Efter et cyberangreb skal kunder, leverandører og medarbejdere have besked. Det er rigtigt og vigtigt. Men den måde, I kommunikerer på, kan skade de beviser, I får brug for senere. Mails bliver slettet for at “rydde op”, advarsler bliver sendt fra den konto, angriberen stadig har adgang til, og forhastede forklaringer bliver skrevet ned, før nogen ved, hvad der skete. Det korte svar: Kommunikér fra en sikker kanal, skriv kun det, I ved, og slet intet, før det er sikret.
De tekniske skridt efter et angreb står i bevissikring efter et cyberangreb. Her handler det om kommunikationen.
De typiske fejl
- Kompromitterede mails slettes fra “Sendt” · Beviset for, hvem der fik falske mails, forsvinder
- Advarsel sendes fra den ramte konto · Angriberen kan læse med, svare eller slette svarene
- Advarsel sendes til alle i adressebogen · Kunder, der ikke er berørt, bliver urolige, og svarene bliver uoverskuelige
- Årsagen beskrives, før den kendes · En forkert forklaring kan blive brugt mod jer senere
- Interne chatbeskeder med vurderinger og skyld · Kan blive bilag i en tvist med leverandør, kunde eller forsikring
Hvad gør I nu, i rækkefølge
- Udpeg én person, der ejer kommunikationen. Typisk direktøren eller en, direktøren udpeger. Andre henviser til den person.
- Vælg en sikker kanal. Brug ikke den kompromitterede konto. Er hele mailsystemet ramt, så brug telefon, en ren konto eller et andet system, IT har bekræftet er sikkert.
- Find ud af, hvem der faktisk er berørt. Bed IT trække en liste over modtagere af mails sendt fra den kompromitterede konto i den relevante periode. Gem listen. → Mailkontoen er overtaget
- Skriv en kort, faktuel besked. Hvad ved I, hvad skal modtageren gøre, og hvem kan de kontakte. Ikke mere.
- Gem alt, I sender og modtager. Beskeden, modtagerlisten, tidspunktet og svarene. Det er en del af dokumentationen.
- Aftal med advokaten, før I skriver om ansvar eller årsag.
Hvad skal der stå i beskeden?
En god besked til kunder efter en kompromitteret mailkonto kan indeholde:
- at I har haft en sikkerhedshændelse, og hvornår den blev opdaget,
- at modtageren kan have fået mails, der ikke kom fra jer, i en bestemt periode,
- hvad modtageren skal gøre: ikke betale til nye kontonumre, ikke klikke på links, gemme mistænkelige mails,
- at modtageren skal ringe til et bestemt nummer for at bekræfte betalingsoplysninger,
- hvem der er kontaktperson.
Lad være med at skrive, hvordan angrebet skete, hvis I ikke ved det. Lad være med at skrive, at “ingen data er kommet ud”, hvis det ikke er undersøgt. Skriv hellere “vi undersøger omfanget og vender tilbage”.
Bed modtagerne gemme mails, ikke slette dem
Når en kunde har fået en falsk mail fra jeres konto, er den mail et bevis. Den viser, hvad angriberen skrev, hvornår, og hvilke tekniske spor der følger med. Bed derfor kunder og leverandører om at gemme mistænkelige mails og sende dem til jer som vedhæftet fil, ikke som almindelig videresendelse, så de tekniske oplysninger følger med. Mange kunder sletter af gammel vane. En kort sætning i beskeden kan forhindre det.
Intern kommunikation
Medarbejderne skal også have besked, men det er her, mange skriver for meget. Interne chatbeskeder fyldes med gæt om årsag og skyld: “Det var garanteret IT-leverandørens fejl”, “Det var bogholderiet, der klikkede på linket”. Den slags beskeder kan senere blive en del af en tvist med leverandøren, kunderne eller forsikringen, og de er svære at forklare. → Alt, I skriver om sagen, kan blive bevis
Giv medarbejderne en kort, faktuel besked:
- hvad der er sket, i hovedtræk,
- hvad de skal gøre og ikke gøre, for eksempel ikke at slette mails og ikke at tale med pressen,
- hvem de skal henvende sig til med spørgsmål.
Bed dem tale med den ansvarlige frem for at diskutere hændelsen i fælles chatkanaler.
Hvis pressen ringer
Er hændelsen synlig udadtil, kan pressen ringe. Lad den ansvarlige svare, og hold dig til de samme fakta som i beskeden til kunderne. Sig, at I undersøger hændelsen, og at I vender tilbage, når I ved mere. Spekulér ikke i årsager eller i, hvem der står bag. → Pressen ringer midt i en intern sag
Opfølgning: den anden besked
Den første besked kommer tidligt og er kort. Efter nogle dage ved I mere, og mange kunder vil gerne have en opfølgning. Den anden besked er farligere end den første, fordi fristelsen er større til at forklare, berolige og lukke sagen. Hold jer til det, der er undersøgt. Skriv, hvad I har gjort for at lukke adgangen, og hvad kunderne fortsat skal være opmærksomme på. Gem også denne besked med modtagerliste og tidspunkt, og lad advokaten læse den, hvis der er risiko for krav.
Hvem gør hvad
- Direktør · Ejer kommunikationen, godkender beskeder
- IT · Bekræfter sikker kanal, trækker modtagerlister, gemmer mails
- Kundeansvarlige · Tager imod opkald og henviser til den ansvarlige
- Advokat · Læser med på beskeder om ansvar, persondata og krav
Det skal I lade være med
- Slet ikke kompromitterede mails i sendt post, indbakke eller papirkurv.
- Send ikke advarsler fra den ramte konto.
- Skriv ikke en forklaring, I ikke kan stå ved.
- Lov ikke kunder erstatning eller dækning i den første besked.
- Diskutér ikke skyld i fælles kanaler.
- Ryd ikke op i kundernes indbakker gennem fælles systemer, selv om I teknisk kan.
Når kommunikationen er en del af en underretning
Er persondata berørt, kan I have pligt til at give de registrerede besked. Den besked har sine egne krav til indhold, og den skal også dokumenteres. Lad den persondataansvarlige og advokaten stå for den, og brug den samme kanal og den samme tone som i den øvrige kommunikation.
Når hændelsen involverer IT-leverandøren
Hvis der er tegn på, at hændelsen skyldes forhold hos jeres IT-leverandør, så vær ekstra forsigtig med, hvad I skriver til dem og om dem. Hold kommunikationen faktuel, og lad advokaten se med, før I skriver om ansvar. → Cyberangreb: tvisten med IT-leverandøren
Hvornår skal I have hjælp udefra?
Hvis I er i tvivl om, hvilken kanal der er sikker, eller hvem der er berørt, kan en IT-sagkyndig hjælpe med at fastlægge det ud fra loggen. Hvis I forventer krav fra kunder eller en tvist med leverandøren, så få advokaten med i kommunikationen tidligt. Det er lettere at skrive den rigtige besked første gang end at rette op på en forkert. Og husk, at alt, I sender, gemmes hos modtageren, også når I fortryder det.
Læs også: NIS2: dokumentation, når hændelsen er sket · DLP-alarmen gik: hvad gør I nu?
→ Hacket eller snydt? Hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
