Av: Tobias Tobiassen
For to år siden ble IDT Solutions AS rammet av et påstått skadevareangrep på sin nettbutikk idtsports.com. Siden har saken utviklet seg til en konflikt som truer tilliten til hele cyberforsikringsbransjen. InfoDesk AS, som ble koblet inn for å hjelpe på oppdrag fra IDT, står i dag igjen med en politianmeldelse mot Fremtind Forsikring – for bedrageri.
Fra innkalt ressurs til mistenkt
Da IDT Solutions meldte saken til sin cyberforsikring i Fremtind, ble sikkerhetsselskapet TrueSec og Lindbak IT koblet inn. InfoDesk ble kontaktet samme dag, og deltok i et digitalt møte der vi skaffet tilgangen til webserveren hos Syse Data. Alt innhold ble lastet ned, overlevert til TrueSec og Lindbak IT – og samtidig analysert hos oss.
«Jeg møtte opp, gjorde de oppgavene jeg ble bedt om, og fikk muntlig bekreftet at timene våre ville bli gjort opp når saken var avsluttet. To år senere endte vi med et regresskrav mot oss – og et blankt nei til å betale for arbeidet. Derfor har vi politianmeldt Fremtind for bedrageri,» sier Håkon Berntsen i InfoDesk AS.
Kort tid etter skiftet tonen: InfoDesk ble ikke lenger behandlet som en samarbeidspartner, men som en mulig skadevolder.
Feil årsaksforklaring og oppblåste kostnader
TrueSec konkluderte raskt med at årsaken var en utdatert Elementor Pro-modul i WordPress – en kjent sårbarhet på tidspunktet. InfoDesk mener denne konklusjonen ble presentert før TrueSec hadde analysert filene, og at det ikke stemmer med bevisene i loggene.
Vår egen analyse – støttet av eksterne fagmiljøer – viste i stedet:
- At en administratorkonto opprettet med e-postadressen [email protected] ble logget inn fra Filippinene.
- At infiserte utvidelser ble lastet opp i samme tidsvindu som skadevaren oppsto.
- At selskapet Kloner AS, som var engasjert til å utvikle en Magento-erstatning for idtsports.com, var den eneste reelle kilden til disse endringene.
Samtidig fakturerte TrueSec nær 400 000 kroner for sin konklusjon. Til sammenligning ville InfoDesk normalt fakturert rundt 5 000 kroner for å rense en slik infeksjon.
Regresskrav mot oss
Ikke lenge etter kom regressvarsel på nesten 600 000 kroner. Kravet var rettet mot webdesigneren som hadde jobbet på idtsports.com, men med InfoDesk AS omtalt som delskyldig.
I regressgrunnlaget ble det listet opp kostnader for arbeid som InfoDesk selv utførte – møter, innhenting og overlevering av filer – men uten at vi ble betalt for disse timene.
«Vi ble altså først brukt som gratis ressurs, og deretter truet med regresskrav basert på vårt eget arbeid. Det er et skoleeksempel på å bli lurt,» sier Berntsen.
Kravet ble trukket – mot sensur
Etter at vi leverte omfattende dokumentasjon, trakk Crawford regresskravet – både mot oss og webdesigneren. Men dette skjedde under forutsetning av at alle kritiske artikler og omtaler ble fjernet.
Da vi fremmet vårt eget krav om oppgjør for medgåtte timer, ble det avvist i sin helhet. Ifølge Crawford var «arbeidsmengden noe enhver må påregne».
Politianmeldelse av Fremtind
På bakgrunn av dette har InfoDesk innlevert en politianmeldelse mot Fremtind Forsikring for bedrageri. Anmeldelsen bygger på tre punkter:
- At vi fikk muntlig løfte om oppgjør for arbeid, men at dette senere ble benektet.
- At vårt arbeid er brukt i regresskrav som underlag for kostnader, men uten at vi selv ble kompensert.
- At årsaksforklaringen ble bestemt uten faktisk analyse av filene, noe vi kan dokumentere gjennom loggene.
«Vi snakker om små beløp isolert sett. Men prinsippet er enormt viktig: Hvis fagfolk som hjelper til ved cyberangrep risikerer å bli syndebukker, står hele forsikringsordningen for fall,» sier Berntsen.
En farlig presedens
Saken reiser store spørsmål om hvor langt aktører som Fremtind og Crawford er villige til å gå for å hente inn penger – og om cyberforsikring i praksis kan misbrukes til å blåse opp skadekostnader og velte ansvaret over på uskyldige underleverandører.
For InfoDesk handler dette om mer enn økonomi:
- Rettssikkerheten til fagfolk i IT-bransjen.
- Farene ved å bistå selskaper som har cyberforsikring.
- Mangelen på balanse mellom reelle skader og kunstig oppblåste kostnader.
Fremtind svarer ikke
Vi har sendt Fremtind spørsmål om saken, herunder:
- Hvordan de kan forsvare at InfoDesks arbeid er ført opp som kostnader i regresskravet, samtidig som de nekter å betale oss.
- Hvordan årsaksforklaringen kunne være klar før filene ble analysert.
- Hvordan kostnadene kunne vokse til nesten 600 000 kroner, når reell skade var langt lavere.
Fremtind har ikke besvart våre henvendelser.
Konklusjon
Denne saken viser hvordan en cyberforsikring, som skal gi trygghet, kan bli en trussel mot de som stiller opp. InfoDesk AS ble først brukt som ressurs, deretter mistenkeliggjort, og til slutt utsatt for regresskrav på nesten 600 000 kroner.
«Dette er bedrageri, og derfor har vi anmeldt Fremtind. Vi kan ikke la en slik praksis stå uimotsagt,» avslutter Berntsen.
Redaksjonell merknad:
Fremtind Forsikring, TrueSec, Crawford & Company, Lindbak IT, Kloner AS og IDT Solutions AS er gitt anledning til å komme med tilsvar. Ingen av partene har besvart henvendelsen ved publiseringstidspunkt. Eventuelle tilsvar vil publiseres i sin helhet.
Norsk bokmål 
English