Sophos: Ransomware rammer uddannelsessektoren hårdere

Uddannelsesinstitutioner er blevet bedre til at håndtere ransomware, men konsekvenserne af succesfulde angreb bliver stadig dyrere og mere langvarige. Det viser Sophos' State of Ransomware in Education 2026, som bygger på svar fra 226 it- og cybersikkerhedsledere i uddannelsessektoren fordelt på 17 lande (det fremgår ikke hvilke 17 lande), hvis organisationer havde været ramt af ransomware inden for det seneste år. 

I uddannelsesrapporten indgår:

• 131 respondenter fra grundskoler, ungdomsuddannelser og tilsvarende institutioner ("lower education")
• 95 respondenter fra videregående uddannelser ("higher education") [sophos.com], [sophos.com]

Rapporten peger på en sektor, hvor sikkerhedsarbejdet udvikler sig positivt på flere områder, men hvor angribere fortsat finder effektive veje ind. Særligt identitetsbaserede angreb dominerer trusselsbilledet, og når angreb lykkes, tager genopretningen længere tid end i de fleste andre brancher.

Identiteten er den foretrukne angrebsvej

Hele 85 procent af ransomwareangrebene mod uddannelsesinstitutioner blev indledt via phishing, ondsindede e-mails, kompromitterede legitimationsoplysninger eller brute force-angreb. Det er markant over gennemsnittet på 79 procent.

Ondsindede e-mails var den hyppigste tekniske årsag til indtrængen i både grundskole- og ungdomsuddannelser samt på videregående uddannelser.

Næsten tre ud af fire institutioner oplyste samtidig, at ransomwarehændelsen også var deres mest alvorlige identitetsrelaterede sikkerhedshændelse det seneste år. Blandt de videregående uddannelser gjaldt det 77 procent.

Tallene understreger, at ransomware i stigende grad hænger sammen med kompromitterede brugerkonti og identiteter frem for traditionelle malwareangreb alene.

Forskellige svagheder, samme resultat

Når institutionerne bliver spurgt, hvad der bidrog til angrebet, ligger uddannelsessektoren højere end gennemsnittet på næsten alle områder.

På de videregående uddannelser var manglende sikkerhedskompetencer den største udfordring. Mere end halvdelen vurderede, at de ikke havde de nødvendige færdigheder til at opdage og stoppe angrebet i tide.

I den øvrige uddannelsessektor handlede problemerne især om kapacitet og værktøjer. Her pegede 52 procent på menneskelige fejl, mens 47 procent fremhævede utilstrækkelig beskyttelse.

Flere angreb ender med krypterede data

Sidste års rapport viste, at skoler og ungdomsuddannelser var blandt de bedste til at stoppe ransomware, inden data blev krypteret. Den udvikling er vendt.

Andelen af angreb med krypterede data steg fra 29 til 61 procent på ét år og ligger nu over gennemsnittet på tværs af alle sektorer.

Samlet endte 58 procent af ransomwareangrebene mod uddannelsesinstitutioner med datakryptering.

Til gengæld er brugen af sikkerhedskopier steget. 77 procent af de yngre uddannelsesinstitutioner og 69 procent af de videregående uddannelser gendannede data fra backup, begge over gennemsnittet.

Blandt de langsomste til at komme på benene igen

Selv når data kan gendannes, tager genopretningen lang tid.

Uddannelsesinstitutioner var næsten dobbelt så tilbøjelige som gennemsnittet til at bruge mere end en måned på at genoprette driften efter et ransomwareangreb.

Sektoren placerer sig blandt de langsomst genoprettende i undersøgelsen, og især området med elever under 18 år ligger i top på flere målinger af lange genopretningstider.

De krav, som cyberkriminelle stiller til uddannelsesinstitutioner, er faldet til det laveste niveau i flere år. Medianbeløbet for løsesumskrav var 775.200 dollar.

De faktiske betalinger steg derimod svagt til en median på 515.000 dollar.

Samtidig voksede de samlede genopretningsomkostninger i både den videregående og øvrige uddannelsessektor. For de videregående uddannelser steg de gennemsnitlige omkostninger med mere end én million dollar sammenlignet med året før.

Det er dermed ikke nødvendigvis løsesummen, men nedetid, oprydning og genetablering af drift, der udgør den største økonomiske belastning.

Sikkerhedsværktøjerne ser angrebene

Et af rapportens mest bemærkelsesværdige fund er, at mange sikkerhedskontroller faktisk registrerer angrebene, før de slår til.

Blandt institutioner, der blev kompromitteret gennem stjålne legitimationsoplysninger, havde 98 procent multifaktorgodkendelse aktiveret.

Samtidig oplyste 65 procent, at firewallen havde registreret aktiviteten, inden ransomware blev udløst. Alligevel endte mere end halvdelen af disse hændelser med krypterede data.

Ifølge Sophos peger resultaterne på et behov for tættere integration mellem identitets-, e-mail-, netværks- og endpoint-beskyttelse, så advarsler kan omsættes til handling hurtigere.

Presset rammer også medarbejderne

Konsekvenserne af ransomware kan også mærkes uden for it-afdelingen.

Mere end halvdelen af de videregående uddannelsesinstitutioner oplevede øget pres fra ledelsen efter et angreb. Omkring fire ud af ti rapporterede desuden fravær blandt medarbejdere relateret til stress eller mentale belastninger.

Ransomware efterlader dermed ikke kun spor i systemerne, men også hos de mennesker, der skal få dem på fode igen.