Hvem angriper Norsk Tipping med DDoS-angrep?
DDoS-angrep mot Norsk Tipping har siden begynnelsen av juni gjentatte ganger gjort selskapets tjenester utilgjengelige. Det siste store angrepet kom tirsdag 4. august på kvelden, samtidig som Bodø/Glimt og flere andre klubber spilte kvalifisering til Champions League. Norsk Tipping beskrev angrepet som omfattende, og opplyste at det lignet hendelsen som rammet selskapet bare to dager tidligere. Søndag 2. august måtte Oddsen stenges fordi nødvendige oddsendringer ikke kunne gjennomføres.
Angrepene har naturlig nok skapt sterke reaksjoner blant oddsspillere. Mange forsøkte å levere spill eller følge kupongene sine mens det pågikk kamper over hele Europa. Samtidig opplevde flere at Norsk Tippings tjenester og resultatvisning ikke fungerte som forventet. Ingen har så langt tatt på seg ansvaret for angrepene. Norsk Tipping har heller ikke offentlig pekt ut en bestemt aktør, eller opplyst om noe kjent motiv.
Kongebonus har vært i kontakt med flere personer med tilknytning til den norske og internasjonale spillbransjen. Ingen av kildene vi har snakket med, kjenner til troverdige opplysninger eller rykter om hvem som står bak. Spørsmålet står derfor fortsatt ubesvart: Hvem angriper Norsk Tipping, og hvorfor skjer det igjen og igjen?
Fem DDoS-angrep siden begynnelsen av juni
De siste angrepene er ikke enkeltstående hendelser. Norsk Tipping har vært rammet ved minst 5 separate hendelser siden 2. juni 2026. Det første angrepet startet med flere mindre belastninger, før et større angrep traff rundt klokken 21.00 samme kveld. Norsk Tipping opplyste den gangen at leverandørene arbeidet med å filtrere bort den uønskede trafikken. Eurojackpot-trekningen ble likevel gjennomført som normalt. Dagen etter ble selskapet angrepet på nytt. Fredag 5. juni kom det tredje angrepet samme uke. Dette startet rundt klokken 12.00 og førte til forsinkelser før Telenor fikk den fiendtlige trafikken under kontroll. Deretter fulgte de to nye angrepene nå i august.
Tirsdag 2. juni: Flere mindre angrep ble etterfulgt av et større DDoS-angrep på kvelden.
Onsdag 3. juni: Norsk Tipping ble angrepet for andre kveld på rad.
Fredag 5. juni: Det tredje angrepet samme uke førte til nye forsinkelser.
Søndag 2. august: Oddsen ble stengt etter at Norsk Tipping ikke lenger kunne foreta nødvendige oddsendringer.
Tirsdag 4. august: Et nytt og omfattende angrep rammet selskapet under Champions League-kvalifiseringen.
DDoS-angrepet søndag 2. august startet rundt klokken 12.20. Oddsen ble stengt fra klokken 13.40, mens det ble spilt kamper i både Eliteserien og OBOS-ligaen. Tjenesten åpnet igjen etter omtrent to timer. To dager senere var problemene tilbake. Denne gangen sammenfalt angrepet med Bodø/Glimts Champions League-kvalifisering mot Union Saint-Gilloise og flere andre kamper i Europa. Norsk Tipping omtalte det som et stort angrep, men kunne ikke si hvor lang tid det ville ta å få alle tjenestene tilbake i normal drift.
Tidspunktene gjør angrepene mer synlige
Det finnes ingen offentlig dokumentasjon på at angriperne bevisst har valgt ut bestemte kamper. Sammenfallet mellom angrepene og perioder med stor spillaktivitet er likevel relevant. Søndagens angrep rammet mens det pågikk kamper i de to øverste divisjonene i Norge. Tirsdagens angrep traff en kveld med norsk deltakelse i Champions League-kvalifiseringen og et stort antall øvrige europakamper.
For en aktør som ønsker å skape oppmerksomhet, frustrasjon eller omdømmeskade, vil slike tidspunkter gi større effekt enn et angrep midt på natten eller en rolig formiddag. Flere brukere vil oppdage problemene samtidig. Klager spres raskere i sosiale medier, og driftsavbruddet får større offentlig oppmerksomhet. Det er likevel ikke mulig å fastslå at fotballkampene var årsaken til at akkurat disse tidspunktene ble valgt. Høy ordinær trafikk kan også gjøre driftsproblemene mer synlige uten at angriperne nødvendigvis har planlagt angrepet rundt kampoppsettet.
Hva er egentlig et DDoS-angrep?
Et DDoS-angrep går ut på å sende svært store mengder trafikk mot en nettside, app eller annen digital tjeneste. Trafikken kommer gjerne fra et stort antall servere, datamaskiner eller andre enheter samtidig. Målet er å overbelaste systemene slik at vanlige brukere ikke lenger får tilgang. Denne angrepsformen skiller seg fra et datainnbrudd. Ved et DDoS-angrep forsøker angriperne først og fremst å forstyrre tilgjengeligheten. Det innebærer ikke automatisk at noen har kommet seg inn i Norsk Tippings systemer eller hentet ut kundeopplysninger. Det finnes foreløpig ingen offentlige opplysninger om at persondata, passord, betalingsinformasjon eller kundemidler er kompromittert i angrepene mot Norsk Tipping.
Det er også verdt å merke seg at mange private aktører, både i spillbransjen, og ellers, blir til tider utsatt for lignende DDoS-angrep. De fleste av disse velger å ikke gå ut offentlig når en slik hendelse har funnet sted. Norsk Tipping på sin side, har ikke det valget. De er tvunget til å offentliggjøre slike hendelser, både for sin posisjon som statlig aktør, men også for å beskytte sitt eget frynsede rykte, som et selskap med mange tekniske og menneskelige feil.
Identiteten og motivet er fortsatt ukjent, men mer og mer tyder på at de som står bak forsøker å ramme A/S Norge, fremfor spillselskapet Norsk Tipping.
Ingen i bransjen kjenner aktøren
Gjentatte angrep mot Norges største spillselskap skaper naturlig nok spekulasjoner også innad i spillbransjen. Kongebonus har spurt flere bransjekilder om de har hørt hvem som kan stå bak. Svarene har vært entydige: Ingen kjenner til en aktør, en ansvarserklæring eller troverdige rykter som kan forklare hendelsene. Vi har heller ikke fått opplysninger som knytter angrepene til et annet spillselskap, en spillleverandør, en affiliate eller en annen kommersiell aktør.
Fraværet av informasjon betyr ikke at angrepene er tilfeldige. En DDoS-operasjon innebærer at noen bevisst har valgt Norsk Tipping som mål. Det ukjente er hvem som har bestilt eller utført angrepene, og hva de ønsker å oppnå. Basert på angrepsformen og mønsteret finnes det flere mulige scenarioer. Ingen av dem er foreløpig dokumentert.
Scenario 1: Målet er maksimal oppmerksomhet
Den enkleste forklaringen kan være at angriperne ønsker å vise at de klarer å forstyrre Norsk Tipping. Et angrep på en travel oddskveld gir umiddelbar respons. Spillere merker at tjenestene ikke virker, klagene begynner å komme, og hendelsen blir omtalt i mediene. De gjentatte angrepene kan dermed være en form for maktdemonstrasjon. Aktøren viser at Norsk Tipping kan rammes igjen selv etter at selskapet og Telenor har satt inn mottiltak.
Det som taler for dette scenarioet, er kombinasjonen av gjentakelse, synlige konsekvenser og tidspunkter med betydelig sportslig interesse. Det som taler imot, er at ingen har tatt på seg ansvaret. Dersom oppmerksomhet var det eneste målet, kunne man forventet at angriperne ville offentliggjøre hvem de er.
Scenario 2: Norsk Tipping kan være utsatt for utpressing
DDoS-angrep brukes også som et verktøy for digital utpressing. En aktør kan først demonstrere at den har kapasitet til å gjøre en tjeneste utilgjengelig. Deretter kan virksomheten bli møtt med et krav om betaling for at angrepene skal stoppe. At Norsk Tipping rammes gjentatte ganger, kan i teorien passe med en slik fremgangsmåte. Angriperen kommer tilbake etter at det første angrepet er stanset og viser at mottiltakene ikke nødvendigvis løser problemet permanent.
Det finnes imidlertid ingen offentlige opplysninger om at Norsk Tipping har mottatt pengekrav, trusler eller andre meldinger fra angriperne. Så lenge selskapet ikke bekrefter noe slikt, er utpressing bare ett av flere mulige motiver.
Scenario 3: Politisk eller ideologisk hacktivisme
Norsk Tipping er et heleid statlig selskap og en av Norges mest kjente digitale tjenester. Det kan gjøre selskapet til et symbolsk mål for en politisk eller ideologisk motivert hackergruppe. DDoS-angrep brukes ofte av hacktivistmiljøer fordi de kan skape synlige problemer uten at aktøren trenger å bryte seg inn i virksomhetens interne systemer.
Det bredere trusselbildet gjør dette scenarioet relevant. Flere norske og europeiske offentlige tjenester er blitt utsatt for lignende angrep. Natt til 3. august ble blant annet ID-porten, Altinn, Helsenorge og flere andre offentlige løsninger rammet av et omfattende DDoS-angrep.
Det er ikke kjent om hendelsen mot de offentlige tjenestene har noen forbindelse til angrepene mot Norsk Tipping. Et moment som taler mot hacktivistsporet, er at slike grupper ofte tar på seg ansvaret offentlig. Synlighet og propaganda er normalt en viktig del av motivet. Ingen kjent gruppe har foreløpig offentlig knyttet seg til angrepene mot Norsk Tipping.
Scenario 4: En enkeltperson eller liten gruppe
Det er ikke nødvendig å være del av en stor hackerorganisasjon for å bestille et DDoS-angrep. Angrepskapasitet kan leies gjennom ulovlige tjenester. Bestilleren kan dermed være en enkeltperson eller en mindre gruppe som ikke selv kontrollerer serverne og maskinene trafikken sendes fra. Et mulig motiv kan være hevn, misnøye med Norsk Tipping, et ønske om å skape kaos eller prestisje i et lukket digitalt miljø.
Det kan også være en aktør som tester kapasitet eller ulike angrepsmetoder mot et kjent mål der resultatet er enkelt å observere. Norsk Tipping har mange brukere, får rask medieoppmerksomhet ved nedetid og tilbyr tjenester der selv korte forsinkelser blir merkbare. Det gjør selskapet til et attraktivt mål for noen som vil dokumentere at et angrep virker. Dette scenarioet kan ikke bekreftes, men viser hvorfor gjerningspersonen ikke nødvendigvis trenger å være en stat eller en stor organisasjon.
Scenario 5: Kommersiell sabotasje
Når Oddsen hos Norsk Tipping er stengt, kan enkelte spillere velge å levere spill hos en annen operatør. Det gjør det naturlig å spørre om en kommersiell konkurrent kan ha noe å tjene på driftsproblemene. Teoretisk kan et angrep gi andre spillselskaper økt aktivitet i en kort periode. Det finnes likevel ingenting som knytter hendelsene til en konkurrent.
Den potensielle gevinsten ville dessuten vært begrenset sammenlignet med risikoen. Et spillselskap som ble avslørt i å bestille et dataangrep mot en konkurrent, ville risikere alvorlige strafferettslige, regulatoriske og kommersielle konsekvenser. Kongebonus har ikke sett dokumentasjon eller hørt troverdige opplysninger som gir grunnlag for å knytte angrepene til et spillselskap eller noen annen kommersiell aktør. Scenarioet kan ikke utelukkes fullstendig, men fremstår foreløpig som dårligere underbygd enn de øvrige forklaringene.
Scenario 6: Norsk Tipping brukes som testmål
Det siste scenarioet er at motivet ikke har noen direkte forbindelse til pengespill. En angriper kan ha valgt Norsk Tipping fordi det er et stort, kjent og synlig mål. Effekten av angrepet er enkel å måle: Nettsiden blir treg, appen får problemer, brukerne klager, og saken dukker opp i mediene.
Gjentatte angrep kan også være forsøk på å teste hvordan Telenor og Norsk Tipping filtrerer trafikken. Ved å endre trafikkmønsteret fra gang til gang kan angriperen undersøke hvilke metoder som kommer gjennom beskyttelsen. Det vil i så fall forklare hvorfor selskapet rammes flere ganger, uten at aktøren nødvendigvis har et personlig, politisk eller kommersielt forhold til Norsk Tipping.
Kan angrepene i juni og august henge sammen?
Likheten mellom hendelsene gjør det nærliggende å spørre om den samme aktøren står bak. Alle er beskrevet som DDoS-angrep. Telenor har vært involvert i arbeidet med å filtrere bort trafikken, og Norsk Tipping er blitt rammet flere ganger over en relativt kort periode. Ved tirsdagens angrep opplyste selskapet at det dreide seg om samme type hendelse som i helgen.
Det er likevel ikke nok til å fastslå en forbindelse.
DDoS beskriver en angrepsform, ikke en bestemt aktør. To angrep kan bruke samme grunnleggende metode uten å ha samme avsender. For å knytte hendelsene sammen må man blant annet analysere hvor trafikken kommer fra, hvilke tekniske metoder som brukes, og om infrastrukturen overlapper. Slike opplysninger er ikke offentliggjort.
Flere spørsmål står fortsatt ubesvart
Norsk Tipping har fortalt at selskapet samarbeider med Telenor for å stoppe angrepene. Det er likevel lite offentlig informasjon om hva de tekniske undersøkelsene har avdekket.
Flere sentrale spørsmål står fortsatt åpne:
- Har Norsk Tipping mottatt krav, trusler eller andre meldinger fra angriperne?
- Mener selskapet at angrepene i juni og august kommer fra samme aktør?
- Er angrepene anmeldt til politiet, eller undersøkt av nasjonale sikkerhetsmyndigheter?
- Finnes det tekniske likheter mellom trafikken i de ulike angrepene?
- Er det tegn til at populære spillekvelder velges bevisst?
- Hvor mange kunder og innleverte spill er blitt berørt?
- Hvordan håndteres innsatser som er belastet mens kupongen eller resultatet ikke vises korrekt?
Svarene kan gjøre det mulig å skille bedre mellom de ulike scenarioene.
Ingen vet foreløpig hvem som står bak
Det er bare én sikker konklusjon etter fem angrepsdager på litt over to måneder: Norsk Tipping er blitt et gjentakende mål. Noen bruker betydelige trafikkmengder for bevisst å gjøre selskapets tjenester utilgjengelige. Tidspunktene sørger samtidig for at problemene blir svært synlige blant oddsspillere og i offentligheten.
En kriminell aktør, en hacktivistgruppe, en enkeltperson med innleid kapasitet eller noen som bare ønsker oppmerksomhet, fremstår alle som mulige forklaringer. Kommersiell sabotasje kan heller ikke utelukkes fullstendig, men det finnes ingen opplysninger som støtter en slik mistanke. Før Norsk Tipping, politiet eller norske sikkerhetsmyndigheter offentliggjør mer informasjon, vil alle forsøk på å navngi gjerningspersonen være spekulasjon.
