Over 300 ansatte — herunder topchefer og it-sikkerhedsfolk — åbnede en ondsindet fil i en intern phishing-test hos et selskab med ansvar for samfundskritisk infrastruktur. Det rejser alvorlige spørgsmål om menneskelig sårbarhed, tilsynets rækkevidde og effekten af sikkerhedstræning.
Konklusion
Et dansk it-selskab med ansvar for samfundskritisk infrastruktur gennemførte en intern phishing-test og opdagede, at over 300 medarbejdere — inklusive ledere og it-sikkerhedspersonale — åbnede en simuleret ondsindet fil. En whistleblower slog alarm og blev ifølge Version2 afvist af ledelsen. Sagen illustrerer et veldokumenteret problem: mennesker er det svageste led i cybersikkerhed, og det gælder selv hos dem, der burde vide bedre. Den rejser tre alvorlige spørgsmål: Virker phishing-simulationer som sikkerhedsværktøj? Er tilsynet med kritisk infrastruktur godt nok? Og hvad skal der til, for at organisationer reelt lærer af interne advarsler?
Nøglepunkter:
- Phishing er én af de mest udbredte angrebsvektorer mod virksomheder og offentlige institutioner.
- Selv trænede it-sikkerhedsfolk kan dumpe phishing-tests — det er dokumenteret internationalt.
- NIS2-direktivet fra EU skærper kravene til sikkerhed i kritisk infrastruktur, men tilsynets reelle bid i Danmark er uklart.
- Whistleblower-kulturen i sikkerhedsorganisationer er afgørende — og skrøbelig.
Baggrund
Kritisk infrastruktur er et begreb, der dækker de systemer og tjenester, som et moderne samfund ikke kan fungere uden: strøm, vand, kommunikation, finans og ikke mindst it-systemer, der binder det hele sammen. Når disse systemer kompromitteres, er konsekvenserne ikke blot forretningsmæssige — de kan være samfundstruende.
Danmark har i en årrække arbejdet på at styrke beskyttelsen af denne infrastruktur. I december 2021 udsendte regeringen en national strategi for cyber- og informationssikkerhed, der eksplicit adresserer behovet for overblik over kritisk it-infrastruktur og afhængigheder mellem de systemer, der understøtter samfundsvigtige funktioner. Strategien fastslår, at ministerråder med ansvar for samfundsvigtige funktioner skal have det fornødne overblik — en formulering der i praksis betyder, at ansvaret er spredt over mange ressortområder.
På EU-plan vedtog man i maj 2022 NIS2-direktivet (Network and Information Security 2), der skærper kravene til it-sikkerhed for aktører inden for kritisk infrastruktur. NIS2 udvider kredsen af omfattede sektorer og stiller strengere krav til risikostyring, hændelsesrapportering og ledelsesansvar. Danmark er forpligtet til at implementere direktivet i national lovgivning.
Det er i denne kontekst, at sagen om den mislykkede phishing-test skal forstås. Et selskab, der drifter infrastruktur af afgørende samfundsmæssig betydning, testede sine egne medarbejderes evne til at genkende et phishing-angreb — og resultatet var alarmerende.
Hvad sker der
Ifølge Version2's artikel gennemførte selskabet en intern phishing-simulation, hvor medarbejderne modtog en e-mail med en vedhæftet fil designet til at ligne en legitim kommunikation. Over 300 ansatte åbnede filen. Det bemærkelsesværdige — og bekymrende — er, hvem der var blandt dem: topchefer og medarbejdere med direkte ansvar for it-sikkerhed.
En whistleblower inden for organisationen valgte at råbe vagt i gevær. Vedkommende eskalerede bekymringerne internt, men blev ifølge artiklen afvist. Sagen er siden kommet frem via mediet, hvilket i sig selv er sigende: advarslen fandt ikke vej igennem de interne kanaler, men måtte ud ad en ekstern omvej for overhovedet at blive hørt.
Det er værd at understrege, hvad en phishing-simulation faktisk måler. Den tester ikke teknisk viden i abstrakt forstand — den tester adfærd under realistiske arbejdsbetingelser. En medarbejder, der teoretisk set godt ved, at man ikke skal åbne ukendte vedhæftede filer, kan alligevel gøre det, hvis e-mailen ser troværdig ud og ankommer på det rigtige tidspunkt. Det er præcis derfor, phishing fortsat er en af de mest effektive angrebsvektorer.
De centrale spørgsmål
1. Er menneskelig fejl i cybersikkerhed uundgåelig?
Forskning fra DTU peger på, at phishing stod bag 16 procent af de registrerede sikkerhedshændelser i den analyserede periode, mens kompromitterede loginoplysninger tegnede sig for 19 procent. Begge kategorier har det til fælles, at de i høj grad udnytter menneskelig adfærd snarere end tekniske sårbarheder. Det er ikke et argument for resignation — men det er et argument for, at tekniske løsninger alene ikke er tilstrækkelige.
Mennesker begår fejl. Det gælder også erfarne it-folk. En simuleret phishing-mail, der er godt udformet, kan narre selv den årvågne medarbejder — især hvis vedkommende er presset, distraheret eller arbejder under tidspres. Det er en empirisk kendsgerning, ikke en undskyldning.
2. Virker phishing-simulationer som sikkerhedsværktøj?
Her er billedet mere mudret. Phishing-simulationer er udbredte og intuitivt tiltalende: test dine medarbejdere, find de svage led, træn dem. Men effekten er ikke entydig. Simulationer kan skabe øget bevidsthed på kort sigt, men der er ingen solid evidens for, at de alene reducerer antallet af succesfulde angreb markant over tid. De kan også have negative effekter: mistillid internt, en "gotcha"-kultur der demotiverer medarbejdere, og en falsk tryghed hos ledelsen, der tror problemet er håndteret, fordi man har lavet en test.
Det afgørende er ikke testen i sig selv, men hvad organisationen gør med resultaterne. I dette tilfælde ser det ud til, at resultaterne i første omgang blev lagt i skuffen — eller i det mindste ikke udløste den reaktion, en whistleblower fandt tilstrækkelig.
3. Er myndighedernes tilsyn tilstrækkeligt?
Den nationale strategi for cyber- og informationssikkerhed fra 2021 fastslår, at der skal være overblik over kritisk it-infrastruktur og afhængigheder. Men overblik er ikke det samme som kontrol. Tilsyn med cybersikkerhed i privat-ejede selskaber, der drifter kritisk infrastruktur, er kompliceret: myndighederne kan stille krav, men de kan ikke sidde inde i serverrummet.
NIS2 introducerer skærpede krav og potentielt større bøder ved manglende efterlevelse. Men direktivet er kun så stærkt som det tilsyn, der håndhæver det. Hvis en intern test afslører massive svagheder, og ledelsen ikke reagerer, er spørgsmålet, om myndighederne overhovedet ville vide det — medmindre en whistleblower tog sagen i egne hænder, som tilfældet ser ud til at have været her.
4. Hvad siger det om whistleblower-kulturen?
At en ansat valgte at eskalere eksternt frem for internt er ikke en tilfældig detalje. Det afspejler en organisationskultur, hvor interne kanaler enten ikke fungerer, ikke tages alvorligt, eller ikke er trygge at benytte. I en sektor med ansvar for kritisk infrastruktur er det et selvstændigt problem. Whistleblowere er ofte det første og eneste lag af menneskelig sikkerhed, der reagerer på systemiske fejl — hvis de ties ihjel, mister organisationen et afgørende korrektiv.
Analyse
Sagen binder tre tråde sammen, som sjældent behandles samlet: den tekniske, den organisatoriske og den regulatoriske.
Den tekniske tråd handler om angrebsvektorer. Phishing er ikke ny teknologi — det er gammel psykologi pakket i digital indpakning. Angribere udnytter tillid, travlhed og kontekst. En e-mail, der ser ud til at komme fra en kollega eller en known afsender, og som ankommer i forbindelse med en igangværende arbejdsproces, er svær at afvise. Det er derfor phishing fortsat er effektivt, selv mod veluddannede målgrupper. DTU's forskning bekræfter, at phishing og kompromitterede loginoplysninger tilsammen udgør en betydelig andel af sikkerhedshændelserne — ikke fordi folk er dumme, men fordi angrebene er designet til at udnytte normale menneskelige reaktionsmønstre.
Den organisatoriske tråd handler om læring og kultur. En phishing-test, der afslører massive svagheder, er værdifuld information — men kun hvis organisationen er villig til at handle på den. Her ser noget ud til at have fejlet. Når en whistleblower eskalerer og bliver afvist, er det et signal om, at organisationens læringskapacitet er begrænset af kulturelle eller hierarkiske barrierer. Ledere og it-sikkerhedsfolk, der selv dumpede testen, har måske haft et incitament til at nedtone resultaternes betydning. Det er en menneskelig, forståelig reaktion — og en farlig én i en kontekst, hvor fejl kan have samfundsmæssige konsekvenser.
Der er også et strukturelt problem i den måde, sikkerhedsansvar typisk organiseres på. Når it-sikkerhedschefen selv åbner den ondsindede fil, er det ikke blot et individuelt svigt — det er et tegn på, at sikkerhedskulturen ikke er forankret dybt nok i organisationen. Sikkerhed kan ikke være en funktion, der sidder i ét hjørne af organisationen og sender advarsler ud. Den skal være integreret i alle processer og på alle niveauer.
Den regulatoriske tråd handler om tilsynets rækkevidde. Den nationale cybersikkerhedsstrategi fra 2021 anerkender behovet for overblik over kritisk infrastruktur, men overblik forudsætter, at information flyder opad til myndighederne. Hvis interne tests afslører svagheder, men resultater holdes internt, og whistleblowere afvises, opstår der et informationshul mellem virkelighed og tilsyn. NIS2 forsøger delvist at adressere dette ved at kræve hændelsesrapportering — men en mislykket intern test er ikke nødvendigvis en "hændelse" i direktivets forstand.
Det rejser et principielt spørgsmål: bør regulatorer have adgang til resultater fra interne sikkerhedstests i selskaber med kritisk infrastruktur-ansvar? Det vil mange selskaber modsætte sig, og der er legitime argumenter om konkurrencefølsomhed og it-sikkerhed i sig selv (offentliggjorte svagheder kan udnyttes). Men den modsatte risiko — at alvorlige svagheder forbliver ukendte for myndighederne — er også reel.
Et tredje perspektiv angår phishing-simulationers rolle i den samlede sikkerhedsarkitektur. De bør ikke forveksles med en løsning. De er et diagnostisk redskab — som et røntgenbillede, der afslører en knoglebrud, men ikke heler den. Den reelle investering skal ske i det efterfølgende: grundig opfølgende træning, tekniske kontrollag der reducerer afhængigheden af individuelle beslutninger (som automatisk filtrering, sandboxing og to-faktor-godkendelse), og en kultur hvor det er trygt at rapportere egne fejl uden frygt for repressalier.
Sagen illustrerer paradokset i moderne cybersikkerhed: jo mere kritisk infrastrukturen er, jo mere attraktiv er den som mål — og jo mere kostbart er det menneskelige fejlled. Alligevel er det netop menneskelige fejl, der er sværest at eliminere, fordi de er uløseligt forbundet med de egenskaber, der gør mennesker gode til at arbejde: tillid, samarbejde, kontekstsensitivitet og handlehastighed.
Konklusion
Sagen om phishing-testen hos den danske it-kæmpe er ikke primært en skandale om inkompetence. Den er et eksempel på et systemisk problem, der forekommer bredt i organisationer med ansvar for kritisk infrastruktur: menneskelig sårbarhed over for social manipulation er stærk og vedvarende, interne læringsmekanismer kan blokeres af hierarki og kultur, og myndigheders tilsyn er begrænset af den information, de faktisk modtager.
Tre ting bør følge af sagen:
For it-selskaber med kritisk ansvar bør phishing-tests altid efterfølges af gennemsigtig opfølgning — ikke skjult i en ledelsesdrawer, men delt bredt i organisationen som læringsmateriale. Whistleblower-kanaler skal fungere og beskyttes aktivt.
For regulatorer og myndigheder bør NIS2-implementeringen i Danmark inkludere klar vejledning om, hvornår interne sikkerhedstest bør rapporteres, og hvad myndighederne kan kræve adgang til. Det er en politisk og juridisk afvejning — men den bør foretages eksplicit, ikke overlades til fortolkning.
For Folketinget er det relevant at spørge, om den nationale cybersikkerhedsstrategi fra 2021 faktisk er blevet fulgt op med tilstrækkelige bevillinger og beføjelser til de tilsynsorganer, der skal håndhæve den. Strategier uden håndhævelse er papirtigre.
Phishing vil ikke forsvinde. Menneskelig fejlbarlighed vil ikke forsvinde. Men organisationers vilje til at lære af interne advarsler — det er noget, der kan ændres.