2026-rapport: 79 % af ransomware-angreb starter med stjålne logins

Ransomwares nye hoveddør: Dit login, ikke en softwarefejl

I årevis handlede it-sikkerhedsrådgivning om at rette software, før angribere kunne udnytte en kendt sårbarhed. Det råd betyder stadig noget, men en 2026-analyse af ransomware-hændelser viser, at det ikke længere er der, de fleste angreb begynder. Ifølge resultaterne stammer 79 % af ransomware-angreb nu fra kompromitterede identiteter: stjålne brugernavne og adgangskoder indsamlet via phishing-e-mails, social engineering-opkald og credential stuffing-kampagner, der genbruger lækkede login-data på tværs af flere websteder.

I praksis betyder det, at ransomware-bander i stigende grad springer det tekniske arbejde over med at finde og udnytte en upatchet server. I stedet logger de blot ind med legitimationsoplysninger, som medarbejdere ubevidst har udleveret – hvad enten det er via en overbevisende falsk loginside, et telefonopkald fra en, der udgiver sig for at være it-support, eller en adgangskode, der er genbrugt fra et gammelt, ikke-relateret databrud. Resultatet er det samme ødelæggende udfald: krypterede filer, stoppede operationer og en løsesumskrav – men indgangspunktet er flyttet fra kode til mennesker.

Hvorfor identitet er blevet den foretrukne angrebsvej

Dette skifte giver mening set fra en angribers perspektiv. At udnytte en softwaresårbarhed kræver forskning, timing og ofte et kapløb mod sikkerhedsopdateringer. At stjæle en legitimationsoplysning kan derimod gøres i stor skala med billige phishing-kits eller automatiserede værktøjer, der tester lækkede brugernavn-adgangskode-par mod snesevis af tjenester på én gang. Selv hvis kun en lille brøkdel af medarbejderne genbruger adgangskoder eller falder for en veludført phishing-besked, får angribere et fodfæste, der ser identisk ud med legitim adgang. Der er ingen alarmklokke for en stjålet adgangskode, der bruges korrekt – hvilket netop er grunden til, at det er blevet den dominerende metode. Som rapporteret i Sophos: 79 % af ransomware starter med stjålne legitimationsoplysninger, har sikkerhedsforskere fulgt denne tendens tæt, og de seneste 2026-data bekræfter, at det ikke er en tilfældighed, men et vedvarende mønster på tværs af ransomware-landskabet.

Når de først er inde, bevæger angribere, der bruger stjålne legitimationsoplysninger, sig ofte lydløst. De kan logge ind på e-mail-systemer, cloud-lagring og interne netværk med samme adgang, som en medarbejder ville bruge hver dag, hvilket gør tidlig opdagelse vanskelig. Dette er en markant afvigelse fra sårbarhedsbaserede angreb, som typisk efterlader mere identificerbare tekniske fingeraftryk, som sikkerhedsteams kan fange.

Privatlivsvinklen: Hvad stjålne legitimationsoplysninger virkelig eksponerer

Privatlivsimplikationerne her går ud over en enkelt virksomheds nedetid. Når ransomware-grupper får adgang gennem kompromitterede identiteter, får de ofte adgang til langt mere end de systemer, der er nødvendige for at implementere kryptering. E-mail-konti, kunderegistre, HR-filer og intern kommunikation ligger ofte bag det samme login. En stjålet legitimationsoplysning åbner ikke kun døren til ransomware – den kan eksponere personoplysninger, der tilhører medarbejdere, kunder og forretningspartnere, som ikke havde nogen indflydelse på, hvordan den adgangskode blev beskyttet.

Dette understreger også, hvorfor adgangskodehygiejne og beskyttelse af legitimationsoplysninger er personlige privatlivsanliggender, ikke kun virksomheds-it-anliggender. Enhver medarbejder, der genbruger en adgangskode på tværs af en arbejdskonto og et personligt shoppingwebsted, eller som indtaster legitimationsoplysninger på en spoofet loginside, giver potentielt angribere en hovednøgle. Resultaterne i Sophos: 79 % af ransomware starter med stjålne legitimationsoplysninger bekræfter, at dette ikke er et sjældent tilfælde; det er nu den primære vej, ransomware-grupper er afhængige af.

Hvad dette betyder for dig

Hvis du er medarbejder i en organisation, betyder disse data, at dine individuelle vaner vejer tungere, end du måske tror. En enkelt genbrugt adgangskode eller ét forhastet klik på et phishing-link kan være forskellen mellem en afgrænset hændelse og et virksomhedsdækkende brud. Hvis du administrerer it eller sikkerhed for en virksomhed, er pointen lige så klar: Opdatering af systemer forbliver vigtigt, men identitetsbeskyttelse fortjener nu lige så høj, hvis ikke højere, prioritet. Multi-faktor-godkendelse, phishing-resistente login-metoder og overvågning af credential stuffing-forsøg er ikke længere valgfrie ekstraudstyr – de er centrale forsvar.

For almindelige brugere understreger dette også en bredere privatlivslektie: De adgangskoder, du vælger og genbruger, har konsekvenser, der rækker langt ud over dine egne konti. En lækket legitimationsoplysning fra et ikke-relateret websted kan til sidst blive indgangspunktet for et angreb på din arbejdsgivers netværk.

Handlingsorienterede takeaways

• Brug unikke, stærke adgangskoder til hver konto, især arbejdsrelaterede logins, og overvej en adgangskodeadministrator for at gøre dette praktisk.
• Aktivér multi-faktor-godkendelse, hvor det tilbydes, især på e-mail og fjernadgangssystemer.
• Behandl uventede login-anmodninger, hastebeskeder om adgangskode-nulstilling eller ukendte it-opkald med skepsis, og verificer gennem en separat kanal, før du svarer.
• Hvis din organisation tilbyder phishing-bevidsthedstræning, så tag den alvorligt; at genkende en falsk loginside eller mistænkelig e-mail er nu et af de mest effektive ransomware-forsvar, der findes.
• Tjek regelmæssigt, om dine legitimationsoplysninger er dukket op i kendte databrud, og skift straks alle genbrugte adgangskoder.

Ransomwares skifte mod kompromitterede identiteter betyder ikke, at sårbarheder ikke længere betyder noget, men det betyder, at det menneskelige element er blevet den primære slagmark. At forblive årvågen over for phishing-forsøg og praktisere stærk adgangskodehygiejne er nu en af de mest praktiske måder, hvorpå både enkeltpersoner og organisationer kan reducere deres risiko.