En tredjedel rammet, likevel føler nesten alle seg trygge

RSM Australias cybersikkerhetsrapport for 2026 har avdekket et gap mellom oppfatning og virkelighet som bør bekymre alle hvis personopplysninger befinner seg i en mellomstor eller stor organisasjon. Rapporten, basert på en undersøkelse av 155 mellomstore til store australske organisasjoner, fant at omtrent en tredjedel opplevde et løsepengeangrep eller utpressingsforsøk i løpet av det siste året. Til tross for dette mener 97 % av respondentene fortsatt at organisasjonens data er tilstrekkelig beskyttet.

Dette avviket har betydning langt utenfor styrerommet. Når et løsepengeangrep lykkes, er det sjelden bare selskapets egne filer som låses eller stjeles. Kunderegistre, ansattdata, helseinformasjon og økonomiske detaljer følger ofte med, og tillitsgapet RSM har identifisert, tyder på at mange organisasjoner ikke behandler denne risikoen med det hastverket tallene krever.

Hvorfor de store aktørene henger etter

Et av de mer kontraintuitive funnene som ligger begravd i RSMs data, er at større organisasjoner henger etter sine mellomstore motparter når det gjelder cybersikkerhetsberedskap. Konvensjonell visdom tilsier at større selskaper har større budsjetter, dedikerte sikkerhetsteam og mer moden styring. Ifølge denne rapporten holder ikke den antakelsen alltid stikk i praksis.

Dette mønsteret er ikke unikt for Australia. Større, mer komplekse organisasjoner bærer ofte på gamle systemer, omfattende leverandørforhold og lag med byråkrati som bremser sikkerhetsbeslutninger, selv når ressurser er tilgjengelige. Bruddet på IBM Italias datterselskap knyttet til kinesiske cyberoperasjoner er en påminnelse om at skala og omdømme ikke automatisk oversettes til motstandsdyktighet. Store organisasjoner som forvalter kritisk infrastruktur kan fortsatt være eksponert gjennom datterselskaper, kontraktører eller oversette systemer — nøyaktig den typen kompleksitet som mindre, mer smidige organisasjoner har en tendens til å unngå, rett og slett fordi de har færre bevegelige deler å sikre.

Personvernkostnaden ved løsepengevirus er ikke bare løsepengene

Det er lett å tenke på løsepengevirus utelukkende som et forretningskontinuitetsproblem: filer krypteres, driften stopper opp, et løsepengekrav ankommer. Men moderne løsepengekampanjer kombinerer i stadig større grad kryptering med datatyveri, noe som betyr at angripere stjeler sensitiv informasjon før de låser systemer, for deretter å true med å publisere eller selge den, uavhengig av om løsepenger betales.

Denne dobbeltutpressingsmodellen er nettopp grunnen til at personvernimplikasjonene av RSMs funn fortjener mer oppmerksomhet enn de vanligvis får. Hver organisasjon som lagrer kundenavn, adresser, betalingsdetaljer eller helsejournaler, bærer i praksis personvernrisiko på vegne av menneskene de betjener. Når løsepengeoperatører søker betaling, tjener de i økende grad penger på personopplysningene til ansatte, kunder og pasienter, ikke bare bedriftshemmeligheter. Helsevesen og medisinsk utstyrsselskaper illustrerer dette godt. Hendelser som iRhythm-datainnbruddet i juni 2024 som rammet hjertepasienter og det relaterte iRhythm-bruddet som involverte tredjeparts skytjenester viser hvordan angrep på én enkelt organisasjon kan eksponere dypt sensitiv personlig helseinformasjon, noen ganger via leverandører og skytjenester de berørte individene aldri engang visste var involvert.

Den menneskelige belastningen av løsepengevirus strekker seg enda lenger. Bak hver høyprofilert utpressingssak finnes forhandlere, etterforskere og noen ganger straffeforfølgelse, som sett i saken om en forhandler av løsepengevirus fra Florida dømt i en amerikansk utpressingssak. Disse sakene understreker at løsepengevirus ikke er en abstrakt teknisk trussel. Det er en organisert kriminell virksomhet med reelle økonomiske og juridiske konsekvenser på begge sider av transaksjonen.

Hva dette betyr for deg

Hvis du er ansatt, kunde eller pasient i en mellomstor til stor australsk organisasjon, er denne rapporten en nyttig påminnelse om å justere forventningene dine. En én av tre-sjanse for å bli rammet av løsepengevirus innenfor den undersøkte gruppen er et meningsfylt tall, og tillitsgraden på 97 % antyder at mange organisasjoner kanskje ikke kommuniserer bruddrisiko klart, eller kanskje ikke fullt ut forstår sin egen eksponering.

For enkeltpersoner er den praktiske responsen ikke panikk, men forberedelse. Anta at enhver organisasjon som har dataene dine, til slutt kan bli angrepet, og juster vanene dine deretter: bruk unike passord for sensitive kontoer, aktiver flerfaktorautentisering overalt hvor det tilbys, og vær oppmerksom på bruddvarsler i stedet for å avfeie dem som rutinestøy.

For organisasjoner er RSMs funn et tydelig signal om at selvvurdert tillit er en dårlig erstatning for testet motstandsdyktighet. Regelmessig penetrasjonstesting, øvelser i hendelsesrespons og ærlig rapportering på styrenivå om cyberrisiko betyr langt mer enn interne oppfatningsundersøkelser.

Hovedpunkter

  • RSM Australias cybersikkerhetsrapport for 2026 fant at omtrent én av tre av 155 undersøkte mellomstore til store organisasjoner opplevde et løsepengeangrep eller utpressingsforsøk i løpet av det siste året.
  • Til tross for denne eksponeringen mener 97 % av respondentene fortsatt at dataene deres er tilstrekkelig beskyttet, et gap som antyder utbredt overmot.
  • Større organisasjoner ser ut til å falle bak mellomstore når det gjelder cyberberedskap, noe som utfordrer antakelser om at større budsjetter garanterer bedre sikkerhet.
  • Løsepengevirus innebærer i økende grad datatyveri sammen med kryptering, noe som betyr at person- og helseinformasjon ofte er i faresonen selv når løsepenger ikke betales.
  • Enkeltpersoner bør ta bruddvarsler på alvor og styrke personlig kontosikkerhet, uavhengig av hvor trygg en organisasjon hevder å være på sitt forsvar.

Løsepengevirus i Australia er ikke en marginal risiko begrenset til en håndfull uheldige selskaper. Det er en statistisk vanlig hendelse for mellomstore til store organisasjoner, og tillitsgapet RSM har dokumentert, er uten tvil like nyhetsverdig som selve angrepene. Å holde seg informert om hvordan disse hendelsene utspiller seg, og hvordan organisasjoner reagerer på dem, forblir en av de enkleste måtene å beskytte sine egne data på i mellomtiden.