Hva ville du gjort om hackere kontaktet deg, kunne bevise at de hadde stjålet psykolog-journalen din, og ba deg om å betale penger for at de ikke skulle offentliggjøre den?

Det var nettopp det som skjedde i Finland i fjor. Hackere fikk tilgang til datasystemene til en stor psykologkjede. De truet så med å offentliggjøre informasjon om 400 ansatte og rundt 40.000 pasienter, hvis de ikke fikk 40 bitcoin - 1,5 millioner dollar etter dagens kurs.

Selskapet nektet å betale, og hackerne bestemte seg derfor å bedrive utpressing av enkeltpersoner som de hadde fått journalen til. Beskjeden var klar: Betal 200 euro i bitcoin innen 24 timer, ellers offentliggjør vi innholdet.

Minst 300 personer ga ikke etter for kravet, og fikk data offentliggjort.

Les også: Bitcoin har et enormt problem - konkurrenten Ethereum skyter til himmels ved å løse det problemet

Trippelutpressing

Ifølge sikkerhetsselskapet Check Point er dette en del av en større trend som har utviklet seg i løpet av det siste året.

For noen år siden ble det vanlig med såkalte «løsepengevirus», der hackere kryptere all data på datamaskinen din. Ved å betale løsepenger ble man lovet at dataene skulle låses opp. Betalte man ikke, var informasjonen tapt for alltid.

Les også: Hackere krever 600 millioner kroner

Teknikken har blitt svært utbredt, og har satt mange selskaper og privatpersoner i svært vanskelige situasjoner. Ifølge Check Point er antall angrep av denne typen økt med 93 prosent på et halvt år, og gjennomsnittsutbetalingen er 310.000 dollar.

Men etter hvert har hackerne utvidet angrepet sitt:

• I tillegg til å kryptere informasjonen, stjeler de også informasjonen, og truer med å offentliggjøre hemmeligheter om ikke løsepenger betales
• Og det nye er at man også nå går på utpressing av andre som rammes av informasjonen man stjeles.

- Det første store angrepet der en brukte trippelutpressing var i Finland i oktober 2020. I noe tid så dette ut til å være et enkelttilfelle, men i april 2021 viste en annen hackergruppe at de hadde tatt i bruk teknikken, skriver Check Point.

De viser til den profesjonelle gruppen REvil, som rett og slett selger angrep som en tjeneste, angrep et selskap i Taiwan kalt Quanta Computer. Designselskapet er ikke godt kjent for folk flest, men jobber blant annet med design av av datamaskiner. På kundelisten står Apple, og selskapet jobbet blant annet med utvikling av Apple Watch og Macbook Pro.

Etter angrepet krevde hackerne 50 millioner dollar i løsepenger. Quanta ignorerte løsepengekravet, og de valgte i stedet å gå rett på kunden Apple, og krevde at de kjøpte tilbake designtegninger som de hadde offentliggjort. Tegningene ble trukket tilbake, og det spekuleres i at Apple betalte.

Det har også blitt rapportert at kunder av vanlige butikker, samt universiteter har blitt utsatt for lignende.

Hva gjør man i en slik sitasjon?

- Når man analyserer trippelutpressingsteknikken, dukker det opp en del spørsmål. Kan kunder kreve at selskapene som har blitt angrepet, betaler løsepengene som kreves av dem direkte? Kan forretningspartnere kreve det samme? Hva skjer om kunder mottar utpressingskrav før de i det hele tatt vet om at dataene er på avveie? Kan de kreve at selskapet betale hele løsepengekravet, spør Checkpoint retorisk i sin rapport.

Noe svar på spørsmålene har de ikke.

- Det ser ut som forretningsutviklingen til løsepengegruppene utvikler seg stadig for å finne mer innovative og fruktbare modeller. Tredjeparter som klienter, kollegaer og leverandører kan påvirkes kraftig av informasjonen som kommer på avveie, selv om deres egne systemer ikke har blitt angrepet. Om ytterligere løsepengekrav skulle komme eller ikke, så har de mye å tape om ting skulle gå galt. Tredjeparter er et naturlig mål for utpressing, og de vil kunne forbli på utpressernes radar fra nå av, skriver de.