Trusselbildet Q3 2026: Angrepene blir mer automatiserte, men mennesket er fortsatt målet
Trusselbildet Q3 2026: Angrepene blir mer automatiserte, men mennesket er fortsatt målet
I forrige kvartal beskrev vi hvordan kunstig intelligens, automatiserte angrepsverktøy og stadig kortere responstider er i ferd med å endre trusselbildet. Observasjonene fra tredje kvartal bekrefter denne utviklingen.
Angriperne arbeider raskere enn tidligere, men enda viktigere er at de blir mer effektive. Det som før krevde betydelige ressurser og høy kompetanse, kan nå gjennomføres mer automatisk, i større skala og med høyere treffsikkerhet.
Gjennom våre tjenester for sikkerhetsovervåking håndterte Telenor Cyberdefence 97 alvorlige sikkerhetshendelser i løpet av kvartalet. I tillegg stoppet vi en rekke mindre hendelser som kunne utviklet seg til alvorlige angrep dersom de ikke hadde blitt oppdaget og håndtert tidlig.
Den viktigste observasjonen fra kvartalet er kanskje denne:
Teknologien bak angrepene utvikler seg raskt, men de fleste vellykkede angrepene tar fortsatt sikte på det samme som før; mennesker og identiteter.
«Mange alvorlige hendelser starter i det små. En konto kommer på avveie, en bruker følger en falsk instruksjon eller et program ser mer legitimt ut enn det er. Forskjellen ligger ofte i hvor raskt virksomheten oppdager det som skjer og klarer å begrense konsekvensene», sier Henrik Buksholt, leder for sikkerhetssenteret i Telenor Cyberdefence.
Identitet er fortsatt angripernes foretrukne vei inn
Som i tidligere kvartaler var en betydelig andel av de alvorlige hendelsene vi håndterte knyttet til kompromitterte brukerkontoer, phishing og skadevare på klientmaskiner.
Dette er ikke nødvendigvis nye angrepsmetoder. Utfordringen er at de fortsatt fungerer.
Vi ser ansatte som blir lurt til å oppgi tilgangsinformasjon, og vi ser skadevare som i økende grad fremstår som legitime programmer eller tjenester. Når angriperen først får tilgang til en gyldig konto, kan de ofte bevege seg videre i virksomhetens miljø uten å utløse tradisjonelle sikkerhetsmekanismer.
For virksomheter handler identitetssikkerhet derfor om mer enn tilgangskontroll. Det handler om å beskytte drift, data, kunder og omdømme.
ClickFix viser hvordan phishing har endret seg
En av trendene som har økt mest gjennom kvartalet er bruken av ClickFix.
Dette er en teknikk vi har omtalt i tidligere rapporter, men som fortsatt vokser i omfang. Angrepet kombinerer sosial manipulering og tekniske instruksjoner for å få brukeren til selv å utføre handlinger som installerer skadevare eller gir angriperen tilgang.
Det illustrerer en viktig utvikling i trusselbildet. Moderne phishing handler i stadig mindre grad om å lure brukeren til å åpne et vedlegg. I stedet forsøker angriperen å få brukeren til å stole på prosessen, følge instruksjoner og selv åpne døren inn til virksomheten.
Dette stiller nye krav til både opplæring, overvåking og evnen til å oppdage mistenkelig aktivitet etter at en bruker er blitt lurt.
DDoS-angrepene blir mer målrettede
I tredje kvartal registrerte Telenor Cyberdefence 140 verifiserte DDoS-angrep, hvorav 101 ble avverget.
Den gjennomsnittlige angrepsstørrelsen var 12,1 Gbps, og et gjennomsnittlig angrep varte i omtrent to timer. Misbruk av DNS var den mest brukte angrepsvektoren og ble observert i 44,29 prosent av angrepene.
Det største observerte angrepet kombinerte TCP SYN, IP-fragmentering og UDP, nådde 296 Gbps og varte i 14 minutter.
Tallene forteller imidlertid ikke hele historien.
Det mest bemerkelsesverdige dette kvartalet er den tydelige økningen i målrettede angrep mot offentlig sektor og kritisk infrastruktur. Der slike angrep tidligere ofte handlet om volum og kapasitet, ser vi nå flere avanserte teknikker som lag 7-angrep og såkalt teppebombing, hvor hele nettverksområder angripes samtidig.
For virksomheter betyr dette at DDoS ikke lenger bare er en driftsutfordring. Det er også en risiko for forretningskontinuitet, tillit og samfunnskritiske tjenester.
Tiden til å reagere blir stadig kortere
En annen tydelig observasjon fra kvartalet er hvor raskt sårbarheter blir tatt i bruk av angripere.
Tiden fra en kritisk sårbarhet blir offentlig kjent til den skannes og forsøkes utnyttet fortsetter å krympe. Samtidig ser vi eksempler på hvordan kunstig intelligens brukes til å automatisere deler av angrepskjeden, noe som ytterligere øker tempoet.
For virksomheter betyr dette at tradisjonell patching alene ikke er nok. Kontinuerlig oversikt over eksponerte systemer, prioritering av risiko og evnen til å oppdage og håndtere hendelser raskt blir stadig viktigere.
«Det handler ikke om å oppdatere alt samtidig. Det handler om å vite hva som er eksponert, hva som er kritisk for virksomheten, og hvilke sårbarheter angriperne faktisk forsøker å utnytte. Den oversikten må være kontinuerlig, ikke årlig eller kvartalsvis», sier Henrik Buksholt.
Viktige sikkerhetshendelser i Q3
De internasjonale hendelsene vi har fulgt gjennom kvartalet understøtter observasjonene fra vårt eget sikkerhetssenter. Fellesnevneren er høyere grad av automatisering, raskere utnyttelse av sårbarheter og økende fokus på identitet og tilgang.
AI brukes i stadig større deler av angrepskjeden
Sysdigs Threat Research Team identifiserte det som omtales som det første løsepengeangrepet gjennomført fra start til slutt ved hjelp av en AI-agent, JADEPUFFER. Hendelsen illustrerer hvordan kunstig intelligens kan redusere både tidsbruk og kompetansekrav på angripersiden.
Referanse:
https://thehackernews.com/2026/07/ai-agent-exploits-langflow-rce-to.html
Kritiske sårbarheter utnyttes raskt
Flere kritiske sårbarheter ble aktivt utnyttet eller observert i angrep gjennom kvartalet, blant annet i Microsoft SharePoint, VMware vCenter, Citrix NetScaler, Fortinet-produkter og Cisco Secure Firewall Management Center.
Utviklingen understreker behovet for kontinuerlig eksponeringsstyring og rask prioritering av kritiske sårbarheter.
Referanser:
https://nvd.nist.gov/vuln/detail/CVE-2026-58644
https://nvd.nist.gov/vuln/detail/CVE-2026-59310
https://cybersecuritynews.com/fortinet-authentication-vulnerabilities/
https://www.bleepingcomputer.com/news/security/hackers-target-critical-citrix-netscaler-auth-bypass-in-attacks/
https://www.bleepingcomputer.com/news/security/cisco-fmc-flaws-exploited-by-ransomware-gang-state-sponsored-hackers/
AI-verktøy introduserer nye angrepsflater
En sårbarhet i Claude-utvidelsen for Chrome viste hvordan AI-verktøy og tilkoblinger mot andre systemer kan bli attraktive mål for angripere.
Etter hvert som AI får tilgang til flere virksomhetssystemer, blir styring av integrasjoner, rettigheter og nettleserutvidelser stadig viktigere.
Løsepengeangrep fortsetter å ramme kritiske virksomheter
Amerikanske myndigheter rapporterte i kvartalet at Medusa-ransomware har rammet mer enn 500 virksomheter innen kritisk infrastruktur. Saken illustrerer hvordan løsepengegrupper fortsetter å profesjonalisere virksomheten sin gjennom Ransomware-as-a-Service-modeller og samarbeid med spesialiserte aktører.
Våre råd til norske virksomheter
Beskytt identiteten som om den var inngangsdøren
Innfør phishing-resistent flerfaktorautentisering der det er mulig, og overvåk uvanlige pålogginger, nye enheter og endringer i privilegier.
Tilpass opplæringen til dagens angrep
Opplæringen må omfatte moderne teknikker som ClickFix, falske supportsider og teknisk sosial manipulering. Samtidig må det være enkelt og trygt for ansatte å varsle når noe virker mistenkelig.
Få kontroll på eksponeringen
Kartlegg hvilke systemer, tjenester og administrasjonsgrensesnitt som er tilgjengelige fra internett. Det er vanskelig å beskytte det virksomheten ikke vet at den har.
Prioriter etter risiko, ikke bare alvorlighetsgrad
Fokuser først på sårbarheter som er aktivt utnyttet, eksponert mot internett eller berører kritiske tjenester.
Forbered dere på mer avanserte DDoS-angrep
Test både teknologi, prosesser og beredskap. Angrepene blir mer sammensatte og mer målrettede enn tidligere.
Innfør kontroll på AI-verktøy
Kartlegg hvilke AI-løsninger som brukes, hvilke data de har tilgang til og hvilke handlinger de kan utføre på vegne av brukeren.
Overvåk kontinuerlig og øv før det gjelder
Når angrep utvikler seg på minutter, må både overvåking og respons være kontinuerlig. Teknologi alene er ikke nok. Mennesker og prosesser er fortsatt avgjørende.
Trygghet skapes før hendelsen oppstår
Det norske næringslivet kan ikke fjerne all cyberrisiko. Men virksomheter kan redusere sannsynligheten for at et angrep lykkes, begrense konsekvensene og komme raskere tilbake til normal drift.
Det krever mer enn teknologi. Det krever oversikt, gode prioriteringer, mennesker som tør å si fra, og noen som følger med når virksomheten selv har gått hjem for dagen.
Kilder
• https://thehackernews.com/2026/07/ai-agent-exploits-langflow-rce-to.html
• https://nvd.nist.gov/vuln/detail/CVE-2026-58644
• https://www.bleepingcomputer.com/news/security/claude-chrome-extension-flaw-lets-malicious-extensions-trigger-ai-actions/
• https://nvd.nist.gov/vuln/detail/CVE-2026-59310
• https://cybersecuritynews.com/fortinet-authentication-vulnerabilities/
• https://www.bleepingcomputer.com/news/security/cisa-medusa-ransomware-hit-over-500-critical-infrastructure-orgs/
• https://www.bleepingcomputer.com/news/security/hackers-target-critical-citrix-netscaler-auth-bypass-in-attacks/
• https://www.bleepingcomputer.com/news/security/cisco-fmc-flaws-exploited-by-ransomware-gang-state-sponsored-hackers/