Dark web-ordlistan 2026: 24 begrepp du bör känna till
Cyberlord Security Team Författarprofil
Ett dark web-forum är inte en plats man besöker, det är ett språk man måste lära sig. Termerna som säljare, ransomware-grupper och bedragare använder är korta, vardagliga och avsiktligt grumliga: de beskriver varor och tjänster som aldrig får ett juridiskt namn. För den som arbetar med incidentsvar, journalistik eller bara vill förstå varför ett stulet lösenord plötsligt räcker hela vägen in i banken är ordlistan därför ett praktiskt verktyg, inte kuriosa.
Den här genomgången samlar 24 begrepp som återkommer i underjordiska annonser och i rapporter från hotunderrättelsearbete. Vi förklarar dem på svenska, men vi översätter inte verksamheten: varje avsnitt landar i vad begreppet betyder för den som ska försvara sig. Sifferuppgifterna är desamma som i vår engelska originalgenomgång.
Varför språket spelar roll
Underjordisk handel lever på omskrivningar. En säljare skriver inte "obehandlad bankåtkomst" utan erbjuder "loggar med levande session", och den som kallar sin kod för fullständigt oupptäckbar säljer i praktiken ett tidsfönster, inte en garanti. Omskrivningarna är inte bara kamouflage. De flyttar också ansvar och gör annonsen svår att citera i efterhand.
För försvararen har vokabulären ett mer konkret värde. Ett begrepp du kan namnge är ett begrepp du kan logga, larma på och skriva en rutin för. "Någon var inne i systemet" går inte att åtgärda. "En stulen sessionskaka användes från ett nytt nätverk" går att åtgärda, och det går att mäta om det händer igen.
Grundbegrepp: djupnät, darknet och Tor
Djupnät (deep web) — allt som inte indexeras av sökmotorer: inkorgen, internetbanken, intranätet, akademiska databaser. Det är den största delen av internet och i sig helt lagligt, eftersom begreppet beskriver åtkomst och inte innehåll.
Darknet — den lilla del av djupnätet som kräver särskild programvara, i praktiken Tor, och som är byggd för att dölja vem som läser. Här finns marknadsplatser och läckagesajter, men också redaktioner och stödkanaler för människor som lever under censur.
Tor (The Onion Router) — programvaran som skickar trafiken genom tre slumpvis valda servrar och krypterar den i lager, ett per hopp, så att ingen enskild server ser både avsändare och mottagare. Samma egenskap skyddar en visselblåsare och en kriminell; tekniken skiljer dem inte åt, och därför riktar lagstiftningen in sig på handlingar snarare än på verktyget.
Marknadsplatserna och deras förtroendemekanism
Escrow — en deposition där plattformen håller köparens kryptovaluta tills varan anses levererad. Mekanismen finns för att parterna inte kan stämma varandra, och den är av samma skäl den vanligaste ytan för bedrägeri.
Bulletproof hosting — leverantörer i länder med svag brottsbekämpning som ignorerar eller aktivt motsätter sig nedtagningskrav. De hyr ut infrastruktur åt nätfiskekampanjer, styrsignaler för skadlig kod och forum, och är en förutsättning för att verksamheten ska kunna upprepas efter en nedtagning.
Läckagesajt (leak site) — ransomware-gruppernas egen publiceringskanal för data från offer som vägrar betala. Hotet om publicering är ofta effektivare än krypteringen, eftersom det utlöser anmälningsplikt, tillsyn och ryktesskada — tre kostnader som inte försvinner med en dekrypteringsnyckel.
Skadlig kod som tjänst
RaaS och affiliate — i ransomware-as-a-service bygger en utvecklare verktyget medan en affiliate genomför själva intrånget, och intäkten delas upp i procent. Modellen förklarar varför grupper utan egen kodförmåga kan genomföra avancerade angrepp; vi har gått igenom den närmare i guiden om RaaS för småföretag.
Infostealer — skadlig kod som plockar upp sparade lösenord, kakor, plånboksfiler och systeminformation och skickar hem det. Det farliga är kakorna: med en levande session behöver angriparen aldrig knäcka lösenordet eller ta sig förbi tvåfaktorn.
RAT (Remote Access Trojan) — fjärrstyrning med kontroll över filer, kamera och mikrofon, ofta förklädd till programvara användaren själv har installerat. En RAT är inte ett engångsangrepp utan en dörr som kan användas igen månader senare, långt efter att händelsen stängts.
C2 (Command and Control) — infrastrukturen som styr skadlig kod på infekterade maskiner, medvetet byggd för att smälta in i HTTPS, DNS eller molntjänster. Att hitta sådan trafik i nätloggar är därför beteendeanalys, inte signaturjakt på kända filnamn.
Konton, lösenord och övertagande
Hash — en enkelriktad omvandling som låter en tjänst kontrollera lösenordet utan att lagra det i klartext. När en databas läcker får angriparen hashar, och svaga algoritmer eller vanliga lösenord knäcks på sekunder med grafikkort.
Credential stuffing — automatiserad testning av miljontals stulna användarnamn och lösenord mot nya tjänster. Den fungerar bara för att människor återanvänder lösenord, och den är därför den billigaste vägen in i ett konto som saknar tvåfaktor.
SIM-byte (SIM swapping) — angriparen övertalar operatören att flytta numret till ett eget kort och tar sedan emot SMS-koderna. Allt som enbart skyddas med SMS faller: bank, e-post, kryptoplånbok. Känsliga konton bör därför använda app eller fysisk nyckel, inte ett nummer som går att flytta.
Pengar, kort och investeringsbedrägerier
Carding — handel med och missbruk av stulna kortuppgifter, från bulkförsäljning till test och uttag. Forumen anger hur färsk en kortserie är och lovar ersättning om kortet nekas, vilket säger en del om hur industrialiserad handeln blivit.
Målvakt (money mule) — en person som tar emot och vidarebefordrar stulna pengar, ofta utan att veta det, efter en annons om distansarbete med betalningshantering. Straffansvaret för penningtvätt gäller även den som inte förstod var pengarna kom ifrån, och därför är annonser som låter för bra för att vara sanna en säkerhetsfråga.
Pig butchering (investeringsbedrägeri) — en relation byggs upp över chatt under veckor eller månader och leder till en falsk kryptoplattform. Offret uppmuntras att sätta in allt mer innan plattformen försvinner med allt; metoden är tålamod som affärsmodell, inte ett tekniskt brott.
Bitcoin-mixer (tumbler) — en tjänst som blandar egna och andras mynt för att bryta spårbarheten i blockkedjan och som tar betalt för besväret. Flera länder behandlar drift av sådana tjänster som penningtvätt, och spåren är svårare att tvätta bort än mynten.
Social manipulation och falska identiteter
Social engineering — psykologisk manipulation i stället för tekniskt intrång: ett samtal, en brådskande faktura, en chef som ber om en tjänst. Det är fortfarande den mest pålitliga vägen in i de flesta intrång, eftersom den riktar sig mot människor som vill vara hjälpsamma.
Phishing — falska meddelanden som ska få mottagaren att lämna ut inloggning eller klicka på en länk. AI-genererad text och klonade röster har gjort språkfel och dålig ton otillräckliga som varningssignaler; kontrollera kanalen, inte formuleringen.
Spökkonto (ghost account) — en profil skapad med falska uppgifter för att bygga förtroende: romansbedrägeri, rekryteringsfiske mot anställda, påverkansoperationer. Kontot är billigt att skapa och dyrt att motbevisa, eftersom det vilar på relationen snarare än på identiteten.
Sårbarheter som handelsvara
Zero-day — en sårbarhet som leverantören inte känner till och som därför saknar rättning. Värdet ligger i att offret inte kan försvara sig mot det som ännu inte har ett namn, och därför hålls sådana fynd hemliga länge.
Sårbarhetsmäklare (vulnerability broker) — företag som köper och säljer information om okända sårbarheter, ibland bara till myndigheter, ibland till vem som helst. För en organisation är slutsatsen densamma: patchning, segmentering och övervakning måste fungera även den dag en okänd sårbarhet används mot er.
Från begrepp till försvar
Här blir ordlistan praktisk. Varje term ovan motsvarar en signal någonstans i din miljö och en åtgärd som redan finns i de flesta ramverk. Poängen är att kunna prata om signalen utan att först lära sig underjordisk terminologi.
Honeypot — ett avsiktligt lockbete: ett system, en delad mapp eller ett konto som ingen legitim användare rör. Varje interaktion ger en signal med låg andel falska larm, och den ger tid att se en angripare arbeta innan den når produktion.
Lateral movement (spridning i nätet) — förflyttning från den första infekterade maskinen mot domänkontrollanter, databaser och backup. Detektion handlar om avvikande inloggningsmönster och nya administrativa sessioner, alltså om TTP:er snarare än om filnamn.
Inventera det som redan är känt. Lista vilka konton som finns i offentliga läckor, och behandla dem som komprometterade tills de är bytta.
Stäng SMS-vägen till känsliga konton. Flytta bank, e-post och molnkonto till appbaserad kod eller fysisk nyckel.
Gör sessioner korta och synliga. Kort livslängd, enhetslista och möjlighet att avsluta alla sessioner är billigare än att utreda ett kontoövertagande.
Öva på det som är billigt att öva på. En rutin för fakturaändringar och en kanal för återuppringning kostar nästan ingenting och stänger den vanligaste bedrägerivägen.
| Signal | Vad den kan betyda | Rimlig åtgärd |
|---|---|---|
| Din e-post finns i en läcka | Återanvänt lösenord, credential stuffing | Byt lösenord, aktivera appbaserad tvåfaktor |
| Inloggning från okänd plats utan lösenordsbyte | Stulen sessionskaka via infostealer | Avsluta alla sessioner, granska enheter |
| Nytt SIM-kort du inte beställt | SIM-byte på väg mot SMS-koderna | Kontakta operatören, flytta tvåfaktorn |
| Kreditansökan du inte gjort | ID-kapning efter läckt identitetsdata | Kreditspärr hos UC, polisanmälan |
| Akut betalning från chef i chatt | Social engineering, ibland röstklon | Verifiera i annan kanal, följ betalrutin |
| Inloggning mot domänkontrollant nattetid | Lateral movement efter intrång | Isolera värden, granska adminkonton |
Svensk rätt: IMY, dataintrång och ID-kapning
Om ett företag tappar dina uppgifter är det företaget som har anmälningsplikten. Enligt GDPR artikel 33 ska en personuppgiftsincident rapporteras till Integritetsskyddsmyndigheten (IMY) inom 72 timmar från att den upptäcktes, och enligt artikel 34 ska drabbade informeras när risken är hög. Som privatperson är det rimligt att fråga den som läckt när incidenten anmäldes — och varför du inte fick besked.
Att någon tar sig in i ditt konto eller din e-post utan tillstånd är inte bara ett avtalsbrott. Brottsbalken 4 kap. 9 c § (dataintrång) kriminaliserar olovlig åtkomst till uppgifter och it-system, och bestämmelsen används i praktiken när någon läser annans e-post eller loggar in med annans uppgifter. Det gäller även den som beställer åtkomsten av någon annan.
Vid ID-kapning — när någon använder ditt namn, ditt personnummer eller dina kontouppgifter för lån, abonnemang eller kort — finns ingen egen brottsrubricering. Gärningen bedöms i stället som bedrägeri, urkundsförfalskning eller dataintrång beroende på tillvägagångssättet. Praktiskt ger tre steg mest effekt:
- Kreditspärr hos UC. En spärr gör att nya kreditansökningar i ditt namn stoppas eller granskas, och den kan läggas direkt via UC:s tjänst.
- Polisanmälan. Anmälan är underlaget när banken eller kreditgivaren ska bedöma att avtalet inte är ditt.
- Skriftligt till bank och operatör. Begär spärr på kontot, nytt kort och kontroll av portade nummer, och spara diarienummer.
Misstänker du att dina uppgifter redan cirkulerar, eller vill du veta vilken del av din exponering som faktiskt går att stänga? Berätta om din situation så börjar vi i rätt ände. Vi arbetar endast inom lagens ram och med den registrerades samtycke.
Vanliga frågor
Är darknet och djupnät samma sak?
Nej. Djupnätet är allt som inte indexeras, från inkorgen till intranätet, och är oftast helt legitimt. Darknet är den lilla del som kräver Tor och som är byggd för att dölja vem som läser.
Vad gör jag först om mitt lösenord finns i en läcka?
Anta att lösenordet är känt och byt det, med e-postkontot först eftersom det kan återställa alla andra. Aktivera appbaserad tvåfaktor och avsluta alla aktiva sessioner i de tjänster som erbjuder det.
Kan jag köpa tillbaka min data?
Nej, det finns ingen garanti att en kopia raderas, och en betalning bekräftar att du betalar. Den mer hållbara vägen är att göra uppgifterna mindre användbara: byt det som går att byta, spärra det som går att spärra och övervaka resten.
Räcker tvåfaktor via SMS?
För vardagliga tjänster är den bättre än inget, men för bank, e-post och kryptoplånbok är den svag, eftersom ett nummer kan flyttas till ett annat SIM-kort. Använd app eller fysisk nyckel där det är möjligt.
Är det olagligt att besöka en dark web-marknadsplats?
Att läsa är i sig inte straffbart i Sverige, men olovlig åtkomst till annans uppgifter är dataintrång och att köpa brottsliga tjänster är straffbart. Journalistiskt eller forskningsmässigt arbete bör ske med juridiskt stöd och dokumenterade rutiner.
Hur märker jag att min identitet används?
Kreditupplysningar du inte beställt, fakturor och inkassokrav på varor du aldrig köpt, ett oväntat nytt SIM-kort eller avslag på kredit är typiska tecken. Kreditspärr, bevakning och en polisanmälan ger dig både skydd och bevis.