Hvorfor løsepengekrav ved ransomware øker selv om færre selskaper betaler

Tallene stemmer ikke før de plutselig gjør det

Coalitions Cyber Claims Report 2026 bygger på reelle skadedata fra mer enn 100 000 forsikringstakere. Den viser at de innledende løsepengekravene i 2025 i gjennomsnitt oversteg 1 million dollar, mens 86 % av de rammede virksomhetene nektet å betale. Det er oppriktig gode nyheter. Bedre sikkerhetskopier, testede beredskapsplaner og erfarne forhandlere har gitt organisasjoner en forhandlingsposisjon de ikke hadde for fem år siden.

Likevel er ransomware-hendelser fortsatt den mest kostbare typen cyberkrav for Coalition-forsikrede, med en gjennomsnittlig kostnad på 302 000 dollar per hendelse for den vanligste angrepsvarianten. Å nekte å betale betyr ikke at man slipper unna uten konsekvenser. Det betyr bare at kostnadene dukker opp et annet sted.

Kryptering er ikke lenger den eneste trusselen

Den gamle ransomware-oppskriften var enkel. Angripere låste filene dine, du gjenopprettet fra sikkerhetskopi, nektet å betale og gikk videre. Det skjer fortsatt. Men det er ikke lenger hovedpoenget.

I 2025 involverte 70 % av ransomware-kravene i Coalition sine data både kryptering og datatyveri. Bransjen kaller dette dobbel utpressing. Angripere låser ikke bare dataene dine – de stjeler dem først og truer deretter med å offentliggjøre dem.

Bilde gjengitt med tillatelse fra Coalition 2026 Cyber Claims Report: https://www.coalitioninc.com/claims-report/2026

Allianz Commercial så en tilsvarende utvikling i sine skadedata. I første halvår 2025 var 40 % av verdien av store cyberkrav knyttet til dataeksfiltrasjon, opp fra 25 % for hele 2024. Disse hendelsene kostet mer enn dobbelt så mye som saker uten datatyveri.

Dette gapet gir mening når man ser på hva som faktisk er involvert. Krypterte data er et gjenopprettingsproblem. Stjålne data er et juridisk, regulatorisk og omdømmemessig problem, som kan innebære varsel om databrudd, myndighetsundersøkelser og rettstvister som varer lenge etter at systemene dine er oppe og går igjen.

Sikkerhetskopier hjelper. De er også et mål.

Gode sikkerhetskopier er fortsatt grunnlaget. Hvis systemene dine kan gjenopprettes på en ren måte, fjerner du angriperens mest umiddelbare pressmiddel, noe som forklarer hvorfor andelen som nekter å betale er på et rekordhøyt nivå.

Utfordringen er at sofistikerte ransomware-aktører vet dette. Et vanlig mønster er at de ikke bare krypterer produksjonssystemene og forsvinner. Når det er mulig, bruker de tid i miljøet på å kartlegge hvordan sikkerhetskopier kjøres og hvor de lagres, samt analysere hvilke kritiske datasett organisasjonen ikke kan fungere uten. Deretter, før de utløser krypteringen, går de etter sikkerhetskopiene ved å kryptere eller slette dem for å eliminere den enkle gjenopprettingsveien. Det er i dette øyeblikket at en ransomware-hendelse blir en krise for virksomhetens kontinuitet og et sikkerhetsproblem.

Og selv om sikkerhetskopiene forblir intakte, kan de ikke reversere dataeksfiltrasjon. Når dataene først har forlatt miljøet, er de utenfor kontroll. Den operative nedetiden avsluttes når systemene er gjenopprettet. Eksponeringen gjør det ikke.

Når standardalternativene ikke er nok

Basert på DriveSavers Data Recoverys erfaring fra tusenvis av gjenopprettinger, oppstår enterprise-datagjenoppretting vanligvis i tre situasjoner som ikke får nok oppmerksomhet i de fleste samtaler om ransomware-beredskap.

Kompromitterte sikkerhetskopier

Det vanligste tilfellet er kompromitterte sikkerhetskopier. Når trusselaktører har kryptert eller slettet sikkerhetskopisystemer før hovedangrepet, finnes det ofte ingen ren gjenopprettingsvei. Datagjenoppretting direkte fra den krypterte data storage blir da et viktig alternativ å vurdere.

Forsinkelse i sikkerhetskopiering

Den andre situasjonen er forsinkelse i sikkerhetskopiering. Selv om sikkerhetskopiene er intakte og verifiserte, kan de være ikke være tilstrekkelig oppdaterte. Data som er opprettet eller endret siden siste sikkerhetskopisyklus, mangler, og avhengig av hvor kritiske disse dataene er, kan «nesten godt nok» ikke være godt nok.

Betaling av løsepenger ≠ Full gjenoppretting

Den tredje, og sannsynligvis minst omtalte situasjonen: betaling av løsepenger fører ikke alltid til full gjenoppretting. Dekrypteringsverktøy er ufullkomne. De fungerer for noen filtyper, men ikke for andre, og effektiviteten kan variere fra fil til fil. Data kan også bli korrupte. Dette skjer oftere enn de fleste organisasjoner forventer og etterlater dem med behov for en annen vei til dataene de allerede har betalt for å få tilbake.

DriveSavers samarbeider med organisasjoner i alle disse tre situasjonene og gjenoppretter kritiske, utilgjengelige data når sikkerhetskopier mangler, er ufullstendige eller når dekrypteringen ikke har fullført gjenopprettingen.

Hva en reell gjenopprettingsplan tar hensyn til

Selv om 86 % av virksomhetene nå er i stand til å nekte å betale løsepenger, gjenstår det avgjørende spørsmålet: Er organisasjonen din virkelig forberedt på å motstå, eller håper du bare på det beste?

Som et minimum betyr dette tre ting:

Testede sikkerhetskopier lagret utenfor lokasjonen, isolert fra produksjonsmiljøet og regelmessig verifisert, ikke bare antatt å fungere.

En beredskapsplan for hendelseshåndtering som tar høyde for dobbel utpressing, ikke bare kryptering, med juridiske og kommunikative protokoller klare for scenarioer med dataeksponering.

Et klart bilde av dine alternativer for datagjenoppretting når sikkerhetskopier er delvise, utdaterte eller mangler.

Ransomware-taktikker vil fortsette å utvikle seg. Tidsvinduet mellom første tilgang og dataeksfiltrasjon blir stadig kortere. Organisasjonene som kommer uskadd ut av slike hendelser, er de som har behandlet gjenoppretting som en kapasitet de har bygget opp på forhånd, og ikke som noe de måtte finne ut av under press.

Hvis du vurderer din beredskapsplan for ransomware og ønsker å forstå hvor profesjonelle datagjenopprettingstjenester passer inn, kontakt DriveSavers på +1 (888) 440-2404.

Sources

Coalitions cyberkravrapport 2026: https://www.coalitioninc.com/claims-report/2026
Cyberrisikotrender 2025 fra Allianz Commercial: https://commercial.allianz.com/news-and-insights/news/cyber-risk-trends-2025.html

Andy Maus

Andy Maus er leder for Cyber Recovery Services hos DriveSavers, hvor han leder initiativer som hjelper organisasjoner med å gjenopprette kritiske data etter cyberhendelser, løsepengevirus og andre sikkerhetsbrudd. Han begynte i DriveSavers i 2023 etter mer enn to år hos Arete Incident Response, hvor han innførte tjenester for datagjenoppretting, utvidet det tekniske teamet fra 10 til over 70 spesialister, og etablerte strategiske partnerskap med SentinelOne, Dell og Presidio. Tidligere ledet han det globale salgsarbeidet hos Ontrack Data Recovery, hvor han støttet komplekse datagjenopprettinger i 22 land. Med over 30 års erfaring i teknologibransjen — inkludert lederroller hos Dell, Mitel og Level 3 Communications — har Andy dyp kompetanse innen cyberberedskap, metoder for datagjenoppretting og omfattende tekniske operasjoner.