Oppdatert 31. august 2026. Trusselbildet nedenfor er sammenstilt ut fra Næringslivets Sikkerhetsråd sin Heimdall-ukesbrief for uke 35, supplert med NITDs praktiske råd for norske virksomheter.
Det som skjedde i Norge denne uken
Uken ble preget av to store tjenestenektangrep mot norsk offentlig sektor – begge med tydelig geopolitisk motivasjon knyttet til Norges støtte til Ukraina.
26. august: Den prorussiske gruppen Server Killers erklærte «cyberkrig» mot Norge på Telegram, med henvisning til forsvars- og sikkerhetsavtalen signert 23. august. Angrepet rammet blant annet Altinn, ID-porten, MinID og Elhub. Tjenestene var utilgjengelige i tre døgn. Digdir omtaler det som det tredje store angrepet mot deres løsninger på kort tid. Kripos etterforsker, og PST er informert.
29. august: Bare dager senere ble Sikt og flere tjenester i høyere utdanning og forskning rammet – blant dem Feide, Educloud, Samordna opptak og Universitetet i Oslo. En russisk hackergruppe tok igjen på seg ansvaret.
Ingen av angrepene har medført tap av data. Poenget for angriperne var å gjøre tjenester utilgjengelige og skape uro – ikke å bryte seg inn og stjele informasjon.
Hva er tjenestenekt (DDoS)?
Et tjenestenektangrep oversvømmer en tjeneste med falsk eller unormal trafikk slik at ekte brukere ikke kommer til. Det er et angrep mot tilgjengelighet – ett av tre grunnleggende sikkerhetsprinsipper sammen med konfidensialitet og integritet.
Det er ikke det samme som at noen har brutt seg inn og lest dataene på innsiden. Media og brukere opplever ofte «nettsiden er nede» som «vi er hacket», men i et rent DDoS-scenario er dataene som regel urørt. Følgeskadene kan likevel bli store: stopp i tjenester, køer hos support, og tap av tillit.
Hvem angriper – og hvorfor Norge nå?
Server Killers omtales som tilknyttet det aktive NoName057(16)-miljøet, som over flere år har stått bak koordinerte DDoS-kampanjer mot europeiske mål som støtter Ukraina. Mønsteret er hacktivisme: synlige, offentlige tjenester velges fordi nedetid skaper oppmerksomhet og presjon.
Det betyr ikke at bare staten er i siktet. Mange aktører er opportunistiske og går der det er svak beskyttelse. SMB-er med internetteksponerte tjenester uten filtrering, kapasitet eller plan for «hva gjør vi når siden er nede» kan også bli rammet – særlig hvis dere leverer tjenester til offentlig sektor eller har synlige merkenavn.
Dette bør SMB sjekke nå
- Kjenn eksponeringen. Hva ligger åpent mot internett – web, VPN, API, e-postgateways, fjernstyring?
- Avtale med ISP/hosting. Har dere kontaktvei og kapasitet ved volumangrep (scrubbing, rate limiting)?
- Skille tjenester. Kritisk drift og nødkommunikasjon bør ikke avhenge av samme flate som nettsiden.
- Øv på nedetid. «Nettsiden er nede» skal ikke bety «hele virksomheten stopper».
- Ikke bland støy med innbrudd. Ved DDoS: stabiliser tilgjengelighet først. Ved tegn på kompromittering parallelt – logg, isoler og eskaler.
Andre trusler samme uke (kort)
Selv om denne artikkelen handler om DDoS, er det verdt å kjenne til resten av trusselbildet fra uken:
- Clop utnytter fortsatt én sårbarhet mot svært mange virksomheter samtidig – denne gangen via PTC-produktene Windchill og FlexPLM (GE, Philips, Shell og rundt 40 andre). Relevant for industribedrifter med tilsvarende produktdataverktøy.
- Medusa (løsepengevirus som tjeneste) har ifølge oppdatert CISA/FBI-advarsel rammet over 500 organisasjoner siden 2021.
- Aurora er dokumentert å bruke AI-kodeverktøyet Cursor Agent til rekognosering og angrepstrinn – ikke bare til phishing-tekst.
- VMware vCenter utnyttes av kinesisktilknyttede aktører til løsepengevirus på virtualiseringsplattformer – ett angrep kan ramme mange VM-er.
Sårbarheter som utnyttes aktivt nå
Flere av ukens CISA KEV-poster gjelder utstyr og programvare mange norske bedrifter faktisk har. Sjekk at oppdateringer er lagt inn – særlig hvis dere drifter dette selv:
- Citrix NetScaler (CVE-2026-8452) – VPN og lastfordeling. Kan gi tjenestenekt ved utnyttelse.
- Zimbra Collaboration Suite (CVE-2026-73570) – e-post og samarbeid. Angriper kan kjøre kommandoer uten innlogging.
- Oracle HTTP Server / WebLogic (CVE-2026-21962) – patchet i januar, men utnyttes fortsatt der oppdatering mangler.
- Microsoft SQL Server (CVE-2019-1068) – sju år gammel feil som fortsatt finnes i praksis. Et tegn på at etterslep i patching er en reell inngangsdør.
- ownCloud (CVE-2023-49105), Linux-kjerne (CVE-2026-53362), Gitea (CVE-2026-60004) – fildeling, servere og kodeverktøy.
Når NITD kan hjelpe
Vi hjelper med å skille symptomer (tilgjengelighet) fra kompromittering, sikre DNS og domene, og stramme internetteksponering. Ved Sophos og overvåking kan vi fange signaler tidlig – se kontinuerlig overvåking og Sophos hos NITD.
Ved mistanke om mer enn «bare DDoS» kobler vi på hendelseshåndtering – se også session-kapring og ransomware-signaler.
Kilde og ansvarsfraskrivelse
Trusselinformasjonen er hentet fra Heimdall, en KI-drevet ukesbrief levert av Næringslivets Sikkerhetsråd (NSR), generert 31. august 2026. KI-generert innhold kan inneholde feil – verifiser kritiske beslutninger mot primærkilder (Digdir, Kripos, CISA, leverandører).
NITD er medlem av NSR og deler trusselbilde for å styrke beredskap i næringslivet. Denne artikkelen er NITDs redigerte og praktiske tolkning – ikke en offisiell NSR-publikasjon.