- Upatchede systemer — kendte sårbarheder i software, der ikke er blevet opdateret
- Forsyningskæden — et angreb mod en leverandør, der rammer alle leverandørens kunder
Den vigtigste ændring i de senere år er, at angreb i stigende grad sker uden brug af egentlig malware i første fase. Angriberen logger simpelthen ind med gyldige oplysninger, hvilket er sværere at opdage.
Typer og afpresningsmodeller
Typer af ransomware og afpresning
Angrebene har flyttet sig fra ren kryptering til flerleddet afpresning.
| Type | Hvad der sker | Pressionsmiddel |
|---|---|---|
| Krypterende ransomware | Filerne låses med kryptering, systemet fungerer ellers | Du kan ikke åbne dine egne filer |
| Locker-ransomware | Hele skærmen eller opstarten blokeres | Enheden kan slet ikke bruges |
| Dobbelt afpresning | Data kopieres ud, inden de krypteres | Trussel om at offentliggøre dataene |
| Tredobbelt afpresning | Presset udvides til kunder, patienter eller samarbejdspartnere | De berørte kontaktes direkte |
| Falsk afpresning | Mail påstår, at afsenderen har hacket dig | Ingen reel adgang — det er bluff |
Dobbelt afpresning er i dag standard. Data kopieres ud af systemet, før de krypteres, så angriberen både kan spærre adgangen og true med at offentliggøre indholdet.
Det betyder, at en backup ikke længere løser hele problemet. Filerne kan gendannes, men de kopierede data er stadig ude af huset.
Ransomware-as-a-Service
RaaS betyder, at én gruppe udvikler og vedligeholder softwaren, mens andre lejer sig ind og udfører angrebene mod en andel af udbyttet.
Modellen minder om almindelige abonnementstjenester og har sænket adgangsbarrieren markant. Den er også grunden til, at grupper hurtigt dukker op igen under nye navne, når de bliver lukket ned.
Sådan beskytter du dig
Backup er den enkeltstående vigtigste foranstaltning — men kun hvis den er lavet rigtigt.
En sikkerhedskopi, der konstant er tilsluttet computeren, kan krypteres sammen med resten. Derfor er offline-kopier og versionering afgørende. Vi gennemgår mulighederne nærmere i artiklen om vigtigheden af sikkerhedskopiering og backup af data.
3-2-1-reglen og de første skridt ved et angreb
3-2-1-reglen for backup
- 3 kopier af dine vigtige data i alt — originalen plus to sikkerhedskopier
- 2 forskellige medier — for eksempel computerens disk og en ekstern harddisk
- 1 kopi et andet sted — enten i skyen eller på et drev, der opbevares uden for hjemmet
Bliver du ramt — i denne rækkefølge
- Afbryd netværket. Træk netværkskablet ud, eller slå wi-fi fra, så andre enheder ikke rammes.
- Sluk ikke nødvendigvis. Tag i stedet et foto af beskeden på skærmen — den identificerer varianten.
- Betal ikke. Betaling giver ingen garanti og finansierer nye angreb.
- Fjern selve skadesoftwaren med et sikkerhedsprogram, eventuelt i sikker tilstand.
- Gendan fra backup, hvis du har en, der ikke var tilsluttet under angrebet.
- Undersøg om der findes et gratis dekrypteringsværktøj til netop den variant.
- Anmeld forholdet til politiet. Oplysningerne hjælper efterforskningen af bagmændene.
Ud over backup gælder fire ting:
- Installer opdateringer. Størstedelen af angrebene udnytter kendte sårbarheder, ikke ukendte.
- Slå totrinsbekræftelse til på mail, netbank og skylagring. Det er den mest effektive beskyttelse mod stjålne adgangskoder.
- Brug forskellige adgangskoder til forskellige tjenester, gerne via en adgangskodemanager.
- Vær skeptisk over for vedhæftede filer og links i uventede beskeder — også dem, der ser ud til at komme fra en myndighed.
Om skylagring er en tilstrækkelig backup afhænger af opsætningen. Synkroniserede mapper som en almindelig skydrevmappe kan i praksis synkronisere de krypterede filer op i skyen. Til gengæld tilbyder de fleste skytjenester versionshistorik, så tidligere versioner kan hentes tilbage — det er værd at undersøge, før det bliver aktuelt.
Hvis du bliver ramt
Betal ikke. Der er ingen garanti for at få en fungerende nøgle, og betaling finansierer nye angreb. Der findes dokumenterede tilfælde, hvor betaling blot blev fulgt af et nyt og større krav.
Tag i stedet et billede af beskeden på skærmen. Den indeholder ofte navnet på varianten, hvilket er nødvendigt for at finde et eventuelt værktøj.
Gratis dekrypteringsværktøjer
Projektet No More Ransom drives af Europols cybercrimecenter sammen med hollandsk politi og en række sikkerhedsvirksomheder.
Portalen samler gratis dekrypteringsværktøjer til mange ransomware-familier, og nye kommer til, efterhånden som efterforskninger frigiver nøgler. Der findes et værktøj, hvor man kan uploade to krypterede filer og selve løsesumsbeskeden for at få varianten identificeret.
Findes der ikke et værktøj til netop din variant i dag, kan der komme et senere. Behold derfor de krypterede filer frem for at slette dem.
Anmeldelse
Anmeld forholdet til politiet. Jo flere oplysninger myndighederne får, jo bedre grundlag har de for at ramme grupperne bag.
Ansvarsfraskrivelse
Denne artikel er en generel, faktuel gennemgang af ransomware. Den er ikke it-support eller sikkerhedsrådgivning til en konkret situation, og den kan ikke erstatte professionel assistance ved et igangværende angreb.
Er du ramt i en virksomhedssammenhæng, bør du kontakte jeres it-ansvarlige eller en professionel rådgiver, inden du foretager ændringer på systemerne — spor kan gå tabt.
Ved mistanke om databrud med personoplysninger kan der gælde en anmeldelsespligt over for Datatilsynet inden for 72 timer.
Kildehenvisninger
Oplysningerne i artiklen er kontrolleret mod følgende kilder.
- No More Ransom (Europol og hollandsk politi) — Vejledning til private, der er blevet ramt
- No More Ransom — Spørgsmål og svar om ransomware og historikken bag
- Europol — Om de gratis dekrypteringsværktøjer i No More Ransom-projektet
- Kaspersky Securelist — Ransomware-tendenser 2026
- Huntress — Om Ransomware-as-a-Service og flerleddet afpresning
- TechTarget — Angrebsveje: phishing, upatchede systemer og forsyningskæder
Ofte stillede spørgsmål
Bør man betale løsesummen?
Nej. Der er ingen garanti for, at du får en fungerende nøgle, betalingen finansierer nye angreb, og der findes tilfælde, hvor betaling blev mødt med et nyt krav.
Er en mail om, at nogen har hacket mig, ransomware?
Nej. Det er typisk masseudsendt afpresningssvindel uden reel adgang til din computer. Ransomware kendes på, at dine filer eller din enhed rent faktisk er låst.
Kan jeg få mine filer tilbage uden backup?
Nogle gange. Der findes gratis dekrypteringsværktøjer til en række ransomware-familier, men ikke til alle. Behold de krypterede filer — nye værktøjer kommer løbende til.
Er skylagring nok som backup?
Det afhænger af opsætningen. En synkroniseret mappe kan risikere at synkronisere de krypterede filer op. Til gengæld har de fleste skytjenester versionshistorik, som kan bruges til gendannelse.
Hvad er dobbelt afpresning?
At data kopieres ud af systemet, inden de krypteres, så angriberen både kan spærre adgangen og true med at offentliggøre indholdet.
Rammer ransomware kun virksomheder?
Nej, men virksomheder og offentlige institutioner er de primære mål, fordi betalingsevnen og presset for hurtig genstart er større.
Hvad gør jeg først, hvis jeg bliver ramt?
Afbryd enheden fra netværket, så andre enheder ikke rammes, og tag et billede af beskeden på skærmen. Sluk ikke nødvendigvis maskinen, og betal ikke.