Cyberkriminalitet vs. geopolitik: Hvordan ransomware bliver et geopolitisk værktøj

By Kate O'Flaherty • 11. juni 2026 • 7 minutters læsning

Nationalstater intensiverer destruktive angreb ved hjælp af ransomware og antivirusprogrammer. Hvad kan man gøre for at håndtere risikoen?

I 2017, blev Rusland-forbundne modstandere udløste et angreb, der senere blev kendt som IkkePetya, som en del af en igangværende kampagne mod Ukraine. Forklædt til at ligne Petya ransomware, Konsekvenserne af det ødelæggende cyberangreb var ødelæggelse snarere end økonomisk gevinst. Skaden fra viskerværktøjet gik langt ud over dets mål og ramte virksomheder i hele Europa og andre steder.

Næsten et årti senere er viskere og ransomware ved at blive vigtige værktøjer til nationalstatsangribere at stoppe kritiske tjenester og forårsage forstyrrelser.

Den 2021 Kolonial rørledning Hændelsen er et godt eksempel på den skade, der kan opstå som følge af denne type angreb. Tilskrevet DarkSide — en gruppe med Russiske links — angrebet tvang nedlukningen af den største brændstofrørledning i USA, hvilket udløste udbredt brændstofmangel.

I 2021, Nordkorea regeringsforbundne modstandere udførte Maui-ransomware-angrebene mod hospitaler og diagnosecentre med det formål at generere indtægter og forårsage kaos.

Den eskalerende geopolitiske situation, herunder krigen mellem Rusland og Ukraine, Iran-konflikten øger truslen med voksende frygt for destruktive angreb fra modstandere forbundet med fjendtlige nationer som Kina, Rusland, Iran og Nordkorea (CRINK).

Det har ført til, at nationale sikkerhedsagenturer udsende advarsler, hvor det britiske nationale cybersikkerhedscenter (NCSC) beskriver værktøjer, der kan hjælpe virksomheder mindske risikoen.

Hvad kan virksomheder gøre for at håndtere dette voksende problem?

Udviklingen af ransomware

Der er ingen tvivl om risikoen for angreb fra nationale stater, der bruger ransomware som en del af geopolitiske mål vokser. Tracey Hannan-Jones, direktør for informationssikkerhedsrådgivning hos UBDS Digital, mener, at grænsen mellem cyberkriminalitet og geopolitik "aldrig har været tyndere".

Det, der engang var forbeholdt økonomisk motiverede kriminelle bander, har ifølge Hannan-Jones udviklet sig til et "sofistikeret instrument for statsmagt".

Dette betyder, at ransomware, malware og destruktive cyberangreb bruges ud over afpresning. "De er våben til geografisk forstyrrelse, der anvendes af nationalstatslige aktører til at destabilisere regeringer, lamme infrastruktur og projektmagt – uden at et eneste skud bliver affyret," siger hun.

Tidligere fulgte ransomware-angreb en forudsigelig logik: Krypter, kræv betaling og profit.

Dette har ændret sig dramatisk, efterhånden som nationalstatslige aktører – især dem, der er allieret med Rusland, Nordkorea, Kina og Iran – har taget de samme teknikker til sig, ofte "med mål, der går langt ud over økonomisk gevinst", siger Hannan-Jones.

Underminering af tillid

Gary Barlet, CTO for den offentlige sektor hos Illumio, er enig i Hannan-Jones' analyse. I nogle tilfælde er angreb designet til at underminere offentlighedens tillid, skabe operationel ustabilitet og lægge økonomisk pres, siger Barlet.

Han forklarer, hvordan mange ransomware-grupper opererer i miljøer, hvor de modtager indirekte beskyttelse eller stiltiende godkendelse fra regeringer, der ser strategisk værdi i deres aktivitet. "Denne konvergens skaber en enorm udfordring for forsvarere, der ikke længere kun har at gøre med isoleret kriminel aktivitet."

Problemet er nu trusler, der befinder sig i en "gråzone" mellem økonomisk motiverede angreb og statsallierede operationer, ifølge Barlet. "Ransomware-grupper opfører sig i stigende grad som stedfortrædere, der går efter udenlandske fjender eller bidrager til bredere destabiliseringsindsatser."

Samtidig er det vanskeligt at identificere gerningsmændene, fordi cyberoperationer bevidst er designet til at give kriminelle en plausibel benægtelsesmulighed. "Et angreb kan ved første øjekast virke økonomisk motiveret, men den operationelle timing, målvalget eller den bredere indvirkning kan antyde strategiske intentioner underliggende," forklarer Barlet.

Opportunistisk vs. strategisk

Nationalstatsangreb kan være strategiske eller opportunistiske. Penge er ofte en motivation for nationalstatsangreb, såsom dem, der udføres af Nordkorea.

Det er ikke usædvanligt at observere nationalstatslige modstandere "monetarisere digital usikkerhed for at generere ulovlige indtægter", siger Jamie Moles, senior teknisk chef hos ExtraHop. "Ved at samarbejde med cyberkriminelle syndikater implementerer stater ransomware og udnytter sårbarheder i forsyningskæden. Denne økonomiske udvinding giver regimer mulighed for at omgå internationale sanktioner og finansiere 'off-book' efterretningsoperationer."

Muligheder kan nogle gange spille en rolle, hvor konflikten i Iran tillader nationer som Rusland at undgå at blive påvirket.

I mellemtiden udnytter statsstøttede angribere sommetider cyberkriminalitetsøkosystemet til at skjule deres skyld i angreb, siger Andrew Brandt, chef for trusselsefterretningshændelser hos Huntress. "Hvorfor bruge tid på at udvikle brugerdefineret, skræddersyet malware, når man bare kan tage den lækkede kildekode fra Gh0stRAT og bruge det i stedet?”

Risiko i forsyningskæden og kritisk infrastruktur

Risikoen stiger yderligere i takt med at forsyningskæder bliver mere digitalt sammenkoblede, hvilket fører til, at de arver nye fejlpunkter, som angribere hurtigt kan udnytte. Ifølge Barlet fra Illumio misbruger cyberkriminelle rutinemæssigt fejlkonfigurationer, usikre API'er og svag autentificering for at få initial adgang, før de bevæger sig lateralt mod kritiske systemer.

Ransomware-grupper ved også, at det kan være langt mere skadeligt og profitabelt at forstyrre forsyningskæder end at stjæle data. "Selv kortvarige forstyrrelser kan sprede sig på tværs af globale forsyningskæder, især i just-in-time-produktionsmiljøer, hvor forsinkelser hurtigt går nedstrøms," siger Barlet.

Efterhånden som denne trussel vokser, kan traditionelle sikkerhedsmodeller have problemer, fordi de er bygget til hændelser snarere end statsstøttede kampagner.

Sikkerhedsmodeller er ofte bygget op omkring "en perimeterbaseret tankegang", ifølge Barlet. "Sikkerhedsteams tænker binært om, hvorvidt en angriber er kommet ind eller ej, hvilket betyder, at de ofte ikke tager højde for, hvad der sker bagefter. Dette skaber urealistiske forventninger om, at ethvert brud kan forhindres."

Men når angribere bryder igennem perimeteren, bevæger de sig ofte lateralt på tværs af systemer, hvilket eskalerer adgangen og forårsager omfattende forstyrrelser. "Ved at fokusere for meget på perimeteren forsvarer organisationer effektivt en begrænset grænse, mens ransomware-aktører opererer frit indenfor, når de først er kommet igennem den," forklarer Barlet.

Han siger Jaguar Land Rover og detailhandelsangreb sidste år fulgte dette mønster. "Angriberne kompromitterede netværk, målrettede systemer, der var kritiske for tjenester og drift, og stjal følsomme oplysninger."

Begræns virkningen

Efterhånden som angrebslinjerne fortsætter med at blive mere udviskede, er det afgørende at sikre robusthed, tværsektoriel bevidsthed, synlighed i forsyningskæden og ansvarlighed på ledelsesniveau. Rammer som f.eks. ISO 27001 kan danne et grundlag for risikostyring midt i stigende trusler.

Med den stigende trussel fra nationalstater midt i geopolitiske forstyrrelser over hele verden mener Barlet, at virksomheder – især dem, der opererer i kritiske sektorer – er nødt til at give slip på ideen om total forebyggelse og i stedet fokusere på at begrænse virkningen af ransomware gennem inddæmning af brud.

"En strategi, der fokuserer først på at begrænse angreb, tvinger angribere til at sætte farten ned, hvilket gør det sværere for dem at forblive skjulte og bevæge sig på tværs af forskellige systemer," forklarer han. "Endnu vigtigere er det, at det tvinger angribere til at ændre deres teknikker og procedurer, hvilket giver sikkerhedsteams en langt bedre chance for at opdage, reagere på og komme sig efter angreb."

Hannan-Jones fra UBDS Digital mener, at fokus bør være på modstandsdygtighed frem for forebyggelse. "Ingen organisation kan garantere, at den ikke bliver angrebet, så fokus skal skifte til modstandsdygtighed: Evnen til at opdage, reagere og genoprette med robust forretningskontinuitet og katastrofeberedskabsplanlægning."

Beredskab til håndtering af hændelser er nøglen, herunder indøvede planer med "klare eskaleringsveje og kommunikationsprotokoller for at reducere virkningen af et vellykket angreb betydeligt", siger Hannan-Jones.

Organisationer bør også prioritere integration af trusselsefterretninger, råder hun. "Det betyder at gå ud over generiske sikkerhedsadvarsler og i stedet inddrage sektorspecifik, geopolitisk kontekstualiseret trusselsefterretning for at forstå, hvilke trusselsaktører der er aktive, deres taktikker og deres mål for forholdsmæssig risikostyring."