MOVEit. GoAnywhere. Cleo. Oracle. Nu CentreStack. Samme hackergruppe. Samme metode. Fem år i træk.
Clop har et system. De finder filservere, der er eksponeret mod internettet. De udnytter en sårbarhed. De kopierer alt. Så sender de en besked: Betal, eller vi offentliggør.
For nyligt fandt sikkerhedsforskere over 200 sårbare CentreStack-servere på nettet. Clop er allerede i gang.
Det er ikke tilfældigt. Det er industrialiseret.
Omfanget er massivt
MOVEit i 2023 ramte over 2.000 organisationer globalt. Danske banker var blandt ofrene. Cleo-kampagnen i slutningen af 2024 ramte 400 virksomheder, primært i produktionssektoren.
Alene i første kvartal 2025 steg antallet af ransomware-angreb med 126 procent sammenlignet med året før.
Mønsteret er det samme hver gang: Filoverførselsløsninger, der skulle gøre det nemt at dele filer sikkert, bliver indgangen for angriberne.
Problemet er usynligt
Mange virksomheder ved ikke, at de bruger disse systemer. Eller at de er eksponeret.
Din IT-leverandør har måske sat en filserver op for fem år siden. Den kører stadig. Den er tilgængelig fra nettet, fordi det var praktisk dengang. Måske til hjemmearbejde. Måske til en ekstern samarbejdspartner. Ingen har tænkt over det siden.
Clop har.
De scanner systematisk. De finder. De venter på det rigtige tidspunkt, typisk om natten eller i weekenden. Og så slår de til.
To angrebsmetoder
I de seneste kampagner har Clop fokuseret på ren dataafpresning. De kopierer alt ud og truer med at offentliggøre det. Ingen kryptering, ingen låste systemer. Bare truslen om, at jeres kundedata, kontrakter og interne dokumenter bliver offentligt tilgængelige.
Andre grupper krypterer stadig, så du mister adgangen til dine egne systemer. Begge dele kan lukke din virksomhed.
Danmark er i farezonen
I Danmark var 2024 et rekordår for ransomware. Styrelsen for Samfundssikkerhed vurderer truslen som “meget høj”.
Og 40 procent af danske SMV’er har ifølge samme styrelse et sikkerhedsniveau, der ikke matcher deres risikoprofil. 15 procent mangler helt basale tiltag som opdateringer og backup.
Det er ikke et spørgsmål om, hvorvidt danske virksomheder bliver ramt. Det er et spørgsmål om hvornår.
Tre ting du kan gøre nu
For det første: Kortlæg hvad der er eksponeret. Spørg din IT-leverandør direkte: Hvilke af vores systemer kan tilgås udefra? Filservere, FTP, delte mapper. Hvis svaret er uklart, er det et rødt flag.
For det andet: Opdater filoverførselsløsninger. Bruger I MOVEit, Cleo, CentreStack, GoAnywhere eller lignende? Tjek for patches i dag. Ikke i morgen. CentreStack har netop udgivet en sikkerhedsopdatering efter de aktuelle angreb.
For det tredje: Stil krav til leverandører. Spørg jeres hostingfirma og IT-partner: Hvordan beskytter I jer mod denne type angreb? Clop rammer ofte indirekte via leverandørkæden. Jeres leverandørs sårbarhed er jeres sårbarhed.
Clop går efter de tilgængelige
Clop går ikke efter de mest sikre. De går efter de mest tilgængelige. Det kræver ikke avancerede hackere at finde en eksponeret filserver. Det kræver bare et scanningsværktøj og tålmodighed.
Ved du, om jeres filserver er synlig fra internettet lige nu?
Hvornår har I sidst fået foretaget en rigtig IT-sikkerhedsaudit?
En teknisk gennemgang kan afdække, hvilke systemer der er eksponeret, og om I bruger sårbare løsninger uden at vide det. For virksomheder, der vil have et samlet billede af deres sikkerhedsniveau, tilbyder vi cybersikkerhedsaudit, der dækker både tekniske og organisatoriske forhold.
Hvis I bruger eksterne leverandører til hosting eller IT-drift, kan en leverandøraudit sikre, at de lever op til de sikkerhedskrav, jeres virksomhed har brug for.
Vil du vide, om jeres systemer er eksponeret?
Hos Nielco IT hjælper vi virksomheder med at finde de sårbarheder, som ofte overses. Vi har ingen leverandørpartnerskaber og siger tingene, som de er.
Kontakt os eller ring på 70 13 63 23 for en uforpligtende snak.
