CyberSecStats #49 - Livet som CISO i 2026, å si nei til løsepengekrav, europeiske trender og tredjeparts ringvirkninger
CyberSecStats #49: 86 % nekter å betale løsepenger, 90 zero-days utnyttet i 2025, tredjepartsbrudd sprer seg til 5,28 ofre per leverandør, deepfake-stemmer overalt.
Ukens viktigste cybersikkerhetsfunn
Tre poenger fra ukens data.
1. De fleste selskaper nektet å betale løsepenger
Rekordhøye 86 % av virksomhetene nektet å betale løsepengekrav i 2025, selv om de første kravene steg 47 % år over år.
2. 90 zero-days utnyttet i naturen
Google Threat Intelligence Group registrerte 90 zero-day-sårbarheter utnyttet i naturen i 2025. 48 % rettet seg mot enterprise-teknologi, og operativsystemer sto for 44 % av alle zero-days.
3. Tredjepartsbrudd fortsetter å spre seg
Gjennomsnittlig antall nedstrøms ofre per leverandørbrudd steg fra 2,46 i 2021 til 5,28 i 2025, med 433 millioner mennesker rammet av tredjepartsbrudd.
Større rapporter
The State of Human Risk 2026 (Mimecast)
Organisasjoner erkjenner samlet at de ikke klarer å beskytte godt nok mot menneskerettede angrep.
Den menneskelige sårbarheten:
- 96 % av organisasjonene innrømmer at de har ufullstendig beskyttelse mot menneskelig risiko.
- 69 % ser AI-drevne angrep som uunngåelige innen 12 måneder.
- 71 % forventer negativ forretningseffekt av angrep via Slack, Teams, Zoom og lignende plattformer i 2026.
2026 Cyber Claims Report (Coalition)
Virksomhetene kaller ransomware-aktørenes bløff. Andelen som nekter å betale når rekordhøyder.
Nektet å betale:
- Rekordhøye 86 % av virksomhetene nektet å betale løsepengekrav.
- De første løsepengekravene steg 47 % år over år i 2025.
- Ransomware var den dyreste typen cyberkrav i 2025, med et snitt på 269 000 dollar.
Tredjeparts- og leverandørrisiko
2026 Third-Party Breach Report (Black Kite)
Ett enkelt leverandørbrudd rammer nå i snitt mer enn fem nedstrøms organisasjoner.
Kaskadeeffekten:
- Gjennomsnittlig antall nedstrøms ofre per leverandørbrudd steg fra 2,46 i 2021 til 5,28 i 2025.
- 433 millioner mennesker er offentlig oppgitt som rammet av tredjepartsbrudd.
- Gjennomsnittlig varslingstid forverret seg fra 76 dager i 2024 til 117 dager i 2025.
Beyond the Black Box (Manifest)
Organisasjoner genererer SBOM-er, men de fleste bruker dem ikke i sikkerhetsarbeidet.
SBOM-gapet:
- 60 % av organisasjonene genererer SBOM-er.
- Mer enn halvparten av dem som genererer SBOM-er bruker dem ikke i praksis.
- 63 % erkjenner at det finnes shadow AI i egen virksomhet.
AI
AI-Augmented Cybersecurity Performance Data (Hack The Box)
AI-støtte gir målbare produktivitetsgevinster for sikkerhetsteam.
AI-fordelen:
- AI-støttede team øker løsningsraten på sikkerhetsoppgaver med 70 % innenfor samme tidsvindu.
- AI-fordelen topper seg på 3,89x for mellomerfarne operatører på medium-vanskelige sikkerhetsoppgaver.
- AI-støttede team når 27 % løsningsrate, mot 16 % for de beste rene menneskelige teamene.
Cybersikkerhets-arbeidsstyrken
2026 CISO-Board Engagement (IANS, Artico Search og The CAP Group)
CISO-er får mer styretid, men kvaliteten på den strategiske dialogen varierer.
Engasjementsgapet:
- 95 % av CISO-ene gir regelmessige oppdateringer til styret.
- Bare 30 % av styrene beskriver forholdet til CISO-en som sterkt og samarbeidsorientert.
- 53 % av styrene mener at rapporteringen på effekten av nye trusler må forbedres.
The 2026 State of the Cybersecurity Workforce Report (Seemplicity)
Sikkerhetsledere jobber det som tilsvarer en sjette dag i uken mens AI omformer rollen deres.
Utbrenthetssignalet:
- 45 % av amerikanske sikkerhetsledere jobber 11 eller flere overtimer i uken, og 20 % jobber 16 eller flere overtimer.
- 44 % sier rollen kjennes følelsesmessig utmattende oftere enn givende.
- Likevel ville 94 % valgt cybersikkerhet som karriere på nytt.
Pentester Profile Report (Cobalt)
Profesjonelle pentestere foretrekker strukturert testing fremfor bug bounty-programmer for å finne alvorlige sårbarheter.
Skillet i testmodeller:
- 58 % av profesjonelle pentestere rangerer PTaaS som mest effektivt for å avdekke komplekse sårbarheter.
- Bare 15 % rangerer offentlige bug bounties som mest effektive.
- 30 % av alle bug bounty-rapporter er ugyldige eller har lav verdi.
Zero-day-sårbarheter
2025 Zero-Days in Review (Google Threat Intelligence)
Mønstrene for zero-day-utnyttelse skifter mot enterprise-teknologi og operativsystemer.
Zero-day-bildet:
- Google Threat Intelligence Group registrerte 90 zero-day-sårbarheter utnyttet i naturen i 2025.
- 48 % av 2025-zero-days rettet seg mot enterprise-teknologi.
- Operativsystemer, både desktop og mobil, var den mest utnyttede produktkategorien med 44 % av alle zero-days.
Industriell sikkerhet
The State of Industrial Remote Access 2026 (Secomea)
Industrielle virksomheter er for selvsikre på fjerntilgangssikkerhet selv mens leverandørrisikoen øker.
Blindsonen for fjerntilgang:
- Bare 43 % av virksomheter i produksjon og kritisk infrastruktur rapporterer fullstendige revisjonsspor for leverandørøkter.
- Der IT/OT-samkjøringen svekkes, nesten tredobles eksponeringen mot leverandørrelaterte hendelser.
- Virksomheter som forvalter 21 til 100 eksterne leverandører rapporterer høyest hendelseseksponering.
2026 State of Industrial AI Report (Cisco)
Sikkerhetsbekymringer bremser AI-adopsjon i industrielle sektorer, selv om de fleste forventer at AI vil styrke sikkerheten.
Det industrielle AI-paradokset:
- 40 % av industrielle virksomheter peker på sikkerhet som største hinder for AI-adopsjon.
- 48 % identifiserer sikkerhet som sin største nettverksutfordring.
- 85 % forventer at AI vil forbedre cybersikkerheten deres.
Forbrukersvindel
State of the Call (Hiya)
Deepfake-stemmeteknologi har gått fra teoretisk trussel til hverdagsvirkelighet for amerikanere.
Deepfake-stemmebildet:
- 1 av 4 amerikanere har mottatt en deepfake-stemmesamtale de siste 12 månedene.
- 24 % er ikke sikre på at de kunne skille en deepfake-samtale fra en ekte samtale.
- Omtrent 49 % har enten mottatt en AI-stemme-deepfake eller kan ikke skille den fra en ekte samtale.
How E-Commerce Scams are Shaping Consumer Behavior (Clutch)
Nettshoppingsvindel har blitt så vanlig at det endrer hvordan forbrukerne tar kjøpsbeslutninger.
Nettsvindelbildet:
- 71 % av forbrukerne har møtt svindel eller forsøk på svindel under netthandel.
- 92 % er bekymret for hvordan nettsvindel påvirker egne kjøpsbeslutninger.
- 58 % rapporterer at de har sett falske annonser som etterligner et kjent merke.
Tax Scams Hit Nearly 1 in 4 Adults (McAfee)
Selvangivelsesperioden er høysesong for svindlere som retter seg mot forvirrede og engstelige skattytere.
Skattesvindelbølgen:
- Nesten 1 av 4 amerikanere (23 %) har blitt offer for skattesvindel.
- Bare 29 % er svært trygge på at de ville kjent igjen en skattesvindel.
- Nesten 1 av 5 har tapt penger på skattesvindel, med et snitt på 1 020 dollar per offer.
Bransjespesifikt
2026 Healthcare Email Security Report (Paubox)
Helseorganisasjoner blir kompromittert gjennom e-postsystemer med grunnleggende feilkonfigurasjoner som burde vært løst for år siden.
E-postsikkerhetsgapet:
- 56 % av rammede helseorganisasjoner hadde mangelfulle eller manglende SPF-poster (9 % manglende, 46 % soft fail).
- 41 % av rammede helseorganisasjoner havnet i høyrisiko-kategori basert på e-postkonfigurasjon, opp fra 31 % i 2024.
- 53 % av e-postrelaterte brudd i helsesektoren skjedde på Microsoft 365.
Banking Trust and Technology Report (Integris)
Banker forbereder seg på store teknologi-investeringer.
Banksikkerhetsbildet:
- 51 % av bankledere rapporterer et betydelig e-postbasert brudd det siste året.
- 50 % rapporterer et mobilrelatert brudd det siste året.
- 45 % forventer at teknologi-budsjetter øker med 40 % eller mer, noen prosjekterer 50 til 80 % vekst.
Regionalt blikk
European Cyber Report 2026 (Link11)
DDoS-angrep har blitt en nærmest konstant trussel, og organisasjoner er under angrep de fleste dager i året.
Den nådeløse bølgen:
- Det lengste registrerte DDoS-angrepet varte 12 388 minutter (over åtte døgn).
- I snitt fulgte 2,8 oppfølgingsangrep etter en innledende hendelse, en økning på 80 % fra året før.
- Antallet dokumenterte DDoS-angrep i Link11-nettverket steg 75 % i 2025, etter 137 % økning året før.
