Hva er CaaS? Crime-as-a-Service forklart

Hva er Crime-as-a-Service?

Crime-as-a-Service (CaaS) er en forretningsmodell i den kriminelle undergrunnsøkonomien der spesialiserte aktører tilbyr kriminelle tjenester til andre — mot betaling. Konseptet speiler legitim tjenesteyting: i stedet for å bygge egne nettverk, anskaffe utstyr eller utvikle teknisk kompetanse, kan kriminelle aktører enkelt «kjøpe» det de trenger på markedet.

CaaS gjør det mulig for kriminelle å kjøpe ferdige tjenester i stedet for å bygge egne nettverk eller ferdigheter. Konsekvensen er at terskelen for å begå alvorlig kriminalitet senkes dramatisk — teknisk inkompetente aktører kan bestille sofistikerte cyberangrep, og gjenger uten egne ressurser kan kjøpe alt fra logistikktjenester til vold på bestilling.

Det kan være alt fra tilgang til malware og DDoS-angrep til fysiske tjenester som transport, våpen eller vedlikehold av utstyr for gjengbruk. Europol beskriver i sine jevnlige Internet Organised Crime Threat Assessment-rapporter (IOCTA) CaaS som en av de raskest voksende truslene mot europeisk sikkerhet.

• Digitale tjenester: phishing-kits, malware-abonnement, botnett-utleie, DDoS-angrep på bestilling
• Fysiske tjenester: logistikk og smugling, våpenvedlikehold og tilpasning, falske ID-dokumenter
• Hybrid-tjenester: kombinasjoner av cyber og fysisk støtte — f.eks. hacking etterfulgt av fysisk innbrudd
• Hvitevasking-as-a-Service: kryptovaluta-mikstjenester og muldyr-rekruttering

Case: Tommy T i Trondheim — den lokale dimensjonen av CaaS

Et lokalt eksempel illustrerer hvordan CaaS kan ta uventede former. 'Tommy T' er en tilsynelatende anonym knivsliper fra Trondheim. Han tilbyr tilsynelatende legitim sliping, men ryktes å ha kunder i kriminelle gjenger som ønsker tilpasset og skjerpet utstyr uten å etterlate spor i ordinære butikker.

Denne typen «hverdagslige» tjenester som omgjøres til et svart marked viser hvor bredt CaaS-begrepet kan favne. Det handler ikke bare om sofistikert teknologi eller internasjonale nettverk — det handler om spesialisering og tillit innenfor kriminelle miljøer. En knivsliper som er «diskré» og «pålitelig» er like mye en CaaS-leverandør som en hacker som selger malware på darknet.

Fenomenet viser også utfordringen for rettsvesen: slike tjenester er vanskelige å bevise. Å sliping av kniver er lovlig — det er intensjonen og konteksten som avgjør. Politiet er avhengig av informanter og overvåkning for å avdekke slike leverandørkjeder.

"Knivene kommer inn som kjøkkenredskap, men går ut som våpen."

Hvorfor boomer markedet?

Digitaliseringen er den viktigste drivkraften bak veksten i CaaS. Darknet-markedsplasser og krypterte meldingstjenester som Telegram og Session gir leverandører og kjøpere mulighet til å møtes anonymt, kommunisere sikkert og gjennomføre transaksjoner uten å etterlate spor i det tradisjonelle banksystemet. Kryptovaluta som Monero — spesielt designet for personvern — er blitt standardvaluta i CaaS-markedet.

Fragmenterte miljøer og lav terskel for kjøp gjør at stadig flere kan bestille «på menyen». En gjengmedlem i Oslo trenger ikke lenger kjenne den rette personen personlig — han kan finne tjenesten på et forum, lese anmeldelser fra andre kjøpere og bestille med noen tastetrykk. Spesialiseringen øker effektiviteten og kvaliteten på tjenestene, noe som igjen tiltrekker flere kunder.

Samfunnsmessige konsekvenser

CaaS gjør det enklere å skalere kriminalitet. Små aktører kan plutselig utføre angrep eller voldshandlinger som tidligere krevde store, veletablerte nettverk og mange års erfaring. Dette demokratiserer i negativ forstand adgangen til kriminalitet og senker den organisatoriske barrieren for alvorlige lovbrudd betraktelig.

For rettsvesen og politi øker utfordringen drastisk: Hvordan bekjempe «outsourcing» av kriminalitet når kjøper og selger aldri møtes, transaksjoner skjer i kryptovaluta, og tjenesten er juridisk tvetydig? Norsk politi har i de siste årene økt bemanningen i enheter som arbeider med kyberkriminalitet, men ressursene er fortsatt langt under det som kreves for å møte omfanget av CaaS-aktivitet.

Det oppstår dessuten en farlig gråsone der lovlige og ulovlige tjenester overlapper. Ikke bare knivslipere — også IT-konsulenter, transport-entreprenaører og kjemikalieleverandører kan ubevisst eller bevisst bli en del av kriminelle leverandørkjeder.

• Lavere terskel for nykommere i kriminelle miljøer — ingen erfaring nødvendig
• Mer profesjonalisering og kvalitetssikring blant CaaS-leverandører (anmeldelsessystemer, garanti)
• Gråsone mellom lovlige og ulovlige tjenester gjør etterforskning krevende
• Økt risiko for norske bedrifter og offentlige virksomheter som mål for bestillte cyberangrep

Norsk politi og forebygging

Kripos og PST har begge publisert rapporter om trusler fra organisert kriminalitet og cyberkriminalitet som direkte adresserer CaaS-fenomenet, selv om termen ikke alltid brukes eksplisitt. Kripos' Trendrapport Organisert kriminalitet påpeker at norske kriminelle nettverk i stadig større grad bruker ekstern kompetanse og tjenester fremfor å bygge egne kapasiteter internt.

For norske bedrifter er den praktiske implikasjonen at trusselen er ekte og tiltagende. Ransomware-angrep mot norske kommuner og sykehus i 2023–2024 var i all hovedsak gjennomført via Ransomware-as-a-Service-plattformer der kriminelle leide tilgang til skadevaren mot å dele utbyttet med utviklerne. Den norske politienheten for cyberkriminalitet (NC3) anbefaler at alle virksomheter gjennomfører jevnlige sikkerhetsøvelser og har en oppdatert beredskapsplan for dataangrep.

Veien videre — regulering og motmidler

Forventningen blant sikkerhetseksperter er at CaaS vil fortsette å vokse, med stadig mer sofistikerte tjenester og en mer spesialisert «servicebransje» i undergrunnsøkonomien. AI vil sannsynligvis spille en større rolle — allerede ser man AI-drevne phishing-tjenester som genererer overbevisende svindel-eposter på ethvert språk, inkludert norsk, til minimal kostnad.

Internasjonalt samarbeid mellom politimyndigheter er avgjørende. Operasjoner som Europols «Operation Endgame» i 2024 — som tok ned flere store CaaS-infrastrukturer — viser at koordinerte innsatser kan gi resultater. Men for hvert nettverk som tas ned, dukker det opp nye aktører i markedet.

Eksempler som Tommy T illustrerer at CaaS-bekjempelse ikke bare handler om cyberpolitiet og darknet — det krever et bredt samfunnsengasjement der lokale politidistrikt, næringsliv og sivilt samfunn jobber sammen for å identifisere og bryte leverandørkjeder for kriminelle tjenester.