Utpressningsvirus: så märker du angreppet innan filerna krypteras
När skärmen visar ett krav på lösensumma är angreppet redan över. Krypteringen är det sista steget i ett förlopp som ofta har pågått i timmar eller dagar. Den här guiden går igenom stegen, vilka tecken du kan upptäcka längs vägen och vad du gör om det händer.
Små företag drabbas oftast
- Utpressningsvirus fanns med i 44 procent av alla dataintrång som Verizon analyserade i sin rapport för 2025, och i 88 procent av intrången hos små och medelstora företag.
- Bland företag med 100–250 anställda lyckades bara 34 procent stoppa angreppet innan data krypterades, enligt Sophos undersökning för 2026.
- I Sverige uppger 3 procent av företagen med 1–49 anställda att de drabbats av utpressningsvirus det senaste året, enligt en undersökning från Stöldskyddsföreningen 2025.
Små företag är inte mer intressanta mål än stora. De har bara oftare stulna lösenord som fungerar, utrustning som inte uppdateras och ingen som ser larmen.
Förloppet steg för steg
- Intrång. Vanligast är nätfiske, stulna lösenord till e-post, VPN eller fjärrskrivbord, och sårbarheter i utrustning som är nåbar från internet, till exempel brandväggar och VPN-servrar som inte uppdaterats.
- Kartläggning. Angriparen undersöker nätverket: vilka datorer och servrar finns, vilka filresurser, vilka användarkonton och var säkerhetskopiorna ligger. Här används ofta portskanning och vanliga administrationsverktyg.
- Högre behörighet. Angriparen samlar in lösenord från den första datorn eller skapar ett eget administratörskonto.
- Spridning. Med administratörsbehörighet tar sig angriparen vidare till servrar och andra datorer, ofta via fjärrskrivbord eller fjärrstyrningsprogram.
- Datastöld. Känsliga filer kopieras ut. Då kan angriparen hota att publicera dem även om du kan återställa från säkerhetskopia.
- Skydden slås ut. Säkerhetskopior raderas, antivirus stängs av och Windows skuggkopior tas bort.
- Kryptering. Filerna krypteras, gärna en natt eller en helg när ingen är på plats.
Steg 2–6 är din chans. Ju tidigare du upptäcker angreppet, desto mindre hinner angriparen göra.
Tecken att hålla utkik efter
| Tecken | Var det syns |
|---|---|
| Någon skannar nätverket | En honeypot larmar direkt. Annars syns det sällan utan särskild övervakning. |
| Nya administratörskonton | Användarlistan i Microsoft 365, Google Workspace eller Active Directory |
| Inloggningar på udda tider eller från andra länder | Inloggningsloggar och varningsmejl från Microsoft eller Google |
| Antivirus avstängt eller larmar | Antivirusprogrammets konsol och varningar på datorerna |
| Säkerhetskopieringen misslyckas eller kopior saknas | Rapporter från backupprogrammet |
| Nya fjärrstyrningsprogram, till exempel AnyDesk | Listan över installerade program |
| Ovanligt mycket trafik ut från nätverket | Routerns eller brandväggens statistik |
Många av tecknen syns bara om någon tittar. Se till att varningsmejl från Microsoft, Google och backupprogrammet går till en adress som faktiskt läses, och att de viktigaste larmen når en mobil.
Så hinner du före
- Tvåstegsinloggning överallt, framför allt på e-post, VPN och fjärråtkomst. Det stoppar de flesta intrång som bygger på stulna lösenord.
- Uppdatera utrustning som syns mot internet först: brandvägg, VPN och fjärrskrivbord. Stäng fjärrskrivbord (RDP) mot internet helt om det går.
- Säkerhetskopior som angriparen inte kan radera. Minst en kopia ska vara frånkopplad eller oföränderlig, och återställning ska testas regelbundet.
- Antivirus med larm som någon läser. Microsoft Defender ingår i Windows och räcker långt om varningarna faktiskt bevakas.
- Upptäckt inne i nätverket. En honeypot larmar under kartläggningen, steg 2 ovan, långt innan krypteringen. Se vår guide om honeypots.
- En plan på en sida: vem ringer ni, var finns säkerhetskopiorna, vilka kunder och myndigheter ska informeras.
Om det händer
- Koppla bort drabbade datorer från nätverket. Dra ur nätverkskabeln och stäng av wifi. Stäng inte av datorerna om du kan undvika det, eftersom spår i minnet då försvinner.
- Kontakta er IT-partner eller en incidentresponstjänst direkt, även en helg.
- Ändra lösenord för administratörskonton och e-post, från en dator som inte är drabbad.
- Polisanmäl angreppet.
- Anmäl till Integritetsskyddsmyndigheten (IMY) inom 72 timmar om personuppgifter kan ha kommit på avvägar, vilket nästan alltid är fallet.
- Omfattas ni av cybersäkerhetslagen (NIS2) ska en tidig varning lämnas till Myndigheten för civilt försvar inom 24 timmar. Läs mer i guiden NIS2 för små leverantörer.
- Betala inte utan att ha fått råd. Det finns ingen garanti för att filerna går att återställa eller att stulna data raderas.
Vanliga frågor
Hur kommer utpressningsvirus in i ett litet företag?
Oftast via nätfiske, stulna lösenord till e-post eller fjärråtkomst utan tvåstegsinloggning, eller via sårbarheter i brandväggar och VPN-servrar som inte har uppdaterats.
Hur lång tid tar ett angrepp?
Det varierar från några timmar till flera veckor. Sophos utredningar visar att angriparen i median nådde företagets användarkatalog ungefär 11 timmar efter intrånget.
Skyddar molnlagring mot utpressningsvirus?
Delvis. Synkroniserade mappar som OneDrive och Dropbox kan krypteras precis som lokala filer, men har ofta versionshistorik som gör att filerna går att återställa. Det ersätter inte en säkerhetskopia som angriparen inte kan nå.
Ska vi betala lösensumman?
Fatta inte det beslutet ensam. Det finns ingen garanti för att du får tillbaka filerna, och betalningen finansierar nästa angrepp. Ta hjälp av en incidentresponstjänst och polisen först.