Dette rammer flere: Hackere bruker kjente samarbeidspartnere for å få tilgang til bedriften din

Hvordan angrepet utvikler seg gjennom samarbeidspartnere

Angrepet begynner ofte hos en samarbeidspartner og eksterne byråer, til eksempel en regnskapsfører, eller et markedsføringsbyrå som har tilgang til dokumenter eller kommunikasjon med dere.

Når den eksterne kontoen er hacket, brukes den til å dele filer via SharePoint, OneDrive, Dropbox eller tilsvarende. Varslene som sendes ut er ekte meldinger fra tjenestene, og kommer fra en legitim avsender. Det gjør at mange sikkerhetsløsninger og brukere ikke reagerer.  

– Kriminelle som kombinerer automatisering med moderne AI‑verktøy, kan nå utføre angrep som tidligere ville krevd mange timer med manuelt arbeid. Nå analyserer de e‑posthistorikk, forstår relasjoner og genererer troverdige filer og filnavn på sekunder. Resultatet er angrep som treffer langt mer presist, og i langt større volum, enn vi har sett før, forteller Gaute Meland, Seniorkonsulent IT Drift i Nordlo Bergen.  

Misbuker tilliten din

Dokumentene som sendes er gjerne nøye tilpasset. Angriperen går gjennom e‑posthistorikken og velger filnavn og innhold som virker naturlig for mottakeren. Til eksempel «Revisjonsrapport 2025», «Oppdatert avtale» eller «Prosjektplan» og lignende. Ofte settes filene til «view only» og krever at mottakeren logger inn for å få tilgang. Dette hindrer mange sikkerhetssystemer fra å skanne innholdet før brukeren selv åpner dokumentet. 

Slike angrep kalles AiTM (Adversary‑in‑the‑Middle) og skjer når en angriper plasserer seg mellom bruker og tjeneste for å få tilganger de trenger.

Slik kommer angriperen seg inn 

Når brukeren legitimerer seg for å se filen, skjer det kritiske øyeblikket: angriperen kopierer sesjonsinformasjon i et oppsett der de står mellom brukeren og tjenesten. For den ansatte ser innloggingen helt normal ut, også om totrinnsbekreftelse er aktivert. I praksis kan angriperen likevel overta en gyldig sesjon og få samme tilgang som brukeren. 
 
– AiTM undergraver ikke MFA i seg selv, det utnytter at brukeren stoler på et innloggingsvindu som ser helt ekte ut. Når alt ser normalt ut, er det menneskelig å slippe garden. Det er synd å si det, men så lenge vi må kunne logge inn et sted, vil det alltid finnes en vei inn for angripere. Derfor må tekniske tiltak kombineres med opplæring, ansatte som forstår trusler er fortsatt vårt viktigste forsvar, forteller Meland. 

Tiltak som virker

Forsvaret må være todelt.

1. På den menneskelige siden bør virksomheter prioritere opplæring som viser konkrete eksempler. Å få ansatte til å stoppe opp og dobbeltsjekke kan forhindre mange angrep.  
2. På den tekniske siden bør man ta i bruk risikobasert beskyttelse som automatisk låser kontoer eller ber om ekstra sjekk ved mistenkelige innlogginger. Steng gamle innloggingsmåter og følge med på innlogginger fra andre land. Begrens deling med eksterne og krev ekstra godkjenning for sensitive filer. 

– Mange virksomheter sitter allerede på sikkerhetsfunksjonalitet de ikke utnytter fullt ut, og for noen kan en oppgradering av lisensen være nødvendig for å få den beskyttelsen de faktisk trenger. Dette er et komplekst fagfelt, og det er helt naturlig å trenge hjelp til å kartlegge behov, forstå mulighetene og få satt opp løsningene riktig. Når gode tekniske tiltak kombineres med ansatte som vet hva de skal se etter, står man langt sterkere mot denne typen angrep, avslutter Meland.  

Slik kan du holde bedriften trygg 

Vi i Nordlo kan gjøre en kartlegging av sårbarheter og levere en prioritert handlingsplan. Vi kan også gjennomføre tiltakene for dere, fra teknisk oppsett til løpende overvåking og praktisk opplæring av ansatte.

Vi hjelper med å aktivere risikobasert konto‑beskyttelse og strengere delingsregle, stenge gamle innloggingsmetoder og øve på hendelseshåndtering.