Ukesnytt digital sikkerhet - Uke 6
4. feb 2026
Lesetid: 3 min
I ukens nyhetsbrev ser vi nærmere på et omfattende tilsyn varslet mot alle landets kommuner som en del av Totalforsvarsåret 2026. Samtidig har Datatilsynet lagt frem nye rapporter om lovlig datadeling i kampen mot økonomisk kriminalitet. På den tekniske fronten er det kritisk å få på plass sikkerhetsoppdateringer fra både Ivanti og Microsoft, etter meldinger om aktive angrep mot både mobile enheter og kontorstøttesystemer.
Datatilsynet varsler tilsyn med alle landets kommuner
Som en del av Totalforsvarsåret 2026, har Datatilsynet satt i gang et omfattende tilsyn med hvordan norske kommuner sikrer personopplysninger.
Datatilsynet har iverksatt et landsdekkende tilsyn rettet mot hvordan norske kommuner sikrer personopplysninger. Dette er en del av markeringen av Totalforsvarsåret 2026. Målet er å avdekke om kommunene har god nok kontroll på innbyggernes data i en tid hvor digitale trusler mot offentlig infrastruktur er økende.
Hva så?
For kommune-Norge betyr dette at "huset må være i orden". Det er ikke rom for å mangler innen internkontroll eller rutiner. Dette videreføres selvsagt til leverandører og databehandlere til kommunal sektor
Kilde: https://www.datatilsynet.no/aktuelt/aktuelle-nyheter-2026/varsler-tilsyn-med-alle-norges-kommuner/ (28. januar 2026)
Nye sandkasserapporter om datadeling
Datatilsynet og Finanstilsynet har avsluttet felles prosjekter for datadeling mot økonomisk kriminalitet.
Datatilsynet kunngjorde 3. februar at fire sandkasseprosjekter nå er avsluttet, og rapportene er avgitt. Prosjektene har involvert banker, forsikringsselskaper og teknologileverandører som har utredet hvordan datadeling kan styrke arbeidet mot økonomisk kriminalitet innenfor gjeldende regler. Rapportene beskriver de juridiske rammene og praksisen som kan tillate mer effektiv informasjonsutveksling mellom aktører. Dette gir en oversikt over både begrensninger og muligheter i regelverket.
Hva så?
Resultatene kan gjøre det enklere for norske finansforetak å dele data lovlig når de bekjemper svindel og hvitvasking. Norske bedrifter bør sette seg inn i de nye retningslinjene og sluttrapportene, for eksempel om deling mellom banker og forsikringsselskaper, slik at de kan dra nytte av handlingsrommet som er identifisert. Det kan også være nyttig for virksomheter å vurdere deltakelse i framtidige «sandkasse»-tester sammen med myndighetene.
Kilde: https://www.datatilsynet.no/aktuelt/aktuelle-nyheter-2026/nye-sandkasserapporter-om-datadeling/ (3. februar 2026)
Ivanti fjerner to kritiske nulldagssårbarheter
Ivanti har rullet ut nødpatcher etter at to alvorlige feil ble oppdaget i deres mobile enhetsstyring.
Ivanti bekreftet 30. januar at to tidligere ukjente, kritiske svakheter i deres Endpoint Manager Mobile (EPMM) er blitt rettet. Sårbarhetene, kjent som CVE-2026-1281 og CVE-2026-1340, hadde CVSS-score 9,8 og tillot uautentisert ekstern kodekjøring. Feilene ble observert aktivt utnyttet mot et begrenset antall kunder da patchen ble utgitt. Artikkelen beskriver at disse feilene gir full tilgang til angripere, blant annet mulighet til laterale bevegelser i nettverk, endring av konfigurasjoner og potensiell eksfiltrasjon av data fra berørte mobile enheter .
Hva så?
Bedrifter som bruker Ivantis EPMM for mobiladministrasjon må installere de nye oppdateringene. Siden angriperne kan få administrative rettigheter uten å logge inn, er det fare for omfattende konsekvenser ved angrep. Dere bør også overvåke nettverkstrafikk etter kjente indikatorer fra Ivanti sin tekniske analyse og vurdere om eksterne enheter bør isoleres til sårbarheten er lukket.
Kilde og dato: https://www.theregister.com/2026/01/30/ivanti_epmm_zero_days/ (30. januar 2026)
Fancy Bear (APT28) utnytter fersk nullidagssårbarhet mot europeiske mål
Den russiske statstilknyttede gruppen APT28 er observert i å utnytte en helt ny sårbarhet i Microsoft Office (CVE-2026-21509). Det mest skremmende er at angrepet startet bare tre dager etter at sårbarheten ble offentlig kjent.
Sårbarheten er en "security feature bypass" som lar angripere lure Office-programmer til å kjøre skadelig kode skjult i tilsynelatende ufarlige dokumenter. APT28 har brukt metoden til å sende målrettede e-poster til offentlige institusjoner og energiselskaper i Europa for å stjele e-postkorrespondanse og interne dokumenter. De bruker en kombinasjon av WebDAV-nedlastinger og koding av skadelig programvare inni bildefiler (steganografi) for å unngå deteksjon fra tradisjonelle antivirusprogrammer. Den raske responstiden fra hackerne viser at de har profesjonelle team som sitter klare til å analysere og utnytte hver eneste sårbarhet Microsoft eller andre store leverandører publiserer.
Hva så?
Tidsvinduet for å lappe kritiske sårbarheter har krympet fra uker til dager, eller til og med timer. Dere må ha en prosess for "emergency patching" av kontorstøttesystemer som Microsoft 365. Sørg også for at deres e-postsikkerhetsløsninger er konfigurert til å blokkere eller sandkasse mistenkelige dokumenttyper, og lær ansatte at selv "viktige" dokumenter fra kjente kilder kan være infisert dersom de nylig har blitt patchet eller omtalt i nyhetene.
Lenke: https://www.darkreading.com/cyberattacks-data-breaches/russian-hackers-weaponize-office-bug-within-days (3. februar 2026)
Bjarte Malmedal Fagdirektør digital sikkerhet bma@nsr-org.no +47 990 94 838