Virksomhedens CFO installerede et gratis Chrome-plugin. 14 dage senere lå kundedatabasen til salg på Dark Web.
Han tænkte slet ikke over det. Plugin’et ville jo spare ham tid. Det lå på Chrome Web Store med fine anmeldelser. Kun få klik, og så var det installeret. IT-afdelingen blev ikke spurgt. Og det virkede.
To uger senere begyndte der at ske mærkelige ting. En konkurrent nævnte detaljer om jeres kunder, de ikke burde kende til.
Det viste sig, at plugin’et sendte data ud af huset. Kundelisten var nu eksponeret online og klar til hvem som helst med onde hensigter.
Det sker oftere, end du tror
Velkommen til 2025, hvor supply chain-angreb og ondsindet open source-kode er hverdag. Og nu også i AI, Machine Learning-modeller og browser-udvidelser.
Hackerne går målrettet efter det, I stoler blindt på: Tredjepartsværktøjer og gratis kode, som sniger sig ind i jeres forretning.
Den hører til gennemgangen af hvorfor skygge-it er blevet et ansvarsproblem.
Open source-biblioteker
Næsten al software bruger open source, men 82 procent anses som risikable. I 2024 blev en skjult bagdør fundet i XZ Utils, en vigtig Linux-komponent. Den blev kun opdaget ved en tilfældighed.
En tilfældighed. Det var det eneste, der skilte millioner af systemer fra et massivt kompromittering.
AI-modeller
Et sikkerhedsteam fandt over 100 ondsindede ML-modeller på Hugging Face. Når man loader dem, kan de køre skjult kode og åbne bagdøre. Din virksomhed bruger måske allerede AI-værktøjer, der trækker på den slags modeller uden jeres viden.
Browser-plugins
I juli 2025 blev 18 populære Chrome- og Edge-udvidelser hijacket i “Operation RedDirection”. Mere end 2,3 millioner brugere fik afluret data og omdirigeret deres trafik via plugins, de stolede på.
Plugins med fine anmeldelser. Plugins fra officielle stores. Plugins, der virkede præcis som lovet, mens de i baggrunden sendte alt videre.
Det er ikke kun et IT-problem
Det er et ledelsesansvar. Og det handler om kultur.
Når vi bruger AI-modeller og open source-software, bygger vi oven på andres kode og data. Hvis ét led er svagt, kan det lamme hele driften. Også selvom I aldrig har hørt om PyTorch eller XZ Utils.
CFO’en i eksemplet gjorde ikke noget usædvanligt. Han installerede et værktøj, der skulle gøre hans arbejde lettere. Det gør vi alle sammen. Problemet er, at ingen havde fortalt ham, at det var en risiko. Ingen havde lavet en politik for det. Ingen holdt øje.
Sådan beskytter du din virksomhed
Lav due diligence på al software. Også AI, software-biblioteker og plugins. Hvis I ikke ved, hvor koden kommer fra, ved I heller ikke, hvad den gør.
Scan nye pakker og modeller for skjult kode. Før de tages i brug, ikke efter. Det kræver værktøjer og processer, men alternativet er at opdage problemet, når skaden er sket.
Begræns installation af plugins og overvåg systemrettigheder. Ikke alle medarbejdere behøver at kunne installere software frit. En simpel godkendelsesproces kan stoppe mange angreb.
Inkludér AI og browser-udvidelser i risikovurderinger. De fleste sikkerhedsmodenhedsvurderinger overser stadig disse områder. Det udnytter angriberne.
Kortlæg jeres forsyningskæde og patch hurtigt. Et leverandøraudit viser, hvor I er afhængige af tredjeparter, og hvor hullerne er.
IT-sikkerhed starter i ledelsen
Ikke i serverrummet. Ikke hos IT-afdelingen. I ledelsen.
Det er ledelsen, der sætter rammerne. Det er ledelsen, der beslutter, om der er budget til sikkerhed. Det er ledelsen, der vælger, om medarbejderne får awareness-træning, eller om man bare håber på det bedste.
Og det er ledelsen, der står til ansvar, når det går galt.
En cybersikkerhedsaudit giver jer overblik over, hvor I er eksponeret. Ikke kun de oplagte steder, men også de blinde vinkler som browser-plugins, AI-værktøjer og open source-afhængigheder.
Hvornår har I sidst fået en uafhængig gennemgang af jeres IT-sikkerhed?
Har du brug for at få kortlagt jeres reelle sikkerhedsniveau? Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
