Natten mot lördagen den 25 oktober 2025 upptäckte Svenska kraftnät att någon hade tagit sig in i en begränsad, extern filöverföringslösning. Två dagar senare bekräftade myndigheten intrånget offentligt, och samtidigt hade utpressningsgänget Everest redan lagt upp namnet på sin läcksida på Tor-nätverket och hotat med att publicera cirka 280 gigabyte stulen information. Elförsörjningen påverkades aldrig. Men fallet blev snabbt det tydligaste svenska exemplet på en ny sorts hot mot kritisk infrastruktur: attacker som inte slår ut strömmen, utan i stället river ut data ur kringsystem och sedan utpressar offret med publiceringshot.
Nu, tio månader senare, är läget ett annat på flera sätt. Sveriges nya cybersäkerhetslag har trätt i kraft, Everest har enligt säkerhetsföretaget ProvenData vuxit till 392 registrerade offer på sin läcksida per den 31 augusti 2026, och Svenska kraftnät-fallet citeras rutinmässigt i myndigheters vägledning som ett skolboksexempel på hur incidenthantering enligt NIS2 ska gå till. Det här är historien om vad som faktiskt hände, vilka som ligger bakom, och vad det betyder för svenska energibolag som nu måste rapportera incidenter inom timmar snarare än veckor.
Tidslinjen: så upptäcktes och bekräftades intrånget
Enligt Svenska kraftnäts egna uttalanden, återgivna av The Record, upptäcktes attacken en lördag i slutet av oktober 2025. Myndigheten beskrev det angripna systemet konsekvent som en “begränsad extern filöverföringslösning”, alltså inte ett system som styr eller övervakar själva elnätet. Redan under helgen, innan Svenska kraftnät hunnit gå ut offentligt, lade ransomware-gänget Everest upp organisationen som ett offer på sin läcksida och hävdade att man tagit sig ut med cirka 280 gigabyte data. Gruppen satte samtidigt en nedräkningsklocka på den mörka webben och hotade att publicera materialet om inte krav uppfylldes.
På måndagen, den 27 oktober, bekräftade Svenska kraftnät officiellt att man utreder ett dataintrång. Myndighetens säkerhetschef Cem Göcgören gick ut med flera uttalanden under de följande dagarna. Ett av dem, återgivet av The Record, löd:
“Vi förstår att detta kan orsaka oro, men elförsörjningen har inte påverkats av intrånget.”
Cem Göcgören, säkerhetschef på Svenska kraftnät, via The Record
I en uppföljande kommentar, publicerad av CIO Analytics, gick Göcgören längre och beskrev hur myndigheten agerade i timmarna efter upptäckten:
“Vi tar det här intrånget på mycket stort allvar och har vidtagit omedelbara åtgärder.”
Cem Göcgören, säkerhetschef på Svenska kraftnät, via CIO Analytics
Vad gäller exakt vilken information som exponerades har Svenska kraftnät hela tiden hänvisat till den pågående polisutredningen. I en sammanfattning publicerad på LinkedIn förklarade Göcgören varför myndigheten inte kunde gå in i detalj:
“Eftersom det här är en säkerhetsfråga och en polisutredning kan vi inte gå in på detaljer om vilken information som exponerats, men vår nuvarande bedömning är att verksamhetskritiska system inte har påverkats.”
Cem Göcgören, säkerhetschef på Svenska kraftnät, via LinkedIn
Myndigheten har hela tiden undvikit att formellt peka ut vem som låg bakom attacken, trots att Everest offentligt tagit på sig ansvaret. Den försiktigheten är typisk för hur statliga infrastrukturbolag hanterar attribuering: ett gängs egna påståenden på en läcksida räknas inte som bekräftad fakta förrän en utredning är klar.
Vem är Everest, gänget som tog på sig attacken?
Everest är ett ekonomiskt motiverat utpressningsgäng som arbetar enligt den numera vanliga dubbla utpressningsmodellen: stjäl data först, hotar med publicering sedan, och krypterar ibland även system för extra påtryckning. Säkerhetsanalytiker hos Halcyon har identifierat kodmässiga kopplingar mellan Everest och ransomware-familjen BlackByte, en koppling de bedömer med medelhög till hög tillförsikt. Halcyon noterar också ett operativt samarbete mellan Everest och gänget Ransomed.
Gruppens tempo har ökat rejält under 2026. Enligt hotanalysföretaget ZeroFox hade Everest gjort minst 25 separata attacker under 2026 fram till den 6 februari, vilket placerade gänget som den tionde mest aktiva ransomware- och utpressningsaktören hittills det året. ProvenData, som löpande bevakar läcksidor, räknade till 392 offer publicerade av Everest per den 31 augusti 2026, varav sex tillkommit under de föregående 30 dagarna. Offren finns spridda över 35 länder, med tyngdpunkt inom vård (17 procent av kända offer), professionella tjänster (16 procent) och teknik (15 procent).
Halcyons analys pekar också på att oktober 2025, samma månad som Svenska kraftnät drabbades, var en period av eskalering för gänget. Analytikerna beskriver hur Everest under den perioden även påstod sig ha attackerat svenska telekomnät, vilket sätter kraftnätsfallet i ett bredare mönster av intresse för nordisk infrastruktur snarare än en isolerad händelse. Samtidigt varnar ZeroFox för att gänget ibland överdriver omfattningen av sina intrång för att öka trycket på offren. Ett exempel som analysfirman lyfter fram är ett påstått intrång hos lagringsjätten Iron Mountain, som ZeroFox bedömer sannolikt var kraftigt överdrivet.
Ingen av de källor som granskats för den här artikeln rapporterar om någon större polisinsats eller infrastrukturbeslag riktat specifikt mot Everest fram till september 2026. Gruppen finns fortsatt med på rankningar över aktiva ransomware-aktörer, vilket antyder att ingen avgörande störning av verksamheten skett offentligt.
Tabell: Everest-gängets offerprofil per den 31 augusti 2026
| Mätvärde | Siffra | Källa |
|---|---|---|
| Totalt antal registrerade offer | 392 | ProvenData |
| Nya offer senaste 30 dagarna (aug 2026) | 6 | ProvenData |
| Länder där offer identifierats | 35 | ProvenData |
| Andel offer inom vård | 17 % | ProvenData |
| Andel offer inom professionella tjänster | 16 % | ProvenData |
| Andel offer inom teknik | 15 % | ProvenData |
| Attacker 2026 (fram till 6 feb) | minst 25 | ZeroFox |
| Ranking bland aktiva ransomware-aktörer 2026 | #10 | ZeroFox |
Vad vet vi egentligen om de 280 gigabyte som stals?
Siffran 280 gigabyte kommer uteslutande från Everest själva, publicerad på gängets egen läcksida. Svenska kraftnät har varken bekräftat eller dementerat volymen. Det spanska nationella CERT-organet INCIBE-CERT har i sin egen sammanfattning av händelsen upprepat att brottslingarna ska ha stulit cirka 280 gigabyte intern information, samtidigt som man påpekar att de exakta datatyperna fortfarande var under utredning när rapporten skrevs. Det mönstret, där ett gäng anger en exakt siffra men offret varken bekräftar eller dementerar den, är standard i den här typen av ärenden och gör det svårt för utomstående att verifiera skadans verkliga omfattning.
Det som Svenska kraftnät konsekvent har varit tydliga med är vad som inte påverkades. Elöverföringen fortsatte utan avbrott. De system som styr och övervakar det svenska stamnätet, det vill säga de verksamhetskritiska driftsystemen, klassades som opåverkade genom hela händelseförloppet. Skillnaden är viktig: intrånget skedde i ett kringsystem för filöverföring, inte i den operativa teknik (OT) som faktiskt håller lamporna tända. Den distinktionen återkommer i nästan all senare analys av fallet, inklusive i vägledning som Energimyndigheten publicerat för energisektorn.
Just den distinktionen, mellan dataintrång i kringsystem och faktisk driftpåverkan, gör också fallet användbart som referenspunkt. Enligt ENISA:s hotlandskapsrapport för 2025, som täcker perioden 1 juli 2024 till 30 juni 2025 och omfattar 4 875 registrerade incidenter i EU, har hacktivistgrupper vid flera tillfällen påstått sig ha kommit åt internetuppkopplade OT-hanteringsgränssnitt inom energi- och vattensektorn i olika medlemsländer, utan att de rapporterade attackerna lett till någon betydande driftpåverkan. Kraftnät-fallet passar rakt in i det mönstret.
Myndigheternas roll: MSB, CERT-SE och polisen
Svenska kraftnät har genomgående uppgett att man samarbetar med polisen och med nationella cybersäkerhetsmyndigheter. Det pekar mot MSB, Myndigheten för samhällsskydd och beredskap, samt dess nationella incidenthanteringsfunktion CERT-SE. Ingen av källorna som granskats innehåller ett fristående, namngivet uttalande från MSB om just det här ärendet, vilket är typiskt för hur svenska myndigheter agerar under pågående utredningar: det operativa ansvaret för kommunikation ligger hos det drabbade bolaget, inte hos stödmyndigheten.
Energimyndigheten har en generell vägledning för cybersäkerhet i energisektorn som uppdaterades i januari 2026. Där instrueras operatörer rakt av: upptäcker ni ett misstänkt intrång ska ni vidta nödvändiga åtgärder utan dröjsmål, och kontakta CERT-SE för stöd. Den skrivningen, som kom efter Kraftnät-attacken, visar hur incidenten redan hunnit påverka den formella vägledningen till andra energibolag innan lagstiftningen ens trätt i kraft.
Säkerhetspolisen nämns inte med egna, namngivna uttalanden i något av de källmaterial som gåtts igenom för den här artikeln. De tillgängliga beskrivningarna talar generellt om “polisen” utan att skilja mellan ordinarie polis och Säkerhetspolisen, vilket gör det svårt att avgöra exakt vilken del av rättsväsendet som drivit utredningen framåt.
NIS2 och Cybersäkerhetslagen: reglerna som skulle ha ändrat allt
Kraftnät-intrånget inträffade i oktober 2025, alltså innan Sveriges nya Cybersäkerhetslag (2025:1506) trädde i kraft den 15 januari 2026. Lagen ersatte 2018 års NIS-lag och för in EU:s NIS2-direktiv i svensk rätt. Den omfattar sektorer listade i NIS2-direktivets bilaga 1 och 2, bland annat energi, transport, bank, hälsa, dricksvatten, avloppsvatten, digital infrastruktur och offentlig förvaltning. För energisektorn specifikt har omfattningen även utökats till att inkludera LNG, vätgas och fjärrvärme, med krav som kontinuerlig övervakning dygnet runt och delning av mjukvaruinventarier (SBOM).
Det som skulle ha sett annorlunda ut om attacken skett efter 15 januari 2026 är rapporteringskraven. Under den nya lagen gäller en tydlig rapporteringsstege för betydande incidenter: en tidig varning inom 24 timmar efter att organisationen fått kännedom om incidenten, en formell incidentanmälan inom 72 timmar (eller 24 timmar för kvalificerade betrodda tjänsteleverantörer), och en slutrapport inom en månad. Rapporteringen sker via ett nationellt cybersäkerhetscenter kopplat till FRA, med ett interimsverktyg från MSB (IRON) som fungerat som brygga medan en ny, dedikerad incidentrapporteringstjänst planerats öppna under april 2026.
Det är också värt att notera att Svenska kraftnät faktiskt agerade i linje med den kommande lagens mindre strikta delar redan innan den blev bindande: man rapporterade till polisen, samarbetade med CERT-SE och gick ut med offentlig information inom några dagar. Skillnaden mot dagens regelverk hade främst legat i de exakta tidsfristerna och i skyldigheten att lämna en formell, strukturerad slutrapport inom en månad. Sedan lagen trätt i kraft använder branschorganisationer och konsultbolag som eBuilder Security fallet som ett konkret exempel när de förklarar för energibolag vad NIS2 innebär i praktiken, med hänvisning till just filöverföringssystemet och Everests krav på 280 gigabyte.
Marknadspåverkan: vad kostar ransomware energisektorn?
Kraftnät-fallet är långt ifrån unikt, det är snarare en datapunkt i en snabbt växande trend. Enligt hotanalysföretaget CYFIRMA:s rapport för energi- och försörjningssektorn under första kvartalet 2026, publicerad den 3 februari, identifierades 72 verifierade ransomware-offer inom energi och försörjning under en 90-dagarsperiod. Det motsvarar 3,32 procent av samtliga 2 169 ransomware-offer som registrerades globalt under samma period, vilket placerar energisektorn på trettonde plats av fjorton branscher räknat efter antal offer. Sektorn är alltså inte det vanligaste målet i absoluta tal, men varje enskild attack riskerar att få oproportionerligt stora konsekvenser givet vad sektorn levererar.
Kostnadsbilden är svårare att fastställa exakt för enskilda fall, eftersom varken Svenska kraftnät eller Everest offentliggjort något krävt lösensummebelopp. Men branschstatistik ger en fingervisning om vad liknande händelser typiskt kostar. En rapport som sammanställer data från 2024, men publicerades i en uppdaterad genomgång under 2026, anger att 67 procent av organisationer inom energi, olja och försörjning drabbades av ransomware-attacker det året, att 80 procent av dessa attacker resulterade i att data krypterades, och att den genomsnittliga återställningskostnaden per incident inom energisektorn låg på 3,12 miljoner dollar.
Det bredare ransomware-landskapet har samtidigt vuxit kraftigt. Enligt Recorded Futures analys från januari 2026 ökade antalet offentligt rapporterade ransomware-attacker från 4 900 år 2024 till 7 200 år 2025, en ökning med 47 procent. Rapporten pekar också på att 2026 sannolikt blir det första året där antalet nya ransomware-aktörer utanför Ryssland överstiger antalet nya aktörer inom Ryssland, ett tecken på att hotbilden sprids till fler länder och grupper. Check Points sammanställning för första kvartalet 2026 visar samma mönster i praktiken: forskarna spårade fler än 70 aktiva läcksidor för ransomware och räknade 2 122 organisationer listade på dessa sidor under kvartalet, den näst högsta siffran för ett första kvartal någonsin uppmätt.
Tabell: Ransomware mot energi- och försörjningssektorn, nyckeltal 2026
| Mätvärde | Siffra | Källa |
|---|---|---|
| Verifierade ransomware-offer i energi/försörjning (90 dagar) | 72 | CYFIRMA, feb 2026 |
| Andel av alla globala ransomware-offer | 3,32 % | CYFIRMA, feb 2026 |
| Energisektorns placering bland 14 branscher | #13 | CYFIRMA, feb 2026 |
| Andel energibolag som drabbades av ransomware 2024 | 67 % | Branschrapport 2026 |
| Andel attacker som ledde till kryptering av data | 80 % | Branschrapport 2026 |
| Genomsnittlig återställningskostnad per incident | 3,12 M USD | Branschrapport 2026 |
| Globalt antal ransomware-attacker 2025 | 7 200 | Recorded Future, jan 2026 |
| Ökning jämfört med 2024 (4 900 attacker) | +47 % | Recorded Future, jan 2026 |
| Organisationer listade på läcksidor Q1 2026 | 2 122 | Check Point, Q1 2026 |
Historisk kontext: från Colonial Pipeline till svensk stamnätsoperatör
Attacker mot energisektorn är inget nytt fenomen, men de har förändrat karaktär. 2021 stängde en ransomware-attack mot amerikanska Colonial Pipeline ner en av USA:s viktigaste bränsleledningar i flera dagar och orsakade bränslebrist på östkusten, ett fall där själva den operativa driften faktiskt slogs ut. Kraftnät-fallet skiljer sig fundamentalt: här handlade det om dataexfiltrering ur ett kringsystem, inte om att slå ut driften. Den skillnaden speglar en bredare trend som svenska säkerhetsanalytiker och myndigheter, bland andra de som bevakas i vår genomgång av attacker mot Nordens energiinfrastruktur, återkommande pekat på: angripare går i allt högre grad efter datarika stödsystem snarare än att försöka bryta sig in i hårt skyddad operativ teknik.
Det mönstret förstärks av att många energibolag, enligt tidigare granskningar av föråldrade VPN-lösningar i den nordiska energisektorn, fortfarande har föråldrad fjärråtkomstutrustning i drift. Filöverföringssystem, VPN-koncentratorer och andra kringsystem blir därför de facto den svagaste länken, även när kärnan av driftteknik är väl segmenterad och skyddad. Everest-attacken mot Svenska kraftnät är på det sättet inte en anomali utan en logisk konsekvens av var svagheterna faktiskt finns idag.
Så skiljer sig Everest från andra ransomware-grupper
Jämfört med etablerade grupper som LockBit eller ALPHV/BlackCat är Everest en medelstor aktör snarare än en dominerande spelare. Med sina 392 registrerade offer per den 31 augusti 2026 och en tiondeplats bland de mest aktiva grupperna år 2026 ligger Everest en bra bit efter de största aktörerna räknat i antal offer, men gruppens fokus på datastöld snarare än fullständig kryptering gör den svårare att upptäcka i tidiga skeden. Till skillnad från grupper som INC, vilka vi tidigare skrivit om i samband med Sveriges position som Nordens mest drabbade land av ransomware, förlitar sig Everest mer konsekvent på ren utpressning genom hot om publicering än på att låsa ute offren från sina egna system.
Den strategin har både fördelar och nackdelar ur angriparens perspektiv. Å ena sidan kräver ren dataexfiltrering mindre teknisk närvaro i offrets nätverk och är svårare att upptäcka med traditionell antivirus- eller EDR-programvara som är byggd för att fånga krypteringsbeteende. Å andra sidan ger det offret större handlingsutrymme: utan krypterade system kan verksamheten som i Kraftnäts fall fortsätta helt opåverkad, vilket minskar det akuta trycket att betala. Det är sannolikt en förklaring till att Svenska kraftnät kunnat hålla en så pass lugn och kontrollerad kommunikationslinje genom hela händelsen.
Fem förutsägelser för ransomware mot kritisk infrastruktur
- Fler kringsystem-attacker, färre OT-intrång. Så länge operativ teknik förblir hårt segmenterad kommer fler grupper att rikta in sig på filöverföring, fjärråtkomst och molntjänster snarare än att försöka bryta sig in i styrsystem direkt.
- NIS2-rapporteringen testas på skarpt läge. Med Cybersäkerhetslagen nu i full kraft kommer nästa stora incident inom svensk energi eller transport sannolikt att bli det första verkliga testet av 24/72-timmarsstegen, snarare än den friare hanteringen Svenska kraftnät hade tillgång till 2025.
- Everest fortsätter växa, men riskerar splittring. Grupper som bygger på lösa samarbeten, likt det Halcyon beskriver mellan Everest och Ransomed, tenderar historiskt att splittras eller byta namn när trycket från myndigheter ökar.
- Fler nordiska energibolag kommer offentliggöra incidenter. I takt med att rapporteringsplikten skärps och MSB:s nya incidenttjänst blir fullt operativ ökar sannolikheten att fler mindre, tidigare tysta intrång blir offentligt kända.
- Dataexfiltrering utan kryptering blir norm snarare än undantag. Fler grupper väntas efterlikna Everests modell, eftersom den ger högre chans att undgå tidig upptäckt samtidigt som utpressningshotet kvarstår fullt ut.
Vad svenska energibolag och offentliga aktörer bör göra nu
Det tydligaste rådet från Energimyndighetens uppdaterade vägledning är enkelt formulerat: upptäcks ett misstänkt intrång ska åtgärder vidtas utan dröjsmål och CERT-SE kontaktas direkt. I praktiken innebär det att organisationer inom energisektorn behöver ha en färdig, övad incidentplan som klarar den nya tidsstegen på 24 timmar för första varning, 72 timmar för formell anmälan och en månad för slutrapport. Att bygga den processen efter att en attack redan inträffat är, som Kraftnät-fallet visar, betydligt svårare än att öva den i förväg.
Lika viktigt är att se över exakt de system som sällan får samma uppmärksamhet som kärnverksamheten: filöverföringslösningar, VPN-koncentratorer och andra externa ingångar. Dessa system hanterar ofta känslig information men får historiskt mindre investering i övervakning och härdning än de driftkritiska systemen de är kopplade till. Med tanke på hur konsekvent Everest och liknande grupper riktar in sig på just den typen av kringsystem är det rimligt att behandla dem med samma prioritet som kärninfrastrukturen, inte som ett sekundärt bekymmer.
Vanliga frågor om Svenska kraftnät-intrånget och Everest
Påverkades elförsörjningen i Sverige av attacken?
Nej. Svenska kraftnät har genomgående uppgett att elöverföringen fortsatte som normalt och att de verksamhetskritiska driftsystemen inte påverkades. Intrånget begränsades till en extern filöverföringslösning.
Vad är Everest för slags ransomware-gäng?
Everest är ett ekonomiskt motiverat utpressningsgäng som använder dubbel utpressning, det vill säga datastöld kombinerat med hot om publicering, och i vissa fall kryptering. Analytiker hos Halcyon har identifierat kodmässiga kopplingar till ransomware-familjen BlackByte.
Hur mycket data påstår sig Everest ha stulit?
Cirka 280 gigabyte, enligt gängets eget påstående på sin läcksida. Svenska kraftnät har varken bekräftat eller dementerat den exakta volymen offentligt.
Har någon betalat en lösensumma till Everest i det här fallet?
Det finns inga offentliga uppgifter om att Svenska kraftnät betalat, eller om exakt vilket belopp Everest krävt. Ingen av de granskade källorna anger ett specifikt lösensummebelopp.
Vilka lagar gäller nu för svenska energibolag efter attacken?
Sedan den 15 januari 2026 gäller Cybersäkerhetslagen (2025:1506), som för in EU:s NIS2-direktiv i svensk rätt. Lagen kräver bland annat att betydande incidenter rapporteras inom 24 timmar, med en formell anmälan inom 72 timmar och en slutrapport inom en månad.
Hur många offer har Everest totalt per 2026?
Enligt säkerhetsföretaget ProvenData hade Everest registrerat 392 offer på sin läcksida per den 31 augusti 2026, spridda över 35 länder, med sex nya offer under den föregående månaden.
Är Everest-attacken kopplad till statliga aktörer?
Nej, det finns inga offentliga belägg för statlig inblandning. Everest beskrivs genomgående i tillgängliga källor som ett ekonomiskt motiverat, kriminellt utpressningsgäng, inte en statsunderstödd aktör.
