Vad ransomware gör med ett dokumenthanteringssystem
Ransomware krypterar de filer som den kommer åt och kräver sedan en lösensumma mot nyckeln. I ett dokumenthanteringssystem agerar den med behörigheterna för det konto eller den dator som den har infekterat. Tre mekanismer förvärrar skadan:
- synkroniseringen: den infekterade datorn krypterar sin lokala kopia, och synkroniseringsklienten skickar sedan de krypterade filerna till servern, som en vanlig ändring, och därifrån till de andra enheterna;
- historiken: varje krypterad fil blir en ny version. Den gamla versionen kan rädda situationen, utom om angriparen har tillräckliga behörigheter för att rensa historiken och papperskorgen;
- säkerhetskopieringen: ANSSI konstaterar att en angripare ofta försöker kryptera, radera eller slå ut infrastrukturen för säkerhetskopiering, för att förhindra återuppbyggnad.
Vissa angrepp kopierar också data innan de krypteras. Återställningen gör filerna användbara igen. Den löser inte den delen, som hör till krishanteringen och, om det finns personuppgifter, till GDPR.
Begränsa räckvidden
Man kan inte lova att ingen dator blir infekterad. Man kan begränsa vad en infekterad dator eller ett infekterat konto kan nå.
Skrivbehörigheter
Ett konto som bara kan läsa en mapp kan inte kryptera den. Referensmappar (mallar, rutiner, signerade avtal) kan vara skrivskyddade för de flesta. Behörigheter sätts per grupp och per mapp, inte enligt principen ”alla ändrar allt”.
Administratörskonton
ANSSI rekommenderar att dessa konton begränsas till det absolut nödvändiga. De ska vara personliga, skyddade med tvåfaktorsautentisering och inte användas i det dagliga arbetet.
Externa länkar
En länk som ger en okänd person ändringsbehörighet är en dörr. Länkar som går ut har lösenord, slutdatum och i regel bara läsbehörighet.
Synkroniserade datorer
Synkronisera bara de mappar som behövs på varje dator. Låt känsliga mappar finnas kvar i webbläsaren. Installera uppdateringar snabbt: ANSSI påminner om att det är avgörande att göra det inom kort tid och enligt en kontrollerad process. Den vanligaste vägen in är fortfarande e-posten: se bilagor, länkar och ransomware.
Varför säkerhetskopian måste vara utom räckhåll
En säkerhetskopia som nås med samma konto som produktionen krypteras tillsammans med den. Tre former av åtskillnad skyddar den:
- en annan inloggning: ANSSI kräver personliga, dedikerade administratörskonton för säkerhetskopieringen och en infrastruktur som är oberoende av produktionens katalogtjänster;
- oföränderlighet: en skriven säkerhetskopia kan inte längre ändras eller raderas under sin lagringstid;
- en annan plats, och om möjligt en offlinekopia: ANSSI bedömer den som oumbärlig och mer robust än en oföränderlig säkerhetskopia som förblir online.
Kvar står djupet. Ett intrång kan förbli oupptäckt i flera veckor före krypteringen. Om lagringstiden är kortare än så kan alla tillgängliga säkerhetskopior innehålla angriparen eller filer som redan är skadade.
Återställningsordningen
Återställningen är ingen knapp. Den är en följd av steg, och ordningen spelar roll.
- Begränsa. Isolera de infekterade datorerna från nätverket, stäng av komprometterade konton, inaktivera synkroniseringen och de externa länkarna inom det drabbade området. ANSSI råder också till att föra en tidsstämplad händelselogg, att koppla från säkerhetskopieringsmedierna efter att ha kontrollerat att de är rena, och att undvika att bryta strömmen till maskinerna, vilket kan radera användbara spår.
- Datera starten. Identifiera den första krypterade filen, och det konto och den dator som ligger bakom. Det är detta som bestämmer återställningspunkten.
- Välj återställningspunkten före krypteringen, med marginal om datumet är osäkert.
- Återställ i en ren miljö. ANSSI rekommenderar att man installerar om från ett känt medium och sedan återställer data från en säkerhetskopia från tiden före intrånget. När verktyget tillåter det undviker man att skriva över arbete som gjorts på annat håll sedan dess genom att bara återställa det drabbade området.
- Kontrollera. Öppna filer på måfå, kontrollera att inga krypterade filer finns kvar, täpp till säkerhetsluckan som användes för intrånget, byt lösenord.
- Öppna åtkomsten igen stegvis. Datorerna synkroniseras på nytt från den återställda servern, aldrig tvärtom. En dator som inte har rensats och som ansluter igen skickar tillbaka sina krypterade filer.
Parallellt rekommenderar ANSSI att aldrig betala lösensumman, att spara krypterade data (en nyckel kan publiceras senare), att polisanmäla, och att krisgruppen anmäler till CNIL vid en personuppgiftsincident.
Vad som går förlorat: RPO i praktiken
Ett hypotetiskt fall. En byrå med tjugo anställda säkerhetskopierar sina dokument varje timme. På måndagen kl. 9.15 börjar en synkroniserad dator kryptera mappen ”Kunder”. Larmet går kl. 10.05.
Den senaste rena punkten är säkerhetskopian från kl. 9.00. Mappen ”Kunder” återgår till sitt läge kl. 9.00. Ändringar som gjorts mellan 9.00 och 9.15 i den mappen går förlorade. Ändringar i andra mappar gör det inte, om återställningen begränsas till den drabbade mappen. Sekreteraren som sparade tre brev kl. 9.10 hittar dem i sin e-post och laddar upp dem igen.
Det är detta som RPO mäter, maximal acceptabel dataförlust: avståndet mellan återställningspunkten och incidenten. RTO, maximal acceptabel avbrottstid, mäter något annat: tiden innan teamen kan arbeta igen. Båda bestäms före incidenten, inte under den.
Vanliga misstag
- Att återställa innan man har begränsat. Datorn som fortfarande är ansluten krypterar de återställda filerna igen.
- Att synkronisera om från den infekterade datorn. Den lokala kopian är den krypterade kopian.
- Att lita på papperskorgen. Den innehåller inte ändrade filer, bara raderade filer.
- Att upptäcka lagringstiden samma dag som det händer. Om intrånget skedde för sex veckor sedan och lagringstiden är trettio dagar blir det svårare att välja återställningspunkt.
Var Klytic står
För Klytic Docs görs säkerhetskopior varje timme. De är krypterade, oföränderliga, replikerade på flera platser, övervakade och sparas i 30 dagar, och återställningar testas varje månad. Målen är en RPO under 2 timmar för dokumenten och en RTO under 4 timmar. Återställningen begärs hos Klytics support, med uppgift om vad som berörs och ungefärligt datum. Den ingår när förlusten beror på ett fel i Klytics tjänst. Efter ransomware eller ett kapat konto hos er ingår återställningen också om era datorer var korrekt skyddade: uppdateringar installerade, antivirus aktivt. Om de var otillräckligt skyddade hanteras den som ett avgiftsbelagt supportärende, på samma sätt som en återställning efter ett felgrepp. Detaljerna finns på sidan säkerhet och säkerhetskopiering.
När det gäller förebyggande har Klytic Docs behörigheter per person, per grupp och per mapp, tvåfaktorsautentisering, en åtkomstlogg och lösenordsskyddade länkar med slutdatum. På Klytics sida är den tekniska åtkomsten begränsad till drift och support, personlig och loggad.
Begränsningarna: trettio dagars lagringstid täcker inte ett intrång som upptäcks senare. Klytic återställer sina tjänster; rensningen av era datorer, ert nätverk och er katalogtjänst är en uppgift för er IT-avdelning eller er IT-leverantör. Klytic är inte ett SecNumCloud-kvalificerat erbjudande.
Den här sidan beskriver en allmän ram. Vid en incident, följ er återställningsplan och de behöriga myndigheternas anvisningar.
Källor
Hämtade i oktober 2026.
- ANSSI och franska justitieministeriet (DACG), Attaques par rançongiciels, tous concernés, 2020: frånkopplade säkerhetskopior, begränsning av administratörskonton, snabba uppdateringar; vid incident händelselogg, isolering, ingen strömavstängning, bevarande av krypterade data, ingen betalning, polisanmälan, återställning från en säkerhetskopia från tiden före intrånget. messervices.cyber.gouv.fr
- ANSSI, Sauvegarde des systèmes d’information, guide ANSSI-BP-100, v1.1: angriparen riktar ofta in sig på infrastrukturen för säkerhetskopiering; dedikerade konton; offline är mer robust än WORM online; maximal acceptabel dataförlust och avbrottstid. messervices.cyber.gouv.fr
- Klytic, Säkerhet och säkerhetskopiering: oföränderliga, krypterade och replikerade säkerhetskopior, 30 dagar, återställningar testas varje månad, RTO under 4 timmar, RPO under 2 timmar. klytic.com
- Klytic, Drift och suveränitet: teknisk åtkomst begränsad till drift och support, personlig och loggad. klytic.com
