Kordia 2026-rapport: 17% af cyberhændelser i New Zealand ender med datatyveri
En nyudgivet brancherapport sætter et præcist tal på et problem, de fleste organisationer ved eksisterer, men har svært ved at måle: cyberhændelser med tyveri af persondata tegner sig nu for en betydelig andel af alle sikkerhedshændelser. Ifølge 2026 Kordia New Zealand Business Cyber Security Report resulterer 17% af cyberhændelser – omtrent én ud af seks – i uautoriseret adgang til eller tyveri af personoplysninger. Alongside denne statistik fremhæver rapporten uhensigtsmæssig AI-brug blandt medarbejdere som en af de mest presserende nye trusler, organisationer står over for i dag.
Tilsammen tegner disse fund et billede af et trusselsbillede, der udvikler sig hurtigere, end mange konventionelle forsvarsmekanismer er bygget til at håndtere.
Hvad Kordia 2026-rapporten faktisk fandt
Kordia-rapporten undersøger newzealandske virksomheder på tværs af brancher og størrelser, hvilket gør den til et af de mere virkelighedsnære regionale øjebliksbilleder af, hvordan cyberhændelser faktisk udspiller sig i praksis. Hovedtallet – at 17% af hændelserne ender med eksponering af persondata – er bemærkelsesværdigt, fordi det indfanger et konkret resultat snarere end blot angrebsvolumen eller -type.
Mange cybersikkerhedsrapporter fokuserer på, hvordan angreb begynder: phishing-e-mails, kompromitterede legitimationsoplysninger, upatchet software. Denne rapport retter opmærksomheden mod, hvor angreb ender – og for en betydelig andel er dette slutpunkt, at nogens personoplysninger forlader organisationens kontrol. Denne sondring er vigtig for at forstå risici i termer, som regulatorer, kunder og bestyrelser rent faktisk bekymrer sig om.
Rapporten fremhæver også uhensigtsmæssig AI-brug blandt medarbejdere som en fremvoksende udfordring. Det drejer sig om medarbejdere, der fodrer følsomme data ind i eksterne AI-værktøjer, bruger ikke-godkendte AI-platforme eller deler fortrolige oplysninger, mens de forsøger at automatisere deres arbejde. Det er i de fleste tilfælde ikke udtryk for ondsindet hensigt. Det er bekvemmelighed, der tilsidesætter forsigtighed.
Hvorfor én ud af seks hændelser ender med et databrud
De 17% afspejler nogle strukturelle realiteter ved, hvordan moderne organisationer håndterer data. Personoplysninger har en tendens til at være lagret på tværs af flere systemer, delt bredt inden for organisationer og tilgået regelmæssigt af medarbejdere på mange niveauer. Denne spredning betyder, at ethvert vellykket indbrud har en rimelig chance for at berøre persondata, inden det opdages og inddæmmes.
Det afspejler også den høje værdi af personoplysninger som mål. Angribere, der får adgang til et netværk, leder ofte specifikt efter navne, kontaktoplysninger, finansielle poster og identitetsoplysninger. Disse har direkte videresalgsværdi og kan bruges i efterfølgende svindel og social engineering-angreb.
Kløften mellem en hændelse og bekræftelsen af, at persondata er kompromitteret, er også en faktor. Forsinkelser i opdagelsen giver angribere mere tid til at lokalisere og eksfiltrere de mest værdifulde data. Organisationer, der mangler robust logning, segmentering eller overvågning, opdager typisk et brud først efter, at data allerede har forladt organisationen.
Dette mønster er ikke unikt for New Zealand. Det stemmer overens med, hvad forskere har dokumenteret globalt: regulerede enheder og velfinansierede organisationer håndterer stadig rutinemæssigt persondata forkert, som udforsket i den EU-aldersverifikationsapp, der blev brudt inden for minutter efter lanceringen, hvor sikkerhedsantagelser viste sig fatalt optimistiske næsten øjeblikkeligt.
Den AI-interne trussel, som VPN'er ikke kan løse alene
Fundinget om AI-brug fortjener særlig opmærksomhed, fordi det repræsenterer en kategori af risiko, som de fleste eksisterende sikkerhedsværktøjer ikke er designet til at håndtere. Når en medarbejder indsætter klientoplysninger i en offentlig AI-assistent eller bruger et ikke-godkendt produktivitetsværktøj til at behandle HR-data, udløses ingen firewall, aktiveres intet VPN-flag, og intet indbrudsdetektionssystem slår alarm. Dataene forlader organisationen via en fuldstændig legitim kanal.
Dette er kerneproblemet med internt drevne eksponeringer: de ser ofte identiske ud som normalt arbejde. En VPN sikrer forbindelsen mellem en enhed og et virksomhedsnetværk. Den styrer ikke, hvad en medarbejder gør med data, når de først har legitim adgang til dem. Kryptering beskytter data under overførslen mellem betroede endepunkter; den beskytter ikke data, som en autoriseret bruger vælger at sende til et uautoriseret sted.
Organisationer, der har investeret kraftigt i perimetersikkerhedsværktøjer – herunder VPN'er, endpoint-beskyttelse og firewalls – kan stadig være eksponerede, hvis de ikke har adresseret det menneskelige og politiske lag. Kordia-fundene tyder på, at denne kløft vokser, efterhånden som AI-værktøjer bliver billigere, mere kapable og mere integrerede i hverdagens arbejdsgange.
Udfordringen forstærkes af, hvor hurtigt AI-værktøjslandskabet forandrer sig. En politik skrevet for seks måneder siden dækker muligvis ikke de platforme, medarbejderne bruger i dag.
Opbygning af et privatlivsforsvar, der rækker ud over VPN'er
At adressere både datatyverifrekvensen og den AI-drevne interne trussel kræver en lagdelt tilgang, der kombinerer tekniske kontroller med organisatorisk politik og brugeruddannelse.
På den tekniske side kan værktøjer til forebyggelse af datatab (DLP) konfigureres til at registrere, når følsomme datakategorier sendes til eksterne platforme, herunder AI-tjenester. Netværksovervågning, der logger udgående dataoverførsler, kan hjælpe med at identificere usædvanlige mønstre. Adgangskontroller, der begrænser hvilke medarbejdere der kan tilgå hvilke data, reducerer skadesomfanget af enhver enkelt hændelse.
På politiksiden har organisationer brug for klar og aktuel vejledning om godkendte AI-værktøjer, hvilke datakategorier der kan behandles eksternt, og hvad konsekvenserne af politikovertrædelser er. Uklarhed er en ansvarsrisiko. Medarbejdere, der er usikre på, om et værktøj er godkendt, vil ofte som udgangspunkt bruge det alligevel – særligt hvis det gør deres arbejde lettere.
Brugeruddannelse forbliver afgørende. De fleste medarbejdere, der skaber AI-relaterede dataeksponeringshændelser, handler ikke med ondsindet hensigt. De forsøger at arbejde effektivt. Træning, der specifikt forklarer hvorfor bestemte data ikke må bruges i eksterne AI-værktøjer – frem for blot at de ikke må – har tendens til at skabe bedre overholdelse end generiske sikkerhedspåmindelser.
For enkeltpersoner er rapporten en nyttig påmindelse om at tjekke, hvilke personoplysninger organisationer besidder om dem, og hvordan de er beskyttet. Love som California Consumer Privacy Act giver nogle forbrugere formelle rettigheder over deres data, selvom håndhævelsen af CCPA har betydelige mangler i praksis, og udøvelsen af disse rettigheder kræver aktiv indsats.
Hvad dette betyder for dig
Kordia 2026-rapporten er en New Zealand-fokuseret undersøgelse, men dens fund afspejler mønstre, der er genkendelige på tværs af brancher og geografier. Én ud af seks hændelser, der resulterer i tyveri af persondata, er en betydelig rate, og fremkomsten af uhensigtsmæssig AI-brug som en intern trussel tilføjer en ny dimension, som mange sikkerhedsprogrammer stadig er ved at indhente.
For enkeltpersoner er dette en opfordring til at tænke over, hvilke personoplysninger du deler med virksomheder, hvor meget af dem der kunne eksponeres ved et brud, og om du udøver de tilgængelige rettigheder til at minimere denne eksponering. For organisationer er rapporten et argument for at flytte sikkerhedssamtaler ud over perimeterværktøjer og hen imod omfattende datastyring.
Tekniske forsvarsmekanismer er nødvendige, men ikke tilstrækkelige. De 17% tyder på, at selv efter hændelser opstår, kræver begrænsning af den personlige dataeksponering hurtighed, synlighed og klare politikker, som de fleste organisationer stadig arbejder på at udvikle. At gennemgå dit eget dataaftryk, forstå hvilke rettigheder du har i henhold til gældende privatlivslove, og holde dig informeret om, hvordan brud faktisk sker, er praktiske første skridt, enhver kan tage i dag.
