Truesec: Geopolitik og AI accelererer cybertrusler mod virksomheder
Ny rapport viser, at angribere udnytter virksomheders egne sprogmodeller, mens kompromittering sker hurtigere end nogensinde før i et komplekst trusselsbillede
Del artiklen påAf Lars Bennetzen
Cybertrusler udvikler sig med høj hastighed drevet af fremskridt inden for kunstig intelligens (AI) og stigende geopolitiske spændinger. Det fremgår af Truesecs Threat Intelligence Report 2026.
Rapporten konkluderer, at angribere i stigende grad retter sig mod mennesker frem for systemer. Over en tredjedel af observerede ransomwareangreb begyndte med stjålne legitimationsoplysninger, ofte opnået via phishing eller password spraying.
Samtidig går det hurtigere, når angriberne først er inde. Andelen af angreb, der når fuld kompromittering på under et døgn, er steget fra 12% i 2022 til 29% i 2025.
En central tendens er, at trusselsaktører forventes at bruge virksomheders egne LLM’er (Large Language Models) til at kortlægge IT-miljøet.
- De fleste modne virksomheder har efterhånden fået styr på klassisk synlighed, så reconnaissance i systemer, usædvanlige loginmønstre, password spraying og lateral bevægelse ofte giver støj i loggene og ender med at trigge alarmer. Problemet er, at mange nye AI projekter ikke er bygget med samme overvågning. Når en intern LLM får adgang til dokumenter, kundebeskeder, klager, feedback, wikis, mailudsnit, IT-dokumentation eller systemkataloger, kan en angriber lave rekognoscering som en almindelig bruger. Stille og roligt, via helt legitime forespørgsler som ‘hjælp mig med at finde’, ‘hvad er processen for’, ‘hvem ejer systemet’ og ‘hvor ligger backup’, uden at det nødvendigvis ser mistænkeligt ud i den traditionelle overvågning. Og fordi mange endnu ikke har moden logging, detection og misbrugskontroller på deres AI stack, kan det ske uden at nogen får en alarm, siger Morten von Seelen, Vice President hos Truesec.
Geopolitik driver truslen
Rapporten peger på, at grænserne mellem statslige aktører, organiseret cyberkriminalitet og hacktivistgrupper udviskes, hvilket gør attribuering og forsvar mere komplekst.
- Geopolitik er ikke længere en kontekstsløjfe i en rapport. Det er en direkte driver for kapacitet, risikovillighed og målvalg. Når den regelbaserede orden svækkes, bliver cyberspace mere opportunistisk, mere samarbejdende på tværs af aktører og mere uforudsigeligt for forsvarere. Det handler mindre om branchetrends og mere om, hvem der har noget at vinde ved at skabe disruption og mistillid, siger Morten von Seelen.
For at imødegå truslerne skal forsvaret fokusere på adfærd frem for aktører.
- Hvis vi stadig forsvarer os ud fra pæne kategorier om hvem angriberne er, forsvarer vi os mod gårsdagens trussel. I virkeligheden deles værktøjer, adgang og metoder på kryds og tværs. Attribution kan være interessant, men det er adfærden der afgør, om vi når at stoppe angrebet i tide. Det rigtige spørgsmål er ikke ‘hvem gjorde det’, men hvor hurtigt vi kan opdage mønsteret og bryde kæden, siger Morten von Seelen.
Angreb ligner almindelig drift
Udfordringen for sikkerhedsteams er, at de mest avancerede angreb ofte camoufleres som legitim administration.
- Det mest modne angreb ligner ikke hacking, det ligner administration. Trusselsaktører bruger legitime remote management værktøjer, scripts og fjernkørsel, fordi det blender ind i hverdagens støj. Det er præcis derfor signaturer og klassiske use case baserede SIEM opsætninger bliver ved med at overse angreb. Du skal hurtigt kunne skelne normal administration fra misbrug af administration, ellers ser du angrebet for sent, siger Morten von Seelen.
På trods af det stigende trusselsniveau er der positive tendenser at spore i Norden. Færre angreb nåede fuld kryptering i 2025.
- Der er en vigtig nuance i årets observationer. Mængden af angreb stiger, men flere bliver stoppet før de ender i de værste scenarier. Vi ser færre tilfælde, hvor ransomware når hele vejen til kryptering og afpresning, og flere tilfælde, hvor aktøren bliver smidt ud før målet nås. Det er et konkret tegn på, at synlighed, detection og respons betaler sig, siger Morten von Seelen.
Ransomware-industrien tilpasser sig dog løbende presset fra myndighederne.
- Politi og myndigheder kan lukke grupper og infrastruktur, men afpresningsmodellen er bygget til at overleve. Når noget bliver lukket, fragmenterer markedet, og nye brands fylder hullerne. Det giver os vinduer hvor vi kan presse dem tilbage, men det ændrer ikke den grundlæggende logik. Så længe adgang, data og drift kan omsættes til penge, vil ransomware industrien fortsætte, bare med nye navne og nye konstellationer, siger Morten von Seelen.