Hacktivisme som scenarie: hvornår det ikke er en red team‑øvelse

Når pro-russiske grupper overbelaster danske hjemmesider, spørger ledelsen, om organisationen er klar, og en red team-øvelse kan virke som det naturlige svar. Svaret hviler på, hvad hacktivister ifølge myndighederne gør: de søger synlighed og forstyrrelse, ikke skjult adgang. En red team-øvelse afprøver, om forsvaret opdager og standser en modstander, der vil være usynlig og nå et mål. De to ting passer kun delvist sammen.

Derfor afprøves de sider af truslen, som myndighederne beskriver, bedre med andre midler end red teaming. Et scenarie kan alligevel give mening, når spørgsmålet handler om det, der kan gemme sig bag støjen.

Det, trusselsvurderingen beskriver

Styrelsen for Samfundssikkerhed vurderer i Cybertruslen mod Danmark 2025, at truslen fra cyberaktivisme er høj. Ifølge vurderingen rammer særligt pro-russiske hackere løbende danske mål med DDoS-angreb, altså overbelastningsangreb, og i nogle tilfælde forsøger de at manipulere operationel teknologi, som da et mindre dansk vandværk blev ramt i slutningen af 2024. Styrelsen vurderer, at det er sandsynligt, at nogle af grupperne har forbindelse til den russiske stat, men kategoriserer stadig aktiviteten som cyberaktivisme, fordi angrebsformen ligner.

Vurderingen beskriver DDoS som en relativt simpel angrebsform, der ikke ødelægger de ramte systemer, men nævner også eksempler på velkoordinerede angreb med væsentligt længere nedetid. Angrebene mod OT har ifølge styrelsen ramt dårligt beskyttet udstyr, der kan tilgås direkte fra internettet. Om hack og læk skriver styrelsen, at truslen fra datatyveri med aktivisme som motiv indtil nu har været meget begrænset i en dansk sammenhæng.

Styrelsen fremhæver desuden, at gruppernes kommunikation om angreb kan være misvisende og overdreven, og at formålet er at skabe opmærksomhed og utryghed. Det betyder, at usikkerheden om, hvad der faktisk er sket, i sig selv er en del af angrebet.

Det europæiske billede

ENISA Threat Landscape 2025 dækker perioden fra 1. juli 2024 til 30. juni 2025. Ifølge ENISA udgjorde hacktivisme næsten fire femtedele af de registrerede hændelser, primært gennem DDoS-kampagner mod hjemmesider med lav virkning, og kun omkring to ud af hundrede hacktivistiske hændelser førte til afbrydelse af en tjeneste. ENISA nævner også, at den offentlige forvaltning har oplevet en markant stigning i hændelser, drevet af hacktivisters DDoS-angreb. Tallene beskriver ENISA’s datagrundlag og ikke den enkelte organisations risiko.

Hvorfor det ikke er en red team-øvelse

En red team-øvelse er bygget til at måle opdagelse og reaktion over for en modstander, der skjuler sig. Hacktivisters metoder, som myndighederne beskriver dem, er det modsatte: de er synlige, de skal ses, og effekten ligger i opmærksomheden. Det, I har brug for at vide, er derfor andre ting:

Kan hjemmesider og tjenester tåle en overbelastning? · det afprøves i en planlagt belastningstest sammen med hosting- og netudbyderen, ikke i en skjult øvelse.
Er der udstyr eller fjernadgange, der er eksponeret mod internettet? · det afklares med en ekstern penetrationstest og et overblik over eksponerede systemer.
Kan organisationen håndtere en påstand om et angreb? · det øves bedst i en tabletop med kommunikation, ledelse og IT.

Den tekniske side af belastningstest og ekstern test er beskrevet på penetration-test.dk. Her er pointen, at et skjult red team ikke tilføjer noget til de spørgsmål. → Red teaming, tabletop og beredskabsøvelse

Når et scenarie alligevel giver mening

Der er situationer, hvor en vinkel fra hacktivisme kan indgå i en red team-øvelse:

Støj som dække · styrelsen nævner, at DDoS kan bruges til at aflede opmærksomheden fra den egentlige hensigt, fx datatyveri. Et scenarie kan afprøve, om forsvaret stadig ser den stille aktivitet, mens alle ser på hjemmesiden. Selve overbelastningen bør simuleres eller aftales med udbyderne, ikke udføres skjult, så white team hele tiden kan skelne øvelsen fra et rigtigt angreb og stoppe den, hvis noget uventet sker.
Adgang til OT med svag beskyttelse · er der anlæg, der kan nås fra internettet, kan et scenarie afprøve, om nogen opdager et forsøg på adgang, med klare stopregler og uden at røre styringen. → OT i red teaming
Forbindelse til en stat · når en gruppe med mulig statslig forbindelse er bekymringen, er det modstanderens adfærd og ikke etiketten, der skal bestemme scenariet.

I alle tre tilfælde er det et almindeligt red team-scenarie med hacktivisme som ramme, ikke en efterligning af hacktivisme. → Scenarievalg

Kommunikationen er en del af truslen

Fordi grupperne søger omtale og kan overdrive, kan den største belastning ligge i timerne efter en påstand: pressen ringer, kunder spørger, og ledelsen vil vide, om det er sandt. En tabletop kan øve, hvordan IT hurtigt afklarer, hvad der faktisk er sket, og hvordan kommunikationen undgår at forstærke budskabet. Styrelsen for Samfundssikkerhed skriver, at den ikke nævner gruppernes navne i sine publikationer, medmindre det er afgørende for et retvisende billede, netop fordi grupperne søger omtale. Samme forsigtighed kan bruges i jeres egen kommunikation: beskriv, hvad der er sket, og undlad at gentage gruppens navn og budskab. → Tabletop-øvelsen forklaret

Et tænkt eksempel

Et regionalt forsyningsselskab ser i nyhederne, at danske hjemmesider er ramt af overbelastningsangreb, og bestyrelsen beder om en red team-øvelse. CISO’en deler spørgsmålet op. Hjemmesidens modstandskraft bliver afklaret med hostingudbyderen og en planlagt belastningstest. En ekstern penetrationstest kortlægger, om der er fjernadgange til anlæg, som kan nås fra internettet, og finder én, der lukkes. En tabletop med kommunikationschefen, driftschefen og direktøren øver, hvad der sker, når en gruppe på sociale medier påstår at have overtaget vandforsyningen.

Først derefter bliver der bestilt en red team-øvelse, og den får et andet spørgsmål: opdager forsvaret en stille adgang til kundedata, mens driftsfolkene har travlt med en synlig forstyrrelse? Bestyrelsen får dermed svar på flere spørgsmål, og hver afprøvning måler det, den er bygget til. Eksemplet er tænkt.

Det skal I lade være med

At bestille en red team-øvelse som svar på DDoS · den måler noget andet.
At gennemføre en overbelastning uden udbydernes viden · den rammer også andre og kan forveksles med et rigtigt angreb.
At tage gruppernes påstande for gode varer · få fakta fra IT, før I kommenterer.
At overse eksponeret OT · styrelsen skriver, at selv simple angreb mod OT kan få omfattende konsekvenser.
At lade scenariet bestemme af overskrifterne · vælg ud fra jeres egne værdier og spørgsmål.

Hvad kan og ikke kan konkluderes

En red team-øvelse med en hacktivistisk ramme kan vise, om forsvaret ser skjult aktivitet bag en synlig forstyrrelse, eller om et forsøg på adgang til svagt beskyttet udstyr bliver opdaget. Den kan ikke vise, om jeres tjenester tåler en overbelastning, og den erstatter ikke en øvelse i at håndtere en offentlig påstand. De spørgsmål kræver andre former for afprøvning.

Kilder

Styrelsen for Samfundssikkerhed: Cybertruslen mod Danmark 2025: trusselsniveauet for cyberaktivisme, DDoS, manipulation af OT, hack og læk, misvisende kommunikation og DDoS som afledning (s. 6, 17 og 20 til 25).
ENISA: EU consistently targeted by diverse yet convergent threat groups: hacktivismens andel af hændelserne, DDoS med lav virkning og andelen med afbrydelse af tjenester i ENISA Threat Landscape 2025.

Senest gennemgået: oktober 2026.