Slik blir norske nettsider hacket

Kort svar
De aller fleste nettsider blir ikke hacket av en person som har valgt seg ut nettopp deg. De blir funnet av automatiserte roboter som leter etter én av fire ting: en utdatert utvidelse eller tema, et svakt eller gjenbrukt passord uten totrinnsbekreftelse, et kompromittert leverandørledd, eller noe glemt – en gammel bruker, en ubrukt utvidelse, en testinstallasjon. Når de er inne, er målet sjelden å ødelegge siden din. Det er å bruke den: til søkemotorspam, til å hoste svindelsider, til å sende e-post, eller til å hente ut skjemadata. Derfor merker mange det ikke før Google gjør det. Tiltakene er de samme uansett hvilken dør som sto åpen: hold alt oppdatert, rydd i tilganger, ta backup du har testet, og sørg for at noen faktisk følger med.

Det handler sjelden om uflaks

Når en norsk bedrift blir hacket, er den vanligste forklaringen «vi var uheldige». Tallene tyder på noe annet.

63 % av norske virksomheter som ble utsatt for et sikkerhetsbrudd, mente det skyldtes tilfeldigheter eller uflaks.

Mørketallsundersøkelsen, gjengitt av fagdirektør for digital sikkerhet i Næringslivets Sikkerhetsråd, mars 2025

Fagdirektøren som la fram tallet, konkluderte selv slik: sikkerhet handler sjelden om uflaks. Cyberangrep skjer fordi virksomheter har sårbarheter, og fordi angripere vet hva de skal lete etter. Systemer som ikke er oppdatert, gjenbrukte passord og manglende rutiner er ikke tilfeldigheter.

Det er godt nytt. Uflaks kan du ikke gjøre noe med. Fire konkrete dører kan du lukke.

De fire inngangsveiene

Nesten alle innbrudd på små og mellomstore norske nettsider går gjennom én av disse. De er sortert etter hvor ofte vi ser dem.

Dør 1: Utdaterte utvidelser og temaer

Dette er den klart hyppigste. Og den er lett å undervurdere, fordi den ikke føles som en sikkerhetsbeslutning – den føles som en oppdatering du ikke rakk.

Slik fungerer det i praksis: en sårbarhet blir funnet i en utvidelse. Utvikleren lager en rettelse. Sårbarheten blir offentliggjort, med beskrivelse av hva som er galt. I samme øyeblikk vet også alle andre hva de skal lete etter – og automatiserte roboter begynner å skanne nettet etter nettsteder som ennå ikke har oppdatert.

Omfanget er verdt å kjenne til. I 2025 ble det registrert 11 334 nye sårbarheter i WordPress-økosystemet, en økning på 42 prosent fra året før. 91 prosent av dem lå i utvidelser, ikke i WordPress selv. Og nesten halvparten – 46 prosent – var fortsatt ikke rettet på det tidspunktet de ble offentlig kjent.

Et ferskt og konkret eksempel er sårbarheten i Elementor Pro som ble tettet i august 2026. Vi har skrevet en egen gjennomgang av den: Kritisk sikkerhetshull i Elementor Pro – er nettsiden din berørt?

• Slik lukker du den: Oppdater WordPress, temaer og utvidelser jevnlig – ikke «når vi rekker det». Slett det du ikke bruker, framfor å bare deaktivere det: filene ligger igjen på serveren uansett. Og vær kritisk til hva du installerer i utgangspunktet.

Dør 2: Passord og tilganger

Den nest vanligste, og den mest undervurderte. Angriperen trenger ikke å knekke passordet ditt. Han trenger bare å finne det et annet sted.

Store tjenester lekker data med jevne mellomrom. Er e-postadressen og passordet ditt med i en slik lekkasje, havner kombinasjonen i lister som prøves automatisk mot tusenvis av andre innlogginger – inkludert WordPress-siden din. Har du brukt samme passord to steder, er det nok.

Det andre problemet er roller. Mange norske bedriftssider har fem, seks eller ti administratorer, fordi det var enklest å gi alle full tilgang. En administrator kan installere kode. En redaktør kan bare skrive innhold. De fleste som logger inn på en bedriftsside, trenger å skrive innhold.

• Slik lukker du den: Slå på totrinnsbekreftelse for alle som har administratortilgang – dette alene stopper nesten hele denne kategorien. Bruk unike passord, gjerne fra en passordbehandler. Gi folk den laveste rollen de faktisk trenger.

Dør 3: Leverandørkjeden

Den vanskeligste å beskytte seg mot, fordi du gjør alt riktig og blir rammet likevel.

En utvidelse eller et tema du bruker, blir selv angrepet – eller utvikleren selger det videre til noen med andre hensikter. Neste oppdatering du installerer, den du gjorde helt etter boka, inneholder kode som ikke skal være der. Det samme gjelder webhotellet: ligger nettsiden din på en delt server sammen med mange andre, kan et innbrudd hos naboen få konsekvenser for deg.

Dette er ikke vanlig, men det skjer, og det er verdt å vite om – ikke minst fordi det er den ene kategorien der «vi var uheldige» faktisk kan stemme.

• Slik lukker du den: Bruk færrest mulig utvidelser, og velg dem som har mange brukere og et aktivt vedlikehold bak seg. Sjekk om leverandøren fortsatt oppdaterer produktet. Velg et webhotell som tar sikkerhet på alvor, og som du kan få svar fra på norsk.

Dør 4: Det som er glemt

Den mest typiske for bedrifter som har hatt nettsiden i noen år og byttet leverandør underveis.

Administratorkontoen til byrået dere sluttet med i 2023. FTP-brukeren en frilanser fikk. Testversjonen av nettsiden som ligger i en undermappe og ikke har blitt oppdatert siden den ble laget. Utvidelsen dere prøvde ut i to uker og aldri slettet. Ingen av delene er farlige i seg selv. Poenget er at ingen ser på dem.

Angripere leter systematisk etter nettopp dette, fordi glemte ting ikke blir oppdatert – og fordi ingen legger merke til at de blir brukt.

• Slik lukker du den: Gå gjennom brukerlisten minst én gang i året, og alltid når noen slutter eller et samarbeid avsluttes. Slett testinstallasjoner. Fjern utvidelser og temaer dere ikke bruker. Sjekk hvilke domener og underdomener som faktisk peker et sted.

Hva vil de egentlig med en liten norsk bedriftsside?

Dette spørsmålet kommer alltid, og det er en rimelig innvending. Svaret er at angriperen som regel ikke er interessert i bedriften din i det hele tatt. Han er interessert i serveren din, domenet ditt og tilliten Google har til deg.

Hva de bruker siden til	Hva det betyr for deg
Søkemotorspam	Hundrevis av skjulte sider om helt andre produkter legges inn for å utnytte domenets rangering. Ofte det første Google oppdager – og det som ødelegger synligheten din.
Svindelsider	En falsk innloggingsside legges i en undermappe på ditt domene. Ofrene ser dittfirma.no i adressefeltet og stoler på det.
Utsending av e-post	Serveren din brukes til å sende søppelpost. Resultatet er at domenet ditt havner på svartelister, og at helt vanlige e-poster fra dere slutter å komme fram.
Videresending av trafikk	Besøkende – ofte bare de som kommer fra mobil eller fra Google – blir sendt til et annet nettsted. Du ser det ikke selv, fordi du er innlogget.
Tapping av skjemadata	Kode som stille kopierer det folk skriver inn i kontaktskjemaer. Dette er det som utløser personvernplikter.
Bakdør for senere	Ingenting skjer nå. Tilgangen selges eller brukes om seks måneder. Derfor holder det ikke å fjerne det du ser.

Legg merke til at ingen av disse innebærer at siden slutter å virke. Det er selve poenget. En angriper som ødelegger siden din, blir oppdaget med en gang. En som lar den stå akkurat som den er, kan bli der i månedsvis.

Tegnene du kan se selv

Ett tegn alene betyr ikke nødvendigvis innbrudd. Flere samtidig bør undersøkes.

• Administratorbrukere du ikke kjenner igjen, eller brukere opprettet på tidspunkter ingen jobbet.
• Ukjente sider i Google. Søk site:dittdomene.no og bla gjennom. Dukker det opp sider på andre språk, eller om produkter du ikke selger, er det et klassisk funn.
• Advarsler i Google Search Console om sikkerhetsproblemer, eller plutselig tusenvis av nye sider i indekseringskø.
• Besøkende som blir videresendt – be noen sjekke fra mobil, i privat nettleservindu, via et Google-søk.
• E-post fra dere som havner i søppelpost hos mottakere der det aldri skjedde før.
• Siden er plutselig treg uten at dere har endret noe.
• Filer på serveren som ikke hører hjemme, særlig PHP-filer i opplastingsmapper.
• Utvidelser som deaktiverer seg selv, eller innstillinger som endrer seg tilbake.

Hva det faktisk koster

Selve oppryddingen er sjelden det dyreste. Det er konsekvensene rundt.

• Synlighet i Google. Blir siden merket som skadelig, forsvinner du effektivt fra søkeresultatene til problemet er løst og Google har vurdert saken på nytt. Har angriperen rukket å indeksere spam-sider, tar det tid å rydde opp i etterkant også.
• Tillit. En rød advarselsside i nettleseren når en kunde klikker seg inn, er vanskelig å ta igjen. Det samme gjelder e-post som ikke kommer fram.
• Tid. Skikkelig opprydding tar lengre tid enn folk tror, fordi hovedjobben ikke er å fjerne det du ser – det er å finne ut hva som ble gjort mens døren sto åpen.
• Personvern. Er personopplysninger involvert, følger det plikter.

Fra praksis: Et mønster vi ser igjen når vi overtar en nettside etter et innbrudd: en utvidelse ingen hadde oppdatert på over et år, og en administratorbruker som ikke lenger tilhørte noen i selskapet. To av de fire dørene, begge åpne, begge fullt mulige å lukke på forhånd. Selve angrepet er sjelden avansert. Det er ryddingen etterpå som tar tid, nettopp fordi ingen kan si sikkert hva som ble gjort underveis.

Personvern: plikten mange glemmer

Kontaktskjemaer samler navn, e-postadresser, telefonnumre – noen ganger vedlegg med langt mer. Er det sannsynlig at slike opplysninger har kommet på avveie, er ikke dette bare et IT-problem lenger.

Etter personopplysningsloven og personvernforordningen artikkel 33 skal brudd på personopplysningssikkerheten meldes til Datatilsynet uten ugrunnet opphold, og der det er mulig innen 72 timer etter at dere ble kjent med bruddet. Er det ikke sannsynlig at bruddet medfører risiko for de registrerte, gjelder ikke meldeplikten – men den vurderingen bør gjøres bevisst og dokumenteres, ikke hoppes over i farten.

Vi er et digitalbyrå, ikke advokater. Er dere i tvil, ta kontakt med Datatilsynet eller juridisk rådgiver.

Slik lukker du de fire dørene

I prioritert rekkefølge. De to første fjerner mest risiko per innsats.

1. Slå på totrinnsbekreftelse for alle administratorer. Tar et kvarter. Fjerner så godt som hele dør 2.
2. Etabler en fast oppdateringsrutine. Ikke «når vi husker det» – en fast dag, med en ansvarlig. Dette er dør 1, som er den hyppigste.
3. Rydd i brukere og roller. Fjern kontoer som ikke tilhører noen. Sett de fleste ned til redaktør.
4. Slett det du ikke bruker. Utvidelser, temaer, testinstallasjoner, gamle underdomener. Deaktivert er ikke det samme som fjernet.
5. Sørg for backup du har testet. En sikkerhetskopi ingen har forsøkt å hente tilbake, er en antakelse. Test gjenoppretting én gang, så vet du.
6. Sett opp overvåking. Du trenger å få vite at noe skjer – ikke oppdage det fordi en kunde ringer.
7. Bestem hvem som har ansvaret. Det vanligste hullet er ikke teknisk. Det er at ingen eier oppgaven.

Punkt 7 er grunnen til at en driftsavtale finnes. Ikke fordi noen «passer på» i abstrakt forstand, men fordi oppdateringer faktisk blir gjort, backupen faktisk blir testet, og noen faktisk ser på siden når det dukker opp en sårbarhet som gjelder dere.

Fire ting du ikke skal gjøre

Dette er råd som går på tvers av mye av det som står på nett – og det er bevisst. Disse fire feilene gjør skaden større, ikke mindre.

Ikke gjør dette:

• Ikke slett den ukjente brukeren først. Det er beviset ditt på når og hvordan de kom inn. Ta en skjermdump og noter tidspunktet før du rører noe.
• Ikke gjenopprett en gammel backup som første handling. Lå bakdøren der allerede da kopien ble tatt, henter du den bare tilbake – og du har samtidig slettet sporene.
• Ikke bare fjern det du ser. Bakdører kommer sjelden alene. Er én fil funnet, må resten av installasjonen gjennomgås.
• Ikke anta at oppdatering rydder opp. Å oppdatere lukker hullet. Det fjerner ikke det som allerede kom inn gjennom det.

Gjør dette i stedet:

• Ta en full kopi av siden slik den er nå, også infisert – det er utgangspunktet for å finne ut hva som skjedde
• Noter tidspunkter: når merket dere det, når ble brukeren opprettet, når endret filene seg
• Bytt alle passord: WordPress, webhotell, FTP, database, e-post
• Gå gjennom hele installasjonen, ikke bare det synlige funnet
• Vurder personvernplikten før 72 timer har gått

Ofte stilte spørsmål (FAQ)

Hvordan blir en nettside hacket?
I praksis via én av fire innganger: en utdatert utvidelse eller et utdatert tema, et svakt eller gjenbrukt passord uten totrinnsbekreftelse, et kompromittert leverandørledd, eller noe glemt – en gammel brukerkonto, en ubrukt utvidelse, en testinstallasjon. De aller fleste angrep er automatiserte: roboter skanner nettet etter kjente svakheter framfor å velge ut enkeltbedrifter.

Er WordPress usikkert?
Nei, men det er svært utbredt, og det gjør det til et lønnsomt mål for automatiserte angrep. Det store flertallet av sårbarheter oppstår heller ikke i WordPress selv, men i utvidelser: i 2025 lå 91 prosent av de registrerte sårbarhetene i plugins. En godt vedlikeholdt WordPress-side er trygg. En som ingen oppdaterer, er det ikke.

Hvorfor skulle noen angripe min lille bedriftsside?
Fordi de som regel ikke er ute etter bedriften din, men etter serveren, domenet og tilliten Google har til det. Sider brukes til søkemotorspam, til å hoste svindelsider, til å sende e-post, til å videresende besøkende, eller som en bakdør som selges videre. Størrelsen på bedriften er irrelevant når angrepet er automatisert.

Hvordan vet jeg om nettsiden min er hacket?
Se etter administratorbrukere du ikke kjenner igjen, ukjente sider når du søker site:dittdomene.no i Google, advarsler i Google Search Console, besøkende som blir videresendt, e-post fra dere som havner i søppelpost, plutselig treg side, eller PHP-filer i opplastingsmapper. Ett tegn alene er sjelden nok, men flere samtidig bør undersøkes.

Holder det med et sikkerhetsplugin?
Det hjelper, men det er ikke det samme som vedlikehold. Et sikkerhetsplugin kan blokkere kjente angrepsmønstre og varsle om endringer. Det oppdaterer ikke utvidelsene dine, fjerner ikke en gammel administratorbruker, og vurderer ikke om en fil hører hjemme. De fleste innbrudd vi ser skyldes noe en oppdatering ville stoppet.

Hvor ofte bør nettsiden oppdateres?
Sikkerhetsoppdateringer bør inn så raskt som mulig – sårbarheter utnyttes ofte kort tid etter at de blir offentlig kjent. En praktisk rutine for de fleste norske SMB-er er en fast månedlig gjennomgang, med unntak for kritiske sårbarheter som håndteres med en gang. Det viktigste er at det finnes en rutine og en ansvarlig, ikke akkurat hvilken dag i måneden det skjer.

Må jeg melde fra til Datatilsynet hvis nettsiden er hacket?
Hvis innbruddet innebærer et brudd på personopplysningssikkerheten – for eksempel at skjemadata kan ha kommet på avveie – skal det meldes til Datatilsynet uten ugrunnet opphold, og om mulig innen 72 timer etter at dere ble kjent med bruddet. Er det ikke sannsynlig at bruddet medfører risiko for de registrerte, gjelder ikke meldeplikten, men vurderingen bør dokumenteres. Er dere i tvil, kontakt Datatilsynet eller juridisk rådgiver.

Hva koster det å rydde opp i en hacket nettside?
Det avhenger helt av omfanget: hvor lenge tilgangen har vært der, hvor mange filer som er berørt, og om det finnes en brukbar backup fra før innbruddet. Selve oppryddingen er sjelden den største kostnaden – tapt synlighet i Google og tapt tillit er som regel dyrere. Vi ser på situasjonen og gir et konkret anslag før vi begynner, slik at du vet hva du går til.

---

Få en gratis sikkerhetssjekk av nettsiden

Usikker på om noen av de fire dørene står åpne hos deg? Vi går gjennom oppdateringer, brukertilganger, backup og kjente sårbarheter – og gir deg en konkret liste over hva som bør ryddes først. Helt uforpliktende.

Få en gratis sikkerhetssjekk · eller ring +47 919 25 014

Mistenker du at det allerede har skjedd noe, ta kontakt før du gjør endringer – spor kan forsvinne. Vil du unngå å havne her igjen, er løpende vedlikehold og support av nettstedet det som faktisk holder dørene lukket over tid. Vi har også skrevet om hvorfor mange WordPress-nettsteder mislykkes – manglende vedlikehold går igjen der også.

---

Kilder: Tallene for sårbarheter i WordPress-økosystemet i 2025 – 11 334 registrerte sårbarheter, 42 prosent økning, 91 prosent i utvidelser – er hentet fra Patchstack, State of WordPress Security in 2026. Meldeplikten og 72-timersfristen følger av personvernforordningen artikkel 33; se Datatilsynet: Meld avvik. Artikkelen er sist oppdatert 23. august 2026.