Datatyveri eller datalæk: vi fastslår, hvad der faktisk forsvandt
En medarbejder, der stopper, et dataudtræk, et ransomware-angreb. Vi fastslår, hvad der forsvandt, hvornår og ad hvilken vej — og dokumenterer, hvad der skal anmeldes.
Tegnene
Det, der vakte mistanken
Et datalæk ses sjældent, mens det sker. Det udledes af spor, der intet beviser hver for sig, men som sammen danner en tidslinje.
En fratrædelse, der rejser spørgsmål
Massekopiering til en USB-nøgle eller en privat cloudkonto i dagene før en opsigelse, en afskedigelse eller kontraktens udløb.
Jeres data dukker op andre steder
En konkurrent kender jeres priser, jeres kundeliste cirkulerer, et internt dokument fremlægges i en retssag.
En teknisk alarm
Et login fra et usædvanligt land, unormalt udgående datavolumen, en videresendelsesregel oprettet i en postkasse, en ukendt servicekonto.
Et løsesumskrav
Krypterede filer, en afpresningsbesked, en trussel om offentliggørelse på en lækside.
En nyttig skelnen: at ransomware har krypteret data, siger intet om, hvorvidt de blev kopieret forinden. Det er et særskilt spørgsmål, og det er det, der afgør jeres anmeldelsespligt.
Undersøgelsen
Hvad vi leder efter i praksis
Medierne kopieres først og undersøges på kopierne. Jeres systemer forbliver tilgængelige — det gør konstateringerne efterprøvelige uden at standse virksomheden. Hele fremgangsmåden er beskrevet på vores side om digital efterforskning.
01
Dataudtræk
Tilsluttede USB-enheder, overførsler til en cloudkonto eller privat postkasse, store uploads, arkiver oprettet og derefter slettet.
02
Indgangsvej
Kompromitteret konto, phishing, eksponeret fjernadgang, udnyttet sårbarhed, vedvarende adgang via en konto eller en planlagt opgave.
03
Datamængdens omfang
Hvilke filer, hvilke databaser, hvor mange registrerede og hvilke kategorier — svaret styrer anmeldelsen.
04
Tidslinje
Systemlogge, godkendelser, cloudhistorik, tidsstempler: en ordnet rekonstruktion fra første til sidste adgang.
05
Slettede spor
Ryddede logge, tømte papirkurve, slettede eller tilbagedaterede filer, så længe medierne stadig gør gendannelse mulig.
06
Rapporten
Konstateringer, metode, SHA-256-hashværdier og dokumenteret bevisførelse. Skrevet på engelsk til en dommer, et forsikringsselskab eller datatilsynet.
I mellemtiden: sikr beviserne
Undgå endelig
- At geninstallere den berørte maskine eller server eller gendanne den fra en sikkerhedskopi.
- At lade logge udløbe: mange opbevares kun i få dage.
- At slette den mistænkte persons konto eller give udstyret videre.
- At betale en løsesum, før det er fastslået, hvad der faktisk forsvandt.
Gør dette
- Isoler fra netværket uden at slukke: arbejdshukommelsen indeholder spor, der forsvinder ved nedlukning.
- Sikr eksisterende logge og sikkerhedskopier, og forlæng opbevaringen.
- Notér, hvem der har gjort hvad, og hvornår, siden opdagelsen.
- Notér tidspunktet for opdagelsen: GDPR's frist på 72 timer for anmeldelse løber fra det øjeblik.
Forløbet
Sådan foregår en efterforskning
-
1
Første samtale
Du fortæller om fakta, vi stiller de rette spørgsmål og siger, hvad der stadig kan fastslås.
-
2
Sikring af sporene
Kopier af medier og logge, SHA-256-hashværdier, kvittering. På afstand, efter aftale.
-
3
Analyse
Rekonstruktion af tidslinje og omfang på kopierne. Jeres systemer forbliver i drift.
-
4
Rapport og næste skridt
Aflevering af den underskrevne rapport, hjælp til anmeldelsen, politianmeldelsen, forsikringen eller retssagen.
Ofte stillede spørgsmål
Ofte stillede spørgsmål om datatyveri
Skal jeg anmelde det til datatilsynet?
Hvis bruddet omfatter personoplysninger og udgør en risiko for de berørte personer, ja — i Danmark til Datatilsynet, senest 72 timer efter, at I er blevet opmærksomme på det. Vores konstateringer dokumenterer, hvad der faktisk er lækket, hvilket er det, de fleste anmeldelser mangler.
Kan det bevises, at en tidligere medarbejder har kopieret filer?
Ofte, ja: USB-tilslutninger, overførsler, åbning af filer og tidsstempler efterlader varige spor — forudsat at maskinen ikke er givet videre eller geninstalleret.
Skal serverne slukkes?
Nej. Det er normalt nok at isolere dem fra netværket, og en nedlukning ødelægger arbejdshukommelsen. Vi arbejder på kopier, så jeres virksomhed kan køre videre.
Hvad hvis loggene allerede er væk?
Der er næsten altid noget andet: arbejdsstationer, cloudlogge, sikkerhedskopier, netværksudstyr. Vi siger ligeud, hvad der stadig kan fastslås, og hvad der ikke kan.
Få hændelsen undersøgt
Første samtale er gratis og fortrolig og foregår på engelsk. Vi siger ligeud, hvad der stadig kan fastslås, og hvor hurtigt.
- Tavshedspligt
- Tilbud før arbejdet
- Optaget i det belgiske nationale register over retslige sagkyndige