Hvordan ransomware blev et problem for virksomheders modstandsdygtighed

By Danny Bradbury • 18. juni 2026 • 5 minutters læsning

Maj var ikke en god måned for den lettiske statsborger Deniss Zolotarjovs. Det amerikanske justitsministerium sikret en dom på 102 måneder mod ham for sin rolle i den russiske ransomware-bande Karakurt.

Sagen afslørede, at medlemmer af Karakurt havde brugt russiske regeringsdatabaser til at intimidere virksomhedsofre og screene deres egne rekrutter. Dette kriminelle netværk havde også forstyrret den amerikanske 911-nødberedskab og opkrævet mindst 15 millioner dollars i løsepenge fra mere end 54 navngivne offervirksomheder.

Denne kriminelle virksomhed er et eksempel på et voksende problem, som virksomheders sikkerhedsteams ikke kan løse alene. Modstandsdygtighedsplanlægning, der stadig behandler truslen som et IT-afdelingsproblem, er at planlægge for den forkerte modstander og undervurdere problemets omfang.

Hvem er involveret

Virksomheder skal ændre den aktørprofil, de har opbygget kontinuitetsplaner for. Disse grupper opererer ikke kun internationalt; de operere i samarbejde med staten.

I 2024 havde det amerikanske finansministerium allerede sanktioneret ransomware-gruppen Trickbot for påståede forbindelser til russisk efterretningstjeneste. Trickbot skabte adskillige andre grupper, herunder Conti, hvilket igen førte til oprettelsen af Karakurt. Så sanktionerne mod Trickbots ledere smitter indirekte af på Karakurt.

Anklagemyndigheden i maj forvandlede det, der var blevet karakteriseret som passiv statslig tolerance, til bevis på direkte operationel støtte. Karakurt betalte bestikkelse for at fritage medlemmer fra obligatorisk russisk militærtjeneste og kanaliserede korruption ind i statsapparatet for at holde dets operationer kørende.

For organisationer med hovedsæde i jurisdiktioner, som Moskva opfatter som fjendtlige, er den praktiske konsekvens, at trusselsaktøren på den anden side af bordet opfører sig mindre som organiseret kriminalitet end som et kvasi-kontraktarettet instrument for statspolitik.

Hvor det starter

Forbedring af ransomware-modstandsdygtigheden betyder også at genoverveje, hvor bruddet rent faktisk starter. Security Scorecards 2025-gennemgang af 1,000 brud fundet at 41.4 % af ransomware-angreb nu starter gennem tredjepartsadgang via leverandørsårbarheder, og at 35.5 % af alle brud i 2024 havde en tredjepartskomponent.

Det europæiske svar behandler virksomhedens perimeter som noget, der ender hos den svagest kontraherede leverandør: NIS2 udvider eksplicit cybersikkerhedsforpligtelser til "et meget bredere økosystem af tredjepartsleverandører, leverandører og digitale tjenesteudbydere", der understøtter kritiske aktiviteter på tværs af blokken.

En indkøbskontrakt er nu et reguleret sikkerhedsartefakt på en måde, den ikke var for tre år siden, og de fleste multinationale virksomheders leverandøronboardingprocesser er blevet kalibreret til en langt mindre sammenkoblet version af risikoen.

Hvor det slutter

Indbrud stopper ikke længere ved IT-infrastruktur; de påvirker virksomhedens drift. Colonial Pipeline-angrebet i 2021 tvunget en driftsnedlukning, der afbrød forsyningen af cirka 45 % af det brændstof, der forbruges langs den amerikanske østkyst, og udløste en føderal undtagelseserklæring.

Asahi Groups september 2025 ransomware-hændelse illustrerede den samme dynamik i en anden skala. Fabriksgulve var ikke teknisk set inficerede, men op til 30 private anlæg stoppet producerende fordi IT-systemerne, der koordinerer ordrer, logistik og indbyrdes afhængige forsyningskæder, var nede.

Lærdommen fra Asaha Group er strukturel snarere end teknisk: i stærkt digitaliserede operationer forplanter et IT-kompromis sig direkte til den fysiske driftsmodel. Jo mere en organisation har optimeret sine processer for effektivitet, desto bredere har eksplosionsradiusen en tendens til at være.

Hvad modstandsdygtighed egentlig betyder nu

Karakurt-anklagemyndigheden fremhæver et niveau og omfang af geopolitisk risiko, som er vanskelig for almindelige cyberforsikringsmodeller at prissætte. Colonial- og Asahi-sagerne gør det klart, at selve driftsmodellen er angrebsfladen. At behandle ransomware som et problem med virksomhedens modstandsdygtighed snarere end et sikkerhedskontrolproblem er nu den laveste grænse, som det regulatoriske og trusselsmæssige miljø kræver.

De institutioner, der skriver de nye regler, er begyndt at beskrive modstandsdygtighed i et sprog, som bestyrelser, ikke IT-chefer, vil handle ud fra. Dette dækker governance, leverandørtilsyn, forretningskontinuitet og antagelsen om, at et brud i sidste ende vil komme gennem en leverandør, som virksomheden ikke kontrollerer.

De standarder, der allerede findes, står for det meste af oversættelsen. ISO 27001's 2022-revision er det klareste tilfælde, fordi den omskrev sine leverandørkontroller omkring præcis den tredjepartseksponering, som Security Scorecard-tallene beskriver. Kontrollerne A.5.19 til A.5.23 opretter et forretningsdokument, hvem der har adgang til hvad, og skriver disse sikkerhedsforpligtelser ind i leverandøraftaler.

Disse kontroller skubber den samme kontrol ned gennem IKT-forsyningskæden til cloudtjenesterne og underdatabehandlerne, som onboarding-tjek ikke altid når ud til. Det gør den svageste leverandørperimeter til noget, som en virksomhed kan revidere.

ISO 22301 udfører det parallelle arbejde for kontinuitet. Den kræver en analyse af forretningsmæssige konsekvenser og afprøvede genopretningsmål snarere end tro på, at systemerne vil komme tilbage, hvilket er det hul, som Asahi-nedlukningen afslørede.

Alt dette er god praksis, men NIS2 omdanner meget af det til en juridisk pligt. Artikel 21 nævner forsyningskædesikkerhed som en specifik forpligtelse, ikke en anbefaling.

At vælge et framework er den nemme del. Arbejdet består i at holde snesevis af overlappende kontroller, leverandørvurderinger og kontinuitetstests opdaterede på tværs af en organisation, hvis perimeter løber gennem leverandører, den ikke fuldt ud kontrollerer.

Brug af en samlet platform til at kortlægge ét sæt beviser mod ISO 27001, ISO 22301 og NIS2 på én gang, udreder og artikulerer leverandørrisiko og giver et revisionsspor i en tilstand, som en bestyrelse kan fordøje og handle på før en hændelse i stedet for bagefter. Ransomware-modstandsdygtighed er ikke længere en bindemiddel, som nogen opdaterer efter et brud, men bliver noget, som ledelsen kan bevise.