Kripos: Cyberkriminalitet 2026

Kripos la tirsdag 14. april frem sin årlige rapport om cyberrettet og cyberstøttet kriminalitet i Norge. NSR var til stede under fremleggingen og har gått gjennom rapporten med særlig vekt på hva den sier om trusler mot næringslivet. Bildet som tegnes er alvorlig, og krever oppmerksomhet fra ledere og styrerom i hele privat sektor. Her en noe av det du kan lese om i rapporten (lenke til rapporten nederst i artikkelen):

Store mørketall: de fleste angrep anmeldes aldri

Et gjennomgående funn i rapporten er omfanget av underrapportering. Kripos viser til at kun 24 prosent av virksomheter som opplevde datainnbrudd og datatyveri anmeldte forholdet til politiet, basert på NSRs Mørketallsundersøkelse fra 2024. Kripos legger derfor til grunn at de reelle tallene for cyberrettet kriminalitet er betydelig høyere enn det politiets statistikk viser.

Løsepengevirus er normaltilstanden

Det er en del av normalbildet at ulike løsepengevirusvarianter brukes i cyberangrep mot norske virksomheter. Kripos registrerte at omkring 17 ulike løsepengevirusvarianter knyttet til kjente LSH-operasjoner (løsepengevirus-som-handelsvare) ble brukt i angrep mot norske små og mellomstore bedrifter (SMB) i løpet av 2025. Kripos er ikke kjent med at store virksomheter er rammet i samme periode, men understreker at dette ikke er grunn til å senke skuldrene.

Angrepsmønsteret er stabilt: kriminelle bruker kombinasjoner av datainnbrudd, datatyveri, kryptering og utpressing. Informasjon stjålet fra virksomheter gjøres tilgjengelig i kriminelle fora og brukes som grunnlag for videre press.

Svak sikkerhetshygiene er den viktigste årsaken til vellykkede angrep

Kripos' analyse viser at datainnbrudd mot norske virksomheter lykkes i hovedsak fordi virksomhetene har svake eller fraværende sikkerhetstiltak. De vanligste inngangspunktene er svake passord, manglende flerfaktorautentisering, uregelmessige systemoppdateringer og sårbar infrastruktur eksponert mot internett. Svak sikkerhetskultur gjør at slike svakheter ikke oppdages eller prioriteres.

OT-systemer og forsyningskjeder i faresonen

Rapporten løfter frem operasjonell teknologi (OT), systemene som styrer fysiske prosesser i industri, energi og kritisk infrastruktur, som et særlig sårbart område. Kripos vurderer det som sannsynlig at cyberangrep vil påvirke norske OT-avhengige virksomheter i 2026, med mulig produksjonsstans og store økonomiske kostnader som følge. Videre vurderes det som sannsynlig at vellykkede angrep mot slike virksomheter vil gi følgekonsekvenser i forsyningskjeden, og potensielt forstyrre samfunnskritiske funksjoner.

Kripos varslet om dette allerede i fjorårets rapport, og vurderingen inntraff i løpet av 2025. I april og mai 2025 ble to norske virksomheter rammet av hacktivister som fikk adgang til å manipulere OT-systemene deres. Dette de første kjente tilfellene av denne typen angrep mot norske virksomheter.

Tredjepartsangrep: Din leverandør kan være inngangen

En viktig angrepsvei Kripos beskriver er tredjepartsangrep, der kriminelle utnytter sårbarheter hos én leverandør for å få tilgang til en eller flere andre virksomheter. Dette skiller seg fra verdikjedeangrep ved at det retter seg mot virksomhetens helhetlige sårbarhetesflate, ikke bare én bestemt teknologi.

Rapporten peker også på en fremvoksende risiko: dersom internasjonale digitale leverandørkjeder forstyrres, er det mulig at cyberkriminelle vil opprette tilsynelatende legitime virksomheter for å fylle vakuumet, og dermed skaffe seg utilbørlig aksess til norske virksomheter. Kripos vurderer at norske virksomheter i slike tilfeller sannsynligvis vil rammes via tredjepartsangrep.

Den private og profesjonelle sfæren smelter sammen

Covid-pandemien medførte at arbeidsstedet forflyttet seg utenfor virksomhetens tradisjonelle rammer, noe som har skapt en utvidet angrepsflate der privatpersoner i større grad kan utnyttes for å skaffe tilgang til virksomhetssystemer. Kripos understreker at en trussel mot den ansatte som privatperson også er en trussel mot arbeidsgiverens systemer. Den private og profesjonelle sfæren er stadig mer sammenvevd.

Kunstig intelligens senker terskelen for angrep

Rapporten vier stor plass til kunstig intelligens (KI) som kriminelt verktøy. KI har automatisert en rekke kriminelle oppgaver: omgåelse av sikkerhetsfiltre, sammenstilling av store datamengder, skalering, forfalskning, oversettelse og tilpasning av tekst og tale, samt målutvelgelse. KI hjelper uerfarne kriminelle med lavt kompetansenivå og bidrar til at mengden kriminalitet vokser.

Kripos vurderer det som meget sannsynlig at virksomheters implementering og bruk av KI-agenter vil utnyttes av kriminelle. Det er videre sannsynlig at KI-agenter som brukes internt i virksomheter, vil hjelpe kriminelle som allerede er inne i nettverket med raskere å finne sensitiv informasjon og trykkpunkter som kan brukes i en utpressingssituasjon.

Kommersialiseringen gjør kriminaliteten bredere og mer effektiv

Et sentralt trekk Kripos beskriver er den tiltagende kommersialiseringen av cyberkriminalitet. Løsepengevirus, hackingverktøy og andre kriminelle tjenester selges og leies ut som produkter i et velfungerende kriminelt marked. Dette senker terskelen: i prinsippet kan hvem som helst med internettilgang slutte seg til et USH-nettverk (utpressing-som-handelsvare) og rette angrep mot norske virksomheter.

Kripos har kartlagt i overkant av 400 kriminelle med ulike knytninger til det cyberkriminelle økosystemet, primært gjennom etterforskninger av kombinasjoner av datainnbrudd, datatyveri og utpressing, i Norge og internasjonalt.

Geopolitikk påvirker trusselbildet hjemme

Rapporten understreker at cyberkriminalitet ikke følger nasjonale grenser. Handelskonflikter, sanksjonsregimer og strategisk rivalisering mellom stormakter påvirker volumet, karakteren og kompleksiteten i cyberkriminalitet som treffer norske virksomheter. Kripos peker på at det er mulig at teknologi utviklet til bruk i hybrid krigføring vil bli brukt til å begå kriminelle handlinger mot norske mål i 2026, og at økt press fra sanksjoner kan øke insentivene for profittmotivert cyberkriminalitet.

NSRs anbefaling

Kripos er tydelig på at rapporten er ment som et kunnskapsgrunnlag for beslutningstakere, fagmiljøer og samarbeidspartnere, og at forebygging har størst effekt over tid. NSR deler dette synet. Truslene i rapporten er en beskrivelse av det som allerede skjer mot norske virksomheter.

NSR oppfordrer alle virksomheter til å sørge for grunnleggende sikkerhetshygiene med sterk autentisering, oppdaterte systemer og kontroll over eksponert infrastruktur. Videre bør virksomheter kartlegge leverandørkjeden sin og vurdere hvilke aktører som har tilgang til egne systemer. Det er også helt nødvendig å ha en plan for håndtering av hendelser, slik at man ikke venter til angrepet er et faktum. Til slutt oppfordrer NSR til at hendelser anmeldes til politiet: anmeldelse er nødvendig for at trusselbildet skal være realistisk og at ressursene prioriteres riktig.

Rapporten Cyberkriminalitet 2026 er utgitt av Kripos/NC3 og er tilgjengelig på politiet.no.