Femton dagar, fem svenska incidenter
Oktober är Cybersäkerhetsmånaden. Vi har kommit halvvägs in i månaden, och Sverige har redan levererat material till en hel kurs i cybersäkerhet.
Den 1 oktober stängde en skånsk kommun ner alla sina system. Samma dag blev multifaktorautentisering (MFA) och intrångsdetektering lagkrav genom de nya svenska reglerna för NIS2. Kvällen därpå visade en kommuns webbplats en animefigur som hånade kommunens ansvariga. Falska mejl i 1177:s namn började spridas och vilseleda mottagarna. Och en domstol dömde en vårdadministratör för att ha öppnat 129 patientjournaler av ren nyfikenhet.
Inget av detta krävde en nolldagssårbarhet eller en statligt stödd hackergrupp. I samtliga fall handlade det om grundläggande säkerhetsåtgärder som antingen fungerade eller brast. Vi har rapporterat om alla fem händelserna i vår nyhetssektion om cybersäkerhet.
Det viktigaste i korthet
- Fem svenska incidenter under de första två veckorna av Cybersäkerhetsmånaden 2026 visar på brister i grundläggande säkerhetsarbete snarare än avancerade attacker.
- Sedan den 1 oktober gäller nya svenska NIS2-regler med krav på bland annat MFA, intrångsdetektering och utbildning av ledningen.
- Offentlig sektor och vården hörde till de mest drabbade områdena.
- Lösningen börjar med grunderna: reservrutiner som fungerar även utan it-system, MFA, regelbundna behörighetsgranskningar och kontinuerlig loggövervakning.
Översikt: fem svenska incidenter
| Datum | Incident | Vad hände | Lärdomen |
|---|---|---|---|
| 1 okt | Ransomware i Svedala | Alla system nedstängda, omsorgen på papper | Planera för drift utan it |
| 1 okt | Nya NIS2-krav | MFA, intrångsdetektering och utbildning av ledningen blev lag | Grunderna är nu lagkrav |
| 2 okt | Nyköpings webbplats hackad | En animebild låg ute på nykoping.se i cirka 30 minuter | Vet vem som kan publicera på er webbplats |
| 5 okt | Falska 1177-mejl | Falska erbjudanden, inloggningslänkar och kalenderinbjudningar | Rensa kalendern, inte bara inkorgen |
| 6 okt | Dom i Region Östergötland | 129 journaler öppnade av nyfikenhet | Loggar upptäcker sent, behörigheter förebygger |
1. Svedala: när alla system släcks
Natten till den 1 oktober tog sig en angripare in i Svedala kommuns nätverk. Kommunen stängde ner alla sina digitala system. E-tjänsterna slutade fungera och hemtjänsten gick över till papper och penna. Kommundirektören uppgav för SVT att det verkade röra sig om en ransomwareattack. När vi rapporterade den 2 oktober hade inget krav på lösensumma framförts.
Varningssignalerna fanns dokumenterade redan tidigare. En granskning från KPMG 2022 visade att väsentliga informationssäkerhetsåtgärder inte hade vidtagits, och årsredovisningen för 2025 pekade ut it-säkerheten som en risk. Det som gjorde att omsorgen kunde fortsätta var en krisledningsplan från oktober 2025.
Ställ er frågan: Om ni drog ur sladden i kväll, vilka verksamheter skulle fungera i morgon bitti, och vem skulle fatta besluten? Enligt cybersäkerhetslagen börjar också tidsfristerna för incidentrapportering att löpa: en tidig varning ska lämnas inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport inom en månad.
2. Nya NIS2-krav: grunderna är nu lag
Samma dag trädde MCFFS 2026:11 i kraft, en föreskrift som preciserar de tekniska kraven enligt NIS2 i Sverige. Verksamhetsutövare som klassas som väsentliga eller viktiga måste nu ha intrångsdetektering i sina produktionsnätverk och MFA för administratörer och alla som ansluter externt till systemen. Kraven omfattar även loggning, DNSSEC, snabb installation av säkerhetsuppdateringar och utbildning av ledningen.
Kravet på realtidsövervakning är mindre långtgående: verksamhetsutövarna behöver bara identifiera och hantera behovet av sådan övervakning. Men den 22 september beslutade IMY att ta ut en sanktionsavgift på 1,8 miljoner kronor av Miljödata, delvis för att sådan övervakning saknades. Att avstå från övervakning är alltså ett beslut som styrelsen bör ha tagit ställning till.
Ställ er frågan: Kan er styrelse i dag visa att den har fått utbildning och en säkerhetsgenomgång under året?
3. Nyköping: en halvtimme på fel startsida
Vid 20.30-tiden fredagen den 2 oktober möttes besökare på nykoping.se av L från animen Death Note och ett hånfullt budskap: ”Tänk att bli hackad 2026, ni borde fixa det här.” Strax efter 21.00 var bilden borta. I sitt uttalande efter incidenten uppgav kommunen inte hur webbplatsen hade manipulerats.
Att upptäcka och åtgärda problemet inom en halvtimme en fredagskväll tyder på att bevakningen fungerade. Den större risken är mer svårupptäckt: den som kan publicera en bild på webbplatsen kan också ändra ett telefonnummer eller en betallänk.
Ställ er frågan: Vem kan publicera innehåll på er webbplats, varifrån kan personen göra det och används MFA? Ett penetrationstest av ert CMS och er webbhotellsmiljö kan ge svaren innan en angripare hittar och utnyttjar bristerna.
4. Falska 1177-mejl: fällan som överlever raderingen
Bedragare skickar mejl som utger sig för att komma från 1177. De innehåller erbjudanden om rabatter, uppmaningar att logga in eller kalenderinbjudningar som automatiskt läggs till i mottagarens kalender. Enligt 1177:s egen vägledning skickar 1177 aldrig klickbara inloggningslänkar, med undantag för länkar till videomöten eller enkäter för patienter som har en pågående vårdkontakt.
Det är kalenderinbjudningarna som it-avdelningen bör oroa sig för. Forskare på Barracuda har visat att kalenderposten ofta ligger kvar även när mejlet har raderats eller placerats i karantän. Om inbjudan skickas till en jobbmejladress hamnar fällan bland de legitima mötena i kalendern.
Ställ er frågan: När ert e-postfilter placerar ett meddelande i karantän, tas kalenderposten då också bort? Ta med det här scenariot i er utbildning i säkerhetsmedvetenhet.
5. Region Östergötland: sex månader innan någon upptäckte intrånget
Mellan november 2022 och maj 2023 öppnade en administratör vid en psykiatrisk klinik i Linköping 129 patientjournaler som tillhörde omkring 100 patienter. I rätten förklarade hon att hon var nyfiken. Den 6 oktober 2026 dömdes hon till villkorlig dom, och 36 patienter tilldelades sammanlagt 288 000 kronor i skadestånd.
Regionens loggkontroller avslöjade henne, men först efter sex månader. Fram till oktober 2026 har ytterligare tre personer inom svensk hälso- och sjukvård dömts för liknande obehörig åtkomst till patientjournaler. I samtliga fall hade journalerna redan lästs innan någon upptäckte det.
Ställ er frågan: Välj en roll i er verksamhet. Hur många av de patientjournaler som personer i den rollen öppnade förra månaden hade ett legitimt arbetsrelaterat syfte? Frågan är relevant för alla verksamheter som hanterar känsliga uppgifter.
Vad de fem har gemensamt
Tre av de fem incidenterna drabbade offentlig sektor, och två berörde vården. Kommuner och regioner hanterar känsliga uppgifter, bedriver samhällsviktig verksamhet och har ofta små it-avdelningar. Det stämmer överens med den större bilden: Enligt ENISA:s rapport Threat Landscape 2026 var den offentliga förvaltningen den mest angripna sektorn i EU, med 32 procent av de registrerade incidenterna.
Det andra mönstret är tiden det tog att upptäcka incidenterna. I Nyköping upptäcktes intrånget inom 30 minuter. I Östergötland tog det sex månader innan den obehöriga åtkomsten upptäcktes. När vi rapporterade om Svedala den 2 oktober hade kommunen inte berättat hur angriparen tog sig in. Skillnaden handlar till stor del om huruvida någon övervakar loggarna dygnet runt. Det är precis vad en MDR-tjänst (Managed Detection and Response) med tillhörande SOC-funktion (Security Operations Center) är utformad för att möjliggöra.
En kort checklista för Cybersäkerhetsmånaden
Hinner ni bara sex saker i oktober, gör de här:
- Skriv ner vilka verksamheter som måste fungera om it ligger nere och testa pappersrutinen en gång.
- Kontrollera att MFA täcker alla administratörskonton och alla externa anslutningar, även leverantörernas.
- Lista alla som kan publicera på er webbplats och ta bort konton som ingen använder.
- Kontrollera att mejl i karantän också tar med sig sina kalenderposter.
- Granska en rolls åtkomst till känsliga uppgifter mot det faktiska arbetsbehovet.
- Boka styrelsens årliga säkerhetsgenomgång innan året är slut.
Vanliga frågor
När är Cybersäkerhetsmånaden?
Varje oktober. I Europa genomförs den som European Cybersecurity Month, med stöd av ENISA och EU-kommissionen. Det är ett bra tillfälle att testa grunderna, fräscha upp personalens utbildning och informera styrelsen.
Vad är MCFFS 2026:11?
MCFFS 2026:11 är Myndigheten för civilt försvars (MCF) föreskrifter om säkerhetsåtgärder och ledningens utbildning för väsentliga och viktiga verksamhetsutövare enligt cybersäkerhetslagen. De trädde i kraft den 1 oktober 2026. Läs föreskrifterna (PDF).
Vad kräver de svenska NIS2-reglerna från den 1 oktober 2026?
MCFFS 2026:11 kräver att väsentliga och viktiga verksamhetsutövare har intrångsdetektering i produktionsmiljön, MFA för administratörer och extern åtkomst, loggar och analyserar åtkomstförsök, patchar snabbt och utbildar ledningen. Vår sida om NIS2 beskriver hela omfattningen.
Hur vet jag om ett mejl från 1177 är äkta?
Ett äkta meddelande från 1177 säger att du har fått ett meddelande i inkorgen, ber dig logga in på 1177.se och innehåller ingen klickbar länk. Erbjudanden, rabatter, inloggningslänkar och kalenderinbjudningar är falska. Radera både mejlet och kalenderposten. Läs 1177:s egen vägledning.
Medvetenhet är bara första steget
Cybersäkerhetsmånaden gör mest nytta när den slutar med att något har förändrats, inte bara med att något har lästs. Välj en fråga från artikeln och besvara den för er egen organisation före den 31 oktober.
Vill ni komma igång snabbt visar vår gratis domänkontroll vilka av era anställdas inloggningsuppgifter som redan cirkulerar på nätet. För något större, boka en genomgång. I vår Cyber News-sektion bevakar vi nordiska incidenter när de händer.
This post is also available in:
English
