Det här hittar ett penetrationstest nästan alltid

1. Lösenord: policyn släpper igenom för mycket

Svaga lösenordspolicyer och möjligheten att återanvända lösenord hör till det som oftast dyker upp. Microsofts Digital Defense Report 2025 beskriver att över 97 procent av identitetsattackerna är password spray eller brute force. Lösenordet är fortfarande den billigaste vägen in.

Ett mer förbisett fynd finns i installationsfilerna. Där en organisation byggt en egen Windows-image kan svarsfiler som unattend.xml innehålla lokala administratörskontots lösenord, i klartext eller Base64-kodade. Sysprep rensar normalt sådana uppgifter, men filer som inte rensats efter distributionen ligger kvar och kan läsas av den som kommer åt datorn. Har alla datorer samma administratörslösenord blir ett intrång på en dator ett intrång på alla.

Hur ser en bra policy ut? NIST:s riktlinjer (SP 800-63B-4) gör längden till den viktigaste faktorn. Minst 15 tecken när lösenordet är enda faktorn, inga tvingande regler om blandade tecken, kontroll mot en blocklista över vanliga och läckta lösenord, och inga periodiska byten utan misstanke om intrång. NIST påpekar att användare svarar på komplexitetskrav förutsägbart: "password" blir "Password1!".

2. Äldre protokoll som skvallrar: LLMNR och NTLM

När en Windows-dator inte hittar ett namn via DNS frågar den i stället hela det lokala nätverket, med protokollen LLMNR och NBT-NS. Den som redan finns på nätet kan svara "det är jag". Datorn försöker då logga in hos angriparen och lämnar ifrån sig en NTLM-hash.

Hashen går att knäcka offline, eller vidarebefordra i realtid (relay) för att agera som användaren. Det här är en kartlagd teknik i MITRE ATT&CK (T1557.001), och det kräver ingen sårbarhet i programvaran, bara att protokollen är påslagna.

Svaga lösenord och LLMNR förstärker varandra. Ett svagt lösenord knäcks snabbt, och en enda dator i nätet räcker som startpunkt.

Åtgärden är enkel: MITRE rekommenderar att stänga av LLMNR och NetBIOS via grupprincip där de inte behövs, och att slå på SMB-signering, som stoppar relay av NTLMv2.

3. Behörigheter som växt ur sina kläder

Ett intrång blir större ju mer en vanlig användare kommer åt. Fyra mönster återkommer:

• Mappstrukturer: Oavsett om det är filserver, SharePoint eller Google Drive har användare ofta åtkomst till betydligt mer information än de behöver.
• Lokal administratör: Många arbetsdatorer har fortfarande lokala administratörsrättigheter, eftersom det är besvärligt för en IT-avdelning att styra alla program som behövs.
• Servicekonton: Konton som kör i bakgrunden på servrar har ofta för höga behörigheter.
• Stora nätverkssegment: När segmenten är för breda kan en enda enhet prata med betydligt fler system än den borde.

Microsoft beskriver det som ett av de vanligaste sätten för ett angrepp att bli domänomfattande: angriparen startar med ett vanligt konto och följer behörigheter, gruppmedlemskap, lokala administratörsrättigheter och aktiva sessioner tills hen når de känsliga uppgifterna. Varje onödig behörighet är ett steg på vägen.

Med AI-assistenter som söker i era dokument blir överdelade behörigheter dessutom mer synliga, eftersom det som tidigare var svårt att hitta nu går att fråga efter.

4. Broken access control: etta i webbapplikationer

I OWASP Top 10 för 2025 ligger broken access control kvar på första plats, och enligt OWASP hade alla testade applikationer någon form av det. Det handlar om att en användare kan göra eller se mer än den ska, ofta genom att ändra något i en länk eller i ett API-anrop.

Konsekvensen kan bli dyr. 2023 beslutade IMY om en sanktionsavgift på 35 miljoner kronor mot Trygg-Hansa, då Moderna Försäkringar. En länk i ett mejl ledde till en offertsida där uppgifter om 650 000 kunder var åtkomliga mellan oktober 2018 och februari 2021. IMY bedömde att bristerna var så grundläggande att bolaget borde ha upptäckt dem redan innan systemet infördes.

OWASP:s råd är tydligt: åtkomstkontroll fungerar bara i betrodd kod på serversidan, där angriparen inte kan ändra kontrollen. Det är också en kravfråga. Vem som får se vad måste vara beställt, byggt och testat från början.

5. Patchning och exponerad teknik

Utnyttjade sårbarheter stod för 20 procent av dataintrången i Verizons DBIR 2025. Samma rapport visar att bara 54 procent av sårbarheterna i edge-enheter åtgärdades fullt ut, med en mediantid på 32 dagar.

Gapet mot angriparna är stort. En Tenable-forskare noterade i samma sammanhang att den genomsnittliga tiden att patcha 17 sårbarheter i edge-enheter var 209 dagar, medan angripares genomsnittliga tid till exploatering var fem dagar. Mandiant uppskattar dessutom att exploatering 2025 ofta skedde innan det ens fanns en patch.

Till det kommer exponeringen. Servrar och tjänster som svarar mot internet avslöjar ofta mer än nödvändigt: typ av server, version och tjänsterna som körs. Edgescan ser att känsliga system ofta ligger öppna mot internet utan att organisationen vet om det.

Orsaken är sällan teknisk. Oftast saknas tydlig styrning och ett utpekat ansvar för vem som patchar vad, och när.

Fem frågor att ta med till IT-avdelningen

1. Vilka lösenordsregler har vi, och finns det lösenord i klartext i installationsfiler eller skript?
2. Är LLMNR och NetBIOS avstängda, och är SMB-signering påslagen?
3. Vem har lokal administratör på sin dator, och vilka rättigheter har våra servicekonton?
4. Är våra webbapplikationer och API:er testade för åtkomstkontroll, så att en kund inte kan se en annan kunds uppgifter?
5. Vad exponerar vi mot internet, och vem ansvarar för att det patchas?

Källor och tips på mer läsning

• NIST SP 800-63B-4: Authenticator and Verifier Requirements
• NIST SP 800-63B-4: Appendix A, Strength of Passwords
• Microsoft Digital Defense Report 2025, sammanfattning via SOCRadar
• Pentestlab: Stored Credentials (unattend.xml)
• Immersive Labs: The Return of unattend.xml
• MITRE ATT&CK T1557.001: LLMNR/NBT-NS Poisoning and SMB Relay
• Microsoft Defender XDR: identity security posture recommendations
• OWASP Top 10:2025, A01 Broken Access Control
• EDPB: IMY:s sanktionsavgift mot Trygg-Hansa
• Infosecurity Magazine: Verizon DBIR 2025
• Mandiant M-Trends 2026, Google Cloud
• Edgescan 2025 Vulnerability Statistics Report, via Help Net Security