Så går ett cyberangrepp till: sju steg, och var ni kan bryta kedjan

Steg 1–3: Kartläggning, förberedelse och leverans

1. Rekognosering. Angriparen samlar information utan att röra era system: domäner, IP-adresser, öppna portar och vilken teknik ni exponerar mot internet. Mycket sker automatiskt. Crawlers skannar internet dygnet runt, och en ny server med publik IP-adress brukar vara upptäckt efter ungefär sex minuter. Mätningar visar samma tempo. Palo Alto Networks Unit 42 satte upp 320 honeypots med medvetet svaga inloggningar, och 80 procent hade komprometterats inom ett dygn. En enda angripare tog sig in i 96 procent av Postgres-tjänsterna på 30 sekunder.

Det hinner ingen reagera på. Frågan är därför inte om ni syns, utan vad som syns.

2. Förberedelse. Utifrån det angriparen hittat byggs verktygen: skadliga PDF- och Word-filer, phishinglänkar och kod som är krypterad och obfuskerad, så att antivirus inte ska slå larm.

3. Leverans. Nu ska det som byggts in i er miljö. Det sker via phishing, sårbara webbplatser och betrodda domäner.

Vägarna in varierar. Enligt Verizons DBIR 2025 började 22 procent av dataintrången med stulna inloggningar, 20 procent med utnyttjade sårbarheter och 16 procent med phishing. Mandiants M-Trends 2026 pekar på utnyttjade sårbarheter (32 procent) och röstbaserad phishing (11 procent), medan e-postphishing sjunkit till 6 procent.

Ett exempel är så kallad subdomain takeover. En tjänst i Azure eller GitHub stängs av, men DNS-posten ligger kvar. Då kan vem som helst skapa en tjänst med samma namn och automatiskt hamna på er subdomän. Det är vanligare än man tror. TrendAI Research hittade över 8 000 hängande Azure-resurser i Microsofts egna GitHub-förråd, containerbilder och npm-paket.

Ett annat knep är att få en medarbetare att installera AnyDesk eller TeamViewer.

Steg 4–5: Att ta sig in och att stanna kvar

4. Exploatering. Det är kedjans svåraste steg. Att något kommit in betyder inte att det körs. Angriparen behöver få skadlig kod att starta, till exempel när någon öppnar ett Word-dokument, ofta med hjälp av legitima verktyg som PowerShell.

Sedan gäller det att höja sina rättigheter från vanlig användare till lokal administratör. Eller att stjäla en pågående session, så att inget lösenord behövs alls.

Tempot ökar. Mandiant uppskattar att tiden till exploatering 2025 låg på ungefär minus sju dagar, alltså att sårbarheter ofta utnyttjas redan innan det finns en patch.

5. Fotfäste. Väl inne vill angriparen inte förlora åtkomsten om en dator eller server startas om. Därför läggs bakdörrar: schemalagda jobb, tjänster som startar automatiskt och dolda användarkonton. Gärna gömda bakom verktyg som redan ser legitima ut.

Steg 6–7: Från en dator till hela miljön

6. Kommando och kontroll (C2). När åtkomsten växer styr angriparen många enheter från en gemensam C2-server. Trafiken går över DNS, HTTPS och websockets, ofta via betrodda molntjänster som GitHub, Dropbox eller Google Drive. Det finns exempel där ett nytt namn på en spellista i Spotify triggade kommandon på infekterade enheter.

För den som övervakar nätverkstrafiken är det svårt att se skillnad på det och vanlig användning.

7. Påverkan. När angriparen inte kommer åt mer raderas loggar och säkerhetskopior. Sedan startas ofta ransomware som krypterar all data.

Modern ransomware slår mot både konfidentialitet och tillgänglighet. Datan går inte att använda, och den ligger dessutom hos någon obehörig. Angripare tar egna kopior, så en fungerande backup räcker inte. De kan fortfarande pressa er genom att publicera uppgifterna.

Siffrorna visar hur vanligt det är. I en Sophos-undersökning bland knappt 3 000 drabbade organisationer försökte angriparna nå säkerhetskopiorna i 94 procent av attackerna, och 57 procent av försöken lyckades. Där backupen var komprometterad låg medianen på lösensumman runt 2,3 miljoner dollar, mot 1 miljon när den var intakt.

Mandiant kallar utvecklingen recovery denial: ransomware-grupper slår aktivt ut backup, identitetstjänster och virtualiseringsmiljöer. Även överlämningen går fort. Mediantiden mellan att en grupp får in en fot och att en annan tar över för att köra ransomware var över åtta timmar 2022 och 22 sekunder 2025.

Vad betyder det för er, och var bryter ni kedjan?

Kedjan är lång, och det är den goda nyheten. Angriparen måste lyckas i varje steg. Ni behöver bara stoppa ett.

Det är där ett penetrationstest gör nytta. Det simulerar kedjan mot er egen miljö och visar vilka steg som fungerar i praktiken och vilka som stoppar angriparen. Ni får svart på vitt var sårbarheterna finns, vad de skulle kunna kosta och vad som ska åtgärdas först.

Det gör det till en affärsfråga lika mycket som en teknikfråga. Ett angrepp som tar sig hela vägen handlar om driftstopp, publicerade uppgifter och kunders förtroende.

Börja med tre frågor:

• Vad exponerar vi mot internet i dag, och vet vi om det?
• Hur snabbt upptäcker vi om någon rör sig i vår miljö?
• Räcker vår backup om angriparen också har kopierat datan?

Mandiants råd mot den sista frågan: koppla loss backupmiljön från företagets vanliga Active Directory-domän och använd oföränderlig lagring.

Källor och tips på mer läsning

• Verizon Data Breach Investigations Report 2025, via Infosecurity Magazine
• Mandiant M-Trends 2026, Google Cloud
• Unit 42: Observing Attacks Against Hundreds of Exposed Services in Public Clouds
• TrendAI Research: It's By Design, The Use-After-Free of Azure Cloud
• Sophos om komprometterade säkerhetskopior, via TechRadar
• Lockheed Martin: Cyber Kill Chain