Vad är en cyberattack? Typer, svenska exempel och skydd

En cyberattack är ett avsiktligt försök att ta sig in i, störa eller skada datorer, nätverk eller digitala tjänster. Målet kan vara att stjäla uppgifter, pressa offret på pengar eller slå ut en tjänst. I Sverige har attackerna de senaste åren drabbat allt från butikskedjor och kommuner till idrottsföreningar och enskilda personer, ofta via en leverantör som många organisationer delar på.

Olika sätt att dela in cyberattacker

• Aktiva och passiva. En aktiv attack förändrar något: filer krypteras, en webbplats slås ut eller pengar förs över. En passiv attack bara lyssnar eller kopierar, till exempel när någon avlyssnar trafik på ett öppet wifi. Passiva angrepp märks sällan förrän uppgifterna dyker upp någon annanstans.
• Externa och interna. De flesta angrepp kommer utifrån. Men en anställd, en konsult eller en tidigare medarbetare med kvarglömda behörigheter kan göra lika stor skada inifrån, med avsikt eller av misstag.
• Riktade och breda. Vissa angrepp är skräddarsydda mot ett enda företag. Andra skickas till miljontals mottagare i hopp om att några ska nappa.

De vanligaste typerna av cyberattacker

Skadlig kod

• Virus fäster sig vid andra filer och sprids när de öppnas.
• Maskar sprider sig själva mellan datorer i ett nätverk, utan att någon behöver klicka.
• Trojaner ser ut som något nyttigt, till exempel en gratisapp eller en faktura, men öppnar en bakdörr.
• Keyloggers registrerar allt du skriver, inklusive lösenord.
• Botnät är tusentals kapade datorer, kameror och routrar som styrs gemensamt, ofta för att utföra överbelastningsattacker.

Tekniska angrepp mot system

• SQL-injektion. Angriparen skriver in databaskommandon i ett formulär eller en adress, och en dåligt skyddad webbplats kör dem. Så kan hela kundregister läsas ut.
• Cross-site scripting (XSS). Skadligt skript planteras på en webbplats och körs i besökarnas webbläsare, till exempel för att stjäla inloggningar.
• Mellanhandsattack (MITM). Angriparen placerar sig mellan dig och tjänsten och kan läsa eller ändra trafiken. Det är ett skäl till att krypterade anslutningar behövs.
• Nolldagarsattack. En säkerhetslucka utnyttjas innan tillverkaren känner till den eller har hunnit släppa en rättning.

Social manipulation

Många attacker riktar sig mot människor snarare än teknik. Angriparen utger sig för att vara banken, Polisen, it-supporten eller chefen och skapar tidspress. Romansbedrägerier bygger i stället på en relation som odlas i veckor eller månader innan pengarna efterfrågas. Polisens bedrägericentrum har varnat för att bedragare i Sverige redan använder AI-klonade röster, till exempel för att utge sig för att vara en vd som begär en brådskande betalning.

Så går en attack till

De flesta större angrepp följer ungefär samma mönster:

1. Kartläggning. Angriparen letar efter svaga punkter: oppatchade system, öppna fjärranslutningar eller anställda som går att lura.
2. Första intrånget. Ofta via ett nätfiskemejl, ett stulet lösenord eller en känd sårbarhet som inte har åtgärdats.
3. Fotfäste. Angriparen skaffar sig högre behörighet och rör sig vidare i nätverket, ibland i veckor utan att märkas.
4. Datastöld. Känsliga uppgifter kopieras ut innan något syns utåt.
5. Utpressning eller sabotage. System låses och offret får ett krav. Betalar offret inte publiceras ofta de stulna uppgifterna. Det kallas dubbel utpressning.

Vem ligger bakom, och varför?

• Kriminella grupper vill ha pengar. Många ransomwaregrupper hyr ut sina verktyg till andra brottslingar mot en andel av lösensumman, så kallad ransomware som tjänst. Akira, som låg bakom attacken mot Tietoevry, arbetar så.
• Statliga aktörer spionerar, kartlägger eller förbereder sabotage mot samhällsviktiga system.
• Hacktivister vill göra en politisk poäng, oftast med överbelastningsattacker. Flera grupper som kallar sig aktivister har kopplats till statliga intressen.
• Insiders är anställda eller tidigare anställda som missbrukar sin åtkomst.

Svenska cyberattacker 2021–2026

Nationellt cybersäkerhetscenter (NCSC) beskriver i sin årsrapport för 2025 att myndigheter, företag och samhällsviktig verksamhet utsattes för både överbelastnings- och utpressningsattacker. Mönstret är tydligt: en attack mot en enda leverantör kan drabba hundratals organisationer och deras anställda samtidigt. Enligt Bohlin har proryska grupper som tidigare nöjde sig med överbelastningsattacker börjat försöka förstöra styrsystem för samhällsviktig infrastruktur.

Kända internationella attacker

• WannaCry, maj 2017. Ransomware som spred sig som en mask och enligt Europol drabbade omkring 200 000 offer i minst 150 länder, bland dem den brittiska sjukvården NHS.
• SolarWinds, december 2020. Angripare planterade skadlig kod i en uppdatering av övervakningsprogrammet Orion. Upp till 18 000 kunder kan ha installerat den. Ett skolexempel på leverantörsattack.
• Colonial Pipeline, maj 2021. Ransomwaregruppen DarkSide tvingade USA:s största bränsleledning att stänga. Bolaget betalade 4,4 miljoner dollar i lösensumma.

Cybersäkerhetslagen och vem som ansvarar

Den 15 januari 2026 trädde cybersäkerhetslagen (2025:1506) i kraft. Den genomför EU:s NIS2-direktiv och ersätter den tidigare NIS-lagen. Den ställer krav på riskhantering och incidentrapportering hos betydligt fler verksamheter än tidigare, inom bland annat energi, transport, hälso- och sjukvård, digital infrastruktur och offentlig förvaltning. Ledningen måste genomgå utbildning om säkerhetsåtgärder.

Sedan 1 juli 2026 ligger all nationell cyberverksamhet hos NCSC vid Försvarets radioanstalt (FRA). Dit flyttade incidenthanteringen, rollen som nationell kontaktpunkt för NIS2 och uppgifterna enligt cybersäkerhetslagen från Myndigheten för civilt försvar (MCF, tidigare MSB). CERT-SE, Sveriges nationella incidenthanteringsorganisation, finns nu inom NCSC. Tillsynen sköts av olika myndigheter beroende på sektor, till exempel Transportstyrelsen för transporter.

Snabbkoll: omfattas vi?

En verksamhet omfattas i regel om alla tre villkoren stämmer:

1. Den bedriver verklig och varaktig verksamhet i Sverige.
2. Verksamheten finns inom en sektor som räknas upp i lagen, till exempel energi, transport, bank, hälso- och sjukvård, dricksvatten, digital infrastruktur, post, avfall, tillverkning eller livsmedel.
3. Den har minst 50 anställda, eller både en årsomsättning och en balansomslutning över 10 miljoner euro.

Vissa verksamheter, till exempel flygkontrolltjänster, omfattas oavsett storlek. Den som omfattas ska anmäla sig till FRA. Anknutna företag och partnerföretag kan räknas in i storleken, så titta på koncernen som helhet.

Angreppstyp och bästa skydd

Så skyddar du dig som privatperson

• Uppdatera. Slå på automatiska uppdateringar i telefon, dator, webbläsare och router. De flesta intrång utnyttjar kända luckor.
• Unika lösenord. Använd ett eget lösenord för varje tjänst, gärna långa lösenordsfraser i en lösenordshanterare. Vår lösenordsgenerator skapar dem åt dig.
• Tvåstegsverifiering eller passkeys. Även om ett lösenord läcker kommer angriparen inte in utan den andra faktorn.
• Var misstänksam mot brådska. Meddelanden som kräver att du agerar nu, loggar in via en länk eller signerar med BankID är det vanligaste sättet att bli lurad. Kontrollera webbadressen innan du loggar in. Ett hänglås och https visar bara att anslutningen är krypterad, inte att sidan är äkta. Läs mer i Vad är SSL?
• Säkerhetskopiera. Spara viktiga filer på en extern disk som inte alltid är ansluten, eller i en molntjänst med versionshistorik.
• Skydda hemmanätet. Byt routerns förinställda administratörslösenord och använd WPA2 eller WPA3. Undvik att logga in på bank och e-post via öppna wifi-nät.
• Kom överens om ett kontrollsätt. Ringer en anhörig och ber om pengar i panik, lägg på och ring tillbaka på det nummer du har sparat.

Har jag drabbats? Gör så här

Spara alltid bevis: skärmbilder, avsändaradresser, telefonnummer och kontoutdrag. Kontakta kreditupplysningsföretagen, till exempel UC, och be om en bedrägerispärr, så att ingen kan ta lån eller krediter i ditt namn utan extra kontroll.

Om din organisation drabbas

• Personuppgifter. En personuppgiftsincident ska anmälas till Integritetsskyddsmyndigheten (IMY) så snart som möjligt och inom 72 timmar, om det inte är osannolikt att den medför risker för de berörda.
• Cybersäkerhetslagen. Verksamheter som omfattas rapporterar betydande incidenter till NCSC enligt tidsfristerna ovan. Andra organisationer kan kontakta CERT-SE på cert@cert.se eller 010-382 80 00.
• Polisanmälan. Dataintrång och utpressning är brott och bör polisanmälas.
• Förbered dig innan. Ha en incidentplan med kontaktuppgifter, testa återställning från säkerhetskopia och ge varje användare bara den behörighet som behövs.

Vanliga frågor om cyberattacker

Vad är skillnaden mellan en cyberattack och ett dataintrång?

Dataintrång är ett brott i svensk lag och innebär att någon olovligen tar sig in i ett system. Cyberattack är ett bredare begrepp som också omfattar till exempel överbelastningsattacker, där ingen tar sig in.

Bör man betala lösensumman?

Polisen och säkerhetsmyndigheterna avråder. Det finns ingen garanti för att uppgifterna raderas eller att systemen går att låsa upp, och betalningen finansierar fler attacker.

Hur vet jag om mina uppgifter har läckt?

Drabbade organisationer ska informera de berörda om läckan innebär en hög risk för dem. Du kan också kontrollera din e-postadress i tjänster som samlar kända läckor, och vara extra vaksam på samtal och meddelanden som verkar känna till dina uppgifter.

Räcker det med antivirus?

Nej. Inbyggt skydd i Windows, macOS och mobilerna fångar mycket skadlig kod, men det hjälper inte mot nätfiske där du själv lämnar ut uppgifter. Uppdateringar, unika lösenord och tvåstegsverifiering gör större skillnad.

Vem ska jag kontakta om ett företag jag anlitar har drabbats?

Börja med företaget. Det ska kunna berätta vilka uppgifter som berörs. Tror du att dina uppgifter har använts för bedrägeri polisanmäler du det.

Källor

• Security Affairs: 200 svenska kommuner drabbade av attacken mot Miljödata (28 augusti 2025)
• Dagens PS: en miljon svenskars uppgifter läckta (14 september 2025)
• SVT: IMY granskar efter Miljödata-läckan, över 1,5 miljoner drabbade (3 november 2025)
• Aktiespararna/Finwire: bolagen som drabbats i dataläckan (16 september 2025)
• Affärsvärlden: Tietoevry drabbat av ransomware-attack (januari 2024)
• The Record: Tietoevry ransomware attack (22 januari 2024)
• The Local: Coop drabbat av cyberattack (3 juli 2021)
• Bitdefender: SAS webbplats drabbad av attack (16 februari 2023)
• Sveriges Radio: Anonymous Sudan, gruppen bakom cyberattackerna mot Sverige (2023)
• SVT: Sportadmin får betala sex miljoner efter hackerattack (26 januari 2026)
• SVT: regeringen om cyberhotet mot Sverige, angreppsförsöket mot värmeverket (15 april 2026)
• Security Affairs: Everest och Svenska kraftnät (28 oktober 2025)
• Nordic Defence Sector: NCSC:s årsrapport för 2025 (26 juni 2026)
• Security World Market: cybersäkerhetslagen har trätt i kraft (17 januari 2026)
• Security World Market: cyberverksamheten samlas hos FRA 1 juli (27 juni 2026)
• Svensk författningssamling: cybersäkerhetslag (2025:1506)
• Transportstyrelsen: kompletterande upplysningar till cybersäkerhetslagen (17 september 2026)
• CERT-SE vid NCSC
• Europeiska dataskyddsstyrelsen: personuppgiftsincidenter
• TV4: Polisen varnar för bedrägerier med AI-klonade röster (13 maj 2023)
• Al Jazeera: WannaCry, 200 000 offer i 150 länder enligt Europol (14 maj 2017)
• SecurityWeek: SolarWinds, 18 000 kunder kan ha använt den manipulerade produkten (december 2020)
• Axios: Colonial Pipeline betalade 4,4 miljoner dollar (maj 2021)