Da nyheden om angrebet på Novo landede, var spørgsmålet, hvordan nogen kunne komme ind. Nu hvor hackerne selv taler ud, og hvor lækkede data viser, hvor længe de blev, burde spørgsmålet være et andet: Hvorfor så ingen dem? Det er ikke et it-spørgsmål. Det er et bestyrelsespørgsmål, og dit marketing-apparat bliver inddraget i svaret, uanset om du har bedt om det.
Bevægelsen: Angriberne taler, og tallene er det egentlige scoop
Foto: Iago Yoshimi Seo på Unsplash
Ingeniøren har gennem flere uger skrevet med en repræsentant for FulcrumSec, gruppen bag forårets angreb på Novo, og interviewet er bemærkelsesværdigt af to grunde. Gruppen fremstår med en slags egen etisk kodeks og bruger markant energi på at retfærdiggøre sine handlinger, hvilket får cybersikkerhedseksperter til at tale om en hidtil uset type gerningsmand. Og grupben lækker selv dokumentation, som gør det muligt at efterprøve dens rolle.
Det vigtigste stof står dog i historiens anden halvdel. En teknisk analyse af de lækkede data, som Version2 refererer, beskriver operationens tidsforløb: uforstyrret adgang til Novos indre systemer i mindst 47 dage, en operation der strakte sig over månedsvis, hvor angriberne bevægede sig frit i virksomhedens cloud-infrastruktur og brugte AI-værktøjer til at finde frem til dens hemmeligheder.
Hver af de to historier er interessant. Tilsammen ændrer de sagen. Det handler ikke længere om et avanceret indbrud, men om en detektion, der svigtede i op mod tre måneder hos en af Nordeuropas bedst bemidlede it-organisationer. Indbrud sker. Et indbrud, hvor tyven flytter ind og bliver boende i måneder, er et organisatorisk problem, ikke et spørgsmål om hackerens genialitet.
Hvorfor det interesserer os: Dwell time bliver en ledelses-kpi
Vi har allerede behandlet AI-agenter som angrebsvåben, så metode-delen er dækket. Det, Novo-sagen tilføjer, er asymmetrien: AI forkorter angriberens vej til værdi, fordi værktøjerne hurtigt kan navigere, kortlægge og finde det interessante i en kompleks infrastruktur. Forsvarerens tid til detektion ændrer sig ikke af den grund. Hurtigere angribere møder lige langsomme forsvarere, og differencen er præcis dér, skaden opstår.
Sæt det i kontekst. IBMs årlige rapport om omkostninger ved databrud har i årevis målt perioden fra indtrængen til opdagelse og inddæmmelse et sted mellem 200 og 290 dage. Mod det billede er 47 dage tæt på bedste praksis. Og alligevel var det langt nok til, at en af Danmarks største virksomheder blev gennemgravet. Hvis dét er topklasse, har ingen råd til at regne med, at “vi opdager det nok hurtigt” er en plan.
Anden ordens konsekvens: Når angreb ikke kan forhindres, kun opdages hurtigere, flytter pengene fra prævention til detektion og respons. For marketing betyder det, at sikkerhedsafdelingen kommer med tre ønsker: logs fra jeres systemer, fuld oversigt over integrationer og deltagelse i øvelser. Marketing-stakken er typisk virksomhedens største og tætteste samling af tredjepartsforbindelser: CRM, marketing automation, CDP, analyseværktøjer og hundredvis af API-nøgler, hvoraf flere blev oprettet af medarbejdere, der for længst er gået. RevOps bliver en del af detektionsperimeteren, om I vil det eller ej.
Og så er der gerningsmandsprofilen. En gruppe med etisk selvfremstilling og lyst til at forklare sig offentligt kan ikke købes til tavshed og afledes ikke med klassisk afpresningslogik. Den angriber delvist for narrativ, ikke kun for udbytte. Det ændrer den reputationelle risikoregning: jeres selvfremstilling, ESG-profil og formidling bliver en del af targeting-billedet. Jo mere etisk højprofileret jeres kommunikation er, desto mere brandfarligt stof ligger der til en modstander, der efter 47 dage i systemerne ved præcis, hvordan virkeligheden ser ud bag kulissen.
Læringen for dig: Fire spørgsmål, før bestyrelsen stiller dem
Hvor længe ville en angriber være usynlig i vores stack? Bed ikke om en generel sikkerhedsstatus. Bed om dwell time-tal for marketing-systemerne specifikt. Hvis svaret er “det måler vi ikke”, har du fundet et budgetpunkt, ikke en it-opgave.
Hvem overvåger vores logs? Marketing automation, CDP og CMS producerer enorme mængder adfærdsdata, som sjældent indgår i SIEM-overvågningen, fordi systemerne ejes af marketing og ikke af it. Integrationsoversigten er lige så vigtig: hver forbindelse og API-nøgle er en dør. Vi har tidligere argumenteret for at betragte CDP’en som en gældspost, og detektion er den anden side af samme sag.
Hvad ville en angriber have efter 90 dage? Gå listen igennem: segmenter, kunderejser, launch-kalendere, mail-templates med jeres afsender og tone of voice, pixel-konfigurationer, konkurrentanalyse. Intet af det er klassificeret, men tilsammen er det phishing-materiale, der er umuligt at skille fra ægte vare, efterretningsstof til konkurrenter og råstof til en gruppe, der elsker at forklare sig offentligt.
Hvem slår kanalerne fra, og har I øvet det? Incident response for marketing er mere end it-nedlukning: stop sendinger, fjern adgange, udskift API-nøgler, og trafikér en kommunikationsbeslutning i samme tempo som angriberen publicerer. Når modstanderen opererer med etisk rational, taber juridisk tavshed. Der skal ligge en krisekommunikationsplan inde i incident response-planen, ikke ved siden af den.
Det næste store danske angreb kommer ikke til at handle om, hvordan nogen kom ind. Alle kommer ind på et tidspunkt. Det kommer til at handle om, hvor længe de var der, før nogen så dem, og hvad de nåede at lære om virksomheden, mens de ventede. Det spørgsmål bør du kunne besvare, før bestyrelsen stiller det.