# Varhugi

> Varhugi (varhugi.is) is security-awareness training for Icelandic companies. Short five-minute modules once a month, written in authentic Icelandic with real local examples (phishing in the name of Skatturinn, kennitala fraud, AI voice cloning). Automatic certificates, manager dashboards and NIS2-ready audit reports. Built for the Icelandic market; also available in English.

Key facts:
- Training: 43 modules, 5 minutes each, one per month per employee
- Languages: Icelandic (primary), English; all training modules also fully translated into Polish (staff choose their module language)
- Compliance: designed around the NIS2 staff-training requirement (EU 2022/2555; in force in the EU, Icelandic implementation in preparation)
- Pricing: free for one user (first three modules); Lite 9,900 ISK/month for up to 25 seats; Business 17,900 ISK/month for up to 50 seats; Pro 490 ISK/seat/month; two months free on annual billing
- Data: hosted in the EEA; data processing agreement included in the terms
- Sign-in: Microsoft Entra SSO, Google, or email magic link

## Main pages

- [Home (Icelandic)](https://www.varhugi.is/is): product overview
- [Why Varhugi](https://www.varhugi.is/is/hvers-vegna): the case for short monthly security training
- [Curriculum](https://www.varhugi.is/is/namskra): every training module with summaries
- [Pricing](https://www.varhugi.is/is/verd): plans and prices
- [NIS2](https://www.varhugi.is/is/nis2): what NIS2 requires of Icelandic companies
- [FAQ](https://www.varhugi.is/is/spurningar): common questions and answers
- [Glossary](https://www.varhugi.is/is/ordasafn): Icelandic cybersecurity terms explained
- [Security at Varhugi](https://www.varhugi.is/is/oryggi): hosting, encryption, subprocessors and data handling for vendor assessment
- [Guides](https://www.varhugi.is/is/leidbeiningar): IT-admin setup, Azure roles, workplace AI policy
- [What is NIS2?](https://www.varhugi.is/is/leidbeiningar/hvad-er-nis2): who the directive covers and what it requires
- [What is security awareness?](https://www.varhugi.is/is/leidbeiningar/hvad-er-oryggisvitund): the human side of cybersecurity explained
- [What is phishing?](https://www.varhugi.is/is/leidbeiningar/hvad-er-veidipostur): variants, warning signs and what to do after a click
- [What is two-factor authentication?](https://www.varhugi.is/is/leidbeiningar/hvad-er-tveggja-thatta-audkenning): how 2FA works and which methods are strongest
- [NIS2 checklist for managers](https://www.varhugi.is/is/leidbeiningar/nis2-gatlisti): eight items to have in place
- [SCIM provisioning guide](https://www.varhugi.is/is/leidbeiningar/scim): automatic provisioning and de-provisioning from Microsoft Entra ID
- [Board memo template](https://www.varhugi.is/is/leidbeiningar/stjornarminnisblad): one printable page for a security officer to forward to the board
- [How the risk indicator works](https://www.varhugi.is/is/leidbeiningar/ahaettumat): the signals, points and bands behind the per-person risk indicator
- [Roadmap](https://www.varhugi.is/is/leidbeiningar/vegvisir): what is in progress and what comes later, no dates
- [Sample module](https://www.varhugi.is/is/synishorn/namskeid): the phishing module as staff see it, quiz included, no sign-in
- [Sample dashboard](https://www.varhugi.is/is/synishorn/stjornbord): the admin dashboard with fictional data
- [Sample audit report (PDF)](https://www.varhugi.is/is/synishorn/skyrsla): the monthly report with fictional data
- [Vendor security questionnaire, answered (PDF)](https://www.varhugi.is/is/synishorn/oryggisspurningar)
- [Real or scam? self-test](https://www.varhugi.is/is/sjalfsprof): eight Icelandic phishing examples
- [English version](https://www.varhugi.is/en)

## Training modules (Icelandic titles; full catalogue at https://www.varhugi.is/is/namskra)

- Stafrænt öryggi á mannamáli: Grunnatriðin í stafrænu öryggi, með líkingum úr daglegu lífi og stuttum skýringum á tækniorðum. Reglurnar sem skipta máli og ráð sem þú getur byrjað að nota strax.
- Lykilorð og örugg geymsla þeirra: Búðu til sterk lykilorð, geymdu þau örugglega og hættu að nota sama lykilorðið út um allt.
- Veiðipóstur og gildrurnar í honum: Svona þekkir þú veiðipóst á íslensku, bregst rétt við og lætur rétta aðila vita.
- Tveggja þátta auðkenning: Tveggja þátta auðkenning skiptir miklu máli, en leiðirnar eru misöruggar. Farðu yfir hvað virkar best, hvernig aðgangslyklar breyta leiknum og hvar veiku blettirnir liggja.
- Falskar innskráningarsíður: Þú smellir á tengil, sérð kunnuglega innskráningarsíðu fyrir Microsoft eða Google og slærð inn lykilorðið. Svo birtist tómur skjár. Þetta er ein algengasta árásin í dag, en það er einfalt að verjast henni ef þú skoðar slóðina.
- Svindl með SMS og falskir skilaboðatenglar: Ein algengasta netárásin á Íslandi kemur sem SMS, ekki tölvupóstur. Svona þekkir þú svindlið og bregst rétt við.
- Svindl með QR-kóða og falskir QR-kóðar: QR-kóðar urðu hversdagslegt verkfæri eftir heimsfaraldurinn og árásaraðilar fylgdu á eftir. Falskir kóðar á bílastæðatækjum, veitingastöðum, í fundarboðum og tölvupósti geta sent þig á svikasíður. Skoðaðu slóðina áður en þú opnar hana.
- Hættur í viðhengjum: PDF, Word, Excel og ZIP: Viðhengi er ekki bara skjal. Skjöl á PDF-sniði bera tengla og falskar innskráningar, Word og Excel biðja um að „virkja efni“, ZIP og ISO fela það sem síurnar ættu að stöðva og HTML-skrár smíða árásina í vafranum þínum. Farðu yfir mynstrin sem skipta máli og eina reglu sem gildir um þau öll.
- Veiðipóstur skrifaður með gervigreind: Gervigreind getur skrifað trúverðugan veiðipóst á íslensku. Stafsetningarvillur duga ekki lengur sem viðvörunarmerki, svo þú þarft að skoða sendanda, slóðir og samhengi.
- ClickFix: þegar vefsíða biður þig um að keyra skipun: Fölsk CAPTCHA-síða eða villugluggi segir þér að ýta á Win+R, líma eitthvað inn og ýta á Enter til að „staðfesta að þú sért manneskja“. Það sem þú límir inn er skipun sem sækir spilliforrit. Alvöru vefsíða biður þig aldrei um þetta.
- Uppfærslur og veikleikar: „Endurræsa síðar“ er einn dýrasti hnappur í heimi. Uppfærslur eru bein vörn gegn árásum, nýuppgötvaðir veikleikar eru ekki bara fréttaefni og falskir uppfærslugluggar eru algeng leið spilliforrita inn í tölvuna þína.
- Niðurhal sem stelur aðgangi: fölsk forrit, auglýsingar og vafrinn: Eitt niðurhal, „ókeypis“ útgáfa, falskur uppfærslugluggi eða auglýsing efst í leitarniðurstöðum getur á nokkrum sekúndum náð í gögn úr vafranum þínum: vistuð lykilorð, innskráningarlotur, sjálfvirka útfyllingu og skrár. Svona virka upplýsingaþjófar, hvernig þeir komast inn og hvaða venjur loka leiðinni.
- Fyrstu viðbrögð eftir öryggisatvik: Þú smelltir á veiðipóst, slóst inn lykilorð eða límdir trúnaðargögn í gervigreindarverkfæri. Næstu mínútur og klukkustundir skipta öllu máli, svo það borgar sig að vita hvað gera skal.
- Að tilkynna öryggisatvik: Þú smelltir á eitthvað sem þú varst ekki viss um, lentir í símtali sem virtist skrítið eða tengdir minnislykil sem þú fannst. Skjót tilkynning getur skilið á milli tæknilegs vandamáls og dýrkeypts atviks. Þú þarft að vita hvað á að tilkynna, hvenær og hvernig.
- Sálfræði svika: hraði, vald, traust og greiðasemi: Veiðipóstur, símasvik og falskur yfirmaður eru ólíkar leiðir að sama marki. Undir þeim liggja sömu mannlegu viðbrögðin: hraði, vald, hræðsla, kurteisi og greiðasemi. Þegar þú þekkir tilfinninguna sem árásin kallar fram þekkirðu árásina, óháð því hvaða leið hún velur.
- Upplýsingasöfnun fyrir árás: þegar árásaraðilinn veit óþægilega mikið: Árás byrjar sjaldnast á fyrstu skilaboðunum. Á undan fer undirbúningur: LinkedIn, vefsíða fyrirtækisins, samfélagsmiðlar og nokkrar saklausar spurningar í síma. Farðu yfir hvernig smáar upplýsingar eru settar saman í trúverðuga sögu og hvað þú þarft ekki að gefa ókunnugum.
- Þegar einhver þykist vera samstarfsmaður: Árásaraðilar þykjast vera yfirmaður eða samstarfsmaður á WhatsApp, Slack eða Teams og biðja um smá hjálp. Besta vörnin er einföld: staðfestu beiðnina áður en þú bregst við.
- Símasvik og raddsvindl: Síminn hringir. Þetta er „bankinn“, „tæknideildin“ eða „forstjórinn“ og það vantar eitt lítið atriði strax. Símasvik treysta á að rödd virki trúverðugri en texti, en nú er hægt að falsa raddir á nokkrum mínútum.
- Djúpfalsanir og fölsuð rödd í símanum: Þrjár sekúndur af rödd geta dugað til að búa til sannfærandi djúpfölsun. Þú sérð hvernig árásin lítur út og hvaða einfalda vörn stöðvar hana.
- Reikningasvindl og falskar greiðslubeiðnir: Þegar svikari þykist vera birgir eða stjórnandi getur einn tölvupóstur kostað fyrirtæki milljónir. Merkin þurfa að sjást áður en greiðslan fer út.
- Þegar reikningur birgis er yfirtekinn: Pósturinn kemur frá raunverulegum birgi, af réttu netfangi, inn í þráð sem þið hafið átt mánuðum saman. Samt er það árásaraðili sem skrifar. Þegar reikningur birgisins er yfirtekinn duga „skoðaðu sendandann“ og „skoðaðu lénið“ ekki lengur; þá þarf að horfa á beiðnina sjálfa.
- Þreyta vegna MFA og endurteknar staðfestingarbeiðnir: Árásaraðilar reyna ekki alltaf að brjóta tveggja þátta auðkenningu. Stundum senda þeir beiðnir aftur og aftur þar til einhver samþykkir í ógáti.
- Þegar innskráningin er stolin eftir MFA: Fjölþátta auðkenning stöðvar ekki allt. Árásaraðili sem kemst yfir innskráningarlotuna þína, kökuna sem vafrinn geymir eftir innskráningu, þarf hvorki lykilorð né staðfestingarkóða. Svona virkar það og svona verst þú.
- Tækjakóði: þegar rétta Microsoft-síðan er notuð í árás: Þú færð stuttan kóða í skilaboðum og færð beiðni um að slá hann inn á raunverulegri innskráningarsíðu Microsoft. Lénið er rétt og MFA er raunverulegt, en kóðinn skráir tæki árásaraðilans inn á reikninginn þinn. Hér sérðu hvernig þetta virkar og eina regluna sem stöðvar það.
- „Má þetta forrit fá aðgang?“ Samþykkissvik og leyfi forrita: Leyfisglugginn sem spyr hvort forrit megi lesa póstinn þinn, skjölin og dagatalið er ein viðkvæmasta síða sem þú sérð í vinnunni. Eitt samþykki getur gefið árásaraðila varanlegan aðgang án þess að stela lykilorði og án þess að MFA stöðvi neitt. Svona lest þú gluggann og svona bregst þú við.
- Öryggi í Teams og Slack: Spjallforrit fyrirtækja virðast örugg, en þau eru orðin vinsæl árásarleið. Falskt samstarfsfólk, ytri gestir í rásum og skaðleg viðhengi komast stundum fram hjá ruslpóstsíum vegna þess að fólk treystir spjallinu betur en tölvupósti.
- Of opnir deilitenglar: Þú deilir skjali í Google Docs eða OneDrive með stillingunni „hver sem hefur tengilinn“. Hver getur þá séð það? Deildu skjölum án þess að þau leki út.
- Ósamþykkt tæknitól í vinnunni: „Ég notaði bara þetta litla gervigreindartól til að taka saman fundinn.“ Ósamþykkt tæknitól (shadow IT) eru tól, öpp og skýjaþjónustur sem starfsfólk notar án samþykkis tæknideildarinnar. Sjaldnast býr illur ásetningur að baki, en gögn geta auðveldlega lekið út.
- Læstur skjár og hreint skrifborð: Þegar þú stendur upp frá tölvunni geta opinn skjár, útprentuð gögn og minnismiðar orðið að gagnaleka. Tveggja sekúndna venja getur komið í veg fyrir stór mistök.
- Á ferðinni: tæki, skjáir og hurðir: Fartölvan sem gleymist í leigubílnum, skjárinn sem sessunauturinn les og hurðin sem þú heldur opinni fyrir ókunnugan. Utan skrifstofunnar eru það þrjú hversdagsleg atriði sem ráða mestu um öryggi vinnugagna.
- Opið þráðlaust net og falsaðir aðgangspunktar: Þráðlaust net á kaffihúsi, flugvelli eða hóteli getur verið rekið af árásaraðila. Munurinn á hættulegu og hættulausu neti skiptir máli þegar þú vinnur utan skrifstofunnar.
- Minnislyklar og óþekkt tæki: Týndur minnislykill, fölsk hleðslustöð á flugvelli eða óþekkt Bluetooth-tæki getur sýkt tölvuna þína á sekúndum. Lítil tæki geta verið jafn hættuleg og skaðlegur tölvupóstur.
- Gervigreindarverkfæri og gagnaleki: Þú límir vinnuskjal inn í ChatGPT til að spara tíma. Hvert fer það? Hver gæti séð það? Notaðu gervigreind án þess að trúnaðargögn leki.
- Þegar gervigreind hljómar of sannfærandi: Gervigreind getur hljómað jafn sannfærandi þegar svarið er rangt og þegar það er rétt. Þess vegna þarf stundum að staðfesta svarið annars staðar.
- Gervigreind og skipanalínan: Gervigreind stingur upp á skipun sem þú átt að keyra. Staldraðu við áður en þú ýtir á Enter og athugaðu hvað skipunin gerir í raun.
- Faldar skipanir í texta: Þú biður Copilot að taka saman póst. Í póstinum leynast leiðbeiningar sem reyna að fá Copilot til að senda gögn til árásaraðila. Svona virkar slík árás.
- Gervigreind með aðgang: leyfi, tengingar og minni: Gervigreind sem má lesa póstinn þinn, skjölin og dagatalið getur líka gert eitthvað við þau. Farðu yfir hvers vegna leyfin ráða skaðanum, hvað viðbætur og tengingar þriðja aðila þýða og hvernig minni gervigreindar getur verið eitrað.
- Gervigreind heima, fjölskyldan og einkalífið: Gervigreind er orðin hluti af einkalífinu. Börn nota hana, eldri ættingjar geta orðið fyrir djúpfölsunum og fjölskyldumyndir geta endað í þjálfunargögnum. Þetta eru samtölin sem borgar sig að taka heima.
- Framlínan: viðskiptavinir, símtöl og þrýstingur: Námskeið fyrir fólk sem talar beint við viðskiptavini, til dæmis þjónustuver, móttöku, sölufólk og tækniaðstoð. Fimm árásarmynstur nýta hjálpsemina gegn fyrirtækinu: uppdiktuð saga byggð á opinberum upplýsingum, tímaþröng, yfirmannssvindl, óvænt heimsókn og upplýsingaöflun í litlum skrefum.
- Lausnargjaldsárásir og gagnagíslataka (ransomware): Lausnargjaldsárásir eru ein dýrasta tegund netárása. Heil fyrirtæki geta lamast vikum saman, sjúkrahús neyðast til að senda sjúklinga annað og lítil fyrirtæki loka fyrir fullt og allt. Einn smellur getur endað í lömun og afrit eru oft besta vörnin.
- Kerfisstjórar undir árás: Active Directory, Entra og fyrsti klukkutíminn: Árásarleiðir sem beinast að forréttindareikningum í AD og Entra, til dæmis þreyta vegna MFA, Kerberoasting, OAuth consent phishing og AD CS. Farið er líka yfir fyrstu aðgerðir eftir staðfest atvik.
- Aðfangakeðjur og árásir sem sjást ekki strax: Sérhæft námskeið um árásir í gegnum birgja og aðkeyptan hugbúnað, með dæmum eins og SolarWinds, MOVEit og XZ-utils. Atvikaskrár kerfa og viðvaranir skipta mestu þegar árás þarf að sjást áður en tjónið verður mikið.
- Þjónustuborðið undir árás: „Ég er með nýjan síma“: Fyrir þjónustuborð og tæknideild sem endurstilla aðgang fyrir samstarfsfólk. Árásaraðilinn hringir sem starfsmaður, með réttu nöfnin og trúverðuga sögu, og biður um MFA-endurstillingu, nýtt símanúmer eða nýtt lykilorð. Farðu yfir hvernig árásin lítur út, hvaða staðfesting heldur og hvers vegna árásaraðilar sækjast eftir undantekningum.

## Contact

- Email: info@varhugi.is
- Contact page: https://www.varhugi.is/is/hafa-samband