CrowdStrikes Global Threat Report 2026 bekrefter det sikkerhetseksperter lenge har fryktet: angripere beveger seg nå raskere enn menneskelige forsvarere kan reagere. Rapporten, som analyserer trussellandskapet for kalenderåret 2025, avdekker at gjennomsnittlig brekkpunkttid for e-kriminalitet har falt til 29 minutter, ned fra 48 minutter i 2024 og 98 minutter i 2021. Raskeste observerte angrep skjedde på 27 sekunder. For norske og nordiske virksomheter, der 21 cyberangrep ble dokumentert mot norske organisasjoner i 2025 alene, gir tallene direkte handlingsimplikasjoner.

Rapporten fra CrowdStrike, basert på telemetri fra mer enn 281 sporede trusselaktører og data fra tusenvis av hendelsesresponsoppdrag globalt, peker ut tre strukturelle skift i trussellandskapet for 2025: KI-aktiverte angrep øker kraftig, klassisk skadevare erstattes av misbruk av legitime legitimasjoner, og statlige aktører intensiverer angrepene mot skyinfrastruktur og kantenheter. Alle tre trender er direkte relevante for norsk kritisk infrastruktur.

Brekkpunkttid på rekordlave 29 minutter

Begrepet “brekkpunkttid” (eng. breakout time) refererer til tidsintervallet mellom en angripers første kompromittering av et system og det øyeblikket de begynner å bevege seg sidelengs til andre systemer i nettverket. CrowdStrike har målt denne verdien konsekvent siden 2019. I 2025 falt den til 29 minutter som gjennomsnitt for e-kriminalitetsaktører, noe som representerer en hastighetsøkning på 65 prosent fra 2024.

Tallene er langt mer alvorlige enn gjennomsnittet alene antyder. I det raskeste registrerte tilfellet tok brekkpunktet 27 sekunder. I ett dokumentert tilfelle startet dataeksfiltrering innen fire minutter etter første tilgang. Det betyr at en virksomhet som oppdager et innbrudd etter ti minutter, allerede kan ha mistet sensitiv data til angriperen.

Historisk perspektiv gjør utviklingen tydelig: fra 98 minutter i 2021 til 48 minutter i 2024 og nå 29 minutter i 2025. Dersom trenden fortsetter i samme tempo, vil gjennomsnittlig brekkpunkttid i 2027 ligge under 15 minutter. Det er kortere enn mange virksomheters SLA for varsling om kritiske sikkerhetshendelser.

Truesecs Nordic CISO Report 2026, som bygger på eksklusive intervjuer med sikkerhetssjefene i de ledende nordiske virksomhetene, peker ut “raskere utnyttelse” som den enkeltfaktoren som har endret risikobildet mest siden 2024. Nordiske sikkerhetssjefer sier til Truesec at hendelsesrespons-arbeidsflytene fra to år siden ikke lenger er tilstrekkelige gitt den nye angrepshastigheten. CrowdStrike-rapporten befester dette: med 29 minutters gjennomsnitt er automatisert deteksjon og inneslutning ikke lenger en bonus, men et krav for overlevelse ved alvorlige hendelser.

82 prosent av angrep er fri for skadevare

Den kanskje viktigste strukturelle endringen i CrowdStrike-rapporten for 2025 er at 82 prosent av alle detekterte inntrengninger ikke benyttet tradisjonell skadevare. I stedet benyttet angriperne gyldige brukernavn og passord, innebygde administrative verktøy, godkjente SaaS-integrasjoner og kompromitterte programvareleverandørkjeder for å bevege seg gjennom systemene uten å utløse signaturbaserte alarmer.

Dette skiftet har fundamentale konsekvenser for hvordan virksomheter tenker om sikkerhet. Klassisk antivirus og endepunktdeteksjon basert på signaturer identifiserer kjent skadevare, men er i praksis blinde for en angriper som logger inn med stjålet legitimasjon og bruker PowerShell, Windows Management Instrumentation eller legitime skyoperasjoner. CrowdStrike-rapporten omtaler dette som “living-off-the-land”-teknikker, og merk at misbruk av gyldige kontoer sto for 35 prosent av alle skybaserte hendelser i 2025.

Sopra Steria Norges rapport “State of Cyber Security 2026” (tilgjengelig her) beskriver det samme mønsteret i nordisk kontekst og fastslår at phishing fortsatt er den ledende angrepsvektoren i Norden, men at “et tydelig skifte er underveis”, der angripere beveger seg bort fra skadevare mot identitetsbaserte teknikker. For norske virksomheter betyr det at investeringer i passordsikkerhet, flerfaktorautentisering og identitetsovervåking er blitt kritiske snarere enn valgfrie prioriteringer.

Identitetstyveri som primær angrepsvektor

Angriperne bruker stjålne legitimasjoner på tre hoveder måter i 2025 ifølge rapporten: direkte innlogging til skyplattformer som Microsoft 365 og Google Workspace, misbruk av godkjente API-integrasjoner mellom SaaS-tjenester, og utnyttelse av identitetsbroer i hybrid infrastruktur der en kompromittert lokalmiljøkonto gir tilgang til skyressurser. I alle tre scenariene er det identitet, ikke skadevare, som er det kritiske sårbarhetspunktet. Angriperne blender inn som vanlige ansatte og utfører handlinger som ser ut som normal forretningsdrift frem til eksfiltrering begynner.

KI-styrte angrep øker med 89 prosent

CrowdStrikes rapport for 2025 betegner fjoråret som begynnelsen på “KI-fiendtlighetens tidsalder”. Angrep utført av KI-aktiverte motstandere økte med 89 prosent sammenliknet med 2024. ChatGPT ble nevnt i kriminelle forum 550 prosent oftere enn noen annen KI-modell. Mer enn 90 organisasjoner opplevde at angripere direkte angrep eller utnyttet KI-utviklingsverktøy og dataplattformer.

CrowdStrike oppsummerer i rapporten at “KI hjelper angriperne med å akselerere og finne kreative veier rundt forsvar for manuelle tastaturoperasjoner.” Rapporten fastslår videre at motstanderne i 2025 var “raskere, mer unnvikende og mer effektive” enn noe tidligere år, og at KI er den primære driveren bak alle tre forbedringene.

Rapporten dokumenterer bruken av KI i angrepsoperasjoner langs fire dimensjoner. Syntetiske personae: Den nordkoreanske trusselaktøren FAMOUS CHOLLIMA brukte generativ KI til å skape falske identiteter og manipulerte bilder for å infiltrere selskaper gjennom svindel med IT-ansettelser. Oversettelse og sosial manipulering: Aktøren RENAISSANCE SPIDER brukte generativ KI til å oversette phishing-agn til ukrainsk for å øke troverdigheten overfor spesifikke mål. KI-generert skadevare: FANCY BEAR, den russisktilknyttede aktøren, distribuerte skadevare-familien LAMEHUG, som bruker en stor språkmodell (Qwen2.5-Coder-32B) til å utføre rekognosering og dokumentinnsamling autonomt. KI-assistert etterkompromittering: PUNK SPIDER og ODYSSEY SPIDER brukte KI-genererte skript for etterinnbruddsoppgaver, inkludert legitimasjonsuthenting og ødeleggelse av rettsmedisinske spor.

Et spesielt bekymringsfullt funn gjelder bruken av legitime KI-verktøy mot brukerne selv. I ett dokumentert tilfelle publiserte trusselaktører ondsinnede pakker i npm-registeret designet for å kapre en brukers egne lokale KI-kommandolinjeverktøy til å stjele autentiseringsmateriale. I et annet tilfelle publiserte angripere en ondsinnet klon av en legitim Postmark Model Context Protocol-server for å avlytte og videresende sensitiv e-post. Disse mønstrene peker mot en fremtid der KI-verktøy i seg selv er primære angrepsmål.

Fem trusselaktører som dominerte 2025

CrowdStrike navnga 24 nye motstandere i løpet av 2025 og sporer nå totalt 281 aktive trusselaktører. Av disse utpeker rapporten fem som særlig sentrale for å forstå 2025-trusselen:

FAMOUS CHOLLIMA (Nord-Korea): Koblet til svindel med IT-arbeidere, der nord-koreanske agenter søker seg inn i teknologiselskaper under falsk identitet for å gi innsidertilgang og eksfiltrere intellektuell eiendom. Aktivitetsnivået doblet seg fra 2024 til 2025, og aktøren bruker generativ KI aktivt for å skape troverdige falske identiteter med manipulerte bilder og CV-er.

STARDUST CHOLLIMA (Nord-Korea): En annen DPRK-tilknyttet gruppe som økte operasjonelt tempo gjennom 2025. Inngår i den samlede 130-prosent-økningen i Nord-Korea-tilknyttede hendelser og er spesielt knyttet til kryptovaluta-relaterte operasjoner og finansiell tyveri for den nordkoreanske staten.

PUNK SPIDER (e-kriminalitet): Registrerte den høyeste veksttakten blant kriminelle grupper med en økning på 134 prosent og 198 dokumenterte inntrengninger i 2025. Gruppen bruker KI-genererte skript aktivt i etterkompromitteringsfasen og spesialiserer seg på ødeleggelse av rettsmedisinske bevis, noe som kompliserer hendelsesrespons-arbeid betraktelig for de rammede virksomhetene.

ODYSSEY SPIDER (e-kriminalitet): Bruker KI-genererte skript for automatiserte etterkompromitteringsoppgaver, inkludert legitimasjonsuthenting (credential dumping) fra minneregistre. Gruppen representerer den nye generasjonen av e-kriminalitetsaktører som har skalert angrepene ved å automatisere tidkrevende manuelle prosesser med KI, og dermed redusert kostnadene per vellykket angrep dramatisk.

FANCY BEAR (Russland, også kjent som APT28): Fortsetter som en av de mest sofistikerte statlige aktørene og introduserte i 2025 skadevare-familien LAMEHUG, som bruker en lokal stor språkmodell (Qwen2.5-Coder-32B) til å utføre autonom rekognosering og dokumentinnsamling uten nettverkstilkobling til angriperens kommando-og-kontroll-infrastruktur. Dette gjør tradisjonell nettverksbasert C2-deteksjon ineffektiv.

Kina-tilknyttede aktører øker presset med 38 prosent

Kina-tilknyttede trusselaktører økte aktiviteten med 38 prosent på tvers av alle sektorer i 2025 ifølge CrowdStrike-rapporten. Innen logistikksektoren var økningen 85 prosent, noe som er særlig relevant for norsk næringslivs eksponering mot globale forsyningskjeder. Finansielle tjenester økte med 30 prosent.

Rapporten identifiserer et spesifikt mønster i hvordan kinesiske aktører jobber. 67 prosent av sårbarhetene de utnyttet ga umiddelbar systemtilgang. 40 prosent av angrepene rettet seg mot kantenheter som VPN-konsentratorer, brannmurer og rutere, altså utstyr som typisk mangler EDR-dekning. Utnyttelse av nylig offentliggjorte sårbarheter skjedde i gjennomsnitt innen to dager etter offentliggjøring, og null-dag-utnyttelse økte med 42 prosent totalt.

For norske virksomheter med kantinfrastruktur fra leverandører som Fortinet, Palo Alto Networks, Cisco og Ivanti er dette direkte relevant. Ivanti EPMM-null-dagssårbarheten med CVSS 9.8, som rammet blant annet EU-kommisjonen i 2026, er et konkret eksempel på nettopp dette angrepsmønsteret: en sårbarhet i en kantenhet, utnyttet raskt etter offentliggjøring, med umiddelbar systemtilgang som resultat. Norske myndigheter og offentlige virksomheter bør lese CrowdStrike-rapportens kinesiske aktørseksjon som en direkte risikobeskrivelse av egen infrastruktur.

Nord-Korea-tilknyttede angrep øker 130 prosent

Nord-Korea-tilknyttede hendelser økte med 130 prosent fra 2024 til 2025, og DPRK-aktørene skilte seg ut med to særpregede angrepsmønstre: svindel med IT-ansettelser via FAMOUS CHOLLIMA og historiens største dokumenterte kryptovalutatyveri via et forsyningskjedeangrep.

Det nordkoreanske forsyningskjedeangrep som CrowdStrike refererer til resulterte i historiens største enkelt-kryptovalutatyveri med 1,46 milliarder dollar stjålet i én operasjon. Angrepet er direkte relatert til den nordkoreanske regjeringens systematiske bruk av cyberangrep for å finansiere statsdriften etter internasjonale sanksjoner. CrowdStrike klassifiserer dette som et signal på at DPRK-aktørene har nådd en kapasitet som tidligere bare ble tilskrevet de mest ressurssterke statlige aktørene.

FAMOUS CHOLLIMAs dobling i aktivitetsnivå fra 2024 til 2025 er spesielt bekymringsfullt for nordiske teknologivirksomheter. Gruppen sender nord-koreanske IT-arbeidere inn i selskaper via fjernansettelser, der de bruker falske identiteter støttet av KI-genererte bilder og CV-er. Når de er innenfor, eksfiltrerer de kildekode, bedriftshemmeligheter og autentiseringsmateriale, og setter opp bakdører for fremtidig tilgang. Norske og nordiske teknologiselskaper som ansetter fjernarbeidere internasjonalt bør forstå at dette er et reelt og aktivt operasjonelt scenario i 2025-2026.

Skyangrep stiger 37 prosent, statlige aktører opp 266 prosent

Skybevisste inntrengninger økte med 37 prosent totalt i 2025. For statlige aktører var økningen dramatisk: 266 prosent. Misbruk av gyldige kontoer sto for 35 prosent av alle skybaserte hendelser, noe som bekrefter at identitet, snarere enn tradisjonelle nettverksgrenser, er det primære angrepspunktet i skyinfrastruktur.

CrowdStrike-rapporten identifiserer tre primære angrepsvektorer for skyangrep i 2025: misbruk av gyldige kontoer (35 prosent av hendelser), utnyttelse av feilkonfigurerte SaaS-integrasjoner og tjenestekonto-tilganger, og kapring av skyidentitetsprovideren for å skaffe token-basert tilgang til flere tjenester. Kombinasjonen av høy adopsjonsrate for skytjenester i Norden og disse mønstrene gjør nordiske virksomheter til et naturlig mål i dette angrepslaget.

266 prosent økning blant statlige aktører i skybevisste operasjoner er et alarmsignal som bør påvirke skystrategien til norske offentlige virksomheter og kritisk infrastruktur. Statlige aktører som Salt Typhoon, Kina-tilknyttede APT-er og FANCY BEAR har alle vist evne og vilje til å operere i skymiljøer. For norske myndigheter og offentlige virksomheter betyr dette at Zero Trust-arkitektur og identitetssikring i skyen er blitt en nasjonal sikkerhetsbevissthet, ikke bare en IT-avdelings teknologivalg.

AngrepskategoriEndring 2024-2025Andel av hendelserPrimær aktørtype
E-kriminalitet brekkpunkttid65% raskere (48 min til 29 min)Alle inntrengningerE-kriminalitet
KI-aktiverte angrep+89%Voksende andelAlle aktørtyper
Skadevare-frie deteksjonerEtablert trend82% av deteksjonerAlle aktørtyper
Null-dag utnyttelse+42%Initial access-faseStats- og krimaktører
Kina-tilknyttede angrep+38% (logistikk +85%)SektorbreddeStatlige aktører
Nord-Korea-tilknyttede angrep+130%Krypto og IT-svindelStatlige aktører
Skybevisste inntrengninger+37% (statlige +266%)35% via gyldige kontoerAlle, spesielt statlige
Falske CAPTCHA-agn+563%Sosial manipuleringE-kriminalitet
Spam-e-post+141%Initial accessE-kriminalitet

Phishing-eksplosjon og 563 prosent økning i falske CAPTCHA-feller

Mens avanserte angripere bruker identitetsmisbruk og kantenheter, benytter store deler av e-kriminalitets-miljøet fortsatt sosial manipulering som primær inngangsdør. CrowdStrike-rapporten dokumenterer en økning på 563 prosent i hendelser som brukte falske CAPTCHA-agn (ClickFix-teknikken), og en økning på 141 prosent i phishing-e-poster brukt i angrep.

ClickFix er en teknikk der brukere ledes til nettsider med falske CAPTCHA-utfordringer eller feilmeldinger som instruerer dem om å kopiere og kjøre en kommando for å “fikse et problem” eller “bevise at de ikke er en robot”. Kommandoen laster i stedet ned skadevare. Teknikken er effektiv fordi den utnytter brukerens tillit til tekniske instruksjoner og omgår nettleserforsvar ved at brukeren selv kjører koden. I mai 2026 advarte Australias cybersikkerhetsmyndighet om at ClickFix ble brukt aktivt på kompromitterte WordPress-sider for å spre Vidar Stealer, som stjeler passord, nettleserdata og kryptovaluta-lommebøker.

For norske brukere og virksomheter er økningen i spam-e-post (+141 prosent) og falske CAPTCHA-feller (+563 prosent) mer operasjonelt relevant enn de avanserte statlige angrepene. Det er her det statistiske volumet av vellykkede angrep befinner seg: phishing-e-poster rettet mot ansatte, falske nettsider som etterligner legitime tjenester, og sosial manipulering som omgår tekniske kontroller. AI-drevet phishing i Norden økte med 14 ganger i 2026, ifølge en separat nordisk analyse, og CrowdStrike-rapportens tall bekrefter det globale grunnlaget for denne veksten.

Hva rapporten betyr for norske og nordiske virksomheter

CrowdStrike Global Threat Report 2026 er en global rapport, men konsekvensene treffer nordiske virksomheter langs fire spesifikke risikolinjer.

Kantenheter og perimetersikkerhet: 40 prosent av kinesiske aktørers angrep rettet seg mot VPN-konsentratorer, brannmurer og rutere. Norske virksomheter som bruker slike enheter fra Fortinet, Palo Alto, Cisco og Juniper uten robuste oppdateringsrutiner er direkte eksponert. Rapporten peker på at kinesiske aktører utnytter kantenheter innen to dager etter offentliggjøring av en CVE, noe som setter krav til patch-prosesser som de fleste IT-avdelinger ikke er bemannet for å overholde uten automatisering.

Identitet og skybruk: Med 35 prosent av skyinntrengninger via gyldige kontoer er identitetsovervåking en kritisk prioritering. MFA (flerfaktorautentisering) er nødvendig, men ikke tilstrekkelig alene. Virksomheter trenger anomalideteksjon på identitetsnivå som varsler om uvanlige innloggingsmønstre, geografi, tid og atferd, selv når legitimasjonen er gyldig. SIEM-regler som kun ser etter skadevare vil ikke oppdage 82 prosent av angrepene i 2025-mønsteret.

Forsyningskjedensikkerhet: DPRK-aktørers infiltrasjon via falske IT-ansettelser, og kapringen av npm-pakker for å angripe KI-verktøy, er direkte relevant for norsk teknologisektor. Virksomheter som bruker åpen kildekode-pakker, importerer freelancere eller fjernarbeidere, eller integrerer tredjeparts KI-verktøy, har en forstørret angrepsflate som kreverne mer formalisert tredjeparts-risikovurdering.

Myndighetskrav og NIS2: EUs NIS2-direktiv stiller krav til hendelsesrapportering innen 24 timer og 72 timer, minimumskrav til sikkerhetskontroller og tredjepartsrisikostyring. Med en gjennomsnittlig brekkpunkttid på 29 minutter er den tekniske evnen til å detektere, respondere og rapportere hendelser innen NIS2-frister en reell operasjonell utfordring, ikke bare en compliance-øvelse. Virksomheter uten SOAR-plattformer (Security Orchestration, Automation and Response) vil slite med å oppfylle begge kravene simultant.

Det nordiske cyberresiliensbildet for 2026 viser at 52 prosent av norske ledere i kritisk infrastruktur ser cybersikkerhet som andres ansvar. CrowdStrike-rapporten understreker at dette ansvarsfraskrivelsesmønsteret er direkte farlig i et trussellandskap der angripere beveger seg raskere enn noen enkeltorganisasjon kan håndtere alene uten avklarte roller og beredskapsplaner.

Praktiske tiltak for norske sikkerhetsavdelinger

Rapporten peker implisitt på tre prioriterte tiltak for organisasjoner i høyrisikosektorer. Etabler deteksjon av “living-off-the-land”-teknikker i SIEM-systemet, med fokus på anomal bruk av PowerShell, WMI og Remote Desktop Protocol utenom normal arbeidstid og fra uventede kildesteder. Implementer identitetsbasert deteksjon for skyplattformer som varsler om uvanlige innloggingsmønstre, selv for gyldige kontoer. Reduser patching-tid for kantenheter til under 48 timer for kritiske CVE-er, siden kinesiske aktører ifølge rapporten utnytter kantenheter innen to dager etter offentliggjøring. For de fleste norske IT-avdelinger krever dette automatiserte patch-pipelines, ikke manuelle prosesser.

Sammenlikning av de viktigste trusselrapportene for 2026

CrowdStrike er ikke alene om å publisere trusselrapporter for 2025-2026. Verizon, WEF, DNV og Sopra Steria publiserte alle store rapporter i samme periode. En sammenlikning av de viktigste nøkkeltallene gir et mer komplett bilde av trussellandskapet for norske sikkerhetsansvarlige:

RapportPublisertGeografisk fokusNøkkelfunnNøkkeltall
CrowdStrike Global Threat Report 2026Februar 2026Global29 min brekkpunkt, 89% KI-økning, 82% uten skadevare281+ aktører sporet, 24 nye
Verizon DBIR 20262026Global31% av angrep via sårbarhet, 22.000 brudd analysert22.000 sikkerhetshendelser
DNV Nordisk Cyberresiliensrapport 20262026Norden166 angrep i Norden, 52% ser det som andres ansvar21 NO, 60 SE, 44 FI, 41 DK
Sopra Steria State of Security 20262026NordenStatlige aktører og hybride trusler er nøkkelrisikoAPT, cyberkrim, hacktivister
Truesec Nordic CISO Report 20262026NordenKI-angrep, raskere utnyttelse, regulatorisk press økerCISO-intervjuer, NIS2-fokus
WEF Global Cybersecurity Outlook 2026Januar 2026Global34% bekymret for GenKI-datalekkasjer, 19% over minimumskravKun 19% møter alle minimumskrav

Sammenlikningen viser sterk konsistens mellom rapportene: alle peker på akselererende angriperhastighet, KI-aktivering av trusselaktører og identitetsbaserte angrepsteknikker som de primære trendene. Det som skiller CrowdStrike-rapporten er dybden i adversary intelligence, med 281 navngitte aktører og spesifikke taktikker, teknikker og prosedyrer for de mest aktive gruppene.

Hvem konkurrerer med CrowdStrike om trusselintelligensmarkedet?

CrowdStrike Global Threat Report er den mest siterte i cybersikkerhetsbransjen, men konkurrerer med tilsvarende rapporter fra Mandiant (nå Google Security), Microsoft MSTIC, Palo Alto Unit 42 og IBM X-Force. Hvert selskap har unik telemetri basert på sin kundebase, og rapportene utfyller snarere enn utelukker hverandre.

CrowdStrikes komparative fordel er bredden i adversary tracking (281+ aktører) og dybden i eCrime-telemetri gjennom Falcon-plattformen, som dekker millioner av endepunkter globalt. Mandiants styrke er analyse av avanserte statlige operasjoner, særlig kinesiske APT-er. Microsofts rapport er mest verdifull for Microsoft-tunge miljøer der identitet, Azure AD og M365 er sentrale angrepsflater.

For det norske markedet er Microsoft Defender og CrowdStrike Falcon de to dominerende plattformene i enterprise-segmentet. At begge leverandørenes data viser 80+ prosent andel av skadevare-frie angrep, gir ekstra tyngde til funnet og antyder at det ikke er metodologisk skjevhet, men en reell markedsendring i angripernes teknikker. Norske virksomheter bør lese begge rapportene og kombinere dem med DNV og Sopra Sterrias nordiske perspektiv for et komplett risikobilde.

Fem spådommer for cybertrussellandskapet 2026-2027

Basert på trendene i CrowdStrike Global Threat Report 2026 og de nordiske rapportene er disse fem utviklingstrekkene de mest sannsynlige for perioden 2026-2027:

1. Brekkpunkttid under 15 minutter innen utgangen av 2027. Med en nedgang fra 98 minutter (2021) til 29 minutter (2025), og en konsekvent akselerasjon på 40-65 prosent per år, er det matematisk sannsynlig at gjennomsnittlig brekkpunkttid passerer under 15 minutter i løpet av 2026-2027. Det krever at virksomheter oppdaterer hendelsesrespons-prosesser til å inkludere automatiserte inneslutningsmekanismer som ikke er avhengig av menneskelig godkjenning i sanntid.

2. Autonom KI-skadevare blir mer utbredt. FANCY BEARs LAMEHUG er et tidlig eksempel på skadevare som bruker lokale språkmodeller til å operere autonomt uten nettverkstilkobling til kommandoservere. I løpet av 2026-2027 vil denne teknikken sannsynligvis spre seg til bredere e-kriminalitetsøkosystemet, noe som vil gjøre tradisjonell nettverksbasert deteksjon av kommando-og-kontroll-trafikk enda mer ineffektiv.

3. DPRK IT-svindel treffer nordiske teknologiselskaper direkte. FAMOUS CHOLLIMAs svindeloperasjoner med IT-ansettelser er dokumentert primært i USA, men ekspanderer geografisk. Nordiske teknologiselskaper som aktivt rekrutterer fjernarbeidere internasjonalt er sannsynlige neste målgruppe. Kjennetegn å se etter: kandidater som unngår videosamtaler, bruker VPN under jobbintervjuer, oppgir inkonsistente bakgrunnsdetaljer eller ber om spesiell tilgang utenom stillingsbeskrivelsen.

4. NIS2-komplianse-krav kolliderer med responshastighets-krav. EU NIS2s krav om å rapportere vesentlige hendelser innen 24 timer og gi fullstendig rapport innen 72 timer er teknisk umulig å oppfylle hvis brekkpunkttiden faller under 15 minutter uten automatisert deteksjon og respons. Virksomheter som ikke har investert i SOAR-plattformer vil oppleve at compliance og sikkerhet begge svikter simultant ved en alvorlig hendelse.

5. KI-verktøy blir en primær angrepsflate i nordiske virksomheter. Med 90+ organisasjoner globalt som allerede har opplevd at angripere angriper eller utnytter KI-utviklingsverktøy, og med den raske adopsjonen av GitHub Copilot, Microsoft Copilot og lokale LLM-installasjoner i nordisk bedriftsliv, er KI-verktøy en fremvoksende angrepsflate som ennå mangler dedikert sikkerhetsdekning i de fleste nordiske CISO-program. Dette bør endre seg i løpet av 2026.

Relatert dekning

For fullstendig kontekst om cybertrussellandskapet i Norden og globalt, se vår øvrige dekning:

Primærkilder: CrowdStrike Global Threat Report 2026 og CrowdStrikes offisielle analyseartikkel. Supplerende analyse: Kiteworks GTR-analyse, Truesec Nordic CISO Report 2026, Sopra Steria State of Security 2026.

Ofte stilte spørsmål

Hva er CrowdStrike Global Threat Report 2026?

CrowdStrike Global Threat Report 2026 er en årlig trusselrapport som analyserer cyberangrepstrender fra kalenderåret 2025. Rapporten bygger på telemetri fra CrowdStrikes Falcon-plattform, som dekker millioner av endepunkter globalt, og adversary intelligence fra mer enn 281 sporede trusselaktører. Rapporten ble publisert i februar 2026 og er en av de mest siterte kildene i cybersikkerhetsbransjen for forståelse av det globale trussellandskapet.

Hva betyr “29 minutters brekkpunkttid” i praksis?

Brekkpunkttid er intervallet fra en angriper får første tilgang til et system til de begynner å bevege seg sidelengs til andre systemer i nettverket. En gjennomsnittlig brekkpunkttid på 29 minutter betyr at en virksomhet som oppdager et innbrudd etter 30 minutter, statistisk sett allerede har fått angriperen inn i andre systemer. I det raskeste observerte tilfellet tok dette 27 sekunder, og dataeksfiltrering begynte i ett tilfelle innen fire minutter etter første tilgang.

Hva er skadevare-frie angrep?

Skadevare-frie angrep er inntrengninger som ikke bruker tradisjonell ondsinnet programvare. I stedet bruker angriperne stjålne legitimasjoner, innebygde administrative verktøy (PowerShell, WMI, RDP), godkjente SaaS-integrasjoner og legitim fjernaksess-programvare for å bevege seg i nettverket uten å utløse signaturbaserte alarmer. I 2025 var 82 prosent av alle detekterte inntrengninger skadevare-frie, noe som gjør tradisjonell antivirus-basert deteksjon utilstrekkelig som primærforsvar.

Hvilke nordiske sektorer er mest utsatt ifølge rapporten?

Rapporten peker spesielt på logistikk (85 prosent økning i kinesiske angrep), finansielle tjenester (30 prosent økning) og kritisk infrastruktur med kantenheter som VPN og brannmurer (40 prosent av kinesiske angrep). For Norden er maritim sektor, energi, forsvar og telekommunikasjon ekstra eksponert på grunn av strategisk geopolitisk interesse fra statlige aktører som opererer med den hastigheten rapporten dokumenterer.

Hva er FAMOUS CHOLLIMA og er det relevant for norske selskaper?

FAMOUS CHOLLIMA er en nordkoreansk trusselaktør som spesialiserer seg på IT-ansettelsessvindel, der nordkoreanske agenter søker seg inn i teknologiselskaper globalt under falske identiteter for å eksfiltrere data og sette opp bakdører. Aktivitetsnivået doblet seg fra 2024 til 2025. Norske teknologiselskaper som rekrutterer internasjonale fjernarbeidere er en potensiell målgruppe, særlig hvis de jobber med kryptovaluta, fintech eller forsvarsrelatert teknologi.

Hva er ClickFix og hvordan beskyttes ansatte mot det?

ClickFix er en sosial manipuleringsteknikk der brukere ledes til nettsider med falske CAPTCHA-utfordringer eller feilmeldinger som instruerer dem om å kopiere og kjøre en kommando for å “fikse et problem”. Kommandoen laster i stedet ned skadevare. Økningen var 563 prosent i 2025. Beskyttelse: opplær ansatte til aldri å kopiere og kjøre kommandoer fra nettleser-popups, og implementer PowerShell-begrensninger via Group Policy eller Endpoint Manager for å redusere eksponering.

Hvilke sikkerhetstiltak anbefaler CrowdStrike-rapporten for 2026?

Rapporten peker på fem prioriteringer: (1) Identitetsbasert deteksjon og MFA for alle skyplattformer, (2) patch-rutiner under 48 timer for kantenheter som VPN og brannmurer, (3) EDR eller XDR-dekning som inkluderer deteksjon av native adminverktøy i anomal bruk, (4) opplæring av ansatte på ClickFix og sosial manipulering, og (5) formalisert vetting av fjernarbeidere og overvåking av unormal datatilgang fra nyansatte som del av onboarding-sikkerhet.