NSM advarer: Phishing slår totrinnsbekreftelsen – seks tiltak bedriften bør ta nå

Nasjonal sikkerhetsmyndighet (NSM) advarer om at stadig mer avansert phishing lurer seg forbi totrinnsbekreftelsen, og at løsepengevirus er blant de vanligste angrepene mot norske virksomheter. Samtidig har Norge fått sin første lov om digital sikkerhet. Her er hva det betyr for en liten bedrift, og hvilke tiltak som faktisk hjelper.

Det er lett å tenke at dataangrep er noe som rammer banker, kraftselskaper og store konsern. NSMs årlige risikovurdering, Risiko 2026, gir et annet bilde. Cyberoperasjoner rammer fortsatt bredt i det norske samfunnet, og både små og store virksomheter på tvers av sektorer må være forberedt, skriver NSM.

– For norske virksomheter holder det ikke å forstå trusselbildet. Det som skaper motstandsdyktighet er langsiktig og systematisk sikkerhetsarbeid, sier NSM-direktør Arne Christian Haugstøyl.

Phishing som slår totrinnsbekreftelsen

Mange av hendelsene NSM observerte i 2025 handlet om sosial manipulasjon, som phishing. Det nye er at angrepene blir mer avanserte. NSM ser økende bruk av phishing der flerfaktorautentisering ikke lenger gir tilstrekkelig beskyttelse. En kjent metode er å lure brukeren inn på en falsk innloggingsside som fanger opp og videresender både passord og engangskode i sanntid.

Angriperne bruker også kunstig intelligens til å lage mer overbevisende og målrettede meldinger, gjennom e-post, SMS og sosiale medier. Den gamle tommelfingerregelen om å se etter dårlig norsk holder ikke lenger.

Løsepengevirus og dobbel utpressing

Løsepengeangrep er ifølge NSM en av de mest utbredte angrepsmetodene mot norske virksomheter. I flere tilfeller har angriperne drevet såkalt dobbel utpressing: De krypterer ikke bare dataene, men truer også med å publisere sensitiv informasjon dersom løsepengene ikke betales.

Rapporten beskriver blant annet et angrep i 2025 mot en norsk tjenesteleverandør, der en større mengde data fra et kvalitets- og virksomhetssystem ble hentet ut. Systemet ble brukt av en rekke offentlige og private kunder. Poenget er at et angrep mot én leverandør kan ramme mange kunder samtidig, og NSM peker på hvor viktig det er å vurdere hvilken informasjon man legger i systemer som driftes av andre.

Ny lov – men ikke for alle

1. oktober 2025 trådte digitalsikkerhetsloven i kraft. Det er Norges første tverrsektorielle lov om digital sikkerhet, og den gjennomfører EUs første NIS-direktiv. Loven gjelder tilbydere av samfunnsviktige tjenester innen blant annet energi, transport, helse, vannforsyning, bank og digital infrastruktur, samt enkelte digitale tjenester som skytjenester og søkemotorer.

Virksomhetene som omfattes, skal blant annet iverksette sikkerhetstiltak tilpasset risikoen og varsle om alvorlige hendelser. Tilbydere av samfunnsviktige tjenester må varsle innen 24 timer. Det oppfølgende NIS2-direktivet, som i EU omfatter langt flere virksomheter, er ennå ikke innført i norsk rett.

De fleste små bedrifter er altså ikke direkte omfattet. Men mange er leverandører til virksomheter som er det, og må regne med at kundene stiller strengere krav til sikkerheten i årene fremover.

Seks tiltak som gir mest effekt

NSMs grunnprinsipper for IKT-sikkerhet og rådene i Risiko 2026 peker i samme retning. For en liten bedrift er dette et godt sted å starte:

1. Phishing-resistent innlogging. Totrinnsbekreftelse er fortsatt langt bedre enn bare passord, men koder på SMS og i app kan fiskes ut. Der det er mulig, bør man gå over til passnøkler eller fysiske sikkerhetsnøkler, som ikke virker på falske nettsider.

2. Oppdater alt, også nettverksutstyret. NSM anbefaler å holde nettverksutstyr oppdatert og raskt lukke sårbarheter som utnyttes aktivt. Gamle rutere og brannmurer som ikke lenger får oppdateringer, bør byttes ut.

3. Reduser det som er synlig på internett. Tjenester og fjerntilganger som står åpent mot internett, er en vanlig vei inn. Steng det som ikke trengs, og beskytt resten.

4. Del opp nettverket. Gjestenett, kameraer, skrivere og administrative PC-er bør ikke ligge i samme nettverk. Segmentering gjør det vanskeligere for en angriper å bevege seg videre.

5. Sikkerhetskopier som tåler et angrep. Ta jevnlig backup, ha minst én kopi som ikke er tilgjengelig fra det vanlige nettverket, og test at gjenopprettingen faktisk fungerer.

6. Ha en plan, og øv på den. NSM påpeker at mange virksomheter mangler oppdaterte beredskapsplaner. Hvem ringer hvem hvis skjermene plutselig viser et løsepengekrav? Skriv det ned før det skjer.

Når uhellet er ute

Blir bedriften rammet, anbefaler NSM å isolere berørte systemer, varsle og følge en forberedt plan. NSMs nasjonale cybersikkerhetssenter tar imot varsler om digitale hendelser døgnet rundt på telefon 02497 og e-post cert@ncsc.no. Datainnbrudd bør også meldes til politiet, og dersom personopplysninger er på avveie, kan det være plikt til å melde fra til Datatilsynet.

Haugstøyl oppsummerer budskapet til norske virksomheter slik: Iverksett konkrete tiltak for å beskytte de viktigste verdiene, reduser konsekvensene av eventuelle angrep, og etabler redundans og reserveløsninger.

SMB Partner på Leknes hjelper bedrifter i Lofoten med nettverk, brannmur og sikkerhet, og holder kurs og opplæring i sikkerhet.

Kilder: NSM, Risiko 2026 (6. februar 2026); NSM, «Ny digitalsikkerhetslov i Norge» (1. oktober 2025); Regjeringen, «Ny lov om digital sikkerhet trer i kraft i dag» (1. oktober 2025).