KI-angrep gir norske bedrifter minutter – Telenor krever raskere forsvar

Da Telenor Norge la fram sin årlige sikkerhetsrapport på Fornebu 20. oktober 2026, advarte administrerende direktør Birgitte Engebretsen i Telenors pressemelding om at KI kan gjøre tiden fra en sårbarhet oppdages til den utnyttes så kort at virksomheter i verste fall har bare minutter til å reagere. «Dette er en betydelig utfordring for norske virksomheter», sa hun.

I NTBs omtale hos Digi sier Engebretsen at Telenor først så denne måten å finne og utnytte svakheter på i fjor, og at aktiviteten har økt de siste seks månedene. For en mindre virksomhet peker advarselen mot en rekkefølge: håndter kritiske oppdateringer og åpne tjenester straks, stram inn tilganger og varsling denne måneden, og gjennomgå leverandøravhengigheter ved neste større endring av IT-miljøet.

Hva Telenor ser i norske virksomheter

I rapportkapittelet om angrepsmetoder beskriver Telenor innloggingskampanjer med blant annet misbruk av Microsofts Device Code Flow som har rammet flere tusen norske virksomheter det siste året; kapittelet omtaler også DDoS-angrep mot Norsk Tipping mellom mai og august og oppgir 322 registrerte DDoS-angrep mot norske virksomheter til og med september 2026, med en gjennomsnittlig varighet som økte fra 38 minutter i 2025 til to timer så langt i 2026. Tallene gjelder ulike angrepsformer og perioder. DDoS-tallene er Telenors egne registreringer, ikke en opptelling av alle angrep i Norge.

Det økte tempoet gjør kjente svakheter mer alvorlige. Svake passord, for vide rettigheter, utdatert programvare og tjenester som står åpne mot internett gir fortsatt angripere innganger. KI kan brukes til å lete etter svakheter i kode og analysere sikkerhetsoppdateringer, mens automatisering gjør det mulig å prøve kjente metoder mot mange mål raskere.

Minuttene er et verstefallsscenario, ikke en målt frist som gjelder alle virksomheter. Nettopp derfor bør arbeidet starte før et varsel kommer: Virksomheten må vite hvilke systemer som kan nås utenfra, hvem som kan endre dem, og hvem som kan beslutte å begrense tilgangen. Ellers går den korte reaksjonstiden med til å finne ansvarlig person og riktig leverandør.

Straks: tette hull der angriperen kan nå inn

Første prioritet er kjente, alvorlige sårbarheter i tjenester som er tilgjengelige fra internett. En oppdatert oversikt over disse tjenestene, systemeier og driftsleverandør gjør det mulig å sende et hastevarsel til rett person. Den bør også vise hvilke tjenester som er nødvendige for driften, slik at en rettelse kan prioriteres etter både eksponering og mulig konsekvens.

En hasteoppdatering må kunne gjennomføres uten at beslutningen stopper opp i en lang godkjenningsrunde. Det krever en enkel plan for å teste den viktigste funksjonen etterpå og for å gjenopprette tjenesten hvis noe går galt. Dersom leverandøren ennå ikke har en rettelse, kan midlertidig begrenset tilgang til den utsatte tjenesten redusere eksponeringen mens virksomheten venter.

Administrasjonsgrensesnitt på rutere, brannmurer og annet nettverksutstyr fortjener særskilt oppmerksomhet. Slike grensesnitt bør ikke være åpne mot internett dersom driften ikke krever det. Eldre utstyr uten leverandørstøtte krever en egen beslutning: Det kan mangle både oppdateringer og den innsikten som trengs for å oppdage misbruk.

Dette er også et spørsmål om hvem som faktisk kan utføre endringen. Hvis bare en ekstern leverandør kan stenge en port eller installere en rettelse, må virksomheten kjenne kontaktveien og responstiden på forhånd. En avtale om vanlig vedlikehold sier ikke nødvendigvis hvem som tar en slik beslutning utenfor arbeidstid.

Denne måneden: begrense kontoer og gjøre misbruk synlig

Et overtatt brukernavn blir farligere når kontoen har mer tilgang enn den trenger. Administratorrettigheter bør derfor gjennomgås, gamle kontoer avsluttes og daglig arbeid skilles fra oppgaver som krever utvidede rettigheter. Da vil en kompromittert konto gi angriperen færre muligheter til å bevege seg videre i virksomhetens systemer.

Innloggingskampanjene viser også hvorfor opplæring ikke kan være siste barriere. Ved misbruk av enhetskodeflyten kan brukeren bli ledet til en ekte innloggingsside og likevel gi angriperen tilgang. Virksomheter som bruker denne funksjonen, bør avklare hvilke brukere og enheter som faktisk trenger den, og begrense den for andre gjennom tilgangsregler.

Varsling må knyttes til hendelser noen kan undersøke. Registrering av en ny enhet, innlogging fra et uvanlig sted og endringer i regler for videresending av e-post kan være tidlige tegn på at en konto er overtatt. En lagret logg hjelper lite i et raskt angrep hvis ingen mottar varselet eller har myndighet til å stenge kontoen.

For en mindre virksomhet kan en driftsleverandør overvåke slike hendelser, men ansvaret må være konkret. Hvem får varselet, hvem undersøker det, og hvem kan sperre en konto eller tilbakekalle en aktiv økt? Svarene bør være kjent både hos leverandøren og hos virksomheten som eier tjenesten.

Ved neste gjennomgang: leverandører og tilgjengelighet

Når de mest eksponerte hullene og kontoene er håndtert, bør virksomheten undersøke avhengighetene bak tjenestene sine. Oversikten bør omfatte leverandører, programvarekomponenter og hvem som kan oppdatere eller slå av en løsning ved en alvorlig hendelse. Den bør også omfatte små interne verktøy som ansatte har laget med KI-assistert koding, fordi slike løsninger kan ta i bruk eksterne kodepakker og bli publisert på nett uten vanlig sikkerhetsgjennomgang.

De lengre DDoS-angrepene gjør tilgjengelighet til en del av leverandørkontrollen. En virksomhet som er avhengig av en offentlig nettjeneste, bør vite hvem som kan aktivere filtrering av angrepstrafikk, og hvordan kunder får beskjed dersom tjenesten blir utilgjengelig. Her handler beredskap om å avklare beslutningsveien før trafikken øker, ikke om å improvisere mens kunder allerede er stengt ute.

Den samme gjennomgangen bør vise om virksomheten har en alternativ måte å utføre de viktigste oppgavene på ved avbrudd. For en liten bedrift kan konsekvensen av en utilgjengelig tjeneste komme lenge før et teknisk team har rukket å finne årsaken. En avtalt kontaktvei og en enkel plan for fortsatt drift gir da mer handlingsrom når et varsel faktisk kommer.

Les også:

• partnrUP sier KI kuttet kampanjeoppsett fra 28 til 8 minutter
• Claude strammer inn reglene – høyrisikobruk krever menneskelig kontroll
• ChatGPT kan styre Chrome-faner – filer krever fortsatt samtykke