" Hacker-gruppen Lockbit.2.0 håller just nu företag världen över gisslan med en ny utpressningsmetod. På darknet pågår nedräkningen för Aktieinvest och Transdev. Vägrar de betala hotar angriparna med att offentliggöra affärshemligheter och kunduppgifter. Det hände nyligen ett annat svenskt bolag.

01.00 natten till söndag går tiden ut för den globala transportjätten Transdev. 200 gigabyte av företagets data kommer då att offentliggöras, hotar Lockbit.2.0.

”Oj, oj, oj”, säger Eva Tiséus, kommunikationsdirektör på Transdev Sverige och ber att få återkomma.

08.02 på söndag morgon går tiden även ut för börsmäklarföretaget Aktieinvest, som har 60.000 svenska småsparare som kunder.

Attacken skedde den 27 september och bolaget stängde ner sin handelsplattform som en säkerhetsåtgärd.

I ett mejl till HD och Sydsvenskan uppger Aktieinvest att endast administrativa system drabbades och att de lyckats återställa dessa igen. ”Inget har gått förlorat.”

Företaget uppger också att angriparna bara kommit åt ”en mycket liten del av den data” som funnits på interna servrar. Av bland annat den anledningen, men också för att det inte finns några garantier för att utpressningen upphör, tänker bolaget inte betala lösensumman.

62 gigabyte stulen data från Aktieinvest kommer därför att offentliggöras 08.02 på söndag.

Vilka uppgifter Lockbit.2.0, kommit över är oklart, men skadeverkningarna kan bli förödande, bedömer säkerhetskonsulten Linus Kvarnhammar som följer utvecklingen på darknet.

”Om du inte förberett dig och byggt en it-miljö för att spåra exfiltrering (olovlig kopiering av data) är det jättesvårt att i efterhand ta reda på vilken data det handlar om”, säger han.

”Det kan ju vara 62 gig av den mest intressanta datan: Det vet vi inte förrän de släppt den.”

Enligt Linus Kvarnhammar är detta första gången denna nya variant av ransomware-attack används.

”Hot om läckor har funnits ett bra tag, men det är första gången jag ser hot om att läcka till allmänheten, i den här omfattningen, och mot svenska företag”, säger han.

138 företag världen över har redan fått stulen data läckt, för ytterligare 23 tickar klockan.

Jönköpingsbaserade Prototal Industries, som omsätter över 400 miljoner om året, vägrade att betala. Lockbit.2.0 fullföljde nyligen sitt hot och offentliggjorde nyligen avtal, patientuppgifter, lönespecifikationer, budgetar och andra dokument som kan innehålla affärshemligheter.

Vad kan ett företag göra när attacken väl är genomförd?

”Då är de rökta, alltså. Jag sitter här med ett läkarintyg till en anställd på Prototal. Han har inte en chans att radera det och det har inte Prototal heller. Det är det som är så hemskt – man måste börja jobba mer preventivt istället för reaktivt när det gäller it-säkerhet”, säger Linus Kvarnhammar.

Nästan alla ransomware-attacker kommer från Ryssland. Utskicken med skadlig kod skickas till tusentals adresser, varpå mer riktade attacker skickas mot ”de lägst hängande frukterna”, fortsätter Linus Kvarnhammar.

”Man behöver inte springa ifrån ett lejon, det räcker att man springer snabbare än den som springer sist”, säger han.

Prototal Industries bekräftar att de polisanmält ett dataintrång: ”Det är allvarligt och beklagligt att vi blivit utsatta för detta och vi är måna om att göra det vi kan för att skydda både kunder och medarbetare. Vi har ett avancerat it-skyddssystem och vi måste få fram fakta kring hur detta har gått till för att stärka det ytterligare”, säger vd:n Jan Löfving i det skriftliga meddelandet."