Läget i cybersäkerhet 2026: siffrorna som formar skyddet
CyberLord-teamet Författarprofil
Siffror är ett trubbigt verktyg för att beskriva säkerhet, men de är ofta det enda som får ett beslut igenom en budgetprocess.
Under 2026 har två saker förändrats. AI har gjort attacker billigare att producera och svårare att skilja från legitim kommunikation. Samtidigt har försvaret flyttat fokus från att hindra intrång till att begränsa konsekvenser, vilket syns tydligt i hur budgetarna fördelas.
Här är siffrorna som definierar läget, samlade per område. Läs dem som riktmärken och storleksordningar, inte som exakta sanningar. Vi avslutar med varför det förbehållet är viktigt.
Sex siffror som sammanfattar läget
- 5,2 miljoner dollar: global genomsnittskostnad för ett dataintrång, i storleksordningen 55 miljoner kronor.
- 2,5 miljoner dollar: mediankrav vid utpressningsattacker, en uppgång med omkring 40 procent mot året innan.
- 90 procent: andel nätfiskemejl som bedöms vara AI-genererade.
- 80 procent: andel intrång där komprometterade inloggningsuppgifter ingår i attackkedjan.
- 3,8 miljoner: antal obemannade säkerhetstjänster globalt.
- 93 procent: andel drabbade med testade och fungerande säkerhetskopior som återställde utan att betala.
Sex tal som pekar i samma riktning: angriparen kommer in via människor och identiteter, och den som förberett återställning klarar sig billigast.
Marknad, budgetar och var pengarna går
Säkerhetsmarknaden fortsätter att växa snabbare än IT-budgeten i stort. Uppskattningar pekar mot omkring 520 miljarder dollar i globala utgifter under 2026, med en årlig tillväxt kring 15 procent. Nordamerika står för knappt hälften, Europa för drygt en fjärdedel.
Det intressanta är förskjutningen inom budgeten. Identitets- och åtkomsthantering tar omkring 23 procent, molnsäkerhet 18 procent och hotdetektion med respons 16 procent, medan nätverkssäkerhet och slutpunktsskydd minskar något i andel. Mönstret är tydligt: pengar flyttar från perimetern till identiteter, molnet och förmågan att upptäcka det som redan hänt.
Dataintrång: kostnader och vanligaste vägarna in
Genomsnittskostnaden för ett intrång ligger på omkring 5,2 miljoner dollar globalt. Spridningen är stor mellan branscher. Hälso- och sjukvård ligger högst med cirka 10,9 miljoner dollar, följt av finanssektorn kring 6,1 miljoner. Kostnaden per komprometterad post beräknas till ungefär 180 dollar, och tiden från intrång till upptäckt och avgränsning beräknas till omkring 277 dagar.
Vanligaste vägarna in
Vägarna in är förvånansvärt stabila över tid:
- nätfiske och social manipulering, omkring 36 procent av intrången
- stulna eller återanvända inloggningsuppgifter, cirka 19 procent
- felkonfigurerad molnmiljö, omkring 15 procent
- komprometterad företagspost, cirka 12 procent
- utnyttjade nolldagarsbrister och insiderincidenter, tillsammans omkring 14 procent
Att nätfiske toppar listan betyder inte att försvaret misslyckats. Angriparen väljer den billigaste vägen, och den går genom en människa med ett inkorgsflöde. Vår genomgång av AI-driven nätfiske 2026 visar hur metoderna förändrats i detalj.
AI i attack och försvar
På den offensiva sidan är den mest citerade siffran att omkring 90 procent av nätfiskemejl nu är AI-genererade. Språkmodeller tar bort de språkliga felen som tidigare avslöjade bedrägeriet, och röstkloning har ökat kraftigt. Flera rapporter pekar på att en majoritet av modern skadlig kod använder automatiska tekniker för att undvika upptäckt.
På den defensiva sidan har ungefär tre fjärdedelar av större organisationer infört AI-stöd i sin övervakning, och knappt hälften använder det för att prioritera sårbarheter. AI gör mest nytta genom att sortera tusentals signaler så att analytikern kan lägga tiden på de tre som betyder något.
Glappet ligger i styrningen. Mätningar visar att en majoritet av medarbetarna använder AI-verktyg som IT aldrig godkänt, och en betydande andel av bolagen har haft dataläckage via AI-tjänster. Vi har samlat åtgärderna i guiden om shadow AI på arbetsplatsen.
Utpressningsattacker och återställning
Från kryptering till tre parallella hot
Utpressning har gått från kryptering till dubbel och trippel utpressning. I omkring 82 procent av attackerna stjäls data innan filerna krypteras, och hotet om publicering är ofta det som får offret att betala. Mediankravet ligger på ungefär 2,5 miljoner dollar, medan faktiska betalningar i genomsnitt landar kring 1,8 miljoner.
Genomsnittlig stilleståndstid efter en attack ligger på drygt tre veckor, och den totala återställningskostnaden, inklusive produktionsbortfall, beräknas till flera miljoner dollar för större organisationer.
Den viktigaste siffran i sammanhanget är ändå den om säkerhetskopior. Bland drabbade med testade och fungerande kopior återställde 93 procent utan att betala. Bland dem som betalade var det bara en liten andel som fick tillbaka all data. Läs mer om hur utpressningsindustrin är organiserad i vår artikel om ransomware som tjänst för mindre bolag.
Identitet, inloggningar och MFA
Identiteten är den nya perimetern, och siffrorna är entydiga. Omkring 80 procent av intrången involverar komprometterade uppgifter, och kostnaden för de intrången ligger högre än genomsnittet. Miljarder uppgifter cirkulerar på dark web, och en majoritet av användarna återanvänder lösenord mellan tjänster.
Multifaktorautentisering är fortfarande det enskilt mest kostnadseffektiva skyddet, men attackerna mot den har ökat kraftigt. Vanliga metoder är stulna sessionscookies, uttröttning av pushnotiser och omdirigering av inloggningsflöden till en falsk portal. MFA utan number matching och villkorsstyrda regler ger mindre skydd än många tror.
Molnet och leverantörskedjan
Omkring 45 procent av alla intrång involverar molnmiljöer, och i molnet är felkonfiguration den vanligaste orsaken. Överdrivet vida behörigheter, oskyddade lagringsytor och avsaknad av loggning är återkommande. Samtidigt växer segmentet för molnsäkerhet snabbast av alla, kring 40 procent per år.
Leverantörskedjan är den svagaste länken. En majoritet av organisationerna har upplevt någon form av mjukvarurelaterad leverantörsincident, men bara omkring en tredjedel följer upp leverantörernas säkerhet löpande. Krav på materialförteckning för programvara, så kallad SBOM, blir allt vanligare i offentliga upphandlingar.
Reglering, rapportering och ansvar
Nästan alla större organisationer omfattas nu av minst en cybersäkerhetsreglering. Inom EU ställer NIS2 krav på incidentrapportering för samhällsviktig verksamhet, och DORA reglerar digital operativ motståndskraft i finanssektorn.
GDPR-böter mäts i miljarder euro globalt, och tillsynsmyndigheterna granskar nu incidenthantering i efterhand. Det gör dokumentation till en säkerhetsfråga, inte bara en juridisk.
Kompetensbristen
Bristen på säkerhetskompetens består. Uppskattningarna ligger kring 3,8 miljoner obemannade tjänster globalt, med en efterfrågan som växer betydligt snabbare än utbudet. För svenska organisationer märks det i rekryteringstider och löneläge.
Praktiskt betyder det att små team måste välja bort. Automatisering, tydliga prioriteringar och en extern part för det man inte kan hålla internt är ofta rimligare än att försöka täcka allt själv. Vår jämförelse av certifieringar inom cybersäkerhet är en hjälp när ni ska bedöma kompetens vid upphandling.
Så använder du siffrorna utan att bli lurad
Statistik i branschen är sällan neutral. De flesta studier finansieras av leverantörer som säljer lösningen rapporten rekommenderar, urvalet varierar och definitionerna skiljer sig. En genomsnittskostnad på 5,2 miljoner dollar säger ingenting om vad ett intrång kostar ett svenskt bolag med trettio anställda. Siffrorna här bygger på återkommande branschrapporter från IBM, Verizon, WEF och flera leverantörer, och de revideras årligen.
Tre regler att hålla sig till
Fråga alltid vilket urval som ligger bakom, jämför med er egen storlek och sektor, och använd talen som storleksordning i en riskkalkyl i stället för som exakta prognoser.
Vanliga frågor
Vad kostar ett dataintrång 2026? Globalt genomsnitt ligger på omkring 5,2 miljoner dollar. För svenska små och medelstora bolag är det mer relevant att räkna på stillestånd och kundbortfall i det egna fallet.
Hur stor del av attackerna sker via nätfiske? Ungefär en tredjedel av intrången tillskrivs nätfiske och social manipulering, vilket fortfarande är den enskilt största vägen in.
Sjunker antalet attacker om vi inför MFA? MFA höjer tröskeln påtagligt men tar inte bort risken. Angripare riktar in sig på sessionscookies och pushnotiser, så MFA behöver kombineras med villkorsstyrda åtkomstregler.
Är det värt att betala lösensumman? Nej, det är sällan en god strategi. En liten andel av dem som betalar får tillbaka all data, medan nästan alla med testade säkerhetskopior återställer utan att betala.
Vill ni omsätta siffrorna i en plan för er egen miljö? Prata med teamet för en genomgång av exponering, återställningsförmåga och prioriteringar.