Taggat med: Ransomware-as-a-service

Cybersäkerhetstrender 2025

Cybersäkerhetstrender 2025

Cyberhoten fortsätter att utvecklas och bli allt mer sofistikerade. Under det gångna året har vi sett en ökning av ransomware-attacker, hotaktörers användning av AI och en växande risk inom leverantörskedjor (cyber security supply chain). Samtidigt ställer nya EU-regelverk som NIS2 och Cyber Resilience Act högre krav på organisationer att säkerställa robust cybersäkerhet. I detta inlägg går vi igenom några av de mest aktuella trenderna och vad de innebär för framtiden och året 2025.

Ransomware

Att snabbt omvandla ett intrång till pengar har länge varit en stor motiverande faktor för cyberbrottslingar. Ransomware-gängen får allt större resurser, vilket möjliggör för dem att köpa initial åtkomst till IT-system från så kallade Initial Access Brokers (IAB). Detta göder även marknaden för zero-day-sårbarheter, vilket gör det möjligt för dessa grupper att införskaffa och utnyttja nya säkerhetsluckor.

Den genomsnittliga lösensumman uppgick till cirka 9 miljoner SEK år 2024, en ökning med 58 % jämfört med föregående år. Tillgången till RaaS-kit (Ransomware-as-a-Service) på dark web har sänkt tröskeln för cyberbrottslingar, vilket gör det enklare även för mindre tekniskt kunniga aktörer att genomföra attacker.

Artificiell intelligens (AI)

Användningen av deepfake-videor och syntetiskt tal fortsätter att utvecklas och utnyttjas av hotaktörer. Mer innehåll skapas med hjälp av AI för att manipulera och styra narrativ i önskade riktningar. Personas och sockpuppets kan med hjälp av AI skapa trovärdiga, fiktiva profiler som är svåra att skilja från verkliga individer. Även spam och botnät använder AI i allt större utsträckning för att skapa engagemang, manipulera känslor och generera fler följare och klick.

AI-agenter och generativ AI (GenAI) blir dessutom allt smartare och mer effektiva. Jag tror att vi kommer att se en fortsatt utveckling på detta område.

Värt att nämna är att AI också används på försvarssidan. Jag använder själv AI dagligen för att skapa proof-of-concept-kod, analysera säkerhetsbrister och lösa komplexa problem. Fler säkerhetsprodukter integrerar också AI som en del av sina verktyg, exempelvis för att analysera stora mängder loggfiler eller agera som co-piloter i incidenthantering.

Enligt en tidigare studie från Capgemini anser 69% av organisationerna att AI kommer att vara nödvändigt för att hantera cyberattacker i framtiden. Länk om du vill läsa mer:

Lagar och regler

EU satsar stort på cybersäkerhetsområdet, och två viktiga regelverk är NIS2 och Cyber Resilience Act (CRA). Dessa regler håller på att implementeras i svensk lag och är särskilt viktiga för organisationer som utvecklar mjukvara eller tillhandahåller samhällskritiska tjänster.

Under året har vi också sett exempel på hur GDPR har påverkat tillgången till nya tjänster. Exempelvis har tjänster som Apple Intelligence inte kunnat lanseras direkt i GDPR-reglerade områden.

Cyber Security Supply Chain

Cybersäkerhet inom leverantörskedjan blir allt viktigare, och vi ser fler attacker som utnyttjar underleverantörer, tredjepartskomponenter och liknande.

Enligt en rapport från Ponemon Institute, sponsrad av Black Duck, har 59% av de tillfrågade organisationerna påverkats av en mjukvaruleveranskedjeattack eller exploatering, varav majoriteten inträffade under det senaste året.

Lyckligtvis görs det stora framsteg inom området, med initiativ som SLSA, Sigsum, reproducerbara byggen och sigstore för att höja säkerheten.

Övrigt

Några ämnen som kommer att bli alltmer relevanta under 2025 inkluderar attacker mot autentiseringslösningar som Okta, Auth0 och Keycloak. Vi kommer även att se en ökad användning och implementering av passkeys som en del av den lösenordslösa framtiden. Adversary-in-the-Middle (AitM) blir bättre och svårare att detektera bl.a. med verktyg såsom Evilginx.

Det rådande världsläget bidrar också till att cyberattacker används som en del av hybridkrigsföringen mellan och mot stater. Min spaning är att vi kommer att se fler och mer avancerade attacker, ofta sponsrade av stater, i framtiden.

För några dagar sedan så listade jag även de allvarligaste sårbarheterna som uppdagades under 2024. Du kan läsa om dem här:

Några tidigare års trendspaningar inom cybersäkerhet hittar du här:

Ransomware-attacker blir mer sofistikerade

CISA Ransomware-attacker blir mer sofistikerade

Amerikanska cybersäkerhetsmyndigheten Cybersecurity and Infrastructure Security Agency (CISA) gick för några dagar sedan ut med en varning gällande att ransomware-attacker blir allt mer sofistikerade.

Varningen skickades ut av CISA tillsammans med motsvarande myndigheter från Storbritannien och Australien. Framförallt gäller det två trender som myndigheterna ser:

  • Initial tillgång till systemen sker via RDP, phishing eller attacker som utnyttjar svagheter och brister i mjukvaror. Även ser man en uppgång där läckta användarnamn eller lösenord används för initial access, eller brute-force av lösenord/användarnamn.
  • En ökning av ransomware-as-a-service (RaaS) där cyberskurkarna köper och säljer tjänster av varandra. De blir mer professionella och fungerar mer som riktiga företag och organisationer skulle göra.

Tyvärr så fortsätter utpressarna att tjäna pengar och gör att de kan gå efter ännu större mål och göra ännu mer omfattande skador:

Every time a ransom is paid, it confirms the viability and financial attractiveness of the ransomware criminal business model.

Tidigare så genomförde ransomware-gängen vad som kallas “big-game” hunting och försökte ge sig på stora amerikanska bolag. Men FBI var aktiva och lyckades slå ner och begränsa förmågan hos de som utförde attackerna. Detta har dock fått till följd att ransomware-gängen nu ger sig på medelstora bolag och framförallt många nya branscher såsom: hälsa och sjukvård, finansiella tjänster, utbildning, mathandel, offentlig verksamhet och jurister.

Utpressningsmetoderna utvecklas också och förutom att kryptera och göra information otillgänglig, så gör man också internetaccess obrukbar samt hotar att släppa information och informera eventuella investerare och konkurrenter om intrånget.

Övrigt värt att nämna är att man ser en ökning där man ger sig på underleverantörer och leverantörer som i fallet med Coop och Kaseya. Attackerna sker ofta på helger och vid högtider då mindre personal är på plats och kan förhindra ett aktivt pågående intrång. En ökning sker även mot industrier som har värdefulla processer som måste vara uppe och fungera, samt mot managed service providers (MSPs) som hanterar många kunder.

Åtgärder för att förhindra och försvåra ransomware-attacker

Att förhindra och försvåra ransomware-attacker är ingen enkel och lätt match, utan flertalet åtgärder måste vidas. Och inte bara en gång utan det är viktigt att jobba med dessa frågor långsiktigt och systematiskt.

Denna lista har CISA släppt för att försvåra ransomware-attacker:

  • Håll all mjukvara uppdaterad med senaste säkerhetspatchar, se även över hårdvara som behöver uppdateras. Kontrollera även så att mjukvara inte har blivit eller snart kommer att bli End-of-life (EOL)
  • Kontinuerligt genomför automatisk sårbarhetsskanning. Se även över tredjepartsbiblioteket som behöver uppdateras
  • Slå på säkerhetsfunktioner och stäng av tjänster som inte används, framförallt se över RDP. Och använd VPN samt MFA (multifaktorsautentisering). Övervaka alla inloggningar över RDP och se till att det finns inställning som är satt för antalet misslyckade inloggningsförsök.
  • Träna och utbilda anställda med bl.a. phishing-medvetenhet
  • Använd multifaktorsautentisering överallt och se till att långa unika lösenord används. Att inte lösenord återanvänds
  • Om Linux används se till att SELinux, AppArmor eller SecComp används för defence in depth
  • Vid nyttjande av molnlösningar se till att backup finnes på flertalet ställen åtskilda

Rekommendationer för att försvåra för angripare att ta sig vidare i nätverken och systemen:

  • Segmentera nätverket
  • Implementera end-to-end kryptering såsom mutual Transport Layer Security (mTLS) 
  • Använd nätverksintrångsdetektering för att se avvikelser på nätverksnivå
  • Dokumentera externa anslutningar
  • Inför tidsbaserad åtkomst för administrativa konton
  • Minimera konton och behörigheter som är administrativa
  • Håll backuper offline och testa att återställa dessa
  • Använd telemetridata och inte enbart lokalt utan även från molntjänster. Såsom hur APIer nyttjas, flow logs, token logs, nedladdningar osv

Här kan du ladda ner PDF-dokumentet med samtliga rekommendationer i sin helhet: