ClickFix: angrepet der ansatte installerer skadevaren selv

En ansatt åpner en helt normal nettside. For eksempel til en blogg, en nettbutikk, en samarbeidspartner, eller en bedrift. Alt ser helt normalt ut. På nettsiden kommer det opp et vindu over innholdet: «Bekreft at du er et menneske.» Men i stedet for de vanlige rutene med trafikklys og sykler, ber siden om noe annet. Trykk Windows-tasten og R. Lim inn. Trykk Enter.

De fleste gjør det. Vi har klikket oss gjennom slike bokser tusenvis av ganger, og hendene beveger seg før hodet henger med.

Det den ansatte ikke ser, er at nettsiden allerede har lagt en kommando i utklippstavlen. Når den limes inn i kommandovinduet og man trykker Enter, kjøres angriperens kode på maskinen. Skadevaren er nedlastet og i gang i løpet av sekunder. Nettsiden slipper deretter offeret pent videre. Man merker ikke at noe har skjedd i bakgrunnen – og at man er hacket.

– ClickFix-angrep har hatt en stor økning de siste årene. Angrepsmetoden omgår mange sikkerhetssystemer, og kan gi angriperen full tilgang til offerets datasystemer, sier Bjarte Malmedal, fagdirektør for digital sikkerhet i Næringslivets Sikkerhetsråd.

Hva som faktisk går tapt

– Når man først har latt seg lure av ClickFix-angrepet, fortsetter angriperen med å gjennomsøke maskinen og datasystemene brukeren har tilgang til. Angriperen kan for eksempel stjele alt som ligger lagret i nettleseren: passord, autofyll-informasjon, kryptolommebøker og informasjonskapslene som holder deg innlogget, sier Malmedal, og fortsetter:

– Den siste av disse er svært verdifulle for angriper. En informasjonskapsel for en aktiv økt er i praksis en ferdig innlogget tilgang. Angriperen trenger verken passordet eller tofaktorkoden, fordi han overtar en innlogging som allerede er godkjent. Tofaktorautentisering gir ingen beskyttelse i dette tilfellet.

Derfra går det ofte videre. Tilgangen selges til andre kriminelle grupper, som bruker den til å bevege seg innover i nettverket. Utfallene som er observert spenner fra løsepengevirus og datauttrekk til fakturasvindel gjennom kaprede e-postkontoer. Det siste er verdt å merke seg for virksomheter med mange leverandører og kunder. En angriper som sitter i innboksen til en saksbehandler har all historikken han trenger for å sende en troverdig betalingsanmodning nedover i kjeden. Skaden rammer da ikke bare virksomheten selv, men kundene den leverer til.

Metoden brukes både av vanlige kriminelle og av statlige aktører. Ukrainas responsmyndighet CERT-UA har knyttet en serie ClickFix-angrep mot ukrainske nettsteder til den russiske gruppen Sandworm.

150 bedrifter har hatt infiserte nettsider

– Det siste året har vi varslet rundt 150 norske bedrifter om at deres nettsider har vært hacket og infisert med ulike varianter av ClickFix, sier Lars Magne Hovtun, som er sjef for Næringslivets sikkerhetsråds beredskapssenter.

Det nyetablerte beredskapssenteret er utpekt av Nærings- og fiskeridepartementet som sektorvis responsmiljø for digital sikkerhet i store deler av næringslivet. Gjennom godt samarbeid med Nasjonal sikkerhetsmyndighet, politiets nasjonale cyberkrimsenter (NC3), andre sektorvise responsmiljø, og cybersikkerhetsselskaper, får beredskapssenteret informasjon om bedrifter som er rammet av digitale angrep – uten at de vet det selv. Næringslivets Sikkerhetsråd varsler derfor et stort antall bedrifter om at de er rammet av digitale angrep, slik at de kan iverksette tiltak.

– Vi vet ikke hvor mange personer som faktisk har latt seg lure av de 150 ClickFix-infiserte nettsidene vi har varslet om. Vi antar det kan være snakk om et stort antall. Vi har god grunn til å tro at mange bedrifter har ansatte som har latt seg lure, og at mange bedrifter derfor har uoppdagede digitale angrep som følge av denne angrepsmetoden, sier Hovtun.

Derfor stopper ikke sikkerhetsverktøyene det

ClickFix utnytter ingen sårbarhet i Windows, i nettleseren eller i noe program.

Det meste av det tekniske forsvaret i en virksomhet er bygget for å fange filer og lenker på vei inn: skanning av e-postvedlegg, kontroll av nedlastinger, antivirus som gjenkjenner kjent skadevare. ClickFix leverer ingen fil. Kommandoen henter koden ned og kjører den rett i minnet, ofte gjennom verktøy som allerede ligger i Windows og som skal være der. Det finnes ikke noe å skanne, og handlingen kommer fra en autorisert bruker som gjør noe hen tilsynelatende har lov til.

Metoden ble beskrevet av sikkerhetsforskere i 2024, og fikk sin egen oppføring i det internasjonale rammeverket MITRE ATT&CK i mars 2025. Sikkerhetsselskapet ESET målte en økning på 517 prosent i første halvår av 2025. Den amerikanske forbrukermyndigheten FTC gikk ut med advarsel i juni 2026, og det sveitsiske nasjonale cybersikkerhetssenteret varslet om økning i innrapporterte tilfeller i februar samme år.

Lokkemidlene varierer, mekanismen er den samme

– Den falske robotsjekken er den vanligste innpakningen, men ikke den eneste. Andre varianter forteller at nettleseren må oppdateres, at et dokument ikke kunne åpnes, at et Teams-møte krever en rask reparasjon, eller at et populært KI-verktøy må installeres. Fellesnevneren er alltid den samme, du blir bedt om å forlate nettleseren og lime noe inn i et systemvindu, sier Malmedal.

Angriperne har også flyttet seg etter hvert som virksomheter har begynt å sperre kommandovinduet. Nyere varianter ber brukeren lime inn i adressefeltet i Filutforsker, eller i Windows Terminal, som ser mer legitimt ut. Microsoft beskrev i februar 2026 en omfattende kampanje som brukte nettopp den siste varianten. På Mac brukes Terminal-appen på tilsvarende måte, og etter at Apple la inn en beskyttelse i mars 2026 dukket det innen en måned opp en variant som gikk utenom.

Sidene som viser lokkemiddelet er som regel ikke tvilsomme nettsteder. De er ordinære, veletablerte sider som er kapret uten at eierne vet det. Malwarebytes fant i mai 2026 over 700 kaprede nettsteder innen utdanning og teknologi som viste det samme falske vinduet. Det betyr at råd om å «holde seg til sider du kjenner» ikke hjelper her.

Hva kan virksomheten gjøre for å motvirke ClickFix

Vurder å sperre kjøremuligheten

Dette er et tiltak som faktisk kan stoppe angrepet. Kommandovinduet som åpnes med Windows og R kan slås av sentralt. Det samme gjelder muligheten til å kjøre kommandoer fra adressefeltet i Filutforsker og fra Windows Terminal. Gjør alle tre, ikke bare den første, ellers flytter angrepet seg bare til neste variant.

Gjør stjålne innlogginger mindre verdt

Krev at innlogging til virksomhetens systemer skjer fra en maskin virksomheten kjenner og administrerer. Da blir en stjålet informasjonskapsel ubrukelig for en angriper som sitter et annet sted. Sett kortere levetid på innlogginger, og slutt å la ansatte lagre passord i nettleseren.

Gi de ansatte én regel

Ingen legitim nettside vil noen gang be deg om å åpne et kommandovindu og lime inn noe. Ikke Microsoft, ikke banken, ikke leverandøren din. Ser du en slik instruksjon, lukk fanen. Denne ene regelen fanger alle varianter av angrepet, og er lettere å huske enn en liste over kjennetegn.

Senk terskelen for å si fra

Mange dataangrep kan få den ansatte til å føle seg dum etterpå. Men skam koster tid, og tid er kritisk i disse tilfellene. Ledelsen bør si tydelig og på forhånd at den som melder fra raskt har gjort det riktige.

Hvis det først har skjedd

Har en ansatt sett vinduet, men ikke limt inn noe, er ingenting kompromittert. Lukk fanen og kopier en tilfeldig tekst for å tømme utklippstavlen. Det er ikke nødvendig å gjøre noe mer.

Ble kommandoen kjørt, bør det behandles som en bekreftet hendelse fra første minutt.

Koble maskinen fra nettverket, men la den stå på. Mye av denne skadevaren finnes bare i minnet, og forsvinner ved avslutning sammen med sporene etter den.

Trekk deretter tilbake alle aktive innlogginger for brukeren, ikke bare passordet. Dette er steget som oftest glemmes, og det er dette som faktisk stenger angriperen ute. Bytt så passord på alt som lå lagret i nettleseren, også private tjenester.

Gå gjennom kontoen for de siste døgnene og se etter innlogginger fra ukjente steder, nye tofaktormetoder som er lagt til, nye videresendingsregler i e-post og nye tredjepartstilganger. Videresendingsregler er en av de vanligste måtene angriperen beholder innsyn på etter at man tror det er ryddet opp.

Sjekk til slutt i logger om andre ansatte har besøkt samme nettsted, og vurder varslingsplikt etter personvernforordningen. Virksomheter under digitalsikkerhetsloven har i tillegg 24 timers varslingsfrist til NSM ved alvorlige hendelser.

Del også observasjonene med bedriftens sektorvise responsmiljø. Næringslivets Sikkerhetsråd er sektorvist responsmiljø for store deler av næringslivet. Les mer om ordningen og se oversikt over andre responsmiljø her.

Trykk her for å varsle NSRs beredskapssenter om en digital hendelse.