Dragos räknade 1 140 ransomware-incidenter som drabbade industriorganisationer under Q2 2026, en ökning med 12 % jämfört med Q1. Fyndet pekar på en förändring värd att förstå: ransomware som riktar in sig på industriella OT-system börjar allt oftare i de företags-IT-system som stöder operationell teknologi, snarare än på fabriksgolvet eller i själva kontrollrummet.

Källartikeln är kortfattad, och det här inlägget håller sig till det den anger: siffran 1 140, den kvartalsvisa ökningen på 12 % och observationen att angripare i allt högre grad missbrukar de företagssystem som ligger till grund för OT. Där vi går utöver det beskriver vi allmän säkerhetspraxis snarare än nya fynd.

Vad Dragos fann under Q2 2026

Enligt Dragos drabbades industriorganisationer av 1 140 ransomware-incidenter under det andra kvartalet 2026. Det är 12 % högre än det första kvartalet. Rubriksiffran spelar roll, men den mer användbara detaljen är inriktningen på angriparnas ansträngningar: företagssystem som stöder OT är i allt högre grad inträdespunkten.

För mer information om siffrorna bakom, se vår kompletterande rapport, Q2 2026 Ransomware Hit 1,140 Industrial Firms via IT.

Hur ransomware rör sig från kontors-IT till OT

Operationell teknologi är den hårdvara och programvara som driver fysiska processer, såsom produktionslinjer, eldistribution och vattenrening. IT är den välbekanta världen av e-post, filservrar, affärsapplikationer och molntjänster. I de flesta industriorganisationer är de två sammankopplade, eftersom chefer behöver produktionsdata, ingenjörer behöver designfiler och leverantörer behöver åtkomst.

Det är dessa kopplingar som angripare utnyttjar. Istället för att attackera industriella styrenheter direkt kan en ransomware-grupp bryta sig in i ett affärssystem, stjäla data eller kryptera servrar och skapa tillräckligt stor störning för att verksamheten saktar ner eller stannar. Även när styrsystemen aldrig berörs kan ett företag stänga ner delar av sin produktion som en försiktighetsåtgärd eller för att det inte längre kan planera, leverera eller fakturera.

Det är därför uppdelningen mellan IT och OT kan vara missvisande. En anläggning kan ha välskyddade styrenheter och ändå slås ut av en kompromettering av systemen runt omkring dem.

Varför företagsprogramvara och exponerade system är den svaga länken

Dragos fynd belyser angripare som missbrukar de företagssystem som ligger till grund för OT. Dessa tenderar att vara stora affärsapplikationer som innehåller värdefulla data och ofta är nåbara från internet så att partner och distanspersonal kan använda dem.

Ett konkret exempel är Clop-kampanjen mot företagsprogramvara för produktlivscykelhantering. Vår rapportering om Clop ransomware som drabbar PTC Windchill och FlexPLM-system beskriver en utpressningskampanj med datastöld inriktad på internetexponerade instanser av dessa plattformar. Dessa system lagrar produktdesigner och tillverkningsinformation, vilket gör dem attraktiva för utpressningsgrupper även när inget produktionssystem krypteras.

Exponering handlar också om kända sårbarheter som förblir ouppdaterade. Vår rapport om CISA som lägger till fyra sårbarheter i sin katalog över kända utnyttjade sårbarheter visar hur snabbt sårbarheter i vitt använda företags- och industriprodukter kan gå från avslöjande till aktiv attack.

Vad detta innebär för dig

De flesta läsare driver inte en fabrik eller ett kraftverk, men många är beroende av en. När en industriorganisation drabbas kan effekterna visa sig som försenade leveranser, leveransbrister, driftavbrott eller exponering av personuppgifter. Kund- och medarbetarinformation som lagras i företagssystem kan också stjälas vid dessa incidenter.

Du kan inte åtgärda en operatörs nätverk, men du kan minska din egen exponering som kund, medarbetare eller leverantör:

  • Om du får ett intrångsmeddelande från en tillverkare eller tjänsteleverantör, ta det på allvar och följ deras vägledning.
  • Använd unika lösenord och multifaktorautentisering på konton som är kopplade till en industri- eller kraftleverantör.
  • Var uppmärksam på nätfiske som hänvisar till en nyligen inträffad incident, eftersom stulen data ofta återanvänds i uppföljningsbedrägerier.

Vad organisationer kan göra: segmentering, säkerhetskopior, MFA

För dem som ansvarar för industriella miljöer talar trenden för att förstärka kopplingspunkterna mellan IT och OT. Dessa är standardiserade försvarsåtgärder, inte nya fynd från Dragos rapport:

  • Segmentering: Separera affärsnätverk från kontrollnätverk och begränsa vad som kan passera mellan dem. Om IT komprometteras hjälper segmentering till att hålla incidenten borta från verksamheten.
  • Säkerhetskopior: Behåll offline- eller på annat sätt isolerade säkerhetskopior av kritiska system och testa att återställa dem. Säkerhetskopior hjälper bara om de fungerar under press.
  • Multifaktorautentisering: Kräv det för fjärråtkomst och för administrativa konton, särskilt på internetexponerade företagsapplikationer.
  • Uppdatering och exponeringsöversyn: Identifiera vilka företagssystem som är nåbara från internet och prioritera åtgärder för sårbarheter som är kända för att utnyttjas.
  • Incidentplanering: Bestäm i förväg hur drabbade system ska isoleras och hur väsentlig verksamhet ska hållas igång.

Slutsatser

Dragos räkning på 1 140 incidenter under Q2 2026 visar att ransomware som riktar in sig på industriella OT-system växer, och att vägen in ofta går genom företagsprogramvaran runt dem. Ta några minuter att granska din egen exponering: aktivera MFA, kontrollera att dina säkerhetskopior är aktuella och återställbara, och installera väntande uppdateringar. För konkreta exempel på hur IT-svagheter blir industriell risk, läs vår rapportering om industriella ransomware-data för Q2 2026 och Clop-kampanjen mot företags-PLM-programvara.