KELAs State of Cybercrime 2026-rapport afslører 2,86 milliarder stjålne legitimationsoplysninger og opkomsten af autonome AI-angreb

Cyberkriminalitet er ikke længere kun en skalerbar trussel, men udvikler sig på et strukturelt niveau. Ifølge The State of Cybercrime 2026: Emerging Threats & Predictions af KELA, skifter angribere fra traditionelle intrusionsmetoder til identitetsmisbrug, AI-drevet automatisering og udnyttelse af tillidsbaserede systemer i stor skala.

Rapporten tegner et dystert billede af 2025 som et vendepunkt. Cyberkriminelle er ikke længere ved at bryde ind i netværk, men logger ind, ofte ved hjælp af stjålne legitimationsoplysninger, AI-agenter og tillidsværdige tredjeparts-systemer for at omgå forsvarsmekanismer helt.

Et rekordår for cyberkriminalitet

Omfanget af cyberkriminalitet i 2025 nåede hidtil usete niveauer. KELA sporede 2,86 milliarder kompromitterede legitimationsoplysninger på det globale marked, der omfattede infostealer-malware, datalæk-databaser og undergrundsmarkeder.

Disse legitimationsoplysninger er blevet det primære indgangspunkt for angribere. I stedet for at udnytte sårbarheder, afhænger truslerne mere og mere af legitim adgang, hvilket effektivt gør perimeterbaserede sikkerhedsmodeller forældede.

Sammen med dette er ransomware eksploderet dramatisk. Rapporten identificerede 7.549 ransomware-ofre i 2025, hvilket repræsenterer en stigning på 45% i forhold til året før, med mere end 53% af ofrene beliggende i USA.

Denne vækst er drevet af en moden cyberkriminaløkonomi. Der var 147 aktive ransomware-grupper, herunder omkring 80 nye deltagere, hvilket understreger, hvor lavt barrieren for indtræden er blevet.

Infostealer-epidemien, der driver alt

Kernen i denne vækst er opkomsten af infostealer-malware, der nu anses for at være rygmarven i moderne cyberkriminalitet.

KELA observerede omkring 3,9 millioner inficerede maskiner globalt i 2025, der producerede 347,5 millioner legitimationsoplysninger direkte fra malware-infektioner alene.

Det bredere marked forstærker dette dramatisk, med milliarder af legitimationsoplysninger, der cirkulerer på cyberkriminelle markeder. Disse sælges herefter til ransomware-grupper, initial adgangsforhandlere og nationale aktører.

Data afslører en kritisk skift i målretning. Over 75% af de kompromitterede legitimationsoplysninger er knyttet til højværditjenester som forretningscloud-platforme (19,6%), CMS-systemer (18,7%), e-mail-tjenester (15,3%) og autentificeringssystemer (12,9%).

Dette fokus understreger en klar strategi: Angribere prioriterer platforme, der muliggør lateral bevægelse og fuld organisationskompromittering.

macOS er ikke længere sikkert: En stigning på 7.000%

En af de mest slående opdagelser er sammenbruddet af længe fastholdte antagelser omkring platformsikkerhed.

macOS-infektioner eksploderede fra færre end 1.000 tilfælde i 2024 til over 70.000 i 2025, hvilket repræsenterer en stigning på 7.000%.

Dette udbrud er drevet af commercialiseringen af malware-as-a-service, især værktøjer som Atomic Stealer, der gør det let for selv lavkompetente angribere at målrette Apple-enheder i stor skala.

Konsekvensen er klar: Ingen platform er længere intrinsic sikkert. Angribere følger værdien, og Apple (AAPL ) -økosystemer er nu fast i deres sigte.

AI bliver det nye angrebsflade

Den mest betydningsfulde skift i rapporten er den dybe integration af AI i cyberangrebslivscyklussen.

KELA identificerer en overgang fra AI-assisterede angreb til fuldt autonome, agent-drevne operationer, hvor 80% til 90% af opgaver kan udføres med minimal menneskelig indblanding.

En nøglekoncept, der opstår fra denne skift, er “vibe hacking“. I stedet for at bryde AI-systemer, manipulerer angribere dem ved at ramme maliciøse handlinger som legitime opgaver. Dette tillader AI-agenter at udføre skadelige operationer uden at udløse sikkerhedsforanstaltninger.

Rapporten fremhæver også virkelige tilfælde, hvor AI-systemer blev kompromitteret gennem prompt-injektion og indirekte manipulation. I et tilfælde udførte autonome AI-agenter rekognoscering, udviklede exploit-kode og udførte angreb på multiple mål med begrænset menneskelig overvågning.

Dette markerer en fundamental ændring. AI er ikke længere kun et værktøj for angribere, men både et våben og et mål.

Ransomware udvikler sig til industriel afpresning

Ransomware er ikke længere en enkelt taktik, men en fuldstændig forretningsmodel.

De fleste angreb afhænger nu af dobbelt afpresning, der kombinerer datastjæling med kryptering. Dog stiger også afpresning alene, hvor angribere springer kryptering over og fokuserer på at stjæle og monitere følsomme data.

Økosystemet er højkonkurrencedygtigt. Den topgruppe, Qilin, havde over 1.100 ofre, efterfulgt af Akira med 761 ofre og Clop med 523 ofre.

Disse grupper afhænger mere og mere af stjålne legitimationsoplysninger i stedet for tekniske udnyttelser, ofte køber de adgang fra undergrundsmæglere for at accelerere angrebene.

Den økonomiske impact er overvældende. Et enkelt datalæk ved Jaguar Land Rover resulterede i 2,5 milliarder dollars i økonomisk skade, herunder produktionsslukninger og forsyningskædeforstyrrelser, der påvirkede tusindvis af virksomheder.

Hacktivisme og geopolitik intensiverer cybertrusler

Cyberkriminalitet er mere og mere sammenflettet med global konflikt.

Hacktivitetsaktiviteten steg 400% i forhold til året før, med over 3.500 DDoS-angreb og mere end 250 nye grupper, der opstod i 2025.

Disse grupper er ikke længere begrænset til hjemmeside-defaceringer. De målretter kritisk infrastruktur, operations-teknologi og industrielle systemer, hvilket skaber virkelige konsekvenser.

Samtidig bruger nationale aktører cyberoperationer som en kerneværktøj i geopolitisk strategi. Kampagner relateret til Rusland-Ukraine, Israel-Iran, USA-Kina-spændinger og Nordkorea demonstrerer, hvordan cyberkrigsførelse nu omfatter spionage, forstyrrelse og finansielle operationer.

Supply chain-angreb og sammenbruddet af tillid

En anden definerende trend er opkomsten af supply chain-angreb.

I stedet for at målrette enkeltorganisationer, kompromitterer angribere leverandører, SaaS-platforme og fælles infrastruktur for at få adgang til tusindvis af nedstrøms-ofre.

I et tilfælde tillod et SaaS-til-SaaS-angreb angribere at svinge ind i Salesforce (CRM ) -miljøer på tværs af multiple virksomheder ved hjælp af stjålne OAuth-token, hvilket omgik traditionelle sikkerheds kontroller helt.

Dette afspejler en bredere skift. “Tillid som standard”-modellen bliver en belastning, da angribere udnytter forholdet mellem systemer i stedet for systemerne selv.

Zero-day-udnyttelse og slutningen på patch-vinduet

Rapporten fremhæver også industrialiseringen af sårbarhedsudnyttelse.

I 2025 blev 238 sårbarheder tilføjet til CISA’s Known Exploited Vulnerabilities-katalog, op fra 185 året før.

Angribere moniterer nu udnyttelser hurtigere end nogensinde, ofte inden for dage eller endda timer efter offentliggørelse. Undergrundsmarkeder sælger mere og mere fuldt udviklede exploit-sæt i stedet for simple proof-of-concept-kode, hvilket sænker barrieren for massiv udnyttelse.

En ny cybersecurity-reality

Fundene i KELAs State of Cybercrime 2026-rapport: Emerging Threats & Predictions gør det klart: Cybersikkerhed er på vej ind i en ny æra.

Identitet er nu det primære angrebsflade. AI er både et værktøj og en sårbarhed. Tillidsforhold mellem systemer bliver udnyttet. Og angrebshastigheden accelererer ud over grænserne for traditionelle forsvarsmekanismer.

Organisationer, der fortsætter med at afhænge af arvede sikkerhedsapproacher, er mere og mere udsat. Skiftet mod identitetsførstesikkerhed, zero-trust-arkitekturer og AI-orienterede forsvar er ikke længere valgfrit.

For en dybere gennemgang af trusler, angrebsmetoder og strategiske anbefalinger giver den fulde rapport, The State of Cybercrime 2026: Emerging Threats & Predictions by KELA, en omfattende oversigt over, hvordan cyberkriminalitetslandskabet udvikler sig og hvor det er på vej hen herefter.