...

Leverandørangreb

Hvordan de kommer ind gennem nogen, I stoler på

Ingen brød ind gennem jeres firewall. De kom ind gennem revisoren. Gennem lønbureauet. Gennem den leverandør, der har fjernadgang til jeres servere, fordi det var praktisk.

Verizon opgør i sin Data Breach Investigations Report for 2025, at 30 procent af alle bekræftede databrud nu involverer en tredjepart. Det er en fordobling.

Samtidig bruger 73 procent af danske SMV'er eksterne leverandører til IT-sikkerhed. Styrelsen for Samfundssikkerhed vurderer, at 40 procent af dem har et sikkerhedsniveau, der ikke matcher deres risikoprofil.

Angrebsfladen er altså flyttet ud af huset. Kontrollen er sjældent flyttet med.

Det gælder også den anden vej. Er I selv leverandør til en større kunde, er I nu det led, nogen andre bliver angrebet igennem.

Hvorfor det gentager sig

Adgangen blev givet én gang og aldrig taget tilbage: Leverandøren fik administratorrettigheder under implementeringen. Projektet sluttede. Adgangen blev stående, permanent og uovervåget.

Én leverandør betjener mange kunder: Angriberen behøver ikke bryde ind hos jer. Det er billigere at bryde ind ét sted og komme videre til hundredvis. Det er samme regnestykke som en hovednøgle.

Leverandøren kontrollerer sit eget arbejde: Samme part leverer løsningen, vurderer sikkerheden og rapporterer resultatet. Det giver en grøn rapport og en ubesvaret risiko.

Ledelsen har ikke taget stilling: Styrelsen for Samfundssikkerhed har analyseret over 4.500 danske SMV'er. 17 procent af ledelserne tager ikke eller kun i lav grad stilling til leverandørsikkerhed.

Ingen ejer opgaven: Indkøb forhandler kontrakten. IT giver adgangen. Ledelsen hæfter. Ingen af de tre følger op bagefter, fordi det ikke står nogen steder, at de skal.

Angrebet kom ind gennem en, I selv havde givet adgang

Fem sager. Fælles for dem er, at ingen brød ind hos offeret. De brød ind hos nogen, offeret havde en aftale med.

• Hackeren gik efter outsourcing-partneren: 6,8 millioner brugeres data hentet ud på 24 timer. Verizon opgør, at over en tredjedel af alle databrud nu stammer fra tredjeparter.
• Angrebet gik efter laboratoriet, ikke efter kunden: Et hollandsk laboratorium opbevarede 850.000 patienters sundhedsdata for et nationalt screeningsprogram. Datatilsynet har varslet skærpet tilsyn med store databehandlere i 2026.
• Leverandørens sårbarhed blev kundens: 36.635 danskere fik besked om, at deres persondata var lækket. Bruddet skete ikke hos den organisation, de havde givet data til.
• 700.000 konti lækket fra et nyhedsbrevsværktøj: Platformen bruges også af danske virksomheder. Ingen af dem havde selv en sårbarhed.
• Fjernadgangsværktøjet blev indgangen: Én kompromitteret medarbejderkonto hos leverandøren gav adgang til mange kunder på én gang.

Én leverandør, mange ofre

Her er skalaen pointen. Angriberen valgte det led i kæden, hvor ét brud gav flest mulige ofre.

• 80 banker hacket via én fælles leverandør: 823.000 kunder berørt. Ingen af bankerne var selv angrebet.
• Én leverandør hacket, 200 kommuner berørt: Fælles IT betyder også fælles nedetid.
• 800 butikker lukket af et firma, de aldrig havde hørt om: Butikskæden havde ingen aftale med den hackede leverandør. Den lå to led nede i kæden.
• To læk på ni måneder, begge gennem leverandører: 815.000 rækker kundedata. Samme virksomhed, to forskellige tredjeparter.
• 23.000 CPR-numre lækket via en leverandør: Bruddet skete hos leverandøren. Datatilsynet kontakter kommunen.

Ansvaret bliver liggende hos jer

Det er den del, der overrasker flest. Databehandleraftalen flytter opgaven. Den flytter ikke ansvaret.

• NIS2 gør leverandørstyring til ledelsens ansvar: Rigsrevisionen kritiserede Statens IT for kendte sårbarheder i netværksudstyr, der betjener 23 ministerier. 91 procent af udstyret kunne have været opdateret med rettelser, der allerede lå klar.
• Leverandøren bør ikke auditere sit eget arbejde: 73 procent af danske SMV'er bruger eksterne leverandører til IT-sikkerhed. Kontrollen ligger ofte samme sted som leverancen.
• Administratoradgangen er permanent og uovervåget: Rettigheden blev givet under implementeringen og aldrig taget tilbage.
• IT-leverandøren blev hacket i nat: En af verdens største IT-distributører gik ned den 3. juli 2025. Fire dage senere var den stadig offline. Forhandlere kunne ikke levere, licenser ikke fornys, support ikke nås. Et dansk hostingfirma gik konkurs efter et tilsvarende angreb året før.
• Kunden kræver dokumentation for jeres sikkerhed: Kravet vandrer nedad i kæden. Er I leverandør til en NIS2-omfattet kunde, kommer det til jer gennem kontrakten. Uden dokumentation taber I ordren til en, der har den.
• Seks spørgsmål til cloud-leverandøren: Hvor ligger data, hvilken juridisk enhed leverer, hvilken lov er den underlagt, hvem har adgang, hvad koster en exit, og kan I få en log. De fem kan en sælger besvare.

Hvad NIS2 konkret kræver

NIS2 trådte i kraft i Danmark 1. juli 2025. Alle kommuner, regioner og statslige myndigheder er omfattet. Det samme er en lang række private virksomheder i de udpegede sektorer.

Direktivet kræver dokumentation for fire ting: risikostyring, håndtering af hændelser, forretningskontinuitet og leverandørstyring. Det sidste er det, de fleste er dårligst forberedt på.

Kravet vandrer desuden nedad. Er I leverandør til en omfattet kunde, kommer kravet til jer gennem kontrakten, uanset om I selv er omfattet af loven.

Ansvaret ligger hos ledelsen. Det kan ikke uddelegeres til den leverandør, der udfører arbejdet.

Hvad der går galt, når forsvaret bygges

Databehandleraftalen bliver forvekslet med kontrol: Aftalen beskriver, hvad leverandøren skal. Den fortæller ikke, om leverandøren gør det. Det kræver en efterprøvning.

Kortlægningen stopper ved første led: I kender jeres leverandører. Færre kender leverandørernes leverandører. Butikskæden i sagen ovenfor blev lukket af et firma to led nede.

Adgangen bliver ikke gennemgået: Ingen holder løbende øje med, hvem der har hvilke rettigheder, og om de stadig er nødvendige. Rettigheder samler sig over år.

Exit er ikke beskrevet: Hvad sker der med jeres data, når samarbejdet slutter. Hvem sletter hvad, og hvem bekræfter det.

Der er ingen plan for leverandørens nedetid: Beredskabsplaner dækker som regel egne systemer. Går leverandøren ned, er det ikke jeres systemer, der fejler. I kan bare ikke arbejde alligevel.

Hvad I kan gøre

1. Lav en liste over, hvem der har adgang til hvad: Ikke hvilke firmaer I handler med, men hvilke konti der kan logge ind, med hvilke rettigheder, og hvornår de sidst blev brugt.
2. Bed hver kritisk leverandør om dokumentation fra tredjepart: En revisorerklæring eller en ekstern rapport, ikke leverandørens eget selvskema.
3. Spørg til andet led: Hvem er jeres leverandørs leverandører, og hvad sker der hos jer, hvis en af dem går ned.
4. Sæt varslingspligt og exit i kontrakten, næste gang aftalen fornys: Hvor hurtigt skal I underrettes ved et brud, og hvad sker der med jeres data ved ophør.
5. Beslut i ledelsen, hvem der ejer leverandørsikkerheden: NIS2 lægger ansvaret hos ledelsen. Uden en navngiven ejer bliver det ingens opgave.

Hvilken ydelse afdækker det

En leverandøraudit kortlægger, hvem der har adgang til jeres data gennem nogen, I selv har hyret. Den ser på rettigheder, aftaler, varslingspligt og på, hvad der ligger i andet led.

Skal det dokumenteres over for et tilsyn eller en kunde, er en NIS2-audit det format, der bliver bedt om.

Jeg sælger ikke produkter og har ingen leverandørpartnerskaber. Vurderingen af jeres leverandører sker derfor uden hensyn til aftaler, jeg selv har.

Beslægtede mønstre

Når leverandørangrebet er lykkedes, bliver spørgsmålet, hvor hurtigt I kan komme tilbage. Det behandles under ransomware og backup.

Alle ni mønstre ligger samlet under cybersikkerhed.

Find ud af, hvem der har adgang hos jer

Ved I, hvilke eksterne konti der kan logge ind på jeres systemer lige nu? Og hvornår de sidst blev brugt?

Ring på 70 13 63 23 eller udfyld formularen.

Så tager vi en snak om jeres leverandører og finder ud af, om jeg kan hjælpe.