Förskjutningen från falska konton till kapade
Förtidsröstningen börjar den 26 augusti. Den 13 september går svenskarna till valurnorna för att rösta till riksdagen samt till region- och kommunfullmäktige. Mellan dessa två datum finns ett tidsfönster som säkerhetsteam i hela Norden bör vara uppmärksamma på, och inte bara de som arbetar med rådgivning till politiska partier. Det största AI-drivna hotet är inte längre det falska kontot. Det är det äkta kontot som någon annan har tagit kontroll över.
Anledningen är en förändring i hur påverkansoperationer genomförs. Vid det senaste riksdagsvalet 2022 låg den största oron på falska konton som spred vilseledande narrativ i stor skala, till exempel nätverk av fabricerade profiler som gick att upptäcka om man visste vad man skulle leta efter och som spred innehåll som en uppmärksam läsare kunde spåra tillbaka till ingen trovärdig källa. Det hotet har inte försvunnit. Tyngdpunkten har däremot förskjutits mot kapning av autentiska konton som tillhör verkliga opinionsbildare, politiska partier och institutioner.
Logiken är obekväm men enkel. Påverkan bygger på trovärdighet, och trovärdighet tar år att bygga upp. Ett falskt konto måste först förtjäna uppmärksamhet innan det kan utnyttja den. Ett kapat konto har redan följarna, verifieringsmärket, etablerade relationer med journalister och det upparbetade förtroendet hos en publik som aldrig tidigare haft anledning att tvivla på det. En angripare som tar över kontot får omedelbart tillgång till allt detta.
Vad svenska myndigheter faktiskt säger
Myndigheten för psykologiskt försvar, MPF, har varit konsekvent i sin bedömning under 2026. Myndighetens ståndpunkt är att Sverige och svenska val för närvarande inte är ett prioriterat mål för rysk informationspåverkan. Samtidigt framhåller MPF att valet 2026 genomförs i ett allvarligt säkerhetsläge präglat av betydande osäkerhet, vilket kan påverka risken för valpåverkan. MPF konstaterar också att omfattningen av informationspåverkan riktad mot Sverige under det senaste året har varit betydligt lägre än under 2022 och 2023, då Sverige utsattes för två större kampanjer.
Det är en nyanserad lägesbild, inte en varning om en pågående kris. Men MPF kombinerar den med en annan observation som förtjänar mer uppmärksamhet än den vanligtvis får. Den tekniska tröskeln för att genomföra informationspåverkan har sjunkit kraftigt, och dagens generativa AI gör det möjligt för enskilda användare att snabbt skapa material som inte bara är överväldigande i mängd utan också trovärdigt. Myndighetens poäng är att hotaktörer nu kan skapa och redigera skadliga bilder och videor som sprids organiskt och når stor räckvidd utan koordinerade nätverk eller förstärkning genom botnät.
Med andra ord har tröskeln för kapacitet i stort sett kollapsat, även om avsikten för närvarande inte är koncentrerad på Sverige. MPF:s egen bedömning är att Sverige kan bli ett mål och att situationen snabbt kan förändras.
Sverige har byggt upp en struktur för att hantera detta. Ändringar i vallagen trädde i kraft den 1 december 2025 och gav Valmyndigheten ett uttryckligt ansvar för att samordna valskyddet. Samtidigt blev länsstyrelser, kommuner och utlandsmyndigheter skyldiga att skyndsamt rapportera incidenter som kan påverka genomförandet av ett val. Ett permanent nationellt valnätverk samlar nu Säkerhetspolisen, Polismyndigheten, MPF, Myndigheten för civilt försvar, Nationellt cybersäkerhetscenter, PTS och Skatteverket.
Vad erfarenheterna från Europa visar
Två fall visar varför kontokapning har blivit den metod som organisationer bör hålla särskild uppsikt över.
I Rumänien ogiltigförklarade författningsdomstolen den första omgången av presidentvalet i december 2024 efter att underrättelsematerial hade offentliggjorts. Dokument som publicerades den 4 december hävdade att en kandidat hade gynnats av samordnade konton, algoritmisk förstärkning och betald marknadsföring på TikTok. Mindre uppmärksammat, men mer relevant för säkerhetsteam, var vad samma material sade om infrastrukturen. Ett dokument beskrev mer än 85 000 försök till cyberattacker mot valwebbplatser och IT-system och drog slutsatsen att angriparen hade resurser som var typiska för en statlig aktör. Informationsoperationen och den tekniska operationen genomfördes parallellt.
I april 2025 kapades X-kontot tillhörande Tjeckiens premiärminister Petr Fiala. Falska inlägg spreds med påståenden om att ryska styrkor hade attackerat tjeckiska förband stationerade nära gränsen till Kaliningrad. Den del av Fialas egen beskrivning av incidenten som varje säkerhetsteam bör läsa två gånger är att han uppgav att angriparna, trots omfattande säkerhetsåtgärder inklusive tvåfaktorsautentisering, ändå lyckades få tillgång till profilerna och publicera falska inlägg. Liknande innehåll publicerades på kontot för Spolu, den politiska allians som hans parti ingår i, och en ledamot i det tjeckiska parlamentets säkerhetsutskott föreslog att intrånget kan ha involverat någon med administrativ åtkomst till båda kontona.
Den sista detaljen är själva lärdomen. Intrånget verkar inte ha skett genom att premiärministerns personliga lösenord knäcktes. Det tycks i stället ha gått via delad administrativ åtkomst till flera konton. De flesta organisationer har någon variant av exakt detta upplägg: en plattform för hantering av sociala medier, en byrå med publiceringsrättigheter, en tidigare anställd vars åtkomst aldrig återkallades eller ett tjänstekonto som ingen längre äger ansvaret för.
Varför detta inte bara är en politisk fråga
Om du ansvarar för säkerheten i ett svenskt eller nordiskt företag är den naturliga reaktionen kanske att inget av detta är ditt problem. Det är värt att ifrågasätta den slutsatsen.
Tekniken är innehållsneutral. Samma förmåga som kan användas för att publicera ett falskt besked om en politisk avgång från ett partikonto kan användas för att publicera en falsk vinstvarning från ett börsnoterat företags konto, ett fabricerat produktåterkallande eller en bedräglig betalningsinstruktion som ser ut att komma från en verifierad företagskanal.
En valperiod koncentrerar uppmärksamheten, förkortar tiden för verifiering och ökar värdet av några timmars förvirring. Allmänhetens intresse är förhöjt, journalister arbetar snabbt och toleransen för att vänta är låg. Ett falskt uttalande som tillskrivs din organisation under ett så intensivt nyhetsflöde kommer att hinna spridas långt innan det kan rättas.
Credentialproblemet bakom allt detta
Kontokapning är inte någon exotisk attackmetod. Det är den industrialiserade slutpunkten i en ekonomi kring stulna inloggningsuppgifter som har vuxit under flera år.
Verizons Data Breach Investigations Report 2025, som analyserade loggar från leverantörer av single sign-on, visade att credential stuffing stod för en median på 19 procent av alla dagliga autentiseringsförsök. Samma rapport visade att komprometterade inloggningsuppgifter var den initiala åtkomstvektorn i 22 procent av intrången och att 88 procent av attackerna mot grundläggande webbapplikationer involverade stulna inloggningsuppgifter. Tillgången kommer i allt större utsträckning från infostealer-skadlig kod som samlar in autentiseringsuppgifter från infekterade enheter.
Dessa attacker är utformade för att vara tysta. Vanligtvis testas varje stulen inloggningsuppgift endast en gång mot ett specifikt konto. På så sätt smälter försöken in i vanlig inloggningstrafik och utlöser sällan de spärrmekanismer som är byggda för att stoppa brute force-attacker. Konsekvensen för upptäckt är allvarlig. IBM:s forskning om kostnaderna för dataintrång 2025 visade att intrång som började med komprometterade inloggningsuppgifter tog längst tid att identifiera och begränsa, omkring 292 dagar.
Multifaktorautentisering är fortfarande avgörande, men som Fialas fall visar räcker den inte på egen hand. De kringgående metoder som spelar störst roll i praktiken är MFA fatigue, nätfiskebara engångskoder, SIM-swapping, stöld av sessionstoken, missbruk av OAuth-samtycke och svaga processer för kontoåterställning. Just kontoåterställning är den dörr som många organisationer glömmer att låsa. Funktionen finns till för att släppa in någon igen när personen har förlorat sina inloggningsuppgifter, vilket samtidigt gör den till en av de mest attraktiva angreppspunkterna i hela autentiseringsflödet.
Praktiska kontroller att gå igenom den här månaden
För alla organisationer med en offentlig röst är följande punkter värda att verifiera innan valrörelsen går in i sina sista veckor.
- Inventera vilka som kan publicera i organisationens namn: Kartlägg varje konto, varje schemaläggningsverktyg, varje byrå och varje person med publicerings- eller administratörsbehörighet. De flesta organisationer upptäcker åtminstone en åtkomst som de inte längre kan motivera.
- Flytta privilegierade och publika konton till nätfiskeresistent autentisering: Använd passkeys eller fysiska säkerhetsnycklar i stället för SMS eller appgenererade koder för alla som kan publicera offentligt.
- Behandla kontoåterställning som en privilegierad åtkomstväg: Testa den på samma sätt som en vanlig inloggning. Bekräfta att helpdeskprocesser inte kan manipuleras av någon med en trovärdig historia och personuppgifter som är offentligt tillgängliga.
- Övervaka avvikande sessionsbeteende, inte bara misslyckade inloggningar: En lyckad autentisering från en oväntad plats, enhet eller tidpunkt är den signal som spelar roll när angriparen redan har giltiga autentiseringsuppgifter.
- Öva på incidenthanteringen: Bestäm i förväg vem som verifierar om ett inlägg är äkta, vem som kontaktar plattformen, vem som publicerar rättelsen och genom vilken kanal. Etablera en verifieringsväg som publiken redan litar på och som inte är samma kanal som har komprometterats.
- Informera medarbetarna om syntetiska medier: Röstkloning och videomanipulation har gått från demonstrationer till rutinmässig användning. Medarbetare som kan godkänna betalningar eller göra offentliga uttalanden måste förstå att en välbekant röst i ett samtal inte längre är bevis på identitet.
Ett nytt regulatoriskt landskap
Det finns ytterligare en anledning till att det här valet skiljer sig från tidigare val. Artikel 50 i EU:s AI-förordning, som fastställer transparenskrav för leverantörer och användare av generativa och interaktiva AI-system, inklusive deepfakes, började tillämpas den 2 augusti 2026. Kraven omfattar märkning och möjligheten att identifiera AI-genererat innehåll samt märkning av deepfakes och vissa AI-genererade publikationer som rör frågor av allmänintresse. Bristande efterlevnad kan leda till böter på upp till 15 miljoner euro eller 3 procent av den totala globala årsomsättningen, beroende på vilket belopp som är högst.
Det svenska riksdagsvalet blir därmed det första nationella valet i landet som hålls under denna reglering, tre veckor efter att reglerna började tillämpas. Reglerna binder legitima aktörer snarare än fientliga aktörer, vilket begränsar vad de faktiskt kan förhindra. Det de förändrar är grundförväntningen. Omärkt syntetiskt innehåll är nu en efterlevnadsfråga för organisationer som verkar inom EU, inte bara en etisk fråga.
Poängen är verifiering, inte förutsägelse
Ingen kan med säkerhet säga vad som kommer att hända under de tre veckorna före den 13 september. MPF:s bedömning pekar på en lägre sannolikhet för en koncentrerad kampanj riktad mot Sverige än under vissa tidigare år, och den bedömningen bör tas på allvar snarare än ignoreras.
Det som däremot kan sägas med säkerhet är att kostnaden för att genomföra den här typen av operation har sjunkit kraftigt, att ett kapat autentiskt konto har betydligt större trovärdighet än något som skapats från grunden och att de organisationer som hanterar en sådan incident bäst är de som redan i förväg har bestämt hur de ska bevisa vad som är äkta.
Upptäckt i maskinhastighet spelar roll, och leverantörer som argumenterar för det har en poäng. Men det arbete som i slutändan avgör hur en sådan incident slutar är mindre spektakulärt: att veta vem som har åtkomst, hur organisationen verifierar vad som är äkta och hur den snabbt återtar kontrollen över sin offentliga röst.
This post is also available in:
English
