Kort sagt: Berörs ni? Ring oss. Vi hjälper er. Efter ett hackerangrepp mot ert företag behöver ni som ledning framför allt en kontaktperson som tar hand om den tekniska delen, så att ni kan fatta beslut. Vi arbetar på distans, säkrar spår, stänger ingången, rensar och dokumenterar tills incidenten är avslutad.
Radera ingenting och installera inte om något nu. Be också er IT och ert webbhotell att tills vidare inte ändra något. Att städa i stridens hetta förstör bevis som ni behöver för försäkring, dataskydd och polis. Anmäl nödläge, så tar vi över från första meddelandet.
Berörs ni? Så märker ledningen ett angrepp
Ett hackerangrepp börjar sällan med ett meddelande från IT. Ofta kommer den första signalen utifrån:
- En kund eller affärspartner rapporterar ett konstigt e-postmeddelande, en omdirigering eller en varning i webbläsaren.
- Webbhotellet stänger av webbplatsen eller meddelar att skadlig kod har hittats.
- Webbplatsen visar främmande innehåll, skräppost eller beter sig annorlunda än vanligt.
- Er IT rapporterar okända filer, konton eller processer på webbservern.
- Det finns ett utpressningsförsök, ett dataerbjudande på nätet eller ett meddelande från myndigheter.
Ett angrepp kan förekomma även utan ett entydigt tecken. Sedan PHP-sårbarheterna PHP2Shell publicerades varnar BSI (den tyska federala myndigheten för informationssäkerhet) med varningsnivå 3 / orange; angreppsförsök har enligt Cloudflare och Patchstack observerats. Om ert företag berörs klarlägger vi gärna, utan att ni behöver belägga misstanken. Tekniska tecken står under Är jag redan komprometterad?.
Det här gör ni direkt
- Utse en beslutsfattare. En person får besluta för företaget om avstängning, omstarter och lösenordsbyten och är nåbar.
- Låt ingenting ändras. Ingen radering, ingen nyinstallation, ingen återställning av säkerhetskopior före spårsäkringen.
- Skriv kort ned läget. Vad märktes när och av vem? Vilka system och uppgifter kan vara berörda?
- Informera dataskyddsombudet. Om personuppgifter berörs kan en frist löpa. Läs om det i anmälningsskyldigheten enligt GDPR.
- Kontrollera försäkringsbolaget. Finns det en cyberförsäkring reglerar den ofta när och hur skadan måste anmälas. Vad som är viktigt beskrivs i Cyberförsäkring vid skada.
- Stäm av utåt. Vem talar med kunder, press och medarbetare? Hjälp finns på sidan Krishantering efter ett angrepp.
- Hör av er nu. Ring eller skriv via WhatsApp.
Det här måste ledningen klarlägga och det här tar vi över
Ett hackerangrepp är både en teknisk och en affärsmässig händelse. Besluten ligger kvar hos er, det tekniska arbetet kan vi bära.
| Fråga | Ansvarig |
|---|---|
| Ska webbplatsen eller butiken tillfälligt stängas av? | Ni beslutar, vi visar konsekvenser och alternativ |
| Har data läckt ut, och vilka? | Vi levererar de tekniska fakta ur loggar och filer |
| Finns det en anmälningsskyldighet? | Dataskyddsombud eller jurist, med vår rapport |
| Ska en polisanmälan göras? | Ni beslutar, vi säkrar bevisen i förväg |
| Hur informeras kunderna? | Ni, med kommunikationsexperter; vi levererar faktaunderlaget |
| Hur kommer servern tillbaka ren? | Vi, i samråd med er IT |
Om ledningens ansvar vid säkerhetsluckor ger vi ingen juridisk rådgivning; allmän information finns under Ledningens ansvar. Beslutet om en polisanmälan underlättas av sidan om de centrala kontaktpunkterna för cyberbrott.
Se affärsverksamheten och incidenten tillsammans
Vid sidan av tekniken är den brådskande frågan de första timmarna hur verksamheten fortsätter. Om order, tidsbokningar eller beställningar hänger på webbplatsen behöver driften en tillfällig lösning: en underhållssida med telefonnummer, ett formulär på ett rent system eller hantering via telefon och e-post. Enligt medierapporter har myndigheter i samband med PHP2Shell-läget förebyggande tagit sina webbplatser offline och förblev nåbara via telefon och e-post; det visar att avstängning och nåbarhet kan gå ihop.
Tala också med personalen. Den som känner till incidenten går inte på nätfiskemejl, som ofta skickas efteråt, och lämnar inga uppgifter utåt som senare framstår som motsägelsefulla. Håll uttalanden om incidenten korta och belagda. Gissningar hör inte hemma i ett kundmejl; vad vi säkert vet, vad vi antar och vad som är öppet skiljer vi uttryckligen åt i vår rapport.
Hur hjälper PHP SOS konkret?
- Kartlägga läget: I ett första samtal klarlägger vi vad som är känt, vilka system som kan vara berörda och vad som finns på dem. Ni får en kort bedömning med nästa steg.
- Säkra och stänga: Filer, databas och loggar säkras innan något ändras. Därefter begränsar vi och stänger ingången, vid PHP2Shell med patch och omstart av alla processer.
- Granska och rensa: Vi söker bakdörrar, främmande åtkomster och manipulerade filer och städar upp. Vid behov bygger vi upp på nytt från tillförlitliga källor.
- Härda och rapportera: Ni får en rapport som är läsbar för dataskydd, försäkringsbolag och affärspartner, plus rekommendationer för tiden efteråt.
Växer incidenten utöver en enskild server går vi över till strukturerad incidenthantering. Behövs en rättssäker utredning kopplar vi in specialiserade partner för IT-forensik.
Det här bör ni skicka till oss
- namn och kontaktuppgifter till den beslutande personen i företaget
- en kort beskrivning: vad har uppmärksammats, när, av vem?
- uppgifter om det berörda systemet och om webbhotellet eller leverantören
- uppgifter om en befintlig cyberförsäkring och det ansvariga dataskyddsorganet
- åtkomst till servern eller tillstånd att tala direkt med ert webbhotell
Varför PHP SOS
Vi arbetar Made in Germany och är sedan över 25 år, tillsammans med vårt partnernätverk av cyberproffs, specialiserade på IT-säkerhet. Ni har en kontaktperson i stället för en telefonkö. Vi arbetar på distans, utan resor, i hela Europa. Varje steg dokumenteras, bland annat för att ni ska kunna belägga gentemot försäkringsbolag, dataskydd och affärspartner vad som har hänt. Vi säger öppet vad som är belagt och vad som bara är sannolikt, och vi lovar inget som ingen kan hålla. Vad en incident kan kosta beskrivs på sidan Kostnadsposter vid en hackning.
Berörs ni? Ring oss. Vi hjälper er.
Ju tidigare spåren säkras, desto mer går att belägga senare. Vi tar över från första meddelandet och är med tills incidenten är avslutad och dokumenterad. Anmäl nödläge nu.
Vanliga frågor
Hackerangrepp mot företaget: vad måste ledningen göra först?
Utse en person som beslutsfattare och kontaktperson, radera eller installera inte om något och skaffa teknisk hjälp. Parallellt bör dataskyddsombudet och, om ni har ett, cyberförsäkringsbolaget informeras. Det tekniska läget klarlägger vi med er.
När måste ett hackerangrepp anmälas?
Om personuppgifter berörs kan en anmälan till dataskyddstillsynen inom 72 timmar vara nödvändig. Om skyldigheten gäller bedömer dataskyddsombud eller jurister. Vi levererar de tekniska fakta till det.
Ska jag polisanmäla efter ett hackerangrepp?
Många företag gör det, bland annat för att försäkringsbolag eller affärspartner förväntar sig det. Den tyska polisen har för detta centrala kontaktpunkter för cyberbrott (Zentrale Ansprechstellen Cybercrime). För att bevisen ska förbli användbara bör spåren säkras i förväg.
Behöver vi som företag en leverantör om vi har en egen IT-avdelning?
Ofta ja. Intern IT känner till normaldriften men sällan spårsäkring och rensning efter ett intrång. Vi samarbetar med er IT och tar den del där erfarenhet eller tid saknas internt.
Vad kostar ett hackerangrepp företaget?
Det beror på varaktighet, datalägen och driftavbrott. Typiska kostnadsposter finns på vår sida om kostnaderna för en hackning. Vi anger inget belopp utan att känna till ert läge.