Cyberkriminelle spekulerer i GDPR-skræk

De cyberkriminelle nøjes ikke længere med at kryptere data, når der skal presses penge ud af virksomheder ved ransomware-angreb.

Ved flere af de nyere angreb bliver virksomheder også truet med at få offentliggjort data på nettet, hvis de ikke betaler løsesummen.

Og EU’s persondataforordning, GDPR, kan meget vel spille en rolle i den udvikling, vurderer flere eksperter.
– De kriminelle bruger jo truslen om datalæk og GDPR-­bøder som et af deres pressionsmidler, konstaterer Jacob Herbst, der er CTO i it-sikkerhedsvirksomheden Dubex.

Også direktør i it-sikkerhedsvirksomheden Improsec, Jakob Heidelberg, ser en klar sammenhæng mellem GDPR og truslen om datalæk.
– Man kan stå med en kæmpestor bødestraf som risiko. Og så er man måske ikke så interesseret i at fortælle offentligt om det, siger han.

I tilfælde af lemfældig omgang med persondata åbner GDPR blandt andet op for bøder på op til fire procent af en virksomheds globale omsætning.

Hos Datatilsynet, som er den danske GDPR-myndighed, ser it-sikkerhedsspecialist Allan Frank også en sammenhæng mellem de cyberkriminelles trussel om datalæk og så persondataforordningen.
– Man kan sige, det er jo den nye modus, der er kommet hos disse forbrydere inden for ransomware-verdenen. De har luret lunten, når det kommer til GDPR, som siger, at dem, det er gået ud over, risikerer en bøde, siger han.

Både Jakob Heidelberg, Jacob Herbst og Allan Frank anbefaler at kontakte Datatilsynet ved læk af persondata og i øvrigt lade være med at betale de kriminelle.

Hvis man betaler i sådan en situation, så kan det ende med, at angriberen bliver ved med at afpresse og true med datalæk, påpeger Jakob Heidelberg.

Og så er det vigtigt at huske på, at det ikke er ulovligt at blive hacket. Så den omstændighed, at en virksomhed er blevet udsat for et ransomware-angreb, udløser altså ikke i sig selv en bøde.
– Hvis man har gjort sig nogle rimelige forsøg på at undgå det her – og det har de fleste alligevel, selvom det ikke altid er state-of-the-art – så står man ikke i en situation, hvor det bliver dyrere at snakke med Datatilsynet, siger Allan Frank.

Pligt til at anmelde til Datatilsynet

Og så er der lige en anden ting. Det er nemlig ikke frivilligt, om en virksomhed vil involvere Datatilsynet, hvis der er mistanke om læk af persondata.

Som følge af GDPR skal tilsynet kontaktes senest 72 timer efter, virksomheden har fået kendskab til, at noget er galt.
– Efter reglerne har man en forpligtelse til at snakke med Datatilsynet, og så hjælper det jo ikke at sidde og putte sig ovre i et hjørne og tro, vi ikke opdager det. Hvis vi først finder nogen, der har prøvet at krybe under vores radar ved ikke at anmelde det, så ligger man meget dårligere i svinget, når vi skal finde ud af, hvilken sanktion vi skal bruge over for den pågældende virksomhed, siger Allan Frank.

Sidder der nogen derude og er i tvivl om, hvorvidt et ransomware-angreb mod systemer, der indeholder persondata, nu også er ensbetydende med, at uvedkommende kan have haft adgang til disse persondata, ja, så er der ikke noget at være i tvivl om.

Det forholder sig ifølge Jakob Heidelberg rent teknisk således, at hvis angriberne har haft adgang til en fil, så den har kunnet krypteres, så har det også været muligt at læse indholdet af filen og hive informationer ud af virksomheden.
– Så hvis data, der hører under GDPR, er blevet krypteret, jamen, så har der også været mulighed for, at angriberen har kunnet læse det, siger han.

I den situation kunne nogle måske være fristet til at bruge mangel på log-filer til at sige noget i retning af, at ”intet indikerer, at der har været uretmæssig adgang til persondata”. Men den går ikke, påpeger Datatilsynets it-sikkerhedsspecialist, Allan Frank.
– Man skal dokumentere, at der ikke har været en risiko for de registreredes rettigheder, fastslår han.