Faglige artikler om IT-sikkerhed fra Sekuritets specialister: Microsoft 365, Active Directory, NIS2 og praktisk sikkerhedsarbejde.https://www.sekuritet.com/da-DKFri, 28 Aug 2026 10:58:24 GMThttps://www.sekuritet.com/viden/exchange-servere-eksponeret-danmark/https://www.sekuritet.com/viden/exchange-servere-eksponeret-danmark/Sekuritet finder 187 interneteksponerede Exchange-servere i Danmark efter End of Support — hos kommuner, universiteter og forsyning. Her er den reelle risiko.Wed, 19 Aug 2026 00:00:00 GMT<p>Det seneste halve års tid har vi i Sekuritet kortlagt danske virksomheder, der stadig har gamle Microsoft Exchange-installationer eksponeret direkte mod internettet. Vi har nu gjort status igen — og billedet er ikke blevet bedre: <strong>der er fortsat 187 interneteksponerede fund fordelt på 187 forskellige IP-adresser i Danmark.</strong></p> <p>Det er relevant for alle organisationer med on-premise Exchange — uanset om man er omfattet af NIS2 eller ej.</p> <h2>Hvad viser tallene?</h2> <p>De 187 fund fordeler sig sådan her:</p> <table> <thead> <tr> <th>Version</th> <th>Antal</th> <th>Status</th> </tr> </thead> <tbody><tr> <td>Exchange Server 2016</td> <td>89</td> <td>End of Support 14. oktober 2025</td> </tr> <tr> <td>Exchange Server 2019</td> <td>98</td> <td>End of Support 14. oktober 2025</td> </tr> </tbody></table> <p>Microsoft satte <strong>begge versioner til End of Support den 14. oktober 2025.</strong> Det betyder, at de som udgangspunkt ikke længere modtager sikkerhedsopdateringer.</p> <p>Kigger man nærmere på de 98 Exchange 2019-fund, bliver det endnu mere interessant:</p> <ul> <li><strong>61</strong> viser buildet fra sikkerhedsopdateringen den 14. oktober 2025</li> <li><strong>37</strong> er endnu ældre — heraf kører <strong>27</strong> builds fra før 2025, og <strong>3</strong> matcher builds helt tilbage fra 2021</li> <li><strong>0</strong> viser en efterfølgende ESU-sikkerhedsopdatering</li> </ul> <h2>Hvem er det, der er eksponeret?</h2> <p>Det er ikke kun små virksomheder uden IT-funktion. Blandt fundene er blandt andet <strong>to kommuner, energi- og forsyningsaktører, to universiteter, talrige IT-leverandører, en stor pensionsaktør og offentlige myndigheder.</strong></p> <p>Og så var der ét fund oven i de 187, hvor jeg lige var ved at falde ned af stolen: En dansk virksomhed med mere end 160 medarbejdere har en <strong>Exchange Server 2010</strong> eksponeret mod internettet. Ja — Exchange 2010.</p> <h2>Hvorfor er en eksponeret Exchange-server så alvorlig?</h2> <p>Exchange er tæt integreret med virksomhedens Active Directory. Microsofts understøttede arkitektur forudsætter fri og stort set ubegrænset kommunikation mellem interne Exchange-servere og domænecontrollerne.</p> <p>Hvis en interneteksponeret Exchange-server bliver kompromitteret, har angriberen derfor ikke bare fået fodfæste på &quot;en mailserver&quot;. De har potentielt fået et <strong>springbræt videre ind i den interne infrastruktur</strong> og en netværksvej mod virksomhedens identitetsmiljø.</p> <p>Det betyder ikke automatisk, at Active Directory er kompromitteret. Men det er et sted, jeg meget nødigt ville give en angriber fodfæste.</p> <h2>Er risikoen kun teoretisk?</h2> <p>Nej. En konkret sårbarhed i Exchange 2016 og 2019, <strong>CVE-2026-42897</strong>, er siden 22. juli 2026 blevet observeret aktivt udnyttet af den Rusland-tilknyttede gruppe TA488 mod blandt andet europæiske myndigheder (<a href="https://www.proofpoint.com/us/blog/threat-insight/cleaning-out-inboxes-ta488-comes-outlook-another-half-click-exploit">Proofpoint Threat Insight</a>).</p> <p>Ingen af de 98 Exchange 2019-fund i vores datasæt viser en sikkerhedsopdatering fra juni, juli eller august 2026 — og det er netop Microsofts juni-opdatering, der indeholder rettelsen til CVE-2026-42897.</p> <h2>Hvad betyder det for NIS2?</h2> <p>For de organisationer, der er omfattet af NIS2, rejser fundene et nærliggende spørgsmål:</p> <blockquote> <p>Hvordan er interneteksponerede systemer, der har nået End of Support, håndteret i organisationens risikovurdering, sårbarhedshåndtering og sikkerhedsforanstaltninger?</p> </blockquote> <p>Det er præcis den slags spørgsmål, en ekstern og uvildig gennemgang kan hjælpe med at besvare — dokumenterbart, over for både ledelse, revision og myndigheder.</p> <h2>Hvad bør man gøre?</h2> <p>Det korte svar: Det er måske på tide at få den gamle Exchange-server udfaset. Og indtil da bør I som minimum:</p> <ul> <li>Kortlægge, om I selv har on-premise Exchange eksponeret mod internettet</li> <li>Verificere præcist, hvilket build der kører — og om de relevante sikkerhedsopdateringer faktisk er installeret</li> <li>Vurdere netværksvejen fra en eventuel kompromitteret Exchange-server til identitetsmiljøet</li> </ul> <p>Er I i tvivl om, hvordan jeres egen angrebsflade og vej mod Active Directory ser ud, hjælper vi gerne med et uvildigt eftersyn.</p> https://www.sekuritet.com/viden/informationssikkerhed-paa-hospitalet/https://www.sekuritet.com/viden/informationssikkerhed-paa-hospitalet/Ulåste journaler, CPR-numre på urinprøver og passwords på udstyr. Observationer fra to hospitaler — og aktindsigt i Region Hovedstadens databrud i 2024.Wed, 12 Aug 2026 00:00:00 GMT<p>Det krævede ingen hacking. Kun et ganske almindeligt besøg.</p> <p>På <strong>Glostrup Hospital</strong> kunne jeg fra venteværelset se en aktiv computerskærm med en anden patients navn, CPR-nummer og helbredsoplysninger. Oplysningerne på skærmen skiftede tre gange, mens jeg ventede. Døren forblev åben.</p> <h2>Hvad så jeg helt konkret?</h2> <p>På <strong>Herlev Hospital</strong> oplevede jeg blandt andet:</p> <ul> <li>Ulåste computere med åbne patientjournaler</li> <li>Fritstående urinprøver mærket med fuldt navn og CPR-nummer</li> <li>Håndskrevne noter med patienters navn og CPR-nummer efterladt i konsultationsrum</li> <li>Brugernavn og adgangskode skrevet direkte på udstyr</li> </ul> <p>Det er mangel på basal informationssikkerhed — og det er i direkte modstrid med Region Hovedstadens egne retningslinjer.</p> <h2>Hænger det sammen med ransomware-angreb?</h2> <p><a href="https://www.dr.dk/nyheder/seneste/hvidovre-hospital-ramt-af-hackerangreb">Hvidovre Hospital er blevet ramt af et hackerangreb</a>. At et hospital rammes, overrasker mig desværre ikke. Hospitalerne er dybt afhængige af IT og behandler samtidig nogle af de mest følsomme oplysninger om dig og mig — og jeg frygter, at vi kommer til at se mere af det.</p> <p>Mine observationer fortæller ikke, hvordan angriberne kom ind i det konkrete tilfælde. Men de bekræfter desværre, at informationssikkerheden ikke har fundet ind i hverdagen.</p> <h2>Hvad viser tallene?</h2> <p>På baggrund af aktindsigt har jeg fået oplyst følgende om Region Hovedstaden i 2024:</p> <table> <thead> <tr> <th>Nøgletal 2024</th> <th>Antal</th> </tr> </thead> <tbody><tr> <td>Registrerede brud på persondatasikkerheden</td> <td>140</td> </tr> <tr> <td>Anmeldt til Datatilsynet</td> <td>80</td> </tr> <tr> <td>Borgere, der blev underrettet</td> <td>669</td> </tr> </tbody></table> <p>Ved udgangen af 2024 var den gennemsnitlige gennemførelse af den årlige informationssikkerhedstræning samtidig kun <strong>cirka 65 procent</strong> i regionen.</p> <h2>Er det de ansattes skyld?</h2> <p>Nej. Det er ikke en kritik af det sundhedspersonale, der hver dag arbejder under stort pres, og som altid har givet mig og min familie en fantastisk behandling.</p> <p>Det er en kritik af et system, der behandler de mest intime oplysninger om dig og mig, men som ikke konsekvent forstår at omsætte informationssikkerhed til arbejdsgange, der holder — også når hverdagen er travl.</p> <h2>Hvad kan andre organisationer lære?</h2> <p>Pointen rækker langt ud over hospitalerne. De fleste organisationer har politikker, der forbyder præcis det, jeg observerede. Forskellen på papir og praksis opstår, når sikkerheden ikke er designet ind i arbejdsgangene:</p> <ul> <li><strong>Skærmlåsning skal være automatisk og kort</strong> — ikke afhængig af, at et travlt menneske husker det</li> <li><strong>Fysisk sikkerhed er informationssikkerhed</strong> — synlighed fra venteværelser, gange og vinduer er en reel angrebsflade</li> <li><strong>Awareness er ikke et årligt e-læringsmodul</strong>, men noget, der måles, følges op på og bakkes op af arbejdsgange, der kan lade sig gøre i praksis</li> <li><strong>Måltal forpligter</strong>: 65 procents gennemførelse betyder, at mere end hver tredje medarbejder ikke har været igennem træningen</li> </ul> <p>Hospitalernes IT beskytter nemlig ikke bare data. Den beskytter os alle sammen.</p> <p>Og vil I vide, hvor stor forskellen på papir og praksis er i jeres egen organisation, hjælper vi gerne med at måle den — uvildigt og i praksis.</p>