Kort svar: Er nettsiden hacket, skal du isolere den – ikke slette den – og la PC-er som kan være smittet stå på, men uten nett. Skriv ned alt du ser, ring webhotellet og bytt passord fra en ren maskin. Er personopplysninger berørt, må bedriften melde avvik til Datatilsynet i Altinn innen 72 timer. Gjenopprett bare fra en sikkerhetskopi du vet er ren.
Rådene bygger på sjekklisten Nasjonal sikkerhetsmyndighet (NSM) bruker for pågående angrep, oppdatert 19. oktober 2026, og på det vi selv har lært av å rydde opp i hackede WordPress-nettsteder. Vi har oversatt den til en bedrift uten egen IT-avdeling, time for time.
- Cyberrisikonivå: NSM hevet det nasjonale nivået til «høyt» 27. oktober 2026 – ett trinn over normaltilstanden «moderat».
- Første regel: «Isoler systemene som er berørt, men ikke slå av enheter» (NSM).
- Meldefrist: senest 72 timer etter at dere fikk kjennskap til bruddet, via Altinn – trinnvis melding er lov.
- Hvem melder: bedriften som er behandlingsansvarlig, ikke webhotellet.
- Anmeldelse: NSM anbefaler å anmelde datainnbrudd til lokalt politi.
- Backup: «Kontroller at backup ikke inneholder skadevare før gjenoppretting» (NSM).
Hva betyr det at NSM har hevet cyberrisikonivået til høyt?
Cyberrisikonivået er NSMs samlede vurdering av hvor sannsynlig og alvorlig digitale angrep mot Norge er. Skalaen har fem trinn – svært lavt, lavt, moderat, høyt og ekstremt høyt – og «moderat» regnes som normalen. Ifølge NSM (27. oktober 2026) er nivået nå «høyt», og det deles for første gang åpent og ugradert.
Begrunnelsen er tydelig. NSM-direktør Arne Christian Haugstøyl sier: «Vi har det siste halve året sett en tredobling av vellykkede cyberoperasjoner mot norske virksomheter.» Risikoen gjelder særlig forsvar, romsektoren, samfunnskritisk infrastruktur og leverandørene deres – men NSM ber alle norske virksomheter iverksette forebyggende tiltak umiddelbart.
Datatilsynet ser det samme bildet. Ifølge Datatilsynet (20. oktober 2026) kom det 282 avviksmeldinger etter tilsiktede angrep i første halvår 2026, mot 103 i samme periode i 2025. En viktig forklaring er at ett angrep kan ramme mange virksomheter samtidig.
Hvordan vet jeg at nettsiden er hacket?
Ofte er det en kunde som sier fra først. Tegnene vi oftest ser hos småbedrifter med WordPress, er disse:
- Besøkende blir sendt videre til en annen side, eller får opp en falsk «verifisering».
- Det finnes administratorbrukere, utvidelser eller filer ingen hos dere har lagt inn.
- Google, nettleseren eller webhotellet varsler om skadevare eller spam.
- Siden er plutselig treg, viser ukjent innhold eller sender e-post dere ikke har sendt.
Angrepet kan være laget for å skjule seg. Da vi ryddet et nettsted i juli, viste skadevaren den falske siden bare til utvalgte, utloggede besøkende – den som var logget inn, så ingenting.
Time 0–1: Hva gjør jeg først hvis nettsiden min er hacket?
Det første steget i NSMs sjekkliste for pågående hendelser er å isolere det som er berørt, men la systemene kjøre. Spor i minne og logger forsvinner når noe slås av eller slettes. For en småbedrift betyr det i praksis:
- Ikke slett nettstedet eller kontoen. Be heller webhotellet sette siden i vedlikeholdsmodus eller sperre offentlig tilgang.
- Ta mistenkelige PC-er av nettet, men la dem stå på. Har noen limt inn en kommando fra en falsk side, er den PC-en mistenkt.
- Dokumenter. WordPress.org kaller dokumentasjon det første konkrete steget: hva du ser, klokkeslett og tidssone, og hva som er endret nylig.
- Ta skjermbilder av det besøkende ser, varsler og ukjente brukere – før noe ryddes bort.
Notatene blir grunnlaget for både anmeldelsen og avviksmeldingen. De er også det leverandøren trenger for å finne ut når innbruddet startet.
Time 1–4: Hvem ringer jeg – webhotellet, NSM eller politiet?
Start med webhotellet, fordi de har tilgang til serverlogger og andre nettsteder på samme server. WordPress.org (oppdatert juli 2026) påpeker at et innbrudd kan ha rammet mer enn ditt nettsted, særlig på delt hosting.
Webhotellet
Er du kunde hos oss, håndterer vi kritiske feil – nettstedet er nede eller hacket – døgnet rundt. Kontaktveiene står på siden hjelp når nettsiden er hacket eller under angrep. Hos andre leverandører: spør etter deres rutine for kritiske hendelser.
Politiet
NSM anbefaler alle virksomheter som rammes av datainnbrudd å anmelde forholdet til lokalt politi. Politiet forklarer på sine sider hvordan du anmelder datakriminalitet. Notatene fra første time gjør anmeldelsen langt mer nyttig.
NSM og Næringslivets sikkerhetsråd
NSMs døgnbemannede operasjonssenter nås på 02497 og [email protected], og kan gi råd og veiledning. For et vanlig aksjeselskap er Næringslivets sikkerhetsråd (NSR) sektorresponsmiljøet: [email protected] eller 481 68 612. NSM rydder ikke nettstedet for deg – virksomhetene har ifølge NSM selv hovedansvaret for å håndtere hendelser.
Bytt passord – fra en ren maskin
Bytt passord til WordPress, webhotellets kontrollpanel, FTP og e-post fra en PC du stoler på. WordPress.org anbefaler å tvinge passordbytte for alle brukere og å bytte sikkerhetsnøklene i wp-config.php, slik at alle aktive økter logges ut. Bytt passordene igjen når siden er ren.
Må jeg melde et hacket nettsted til Datatilsynet?
Ja, hvis personopplysninger kan være hentet ut, endret eller gjort utilgjengelige. Et kontaktskjema, en nyhetsbrevliste eller kundeordrer i en nettbutikk er personopplysninger. Etter personvernforordningen artikkel 33 skal bruddet meldes «uten ugrunnet opphold og når det er mulig, senest 72 timer etter å ha fått kjennskap til det». Fristen regnes fra da dere oppdaget det, ikke fra innbruddet.
Ifølge Datatilsynets veiledning om å melde avvik skjer meldingen i Altinn. Den som melder, trenger eID og fullmakt til tjenesten «Melding om brudd på personopplysningssikkerheten». Sjekk den fullmakten i dag, ikke midt i en krise.
Har dere ikke alle svarene?
Meld trinnvis. Datatilsynet sier at dere kan sende en første melding innen 72 timer og følge opp med en tilleggsmelding. Vet dere ikke når bruddet startet, for eksempel fordi logger mangler, oppgir dere et omtrentlig tidsrom.
Hvem har meldeplikten?
Bedriften. Datatilsynet presiserer at selv om én leverandør som betjener mange kunder rammes, er det hver virksomhet som bruker tjenesten som må melde. Webhotellet skal som databehandler varsle deg uten ugrunnet opphold. Er risikoen for de berørte høy, krever artikkel 34 at dere også varsler dem direkte. Dette er en praktisk gjennomgang, ikke juridisk rådgivning.
Kan jeg bare gjenopprette en sikkerhetskopi etter et hackerangrep?
Ikke før dere vet når innbruddet startet. NSM skriver rett ut: «Kontroller at backup ikke inneholder skadevare før gjenoppretting.» En sikkerhetskopi tatt etter at angriperen kom inn, inneholder også bakdøren – og gjenoppretting overskriver alt som er endret siden, også nye ordrer og innlegg.
Hos oss tas det daglig sikkerhetskopi i 30 dager på Standard og Pro, lagret atskilt fra produksjonsdataene, og gjenoppretting er inkludert. Men 30 dager er for kort hvis innbruddet er eldre. Da er ren gjenoppbygging tryggere. Hvordan selve gjenopprettingen foregår, har vi forklart i slik gjenoppretter du en backup på webhotellet.
Slik gjorde vi det med den falske Cloudflare-siden
I juli fikk en kunde melding om at besøkende ble bedt om å lime inn en PowerShell-kommando på en falsk Cloudflare-side. Vi fant to skjulte utvidelser – én som viste den falske siden og én bakdør – og identifiserte skadevaren på under én time. Vi valgte å bygge nettstedet rent opp igjen på omtrent én arbeidsdag, fordi det ikke er nok å slette én utvidelse når det kan finnes en separat bakdør. Hele gjennomgangen står i hvordan vi renset et hacket WordPress-nettsted.
Hva gjør hostingleverandøren, og hva må du gjøre selv?
NSM slår fast at alle virksomheter selv har ansvar for egen cybersikkerhet og i hovedsak også for håndteringen av hendelser. Ansvarsdelingen ser typisk slik ut:
- Webhotellet: server, PHP, serverlogger, sikkerhetskopier, sperring av nettstedet og hjelp til gjenoppretting.
- Du: WordPress, temaer og utvidelser (med mindre dere har en vedlikeholdsavtale), passord og brukere, egne PC-er, anmeldelse og avviksmelding.
- Sammen: finne årsak og tidspunkt, velge mellom gjenoppretting og gjenoppbygging, og dokumentere.
Har dere ikke kompetansen selv, sier NSM at virksomheten bør søke bistand. NSM har en frivillig godkjenningsordning for leverandører av hendelseshåndtering, og NSR oppfordrer til å inngå avtale før et angrep inntreffer.
Hvordan hindrer du at det skjer igjen?
Når siden er ren, installerer du sikkerhetsoppdateringer og følger med på nye forsøk, slik NSMs sjekkliste beskriver. Blant tiltakene NSM fremhever 27. oktober, er phishing-resistent flerfaktorautentisering, god logging, en plan for hendelseshåndtering og sikkerhetskopier som testes jevnlig.
- Slå på flerfaktorinnlogging for alle administratorer.
- Oppdater WordPress og utvidelser jevnlig – se PHP- og WordPress-sjekklisten fra oktober.
- Ta NSMs selvtest på cybersjekk.no, som NSM anbefaler som første steg.
- Skriv ut NSRs nødplakat for digitale angrep (oppdatert 19. august 2026) og heng den opp.
Ofte stilte spørsmål
Hva gjør jeg først hvis nettsiden min er hacket?
Isoler nettstedet uten å slette det, ta mistenkelige PC-er av nettet uten å slå dem av, og skriv ned hva du ser og når. Ring deretter webhotellet og bytt passord fra en ren maskin.
Må jeg melde et hacket nettsted til Datatilsynet?
Ja, hvis personopplysninger kan være berørt og dere ikke er tilnærmet helt sikre på at risikoen er null. Meldingen sendes i Altinn senest 72 timer etter at dere fikk kjennskap til bruddet, og kan sendes trinnvis.
Hva betyr det at NSM har hevet cyberrisikonivået til høyt?
Det betyr at NSM fra 27. oktober 2026 vurderer risikoen for digitale angrep mot Norge som ett trinn over normalen. NSM ber alle virksomheter sette i verk forebyggende tiltak umiddelbart.
Kan jeg bare gjenopprette en sikkerhetskopi etter et hackerangrep?
Bare hvis sikkerhetskopien er tatt før innbruddet og er kontrollert for skadevare. Ellers gjenoppretter du bakdøren sammen med nettstedet.
Må jeg varsle kundene mine?
Er det sannsynlig at bruddet gir høy risiko for de berørte, skal dere varsle dem uten ugrunnet opphold etter personvernforordningen artikkel 34. Alle brudd skal uansett dokumenteres internt, også når dere ikke melder.