De fleste råd om forebyggelse af databrud, herunder vores egen vejledning i at forhindre databrud, fokuserer på at holde angribere ude af Deres virksomheds netværk. Brug af stærkere legitimationsoplysninger, modstandsdygtighed over for phishing, opdaterede systemer og godkendte leverandører er alle nøglekomponenter i denne praksis. De er alle væsentlige tiltag, men de kan ikke være Deres eneste taktikker til beskyttelse mod databrud: De hjælper Dem ikke, hvis en angriber formår at trænge ind i Deres netværk.
At få adgang og datatyveri er to forskellige ting. En angriber, der kompromitterer én indbakke, én bærbar computer eller én leverandørforbindelse, har endnu ikke stjålet noget. De har fået fodfæste, og hvad der sker mellem dette fodfæste og det øjeblik, hvor data forlader bygningen, er en fase, som de fleste sikkerhedsvejledninger for mindre virksomheder springer helt over, fordi det ikke kun handler om at sikre Deres netværk; det handler også om at opdage, at data flyttes ud af det.
Denne fase kaldes eksfiltrering, og den varer typisk i dagevis eller strækker sig endda over flere måneder uden at blive opdaget. Det er muligt på grund af værktøjer og kanaler, der ser helt almindelige ud for enhver, der ikke specifikt holder øje med dem. Notifikationer om databrud ankommer ofte sent – ikke fordi organisationer var skødesløse med det indledende kompromis, men fordi angriberen ikke blev opdaget inde i virksomhedens netværk.
Eksfiltreringsfasen: Hvad sker der mellem adgang og tyveri
Sådan ser dataeksfiltrering ud
Hvorfor er eksfiltrering svær at få øje på?
Hvad virksomheder bør overvåge for
Hvordan tidlig opdagelse kan ændre Deres juridiske position
Hvad sker der med eksfiltrerede virksomhedsdata?
Begræns, hvad en angriber kan nå
Eksfiltreringsfasen: Hvad sker der mellem adgang og tyveri
Når en angriber først får adgang, uanset om det er via en phishing-e-mail, stjålne legitimationsoplysninger eller en kompromitteret leverandørforbindelse, går vedkommende sjældent direkte til at stjæle data. Hvis man handler med det samme, risikerer man at udløse en advarsel, før man har fundet noget af værdi, så det mest almindelige mønster er tålmodighed.
Angriberen bruger tid på at kortlægge miljøet, herunder:
- Hvor økonomiske optegnelser er lagret
- Vurdering af, hvilke SaaS-værktøjer der indeholder kundedata
- Find frem til konti med den bredeste adgang
- Registrering af, om der er aktivitets-overvågning på plads.
Denne rekognosceringsfase kan tage tid. Nogle angribere rykker inden for få timer, især i opportunistiske ransomware-angreb, hvor hastighed betyder mere end ubemærkethed. Andre, især i sager centreret om langsigtet datatyveri eller spionage, forbliver integreret i uger eller måneder og lærer normale aktivitetsmønstre godt nok at kende til at glide ubemærket ind i dem.
Uanset hvad, ved angriberen normalt allerede præcis, hvad de vil have, og hvilken konto eller hvilket system der giver dem mulighed for at tage det uden at udløse en alarm, når de begynder at flytte data ud.
Sådan ser dataeksfiltrering ud
Ondsindet eksfiltrering er svær at få øje på, fordi den ligner dagligdags aktiviteter. IT-administratorer kigger ikke efter dataoverførsler, der er en smule større end sædvanligt, eller mapper, der synkroniseres til steder, hvor de ikke burde være.
Store eller usædvanlige dataoverførsler
Dette er den mest direkte form for eksfiltrering. For eksempel kan en konto pludselig trække gigabytes fra en filserver eller database, som den normalt kun sjældent berører, eller foretage masseeksport fra en CRM- eller HR-platform.
I miljøer med stor SaaS-anvendelse sker eksfiltrering ofte via platformens egne eksportfunktioner: masse-CSV-downloads, PDF-eksporter af kunderegistre eller en række skærmbilleder af et kontrolpanel, der slet ikke har nogen eksportknap.
Et typisk tilfælde kan se sådan ud: En kompromitteret HR-konto bruges over flere uger til at foretage små, forskudte eksporter af medarbejderregistre i stedet for én iøjnefaldende massedownload. Hver enkelt eksport ser i sig selv upåfaldende ud og ligger helt inden for, hvad en HR-platform forventer, at en person i denne rolle gør.
Det er kun mønsteret over flere uger – hvor den samme konto eksporterer lignende data med mærkelige intervaller – der afslører, hvad der foregår, og dette mønster bliver kun synligt for en virksomhed, der leder efter det.
Kompromittering af indbakke
En angriber, der kompromitterer en postkasse til virksomheds-e-mail, kan oprette en regel, der i stilhed kopierer hver besked – eller hver besked, der matcher bestemte søgeord – til en ekstern adresse, hvilket giver vedkommende et løbende feed med følsom korrespondance, længe efter at den oprindelige phishing-e-mail er glemt.
Kompromittering af skylagerplads
Personlig skylagerplads er en anden almindelig rute. En medarbejders kompromitterede bærbare computer eller en kompromitteret konto med adgang til virksomhedsfiler kan bruges til at kopiere dokumenter over i en personlig Dropbox, et Google Drev eller en lignende tjeneste – en overførsel, der ofte ser identisk ud med en legitim sikkerhedskopi af filer, medmindre nogen kontrollerer, hvor dataene endte.
Hvorfor er eksfiltrering svær at få øje på?
Den ubehagelige sandhed om eksfiltrering er, at det normalt slet ikke kræver malware(nyt vindue). En angriber, der bruger en kompromitteret konto til at eksportere en rapport, videresende nogle e-mails eller uploade filer til et skydrev, anvender de samme værktøjer og tilladelser, som en legitim medarbejder bruger hver dag.
Der er ingen mistænkelig eksekverbar fil, som antivirussoftware kan markere, eller usædvanlige processer, som endepunktsregistrering kan fange, fordi intet ved aktiviteten er teknisk unormalt. Det ser kun forkert ud i kontekst, og kontekst er præcis det, som de fleste sikkerhedsværktøjer til mindre virksomheder ikke er bygget til at vurdere.
Dette er grunden til, at perimeterfokuseret forsvar, uanset hvor godt det er implementeret, ikke er nok i sig selv. En virksomhed kan gøre alting rigtigt ved adgangspunktet – håndhæve stærke legitimationsoplysninger, træne medarbejdere mod phishing, opdatere alle systemer – og stadig ikke have nogen mulighed for at vide, at en kompromitteret konto støt flytter filer til en ekstern destination, fordi denne aktivitet i udgangspunktet aldrig var beregnet til at se mistænkelig ud.
Sikkerhedsforskere kalder undertiden dette for “living off the land”: at bruge målets egen legitime software, skyintegrationer og administrative værktøjer i stedet for at bruge værktøjer, som et antivirusprodukt ville genkende som illegitime.
En filsynkroniseringsklient, en indbygget eksportfunktion eller en standard e-mail-regel er ikke ondsindede værktøjer i sig selv. Derfor kan en angriber, der benytter sig af dem, operere så længe uden at udløse noget, der er designet til at fange malware.
Hvad virksomheder bør overvåge for
At opdage eksfiltrering tidligt handler om at holde øje med et lille antal specifikke signaler snarere end at scanne bredt efter mistænkelig aktivitet.
Trafik og eksporter
Usædvanlige datamængder eller overførselsdestinationer fortjener den største opmærksomhed. Deres organisation bør holde øje med stigninger i udgående trafik, masseeksport fra et system, der normalt ikke udfører dette, eller enhver overførsel rettet mod en destination, De ikke genkender.
NCSC’s vejledning om datasikkerhed(nyt vindue) anbefaler specifikt at logge adgang til følsomme data og overvåge for usædvanlige forespørgsler eller forsøg på masseeksport, netop fordi dette mønster er et tegn på, at noget har overskredet normal brug.
Regler for e-mail-videresendelse
Regler for e-mail-videresendelse bør revideres direkte, især for enhver konto, der har været involveret i en formodet phishing-hændelse. En regel, der i al stilhed videresender beskeder til en ukendt adresse, kan forblive ubemærket i månedsvis, og det er en af de nemmeste ting at kontrollere, når man først ved, hvad man skal kigge efter.
Usædvanlige logins
Loginaktivitet fra uventede placeringer eller tidspunkter er et signal, der bør tages alvorligt. Et login klokken 3 om natten fra et land, som virksomheden ikke har nogen tilstedeværelse i, er ikke et bevis i sig selv, men sammenholdt med en dataoverførsel omkring samme tidspunkt er det en detalje, der kan bekræfte en hændelse.
Aktivitet på administratorkonti uden for arbejdstiden fortjener særlig granskning, da administratorkonti typisk har den bredeste adgang til et system og netop af den grund er et foretrukket mål.
Aktivitet på disse konti sent om aftenen, i weekender eller i perioder, hvor den faktiske administrator vides ikke at være til stede, er en af de mere pålidelige indikatorer for, at en konto – og ikke blot en enhed – er blevet kompromitteret.
Hvordan tidlig opdagelse kan ændre Deres juridiske position
Under både EU’s GDPR og Storbritanniens GDPR giver artikel 33(nyt vindue) organisationer 72 timer til at underrette den relevante tilsynsmyndighed, når de bliver opmærksomme på, at der er sket et brud på persondatasikkerheden; ICO i Storbritannien(nyt vindue) eller den nationale databeskyttelsesmyndighed i hvert EU-medlemsland.
Kravet er i det væsentlige det samme for alle jurisdiktioner: Uret starter for Deres organisation i det øjeblik, De bliver opmærksom på hændelsen, og ikke fra det øjeblik, hvor databruddet faktisk fandt sted. Derfor er grundig overvågning af eksfiltrering så vigtig for overholdelse af reglerne – ikke blot af hensyn til sikkerheden.
En virksomhed, der opdager eksfiltrering tidligt gennem revision af videresendelsesregler, overvågning af overførsler eller advarsler om usædvanlige logins, kan underrette proaktivt på sin egen tidsplan og med et rimeligt klart overblik over, hvad der blev taget.
En virksomhed, der først opdager et databrud uger eller måneder senere – ofte fordi en kunde klagede, eller stjålne data dukkede op på et kriminelt forum – underretter reaktivt under pres, ofte med et ufuldstændigt billede af omfanget og med en tilsynsmyndighed, der spørger, hvorfor det tog så lang tid at opdage.
Forskellen rækker ud over, hvordan Deres omdømme påvirkes. Den præger, hvordan hele hændelsen vurderes, og hvor meget råderum en tilsynsmyndighed er tilbøjelig til at give.
Hvad sker der med eksfiltrerede virksomhedsdata?
Protons Data Breach Observatory sporer, hvad der dukker op på det mørke net, når et databrud har fundet sted, og mønsteret giver et nyttigt realitetstjek af, hvad eksfiltrering reelt er ude efter.
Ifølge 2026-opdateringen fra Data Breach Observatory optræder navne og e-mailadresser i næsten ni ud af ti sporede databrud, kontaktdetaljer som telefonnumre og fysiske adresser ses i omkring tre fjerdedele af dem, og adgangskoder afsløres i næsten halvdelen.
Mere følsomme kategorier – offentligt udstedte ID’er, sundhedsjournaler og andre personhenførbare oplysninger – optræder i lidt over en tredjedel af databrudene, mens direkte finansielle oplysninger dukker op i en mindre andel, omkring ét ud af tyve.
SMV’er udgør størstedelen af de databrud, som Observatoriet registrerer, og de er uforholdsmæssigt stærkt repræsenteret blandt de hændelser, der involverer de mest følsomme datakategorier.
Denne kombination – hyppig målretning og en høj grad af eksponering af følsomme data – stemmer overens med den type eksfiltrering, denne artikel beskriver: Angreb, der finder sted over en lang periode inden for en mindre organisations systemer, har en tendens til at give større udbytte, fordi ingen vidste, at data blev lækket, og angriberne kunne tage alt.
Begræns, hvad en angriber kan nå
Overvågning af eksfiltrering fanger data på vej ud, men problemets omfang afgøres tidligere af, hvad en kompromitteret konto overhovedet kan få adgang til i første omgang. En angriber, der får adgang til en konto med brede, ubegrænsede tilladelser, kan trække data fra langt flere systemer end en angriber, der kompromitterer en konto, som er strengt begrænset til, hvad den specifikke rolle behøver.
Unikke legitimationsoplysninger på hver konto kombineret med adgang, der er begrænset til det, en rolle reelt kræver, mindsker eksfiltreringsoverfladen direkte. Hvis en kompromitteret marketingkonto kun kan få adgang til marketingsystemer, er det værst tænkelige scenario afgrænset fra start frem for at afhænge af en angribers tilbageholdenhed eller et overvågningssystem, der opdager dem i tide.
Dette er den samme inddæmningslogik, der generelt begrænser skadesomfanget ved et databrud baseret på legitimationsoplysninger: Den konto, der bliver kompromitteret, bør kun nogensinde kunne lække det, den legitimt havde tilladelse til at tilgå.
En adgangskodeadministrator til virksomheder som Proton Pass for Business gør denne afgrænsning realistisk at opretholde, da det fjerner fristelsen til at genbruge et bekvemt sæt brede legitimationsoplysninger på tværs af værktøjer, blot fordi manuel håndtering af unikke oplysninger ikke kan skaleres.
Når hver konto har sine egne legitimationsoplysninger, og adgang vurderes i forhold til, hvad en rolle faktisk har brug for, ophører en enkelt kompromitteret konto med at være en genvej til hele organisationens data og bliver i værste fald en afgrænset hændelse.
Proton Pass for Business kan hjælpe Deres virksomhed med:
- Team-politikker, der kan tilpasses, og som hjælper Dem med at håndhæve Deres adgangskodepolitik med adgangskodekrav, obligatorisk to-faktor-godkendelse (2FA) og tilbagekaldte regler for datadeling
- Brugslogger, der giver Dem mulighed for at se aktivitet i Deres netværk, med yderligere support fra vores avancerede højsikkerhedsprogram Proton Sentinel
- Grupper opdelt efter rolle, projekt eller adgangsniveau, hvilket forenkler adgangsstyring og sikrer, at hvert teammedlem kun har adgang til det, vedkommende har brug for.
Stop dataeksfiltrering baseret på legitimationsoplysninger med en adgangskodeadministrator til erhverv.
