OT-Hotbild 2026: Ransomware, APT och AI-drivna Angrepp

Ransomware: det dominerande OT-hotet

Ransomware är det vanligaste och mest ekonomiskt skadliga hotet mot industriella organisationer. Claroty rapporterar att tillverkning var den enskilt mest drabbade sektorn under 2025, med 23 procent av alla rapporterade ransomware-incidenter globalt (Claroty, 2025). Den genomsnittliga utpressningssumman för en OT-riktad ransomware-attack uppgick till 3,2 miljoner dollar under 2024 enligt Coveware.

OT-ransomware fungerar ofta i två steg. Angriparen komprometterar IT-nätverket, etablerar uthållighet och kartlägger OT-miljön. I det andra steget aktiveras kryptering mot IT-system med maximal effekt på OT-driften. Ibland stängs OT ned av säkerhetsskäl av offrets eget team, som vid Norsk Hydro 2019. Ibland sprids ransomware direkt till HMI-stationer och historian-servrar.

Vår analys av offentligt rapporterade OT-ransomware-incidenter i Skandinavien 2023-2025 visar ett konsekvent mönster: angripare väljer fredagskvällar och perioder kring helgdagar för att maximera tid innan respons. OT-incidentresponsplaner bör specifikt adressera reducerad bemanning under dessa perioder.

[IMAGE: Tidslinje över stora OT-ransomware-incidenter 2019-2025 - sökterm: industrial ransomware timeline infographic]

Vilka APT-grupper hotar svenska OT-miljöer?

Advanced Persistent Threat-grupper med statlig koppling bedriver långsiktig spaning och förbereder kapacitet mot kritisk infrastruktur i Sverige och övriga Norden. SÄPO:s årsrapport 2024 pekar ut Ryssland och Kina som de primära statliga hotaktörerna mot svenska intressen, inklusive energi, försvar och kritisk infrastruktur. Dragos spårar dessa aktörer under specifika kodnamn.

VOLTZITE och KAMACITE

VOLTZITE är en Dragos-spårad hotgrupp med koppling till rysk underrättelsetjänst, inriktad mot energisektorn och kritisk infrastruktur i Nordamerika och Europa. Gruppen är känd för att använda legitima verktyg (living-off-the-land) för att undvika detektering. KAMACITE, med liknande kopplingar, specialiserar sig på att etablera uthållighet i energidistributionssystem, inklusive elnät och undervattenskablar.

ELECTRUM och energisektorn

ELECTRUM är APT-gruppen som kopplas till INDUSTROYER/CRASHOVERRIDE, den skadliga kod som stängde av delar av Ukrainas elnät 2016 och 2022. Gruppen har dokumenterad kapacitet att attackera SCADA-system i elproduktion och distribution. Dragos bedömer att ELECTRUM fortsätter att kartlägga europeiska elnät, inklusive svenska.

[CHART: Karta över APT-gruppers primära målsektorer i Europa - källa: Dragos 2024 Year in Review]

AI-driven attackautomatisering: ett nytt paradigmskifte

AI-verktyg förändrar attackmatrisen mot OT-miljöer. Microsoft Threat Intelligence rapporterade 2025 att nationsstatsaktörer aktivt använder AI-modeller för att accelerera initial reconnaissance, generera skräddarsydd phishing och automatisera lateral förflyttning i nätverket (Microsoft Threat Intelligence, 2025). För OT-miljöer innebär det kortare tid från initial åtkomst till operationell påverkan.

AI-drivna angrepp mot OT karaktäriseras av tre egenskaper. De är snabbare, AI minskar den manuella tid som krävs för nätverkskartläggning och sårbarhetsutnyttjande. De är mer anpassningsbara, angriparen kan automatiskt justera taktiken baserat på vad de möter. De är svårare att detektera eftersom de imiterar legitima protokoll och arbetsflöden mer sofistikerat.

Försvarssidan använder också AI. AI-drivna anomalidetekteringssystem analyserar OT-nätverkstrafik och identifierar subtila avvikelser som mänskliga analytiker kan missa. Dragos, Claroty och Nozomi bygger alla aktivt in AI-baserad detektering i sina plattformar.

Insiderhot och leveranskedjeattacker

Insider-hot mot OT-miljöer är svårare att detektera och potentiellt mer skadliga. CISA rapporterar att otillfredsställda medarbetare och illasinnade insiders stod för 14 procent av allvarliga OT-säkerhetsincidenter i USA under 2024 (CISA, 2024). OT-miljöns karaktär, med privilegierad åtkomst till produktionssystem, gör att skadan kan bli omedelbar och svår att ångra.

Leveranskedjeattacker mot OT-mjukvara är ett växande bekymmer. SolarWinds-attacken visade att komprometterad mjukvara kan sprida sig till OT-miljöer via legitima uppdateringskanaler. ENISA:s rapport om OT-leveranskedjesäkerhet 2024 identifierar mjukvarupåtryckning av OT-leverantörer som ett primärt hot som kräver SBOM-hantering och signaturvalidering.

Det svenska hotlandskapet: vad säger MSB?

MSB:s rapport om informationssäkerhet och cybersäkerhet i Sverige 2024 klassificerar hotbilden mot kritisk infrastruktur som det allvarligaste sedan rapporten börjat publiceras. Specifikt nämns energisektorn, dricksvattenförsörjningen och transportinfrastrukturen som prioriterade mål för statlig underrättelseverksamhet (MSB, 2024).

NCSC-SE, det nationella cybersäkerhetscentret, har utfärdat varningar om att ryska och kinesiska aktörer aktivt scannar svenska OT-system för kända sårbarheter. Organisationer med OT-miljöer bör säkerställa att externa skanningspunkter är minimerade, att all fjärråtkomst kräver MFA och att avvikande scanningaktivitet larmrapporteras.

OT-säkerhetsbedömning: utvärdera er ställning

Vanliga frågor om OT-hotbilden 2026

Vilken sektor är mest utsatt för OT-cyberattacker?

Tillverkning och energi toppar listan. Claroty rapporterar att dessa sektorer tillsammans stod för 46 procent av alla globala OT-cyberincidenter 2025. I Sverige är energisektorn och vattenförsörjningen prioriterade mål baserat på MSB:s hotbedömning. Transport och sjukvård är snabbt växande målsektorer.

Hur lång tid tar det innan en APT-attack mot OT detekteras?

SANS ICS-teamet estimerar 2024 en genomsnittlig detektionstid på 150 dagar för APT-intrång i OT-nätverk. Med dedikerad OT-nätverksövervakning kan detektionstiden reduceras till under 30 dagar. Utan OT-specifik övervakning är detektering i praktiken beroende av att angriparen triggar ett systemlarm, vilket ofta inte sker förrän angriparen aktiverar sin skadliga payload.

Är små och medelstora industriföretag realistiska mål för APT-grupper?

Statliga APT-grupper fokuserar primärt på stora operatörer och kritisk infrastruktur. Men ransomware-grupper attackerar alla storlekar. Dessutom kan SMF vara ett ingångsled till en större leverantörskedja. Om ni levererar till eller underhåller kritisk infrastruktur är ni ett potentiellt mål oavsett er storlek.

Sammanfattning

OT-hotbilden 2026 präglas av tre samverkande krafter: professionaliserade kriminella ransomware-aktörer, statliga APT-grupper med sofistikerade OT-kapabiliteter och AI-verktyg som sänker trösklarna för avancerade attacker. MSB:s hotbedömning bekräftar att Sverige är ett mål, inte ett undantag.

Svaret är inte panik, utan ett systematiskt säkerhetsarbete: tillgångsupptäckt, segmentering, OT-specifik övervakning och en testad incidentresponsplan. Dessa åtgärder reducerar risken och bygger motståndskraft, oavsett vilken hotaktör som försöker angripa.

Opsio OT-säkerhetstjänster