Efter frysattackerna: Här är säkerhetsbristerna som företagen missar

Exakt hur angriparna tog sig in i de svenska butikernas system är ännu inte helt klarlagt men två proryska hackergrupper har tagit på sig ansvaret för attackerna.

Enligt Johan Nordin, partner och storkundsansvarig på Evolvit, och Joakim Berghman, vd för säkerhetsföretaget Mentcon, illustrerar händelserna ett betydligt bredare säkerhetsproblem.

– Det finns ingen heltäckande statistik, men vår erfarenhet är att det är mycket vanligt, säger de till Techtidningen om företag som saknar full kontroll över externa leverantörers åtkomst.

Ansvaret faller mellan stolarna

Kylsystem, ventilation, larm, produktionsutrustning och affärssystem är exempel på teknik som ofta underhålls av externa leverantörer på distans.

Enligt Johan Nordin och Joakim Berghman är problemet att åtkomsten många gånger finns kvar långt efter att installationen eller serviceuppdraget har avslutats.

– Åtkomsten sätts upp vid installationen och lever sedan kvar i åratal, ofta utan att någon på företaget vet vilka konton som finns, vem som använder dem eller hur de skyddas.

De menar att bristerna sällan handlar om medvetet slarv, utan snarare om otydlig ansvarsfördelning.

It-avdelningen kan betrakta utrustningen som fastighetssidans ansvar, medan fastighetsansvariga förutsätter att leverantören sköter säkerheten. Leverantören arbetar i sin tur utifrån vad som står i avtalet. Resultatet kan då bli att ingen har en samlad bild av vem som faktiskt kan ansluta till systemen.

Här finns de vanligaste bristerna

Bland de vanligaste säkerhetsbristerna som experterna säger sig upptäcka finns några klassiska säkerhetsfällor som standardlösenord, delade användarkonton och utrustning som är direkt åtkomlig från internet.

Andra återkommande problem är avsaknad av multifaktorautentisering, gamla leverantörskonton som aldrig stängs och programvara som inte uppdateras.

Ytterligare en risk är att uppkopplad utrustning delar nätverk med företagets övriga system. Om en angripare får tillgång till ett styrsystem kan det finnas möjlighet för hackarna att ta sig vidare till andra delar av verksamheten.

Bristande övervakning är också ett problem. Utan loggning och larm kan obehöriga anslutningar eller förändringar av inställningar förbli oupptäckta.

– Den största risken är att leverantörens åtkomst blir angriparens väg in, till exempel om leverantörens konto eller dator kapas.

Tre åtgärder som it-chefen bör prioritera

För att minska riskerna rekommenderar Johan Nordin och Joakim Berghman att företagen börjar med tre grundläggande åtgärder.

Det första steget är att inventera vilka system och vilken utrustning som kan nås utifrån och kartlägga vilka leverantörer som har åtkomst.

– Man kan inte skydda det man inte vet om.

Nästa steg är att stänga anslutningar som inte längre behövs, byta standardlösenord och införa multifaktorautentisering. Leverantörer bör ansluta via lösningar som företaget självt kontrollerar och kan stänga av.

Den tredje åtgärden är att separera uppkopplad utrustning från den övriga it-miljön och införa övervakning av inloggningar och förändringar.

För särskilt kritiska styrsystem kan även så kallade datadioder vara ett alternativ. Tekniken tillåter information att skickas i en riktning, exempelvis för övervakning, men hindrar styrkommandon från att skickas tillbaka samma väg.

Enligt experterna hade en sådan lösning kunnat göra det möjligt för butikerna att övervaka frysarna på distans utan att någon kunde ändra temperaturen via övervakningsanslutningen.

Den tekniken är dock dyrare och främst aktuell där ett angrepp riskerar att orsaka särskilt allvarlig skada.

Nya krav påverkar även företag utanför lagen

Samtidigt har införandet av cybersäkerhetslagen inneburit nya krav på svenska verksamheter. Lagen började gälla den 15 januari 2026 och kompletterades den 1 oktober med föreskrifter som preciserar kraven på bland annat riskhantering och säkerhetsåtgärder.

Men enligt Johan Nordin och Joakim Berghman är det fortfarande många företag som inte har förstått att de omfattas.

– Snart ett år efter att cybersäkerhetslagen började gälla möter vi fortfarande många företag som inte vet att de omfattas och därför inte har anmält sig.

De uppger dock att företag som redan har förberett sig för de nya reglerna har börjat ställa högre krav på sina leverantörer. Det innebär att även verksamheter som inte själva omfattas av lagen kan behöva visa hur de arbetar med informationssäkerhet för att kunna delta i upphandlingar.

Enligt experterna har det exempelvis blivit allt vanligare att leverantörer inom byggbranschen behöver kunna visa upp ett strukturerat säkerhetsarbete trots att de inte direkt omfattas av cybersäkerhetslagen.

Säkerhetsarbetet behöver inte börja med stora investeringar

För de företag som rör sig med mer begränsade resurser rekommenderar Johan Nordin och Joakim Berghman att börja med relativt enkla åtgärder.

Det handlar bland annat om att utse en ansvarig i ledningen, införa multifaktorautentisering, stänga gamla åtkomster och testa att kritiska system faktiskt kan återställas från säkerhetskopior.

De lyfter även fram utbildning som en viktig del av säkerhetsarbetet.

– Viktigast av allt är att utbilda alla medarbetare, det behöver inte alltid kosta något.

Som exempel nämner de att Myndigheten för civilt försvars erbjuder en kostnadsfri digital utbildning, Disa, som tar omkring 25 minuter att genomföra och är tänkt att ge grundläggande kunskaper om informationssäkerhet.

Experternas rekommendation är att göra utbildningen obligatorisk och återkommande, även för konsulter och inhyrd personal.