Morgonrapport – fredag 4 september 2026, kl. 06.00

Morgonrapport 06.00 – fönster 22.00 den 3 september till 06.00 den 4 september 2026

Morgonpasset täcker 22.00 den 3 september till 06.00 den 4 september 2026. En extra dygnssammanställning gjordes klockan 02.00 i natt, och den här rapporten redovisar därför främst det som tillkommit sedan dess, med tyngdpunkt på timmarna 02.00–06.00. Natten dominerades av ett bekräftat angrepp i leveranskedjan mot Coders modulregister, av ett tredje misstänkt sabotageförsök mot tyska transformatorstationer på en vecka och av en tät ström kritiska sårbarheter ur NVD, Microsoft och Google.

Nyckeltal: 20 händelser, varav 1 akuta (N4) och 5 förhöjda (N3). 13 av 16 bevakade verksamheter berörs.

Händelser

1. Coder bekräftar att företagets registerinfrastruktur kapades och levererade skadliga Terraform-moduler

Klassning: A1 · K3 · N4 · tekniskt beroende

Coder uppger i ett säkerhetsmeddelande att en okänd angripare tog sig in i företagets Cloudflare-miljö och lade till obehöriga ip-adresser i den serverpool som betjänar modulregistret registry.coder.com. Enligt Coder levererade de obehöriga servrarna manipulerade Terraform-moduler som innehöll kod för att stjäla autentiseringsuppgifter, och BleepingComputer skriver att leveransfönstret varade den 31 augusti 2026 mellan 07.35 och 21.45 UTC. Coder uppger att modulerna sökte efter miljövariabler och hemligheter hos provisionern, api-nycklar till molninfrastruktur och AI-verktyg, uppgifter för CI/CD, hemligheter i konfigurationsfiler och terminalhistorik samt OIDC-token, och att det insamlade skickades vidare till den efterliknande domänen coder-infra[.]com. Coder uppger också att företaget inte säkert kan peka ut varje komprometterad driftsättning, eftersom angriparnas infrastruktur låg utanför Coders kontroll och viktiga loggar saknas.

Status: Bekräftad av leverantören. Kontrollera nästa pass om Coder publicerar indikatorer på intrång och en lista över berörda moduler, och om någon svensk verksamhet går ut med besked.

Källa: BleepingComputer, med Coders eget säkerhetsmeddelande som underlag – publicerad 3 september 2026 kl. 22.04
https://www.bleepingcomputer.com/news/security/coders-registry-infrastructure-compromised-to-push-malicious-modules/

Elektroniska kommunikationer och post – Coder används för att köra utvecklingsmiljöer i molnet, och modulregistret är den plats varifrån mallar hämtas när en miljö startas. En verksamhet som hämtade moduler under leveransfönstret kan ha fått api-nycklar till sin molninfrastruktur och sina uppgifter för CI/CD utlämnade, vilket ger angriparen väg vidare in i den egna driftmiljön. Det här är ett angrepp i leveranskedjan där ursprungsvalidering av hämtade artefakter är den kontroll som brister.
Ordning och säkerhet – Röjda hemligheter i en utvecklings- eller driftmiljö hos en verksamhet som omfattas av cybersäkerhetslagen (2025:1506) kan vara en betydande incident som ska rapporteras till Nationellt cybersäkerhetscenter, NCSC, via Cyberportalen. Att byta alla hemligheter som kan ha exponerats, gå igenom loggar för utgående trafik mot coder-infra[.]com och ha en fastställd rutin för brådskande åtgärd hör till det systematiska arbetet i NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).

2. Tredje misstänkta sabotageförsöket mot tyska elnätet på en vecka – föremål hittat vid transformatorstation i Dormagen

Klassning: B2 · K2 · N3 · liknande verksamhet drabbad

En förbipasserande hittade ett misstänkt föremål vid en transformatorstation i Dormagen mellan Köln och Düsseldorf och larmade polisen, rapporterar Westdeutscher Rundfunk enligt Göteborgs-Posten. Polisens talesperson Claudia Suthor säger till Westdeutscher Rundfunk att ingen skada har skett och att det är oklart om föremålet hade kapacitet att orsaka någon skada. Det är tredje gången under veckan som tysk polis utreder ett misstänkt sabotageförsök mot elnätet: på måndagskvällen lades kablar ovanpå elledningar vid en transformatorstation i Bergheim knappt tre mil bort, och på tisdagen hittades flera sprängladdningar vid en transformatorstation kopplad till kolkraftverket Jänschwalde i Brandenburg. Tysk polis utreder händelserna som möjligt terrorbrott.

Status: Utvecklas. Kontrollera nästa pass om tyska förbundsåklagaren tar över utredningen och om någon aktör pekas ut.

Källa: Göteborgs-Posten och TT, med Westdeutscher Rundfunk som underlag; återgiven av Dagens industri 4 september 2026 kl. 05.56 – publicerad 3 september 2026, klockslag anges ej av källan
https://www.gp.se/nyheter/varlden/nytt-misstankt-sabotageforsok-i-tyskland.16b80708-835c-55e5-9afb-45840596ba9c

Energiförsörjning – Tre försök mot transformatorstationer på en vecka visar att angripare väljer de punkter i elnätet som är obemannade, står i öppen terräng och saknar annat skydd än ett stängsel. Svenska elnätsföretag driver samma typ av stationer under samma förutsättningar, och en kortslutning eller sprängladdning vid en station kan slå ut matningen till ett helt område. Ökat skyddsbehov och rondering vid obemannade stationer är den närmast liggande åtgärden.
Ordning och säkerhet – Bevakning och fysiskt skydd av samhällsviktig verksamhet berörs direkt. Ett angrepp mot en anläggning som utgör skyddsobjekt är ett säkerhetsskyddsärende som kan kräva samråd med Säkerhetspolisen eller berörd tillsynsmyndighet.

3. Tre kritiska kommandoinjektioner i D-Links nätverkslagring – exploateringskoden är offentlig

Klassning: A2 · K3 · N3 · tekniskt beroende

NVD publicerade under natten tre kritiska brister i D-Links nätverkslagring. CVE-2026-85223 med CVSS 9,9 ligger i /cgi-bin/dropbox.cgi i DNS-340L 1.01B04, där argumenten callback_url och sync_interval kan manipuleras till kommandoinjektion i operativsystemet. CVE-2026-85222 med CVSS 9,1 finns i /cgi-bin/addon_center.cgi i samma modell, och CVE-2026-85224 med CVSS 9,1 i /cgi/file_sharing.cgi i DNS-320 ShareCenter 2.06B01. NVD uppger för samtliga tre att angreppet kan utföras över nätverket och att exploateringen redan är offentliggjord.

Källa: NVD, National Vulnerability Database – publicerad 4 september 2026 kl. 00.18, den tredje posten 3 september 2026 kl. 23.17
https://nvd.nist.gov/vuln/detail/CVE-2026-85223

Elektroniska kommunikationer och post – Berörda modeller är gamla lagringsenheter som ofta står kvar i mindre kontor, skolor, vårdmottagningar och tekniska utrymmen långt efter att någon slutat sköta dem. Kommandoinjektion utan inloggning ger angriparen ett fotfäste i det interna nätet och en plattform för fortsatta angrepp. Inventering av gammal nätverksutrustning som är nåbar från internet är en grundläggande del av att identifiera och analysera enligt NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
Förskola, utbildning och forskning – Skolor och förskolor är den verksamhetstyp där den här typen av utrangerad lagringsutrustning oftast lever kvar utan ägare. Ett intrång kan innebära att elevuppgifter röjs, vilket är en personuppgiftsincident som ska anmälas till Integritetsskyddsmyndigheten.

4. Kritisk brist i python-jose gör det möjligt att förfalska signerade token

Klassning: A2 · K3 · N3 · tekniskt beroende

NVD publicerade CVE-2026-85394 med CVSS 9,1, en brist i biblioteket python-jose till och med version 3.5.0. Enligt NVD validerar biblioteket inte asymmetriska nycklar korrekt när HMAC initieras, utan godtar DER-kodade publika nycklar som saknar PEM-hölje eller SSH-prefix. En angripare som har tjänstens publika nyckel kan därmed förfalska HS256-token som passerar verifieringen, om algoritmerna inte är uttryckligen begränsade. NVD anger att rättningen av CVE-2024-33663 var ofullständig och att bristen kvarstår.

Källa: NVD, National Vulnerability Database – publicerad 3 september 2026 kl. 21.17
https://nvd.nist.gov/vuln/detail/CVE-2026-85394

Legitimering – python-jose används för att signera och verifiera JWT-token i inloggnings- och api-lösningar. En förbigång av autentisering på den här nivån innebär att en angripare kan utfärda giltiga token för vilken användare som helst och därmed ta sig förbi inloggningen helt. Verksamheter som byggt e-tjänster ovanpå biblioteket bör låsa tillåtna algoritmer och uppdatera.
Elektroniska kommunikationer och post – Biblioteket ingår ofta som ett indirekt beroende i pythonbaserade api-tjänster, vilket gör att en verksamhet kan vara berörd utan att ha valt komponenten själv. Att kunna svara på frågan vilka programvarudelar som faktiskt körs är förutsättningen för att kunna åtgärda, och hör till det systematiska arbetet i NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).

5. Microsoft publicerade 23 Chromium-brister som också berör Edge

Klassning: A2 · K3 · N3 · tekniskt beroende

Microsoft Security Update Guide publicerade natten till fredagen 23 sårbarheter i Chromium som förs vidare till Edge. Bland dem finns felaktig behörighetskontroll i Navigation, FileSystem, TabStrip, SiteSettings, Autofill, Actor och Chromoting, användning efter frigörande i Browser, WebRTC, Proxy, TabStrip och Shared Tab Groups, buffertspill i GPU samt informationsläckage i Skia och MediaCapture. Microsoft anger CVE-2026-84359 som fastställd i Chromium 152.0.7977.76. Google Chrome Releases publicerade under samma fönster en tidig stabil uppdatering för skrivbord med version 153.0.8010.27 och .28 för Windows.

Källa: Microsoft Security Update Guide och Google Chrome Releases – publicerad 4 september 2026 kl. 01.58 och kl. 01.59, Chrome Releases 3 september 2026 kl. 22.14
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-84359

Elektroniska kommunikationer och post – Webbläsaren är den enskilt mest exponerade programvaran i en verksamhet och den plats där de flesta angrepp mot personal landar. Felaktig behörighetskontroll i filsystem och automatisk ifyllning kan ge en angripare läsning av lokala filer och sparade uppgifter från en enda besökt sida. Uppdatering bör rullas ut under dagen i den centrala klienthanteringen.
Demokrati och beredskap – Offentlig förvaltning arbetar i dag till stor del i webbaserade verksamhetssystem, vilket gör webbläsaren till den gemensamma ytan mot alla dessa system. En infekterad klient hos en handläggare ger angriparen samma åtkomst som handläggaren har. För kommuner finns samlat stöd hos NCSC (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/cybersakerhet-i-kommuner/).

6. Nerikes Allehanda: vårdcentralen i Nora anlitar väktare efter hot med skarpt föremål och vätska

Klassning: C2 · K1 · N3 · direkt verksamhetspåverkan

Nerikes Allehanda skriver att vårdcentralen i Nora måste anlita väktare efter hot med ett skarpt föremål och en vätska. Tidningen skriver i ingressen att samma person tidigare har skrämt anställda på kommunhuset. Uppgifterna kommer från Nerikes Allehanda genom reportern Anna Levin och är inte bekräftade av Nora kommun eller Region Örebro län i det material som finns i fönstret. Händelsen ansluter till de tidigare rapporterade uppgifterna om att Nora kommunhus utrymdes efter hot och att facket krävde skyddsstopp.

Status: Tidig signal i utveckling. Kontrolleras nästa pass mot Region Örebro län, Nora kommun och Arbetsmiljöverket om skyddsstopp eller skyddsåtgärder utfärdas även för vårdcentralen.

Källa: Nerikes Allehanda – publicerad 4 september 2026 kl. 04.57
https://www.na.se/nora/hot-mot-vardpersonal-skarpt-foremal-och-vatska/

Hälsa, vård och omsorg – En vårdcentral som behöver köpa in bevakning för att kunna hålla öppet har fått en direkt verksamhetspåverkan: personalen arbetar under hot, kostnaderna ökar och mottagningen kan behöva begränsa tillgängligheten. Enligt Nerikes Allehanda rör det sig om en återkommande person, vilket gör att risken kvarstår över tid och inte försvinner med en enskild insats.
Ordning och säkerhet – Bevakning och fysiskt skydd av samhällsviktig verksamhet berörs. Ett återkommande hot mot en vårdmottagning kräver samordning mellan huvudman, polis och bevakningsleverantör, och kan leda till arbetsmiljöärende om skyddsåtgärderna inte räcker.

7. Hårdkodade uppgifter i SmartIT Desktop Manager ger fjärråtkomst till klientdatorer utan inloggning

Klassning: A2 · K3 · N2 · tekniskt beroende

NVD publicerade tre brister i klienthanteringsprogramvaran SmartIT Desktop Manager från Lightstar. CVE-2026-85148 med CVSS 9,8 innebär enligt NVD att en angripare utan inloggning kan använda ett fast lösenord för att nå användarnas datorer på distans. CVE-2026-85146 med CVSS 9,8 gör att uppgifter för SSH-tjänstkontot i agenten går att läsa direkt ur programkoden, och CVE-2026-85149 med CVSS 5,3 att uppgifter för SFTP-tjänsten går att läsa på samma sätt, vilket ger en angripare möjlighet att bläddra i filsystemet på den anslutna datorn.

Källa: NVD, National Vulnerability Database – publicerad 4 september 2026 kl. 05.17
https://nvd.nist.gov/vuln/detail/CVE-2026-85148

Elektroniska kommunikationer och post – Programvara för central klienthantering har per konstruktion administratörsbehörighet på varje ansluten dator. Hårdkodade uppgifter i en sådan produkt innebär att den som känner till lösenordet når hela klientparken på en gång. Produkten har sin huvudmarknad i Taiwan och bedöms ha begränsad spridning i Sverige, men mönstret är det som gör posten relevant: verktyget som ska sköta säkerheten blir angreppsvägen.

8. Franska dataskyddsmyndigheten bötfäller sjukhus med 500 000 euro efter intrång som berörde 727 000 personer

Klassning: B1 · K3 · N2 · regel och tillsyn

Frankrikes dataskyddsmyndighet CNIL har bötfällt Hôpital privé de la Loire i Saint-Étienne med 500 000 euro för bristande skydd av patientuppgifter, rapporterar BleepingComputer. Enligt CNIL utnyttjade en angripare bristerna sommaren 2025 och hämtade känsliga uppgifter om mer än 727 000 personer, varav 524 867 patienter och 202 246 personer som utsetts till betrodda tredje parter. CNIL hänför överträdelserna till artiklarna 32 och 34 i dataskyddsförordningen och konstaterar att sjukhuset vidtog flera säkerhetshöjande åtgärder under förfarandet. Sjukhuset ingår i vårdkoncernen Ramsay Santé och har enligt BleepingComputer 650 anställda och 333 vårdplatser.

Källa: BleepingComputer, med CNIL:s beslut som underlag – publicerad 4 september 2026 kl. 00.01
https://www.bleepingcomputer.com/news/security/french-hospital-fined-500-000-after-breach-exposes-data-of-727-000/

Hälsa, vård och omsorg – Beslutet visar vad ett intrång i ett journalsystem kostar även efter att uppgifterna inte spridits vidare. Angreppet började enligt uppgifter i fransk press med ett komprometterat läkarkonto som gav åtkomst till hela det interna systemet, vilket är samma svaga punkt som svenska vårdgivare har: en enda inloggning utan tillräcklig segmentering. Flerfaktorsautentisering och begränsad behörighet i journalsystem är den konkreta lärdomen.
Ordning och säkerhet – Ett motsvarande fall i Sverige innebär personuppgiftsincident som ska anmälas till Integritetsskyddsmyndigheten, och för vårdgivare som omfattas av cybersäkerhetslagen (2025:1506) även incidentrapportering till Nationellt cybersäkerhetscenter, NCSC, via Cyberportalen.

9. Bikupa datacenter i Boden avvecklas i rekonstruktion – kommunens fastighetsaffär på 105 miljoner kronor prövas av Inspektionen för strategiska produkter

Klassning: B1 · K3 · N2 · leverantörsberoende

SVT Nyheter Norrbotten skriver att Bikupa datacenter har beviljats företagsrekonstruktion och att bolaget i ansökan uppger att hyresavtalet för hangaren i Boden redan är uppsagt och att verksamheten ska avvecklas. Bodens kommun gav i juni 2026 klartecken till försäljningen av hangaren för 105 miljoner kronor, och affären ligger nu för prövning hos Inspektionen för strategiska produkter. Skatteverket kräver bolaget på sammanlagt 477 miljoner kronor i mervärdesskatt, räntor och avgifter efter bedömningen att kryptoutvinningen är undantagen från moms, och tvisten har tagits till Högsta förvaltningsdomstolen. Johanna Thörnblad, vd för Bikupa datacenter och Sverigechef för Hive, skriver i ett mejl till SVT att bolaget kommer att avveckla verksamheten i fastigheten och att Hive fortsätter satsningen i Boden på AI och högpresterande beräkning.

Status: Utvecklas. Rapporterades i föregående pass som ekonomisk kris i datacentersektorn. Nytt sedan dygnssammanställningen: kopplingen till Bodens kommun, köpeskillingen på 105 miljoner kronor och prövningen hos Inspektionen för strategiska produkter. Kontrolleras nästa pass mot beslut i prövningen.

Källa: SVT Nyheter Norrbotten – publicerad 4 september 2026 kl. 05.30
https://www.svt.se/nyheter/lokalt/norrbotten/boden-gor-105-miljonersaffar-med-vacklande-kryptobolag

Elektroniska kommunikationer och post – Datacentertjänster räknas till den digitala infrastrukturen. När en anläggning byter ägare, byter inriktning och samtidigt går igenom rekonstruktion uppstår en period då drift, bemanning och säkerhetsarbete är osäkra. Verksamheter som har beräkning eller lagring hos en aktör i det läget bör kontrollera vad avtalet säger om avveckling och överföring.
Ekonomisk säkerhet – Bodens kommun står som säljare i en affär på 105 miljoner kronor till en köpare inom en koncern där ett systerbolag är i rekonstruktion och har ett skattekrav på 477 miljoner kronor emot sig. Kommunen bär både en ekonomisk risk i affären och en förtroenderisk om prövningen hos Inspektionen för strategiska produkter leder till ett annat besked än väntat.

10. Strömavbrott i Vänersborg pågick över natten – cirka 1 420 anslutningar utan el

Klassning: C2 · K2 · N2 · direkt verksamhetspåverkan

Vattenfall uppger enligt driftsammanställningen på Avbrott.se att cirka 1 420 anslutningar i Vänersborg var utan el och att reparationen pågick med beräknad klartid klockan 03.30 den 4 september 2026. Avbrottet följde på ett tidigare avbrott i samma område under kvällen den 3 september, då ungefär 1 510 anslutningar berördes. Samma sammanställning redovisar flera avbrott under dygnet i Skellefteå, Stockholm, Mora och Norrtälje.

Källa: Avbrott.se, som sammanställer elnätsföretagens egen driftinformation, med Vattenfall som uppgiftslämnare – publicerad 3 september 2026, klockslag anges ej av källan; beräknad klartid 4 september 2026 kl. 03.30
https://avbrott.se/nyheter

Energiförsörjning – Ett avbrott som återkommer i samma område inom ett dygn tyder på ett kvarstående fel i nätet snarare än en enskild störning. Verksamheter i området bör räkna med att avbrottet kan upprepas och kontrollera att reservkraften startade som avsett.
Hälsa, vård och omsorg – Vård- och omsorgsboenden, hemtjänstens larmmottagning och mottagningar med kylkedja är de verksamheter som märker ett nattligt avbrott först. Att verifiera att trygghetslarm och kyl- och frysövervakning fungerade under avbrottet är en konkret uppföljningspunkt.

11. Lastbil i diket på E20 – bärgningen skjuts till kvällen och trafiken begränsas under dagen

Klassning: A1 · K3 · N2 · direkt verksamhetspåverkan

En lastbil har av okänd anledning hamnat i diket på E20, rapporterar SVT Nyheter Väst. Ingen person ska ha kommit till skada och fordonet ligger inte trafikfarligt. Jordan Isakov vid trafikledningscentralen uppger att bärgningen är ett omfattande arbete som inte är lämpligt att utföra när rusningstrafiken börjar, och att den därför flyttas till kvällen eller natten. Trafiken begränsas under tiden.

Källa: SVT Nyheter Väst – publicerad 4 september 2026 kl. 05.26
https://www.svt.se/nyheter/lokalt/vast/lastbil-har-valt-pa-e20-trafiken-begransad

Transporter – E20 är huvudstråket mellan Göteborg och Stockholm och bär en stor del av godstrafiken västerut. En begränsning som ligger kvar hela dagen och löses först på natten förskjuter leveranstider för både gods och kollektivtrafik i stråket.
Livsmedelsförsörjning och dricksvatten – Livsmedelsdistribution till butik och storhushåll körs på fasta fönster. En hel dag med begränsad framkomlighet på E20 innebär att leveranser förskjuts och att verksamheter med små lager, som skolkök och vårdkök, kan behöva ändra menyn.

12. Finland tidigarelägger drönarvarningar i nödappen 112 Suomi

Klassning: C2 · K1 · N2 · liknande verksamhet drabbad

Inrikesministeriet i Finland uppger för tidningen Maaseudun Tulevaisuus att en ny funktion i mobilappen 112 Suomi som varnar för hot från luften, särskilt drönare, kan tas i bruk redan vid årsskiftet, trots att projektets tidsfrist sträcker sig till slutet av nästa år. Ett separat system som tar emot faromeddelanden utan appen ska enligt samma uppgift bli klart i slutet av oktober. Uppgifterna återges av MTV Uutiset.

Källa: MTV Uutiset, med Maaseudun Tulevaisuus och finska inrikesministeriet som underlag – publicerad 3 september 2026, klockslag anges ej av källan; hämtad genom Traficoms bevakning 4 september 2026 kl. 04.00
https://www.mtvuutiset.fi/artikkeli/mt-droonivaroitukset-tulossa-112-sovellukseen-etuajassa/9387238

Räddningstjänst och skydd av civilbefolkningen – Finland bygger ut befolkningsvarningen med en egen kategori för hot från luften och tidigarelägger den. Sverige varnar i dag via Viktigt meddelande till allmänheten och SE-Alert utan motsvarande kategori. Utvecklingen är en tydlig signal om vilken händelsetyp som nordiska myndigheter nu planerar för, och bör följas av den som arbetar med varningsrutiner.
Demokrati och beredskap – Nyheter och samhällsinformation vid samhällsstörningar berörs. Ett nytt varningsslag kräver att verksamheter vet hur de själva ska agera på varningen och att informationen till allmänheten hänger ihop med myndighetens.

13. Ryska datacenteroperatörer bygger drönarskydd efter presidentdekret

Klassning: B2 · K1 · N2 · omvärldsläge

Risky Business rapporterar i sitt nyhetsbrev att Ryssland ålägger datacenter att införa drönarskydd. Enligt affärstidningen Kommersant har ryska datacenteroperatörer inlett en brådskande upprustning av det fysiska skyddet efter ett presidentdekret av den 24 augusti 2026, som gör det möjligt att ställa anläggningar inom kritisk infrastruktur under tillfällig statlig förvaltning om skyddsnivån inte bedöms tillräcklig. Uppgifterna kommer från rysk press och har inte bekräftats av någon oberoende part.

Status: Tidig signal. Kontrolleras nästa pass mot om motsvarande krav på fysiskt drönarskydd förs fram inom EU eller av svenska tillsynsmyndigheter.

Källa: Risky Business, med Kommersant som underlag – publicerad 4 september 2026 kl. 04.54
https://risky.biz/RBNEWS609/

Elektroniska kommunikationer och post – Datacenter har hittills skyddats mot inbrott och brand, inte mot hot från luften. Att en stat nu ställer krav på drönarskydd i den kategorin visar att hotbilden mot digital infrastruktur breddas till det fysiska rummet. Svenska anläggningar med samhällsviktig last bör åtminstone ha en bedömning av vad en drönare över taket innebär för kylning, reservkraft och personsäkerhet.

14. CISA avvecklar sex kostnadsfria säkerhetsbedömningar för samhällsviktig verksamhet

Klassning: B2 · K1 · N2 · regel och tillsyn

Cybersecurity Dive rapporterar att den amerikanska myndigheten CISA drar tillbaka sex kostnadsfria bedömningar som hittills erbjudits aktörer inom samhällsviktig verksamhet, och att myndighetens regionala personal inte längre kommer att utföra dem. Enligt Cybersecurity Dive motiveras beslutet med arbetsbelastning. Risky Business tar upp samma uppgift i sitt nyhetsbrev natten till fredagen och anger också att sex program avvecklas.

Källa: Cybersecurity Dive, återgiven av Risky Business – publicerad 3 september 2026, klockslag anges ej av källan; återgiven av Risky Business 4 september 2026 kl. 04.54
https://www.cybersecuritydive.com/news/cisa-cybersecurity-assessments-ending/829371/

Ordning och säkerhet – CISA:s kostnadsfria bedömningar har varit en referenspunkt även utanför USA, och underlaget från dem har använts i internationella rekommendationer som svenska verksamheter läser. När de försvinner minskar flödet av öppen, jämförbar information om brister i samhällsviktig verksamhet.
Demokrati och beredskap – En nedskalning hos den myndighet som samordnar amerikansk infrastrukturskydd påverkar det internationella samarbete som svensk krisberedskap lutar sig mot i delar. Effekten är långsam men värd att notera i planeringen.

15. Norwind Helm byggs om för dansk övervakning av kablar och rörledningar i Östersjön

Klassning: C2 · K1 · N2 · omvärldsläge

Intelligence Online skriver att Danmark arbetar med att utrusta fartyget Norwind Helm och göra om det till en plattform för övervakning av undervattensinfrastruktur i Östersjön. Fartyget köptes av det danska försvarsministeriets materielmyndighet och ska enligt tidigare besked från myndigheten ge Försvaret en ny förmåga till farvattensövervakning. Uppgifterna om tempot i ombyggnaden kommer från Intelligence Online och är inte bekräftade av danska myndigheter i det material som finns i fönstret.

Status: Tidig signal. Kontrolleras nästa pass mot besked från danska Forsvarsministeriets Materiel- og Indkøbsstyrelse om när fartyget tas i drift.

Källa: Intelligence Online – publicerad 3 september 2026, klockslag anges ej av källan
https://www.intelligenceonline.com/europe-russia/2026/09/03/copenhagen-races-to-equip-its-underwater-drone-carrier-to-protect-its-cables-in-the-baltic-sea,110870342-eve

Elektroniska kommunikationer och post – Sjökablarna i Östersjön bär en stor del av den svenska utlandstrafiken på internet. Att Danmark skyndar på en egen övervakningsförmåga säger något om hur hotet mot kablarna bedöms i regionen, och svenska operatörer bör räkna med fortsatt förhöjd risk för kabelbrott av annat än naturliga skäl.
Energiförsörjning – Samma havsbotten bär elförbindelser och gasledningar mellan Sverige och grannländerna. En störning där påverkar både överföringskapacitet och priser, och åtgärdstiden till havs är lång.

16. Åtal om systematisk korruption i privat vårdbolag i Örebro – 15,4 miljoner kronor i överfakturering

Klassning: A1 · K3 · N2 · regel och tillsyn

En tidigare vd för ett privat vårdbolag och tre andra personer står inför rätta i Örebro i en muthärva som Skatteverket upptäckte i en skatteutredning 2022, rapporterar SVT Nyheter Örebro. Enligt åtalet skickade två män bakom ett byggföretag och flera konsultbolag för höga eller felaktiga fakturor för arbeten åt vårdbolaget, och vd:n godkände dem, så att bolaget betalade omkring 15,4 miljoner kronor för mycket. Åklagaren menar att vd:n i gengäld fick privata förmåner värda omkring 5,3 miljoner kronor, bland annat båtar, en klocka, möbler och jaktresor. Polisens utredare Eva Andersson säger till SVT att utredningen har varit mycket omfattande och att det rör sig om storskalig systematisk korruption.

Källa: SVT Nyheter Örebro – publicerad 4 september 2026 kl. 05.30
https://www.svt.se/nyheter/lokalt/orebro/batkopet-avslojade-misstankta-miljonmutor-pa-vardbolag-i-orebro-storskalig-korruption

Hälsa, vård och omsorg – Privata vårdbolag utför uppdrag åt regioner och kommuner. Systematisk överfakturering i den kedjan innebär att medel avsedda för vård försvinner och att den offentliga huvudmannen kan behöva se över avtalsuppföljning och attestordning hos sina utförare.
Ordning och säkerhet – Fallet är ett exempel på insiderrisk i ledande ställning, där kontrollen brister för att den som ska granska fakturorna själv är part. Dömande och rättsvårdande verksamhet hanterar ärendet, och motsvarande upplägg hos en offentlig utförare skulle vara ett tillsynsärende.

17. Bedrägerikampanjen Phantom Deal riktar falska förvärvsaffärer mot ledande befattningshavare

Klassning: B2 · K1 · N2 · omvärldsläge

Säkerhetsföretaget Gen, moderbolag till Norton och Avast, uppger enligt Dark Reading att företaget själv utsattes för en kampanj som forskarna kallar Phantom Deal, där angripare iscensätter ett hemligt företagsförvärv för att förmå ett offer att föra över pengar. Enligt Gen kontaktades en medarbetare i den juridiska funktionen via WhatsApp av någon som utgav sig för att vara en av bolagets chefer, och en annan angripare utgav sig för att vara mellanhand på PricewaterhouseCoopers. Angriparna tog fram ett sekretessavtal med PwC:s varumärke som krävde att all kommunikation skulle ske via WhatsApp och privata e-postadresser, och begärde därefter en betalning på 626 735,45 euro till ett bolag i Hongkong. Gen uppger att metadata i det förfalskade avtalet gjorde det möjligt att hitta fyra andra mål, och att motsvarande upplägg använt varumärkena KPMG och Ogier.

Status: Tidig signal om metod. Kontrolleras nästa pass mot om nordiska aktörer rapporterar samma upplägg.

Källa: Dark Reading, med säkerhetsföretaget Gen som uppgiftslämnare – publicerad 3 september 2026 kl. 22.18
https://www.darkreading.com/cyberattacks-data-breaches/large-enterprises-fake-merger-acquisition-scams

Finansiella tjänster – Upplägget angriper betalningsförmedlingen genom människan i stället för genom systemet: sekretess kring en påhittad affär används för att kringgå attestordningen. Verksamheter med stora utbetalningar bör ha en regel om att brådskande betalningar aldrig bekräftas i chattkanaler, oavsett vem som uppges stå bakom begäran.
Ekonomisk säkerhet – Kommuner och myndigheter hanterar utbetalningar av samma storleksordning som de belopp som begärdes här. Att kravet på tvåpersonskontroll gäller även när en chef själv begär undantag är den enskilt viktigaste kontrollen mot den här metoden.

18. Volkswagens styrelse godkände krisplanen – fyra fabriker kan läggas ned

Klassning: B1 · K3 · N1 · omvärldsläge

Volkswagens styrelse har godkänt ledningens krisplan, och bolaget bekräftar därmed att fyra fabriker hotas av nedläggning och att tiotusentals arbetstillfällen kan försvinna, rapporterar Dagens industri. Vilka anläggningar som berörs anges inte i rapporteringen.

Källa: Dagens industri – publicerad 3 september 2026 kl. 23.11
https://www.di.se/live/styrelsen-godkanner-biljattens-krisplan-kan-stanga-fyra-fabriker/

Industri, byggande och handel – Svensk fordonsunderleverantörsindustri levererar in i Volkswagens kedjor. Nedlagda anläggningar hos en avtagare av den storleken slår igenom flera led bakåt och kan ge volymbortfall hos svenska tillverkare, med följdverkningar för sysselsättningen på de orter där de finns.
Transporter – Fordonsflottor inom kollektivtrafik och samhällsviktig verksamhet är beroende av reservdelar och serviceavtal. Omfattande omstrukturering hos en tillverkare kan förlänga ledtiderna för delar under en övergångsperiod.

19. Rysk oljedepå brinner efter drönarangrepp

Klassning: B2 · K1 · N1 · omvärldsläge

En rysk oljedepå brinner efter ett drönarangrepp, rapporterar Dagens industri. Uppgifterna om omfattning och plats är begränsade i rapporteringen och har inte bekräftats av någon oberoende part.

Status: Tidig signal. Kontrolleras nästa pass mot om angreppet påverkar exportvolymer eller priser på raffinerade produkter.

Källa: Dagens industri – publicerad 4 september 2026 kl. 05.46
https://www.di.se/live/rysk-oljedepa-brinner-efter-dronarattack-qKzkN/

Energiförsörjning – Angrepp mot rysk raffinaderi- och depåkapacitet påverkar den europeiska marknaden för flytande drivmedel genom priset, även när Sverige inte köper direkt. Verksamheter med drivmedelsberoende reservkraft bör följa prisutvecklingen i sin planering.

20. Ett år efter skyfallet i Kubbe väntar drabbade fortfarande på ersättning

Klassning: B1 · K3 · N1 · omvärldsläge

SVT Nyheter Västernorrland skriver att Mats och Louise från Kubbe fortfarande väntar på ersättning ett år efter skyfallet som drabbade området. Reportaget beskriver hur handläggningen dragit ut på tiden för enskilda som drabbats av översvämningsskador.

Källa: SVT Nyheter Västernorrland – publicerad 4 september 2026 kl. 05.30
https://www.svt.se/nyheter/lokalt/vasternorrland/ett-ar-efter-skyfallet-mats-och-louise-fran-kubbe-vantar-fortfarande-pa-ersattning

Räddningstjänst och skydd av civilbefolkningen – Efterspelet till en väderhändelse pågår långt efter att räddningsinsatsen är avslutad. Kommuner som planerar för skyfall bör räkna in att ersättnings- och återställningsfasen kan ta över ett år och binder resurser i förvaltningen under hela den tiden.
Demokrati och beredskap – Långa handläggningstider efter en samhällsstörning påverkar allmänhetens tillit till att stödet fungerar när det behövs. Det är en förtroendefråga som berör hela kedjan av myndigheter och försäkringsgivare som hanterar skadorna.

Darkweb och läckageanspråk

Posterna nedan kommer ur clearnet-index över utpressningsgruppernas egna läckagesidor och ur kataloger över spridda inloggningsuppgifter. Det är påståenden från gärningsmän eller andrahandsuppgifter, och de klassas därför som obekräftade (K0) med låg tillförlitlighet. Rapporten redovisar att ett anspråk finns, vem som framför det och när det observerades – aldrig innehållet i en läcka. En post här är en signal att kontrollera, inte en bekräftad händelse.

D1. Gruppen Auditteam listade två nya namn på sin läckagesida under morgonen

Klassning: D6 · K0 · N1 · omvärldsläge

Ransomware.live listade den 4 september 2026 klockan 05.20 och 05.21 två nya anspråk från gruppen Auditteam, mot mansurovogroup och mot en enhet som anges som PIT.local. Uppgifterna kommer från gruppens egen läckagesida och är obekräftade påståenden från gärningsmän. Ingen av de utpekade är nordisk, och ingen har bekräftat något angrepp. RiskNet läser bara clearnet-index, besöker inga onion-adresser och återger inget innehåll ur någon läcka.

Status: Obekräftat påstående från gärningsmän. Kontrolleras nästa pass mot om någon av de namngivna bekräftar ett angrepp. Avförs efter tre pass om inget stöd tillkommer.

Källa: Ransomware.live och RansomLook (samma ursprungsuppgift, räknas som en källa) – observerad 4 september 2026 kl. 05.20 och kl. 05.21
https://www.ransomware.live/id/bWFuc3Vyb3ZvZ3JvdXBAQXVkaXRUZWFt

Industri, byggande och handel – Att en grupp lägger upp två namn inom två minuter tyder på en kö av redan genomförda angrepp snarare än pågående förhandling. Signalen är gruppens tempo, inte de enskilda namnen. Uppgiften är obekräftad.

D2. Qilin uppger sig ha angripit en aktör som listas som Tanner

Klassning: D6 · K0 · N1 · omvärldsläge

Ransomware.live listade den 4 september 2026 klockan 03.30 ett anspråk där gruppen Qilin uppger sig ha angripit en aktör som anges som Tanner. Uppgiften kommer från gruppens egen läckagesida och är ett obekräftat påstående från gärningsmän. Vilken organisation som avses går inte att fastställa ur uppgiften, och RiskNet gissar inte. Inget innehåll ur någon läcka återges.

Status: Obekräftat och otillräckligt identifierat anspråk. Kontrolleras nästa pass mot om gruppen preciserar namnet. Avförs efter tre pass om ingen precisering kommer.

Källa: Ransomware.live – observerad 4 september 2026 kl. 03.30
https://www.ransomware.live/id/VGFubmVyQHFpbGlu

Elektroniska kommunikationer och post – Qilin är en av de grupper som återkommande listar europeiska organisationer. Posten redovisas för att kunna följas när namnet preciseras, inte för att den säger något om påverkan i dag. Uppgiften är obekräftad.

D3. Panzer uppger sig ha angripit en tysk högskola

Klassning: D6 · K0 · N1 · omvärldsläge

Ransomware.live listade den 4 september 2026 klockan 02.51 ett anspråk där gruppen Panzer uppger sig ha angripit Hochschule Heilbronn Bildungscampus i Tyskland. Uppgiften kommer från gruppens egen läckagesida och är ett obekräftat påstående från gärningsmän. Högskolan har inte bekräftat något angrepp. Inget innehåll ur någon läcka återges.

Status: Obekräftat påstående från gärningsmän. Avgörs av att högskolan eller tysk tillsynsmyndighet bekräftar eller dementerar. Kontrolleras nästa pass.

Källa: Ransomware.live – observerad 4 september 2026 kl. 02.51
https://www.ransomware.live/id/SG9jaHNjaHVsZSBIZWlsYnJvbm4gQmlsZHVuZ3NjYW1wdXNAUGFuemVy

Förskola, utbildning och forskning – Lärosäten samlar personuppgifter om studenter, forskningsdata och samarbeten med industrin i miljöer som är byggda för öppenhet. Om anspråket stämmer är det ytterligare ett fall i en händelsetyp som svenska universitet och högskolor delar förutsättningar med. Uppgiften är obekräftad.

D4. Silent Ransom Group listade en amerikansk advokatbyrå och två namn som bara anges med initialer

Klassning: D6 · K0 · N1 · omvärldsläge

Ransomware.live listade den 3 september 2026 klockan 22.22 och 22.23 tre anspråk från gruppen Silent Ransom Group: advokatbyrån Katten Muchin Rosenman i USA och två aktörer som bara anges med initialer. Gruppens läckagesida heter Leaked Data, vilket är samma kanal som ett tidigare redovisat namnlöst anspråk kom från, och det räknas därför som samma källa. Uppgifterna är obekräftade påståenden från gärningsmän, och inget innehåll ur någon läcka återges.

Status: Obekräftade påståenden från gärningsmän. Kontrolleras nästa pass mot om gruppen publicerar de fullständiga namnen. Avförs efter tre pass om inget namn kommer.

Källa: Ransomware.live – observerad 3 september 2026 kl. 22.22 och kl. 22.23
https://www.ransomware.live/id/S2F0dGVuIE11Y2hpbiBSb3Nlbm1hbkBTaWxlbnRSYW5zb21Hcm91cA==

Ordning och säkerhet – Advokatbyråer förvaltar handlingar i pågående tvister och utredningar åt både företag och offentliga aktörer. Ett angrepp mot en byrå berör därför de organisationer som anlitat byrån genom leverantörsberoendet. Uppgiften är obekräftad.
Elektroniska kommunikationer och post – Två av tre namn är maskerade, vilket är gruppens sätt att pressa fram betalning innan namnet publiceras. Posten redovisas för att kunna följas när namnen kommer ut. Uppgiften är obekräftad.

Berörda verksamheter i sammandrag

Elektroniska kommunikationer och post

Händelse 1: Coder bekräftar att företagets registerinfrastruktur kapades och levererade skadliga Terraform-moduler – Coder används för att köra utvecklingsmiljöer i molnet, och modulregistret är den plats varifrån mallar hämtas när en miljö startas. En verksamhet som hämtade moduler under leveransfönstret kan ha fått api-nycklar till sin molninfrastruktur och sina uppgifter för CI/CD utlämnade, vilket ger angriparen väg vidare in i den egna driftmiljön. Det här är ett angrepp i leveranskedjan där ursprungsvalidering av hämtade artefakter är den kontroll som brister.
Händelse 3: Tre kritiska kommandoinjektioner i D-Links nätverkslagring – exploateringskoden är offentlig – Berörda modeller är gamla lagringsenheter som ofta står kvar i mindre kontor, skolor, vårdmottagningar och tekniska utrymmen långt efter att någon slutat sköta dem. Kommandoinjektion utan inloggning ger angriparen ett fotfäste i det interna nätet och en plattform för fortsatta angrepp. Inventering av gammal nätverksutrustning som är nåbar från internet är en grundläggande del av att identifiera och analysera enligt NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
Händelse 4: Kritisk brist i python-jose gör det möjligt att förfalska signerade token – Biblioteket ingår ofta som ett indirekt beroende i pythonbaserade api-tjänster, vilket gör att en verksamhet kan vara berörd utan att ha valt komponenten själv. Att kunna svara på frågan vilka programvarudelar som faktiskt körs är förutsättningen för att kunna åtgärda, och hör till det systematiska arbetet i NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
Händelse 5: Microsoft publicerade 23 Chromium-brister som också berör Edge – Webbläsaren är den enskilt mest exponerade programvaran i en verksamhet och den plats där de flesta angrepp mot personal landar. Felaktig behörighetskontroll i filsystem och automatisk ifyllning kan ge en angripare läsning av lokala filer och sparade uppgifter från en enda besökt sida. Uppdatering bör rullas ut under dagen i den centrala klienthanteringen.
Händelse 7: Hårdkodade uppgifter i SmartIT Desktop Manager ger fjärråtkomst till klientdatorer utan inloggning – Programvara för central klienthantering har per konstruktion administratörsbehörighet på varje ansluten dator. Hårdkodade uppgifter i en sådan produkt innebär att den som känner till lösenordet når hela klientparken på en gång. Produkten har sin huvudmarknad i Taiwan och bedöms ha begränsad spridning i Sverige, men mönstret är det som gör posten relevant: verktyget som ska sköta säkerheten blir angreppsvägen.
Händelse 9: Bikupa datacenter i Boden avvecklas i rekonstruktion – kommunens fastighetsaffär på 105 miljoner kronor prövas av Inspektionen för strategiska produkter – Datacentertjänster räknas till den digitala infrastrukturen. När en anläggning byter ägare, byter inriktning och samtidigt går igenom rekonstruktion uppstår en period då drift, bemanning och säkerhetsarbete är osäkra. Verksamheter som har beräkning eller lagring hos en aktör i det läget bör kontrollera vad avtalet säger om avveckling och överföring.
Händelse 13: Ryska datacenteroperatörer bygger drönarskydd efter presidentdekret – Datacenter har hittills skyddats mot inbrott och brand, inte mot hot från luften. Att en stat nu ställer krav på drönarskydd i den kategorin visar att hotbilden mot digital infrastruktur breddas till det fysiska rummet. Svenska anläggningar med samhällsviktig last bör åtminstone ha en bedömning av vad en drönare över taket innebär för kylning, reservkraft och personsäkerhet.
Händelse 15: Norwind Helm byggs om för dansk övervakning av kablar och rörledningar i Östersjön – Sjökablarna i Östersjön bär en stor del av den svenska utlandstrafiken på internet. Att Danmark skyndar på en egen övervakningsförmåga säger något om hur hotet mot kablarna bedöms i regionen, och svenska operatörer bör räkna med fortsatt förhöjd risk för kabelbrott av annat än naturliga skäl.

Ordning och säkerhet

Händelse 1: Coder bekräftar att företagets registerinfrastruktur kapades och levererade skadliga Terraform-moduler – Röjda hemligheter i en utvecklings- eller driftmiljö hos en verksamhet som omfattas av cybersäkerhetslagen (2025:1506) kan vara en betydande incident som ska rapporteras till Nationellt cybersäkerhetscenter, NCSC, via Cyberportalen. Att byta alla hemligheter som kan ha exponerats, gå igenom loggar för utgående trafik mot coder-infra[.]com och ha en fastställd rutin för brådskande åtgärd hör till det systematiska arbetet i NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
Händelse 2: Tredje misstänkta sabotageförsöket mot tyska elnätet på en vecka – föremål hittat vid transformatorstation i Dormagen – Bevakning och fysiskt skydd av samhällsviktig verksamhet berörs direkt. Ett angrepp mot en anläggning som utgör skyddsobjekt är ett säkerhetsskyddsärende som kan kräva samråd med Säkerhetspolisen eller berörd tillsynsmyndighet.
Händelse 6: Nerikes Allehanda: vårdcentralen i Nora anlitar väktare efter hot med skarpt föremål och vätska – Bevakning och fysiskt skydd av samhällsviktig verksamhet berörs. Ett återkommande hot mot en vårdmottagning kräver samordning mellan huvudman, polis och bevakningsleverantör, och kan leda till arbetsmiljöärende om skyddsåtgärderna inte räcker.
Händelse 8: Franska dataskyddsmyndigheten bötfäller sjukhus med 500 000 euro efter intrång som berörde 727 000 personer – Ett motsvarande fall i Sverige innebär personuppgiftsincident som ska anmälas till Integritetsskyddsmyndigheten, och för vårdgivare som omfattas av cybersäkerhetslagen (2025:1506) även incidentrapportering till Nationellt cybersäkerhetscenter, NCSC, via Cyberportalen.
Händelse 14: CISA avvecklar sex kostnadsfria säkerhetsbedömningar för samhällsviktig verksamhet – CISA:s kostnadsfria bedömningar har varit en referenspunkt även utanför USA, och underlaget från dem har använts i internationella rekommendationer som svenska verksamheter läser. När de försvinner minskar flödet av öppen, jämförbar information om brister i samhällsviktig verksamhet.
Händelse 16: Åtal om systematisk korruption i privat vårdbolag i Örebro – 15,4 miljoner kronor i överfakturering – Fallet är ett exempel på insiderrisk i ledande ställning, där kontrollen brister för att den som ska granska fakturorna själv är part. Dömande och rättsvårdande verksamhet hanterar ärendet, och motsvarande upplägg hos en offentlig utförare skulle vara ett tillsynsärende.

Energiförsörjning

Händelse 2: Tredje misstänkta sabotageförsöket mot tyska elnätet på en vecka – föremål hittat vid transformatorstation i Dormagen – Tre försök mot transformatorstationer på en vecka visar att angripare väljer de punkter i elnätet som är obemannade, står i öppen terräng och saknar annat skydd än ett stängsel. Svenska elnätsföretag driver samma typ av stationer under samma förutsättningar, och en kortslutning eller sprängladdning vid en station kan slå ut matningen till ett helt område. Ökat skyddsbehov och rondering vid obemannade stationer är den närmast liggande åtgärden.
Händelse 10: Strömavbrott i Vänersborg pågick över natten – cirka 1 420 anslutningar utan el – Ett avbrott som återkommer i samma område inom ett dygn tyder på ett kvarstående fel i nätet snarare än en enskild störning. Verksamheter i området bör räkna med att avbrottet kan upprepas och kontrollera att reservkraften startade som avsett.
Händelse 15: Norwind Helm byggs om för dansk övervakning av kablar och rörledningar i Östersjön – Samma havsbotten bär elförbindelser och gasledningar mellan Sverige och grannländerna. En störning där påverkar både överföringskapacitet och priser, och åtgärdstiden till havs är lång.
Händelse 19: Rysk oljedepå brinner efter drönarangrepp – Angrepp mot rysk raffinaderi- och depåkapacitet påverkar den europeiska marknaden för flytande drivmedel genom priset, även när Sverige inte köper direkt. Verksamheter med drivmedelsberoende reservkraft bör följa prisutvecklingen i sin planering.

Förskola, utbildning och forskning

Händelse 3: Tre kritiska kommandoinjektioner i D-Links nätverkslagring – exploateringskoden är offentlig – Skolor och förskolor är den verksamhetstyp där den här typen av utrangerad lagringsutrustning oftast lever kvar utan ägare. Ett intrång kan innebära att elevuppgifter röjs, vilket är en personuppgiftsincident som ska anmälas till Integritetsskyddsmyndigheten.

Legitimering

Händelse 4: Kritisk brist i python-jose gör det möjligt att förfalska signerade token – python-jose används för att signera och verifiera JWT-token i inloggnings- och api-lösningar. En förbigång av autentisering på den här nivån innebär att en angripare kan utfärda giltiga token för vilken användare som helst och därmed ta sig förbi inloggningen helt. Verksamheter som byggt e-tjänster ovanpå biblioteket bör låsa tillåtna algoritmer och uppdatera.

Demokrati och beredskap

Händelse 5: Microsoft publicerade 23 Chromium-brister som också berör Edge – Offentlig förvaltning arbetar i dag till stor del i webbaserade verksamhetssystem, vilket gör webbläsaren till den gemensamma ytan mot alla dessa system. En infekterad klient hos en handläggare ger angriparen samma åtkomst som handläggaren har. För kommuner finns samlat stöd hos NCSC (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/cybersakerhet-i-kommuner/).
Händelse 12: Finland tidigarelägger drönarvarningar i nödappen 112 Suomi – Nyheter och samhällsinformation vid samhällsstörningar berörs. Ett nytt varningsslag kräver att verksamheter vet hur de själva ska agera på varningen och att informationen till allmänheten hänger ihop med myndighetens.
Händelse 14: CISA avvecklar sex kostnadsfria säkerhetsbedömningar för samhällsviktig verksamhet – En nedskalning hos den myndighet som samordnar amerikansk infrastrukturskydd påverkar det internationella samarbete som svensk krisberedskap lutar sig mot i delar. Effekten är långsam men värd att notera i planeringen.
Händelse 20: Ett år efter skyfallet i Kubbe väntar drabbade fortfarande på ersättning – Långa handläggningstider efter en samhällsstörning påverkar allmänhetens tillit till att stödet fungerar när det behövs. Det är en förtroendefråga som berör hela kedjan av myndigheter och försäkringsgivare som hanterar skadorna.

Hälsa, vård och omsorg

Händelse 6: Nerikes Allehanda: vårdcentralen i Nora anlitar väktare efter hot med skarpt föremål och vätska – En vårdcentral som behöver köpa in bevakning för att kunna hålla öppet har fått en direkt verksamhetspåverkan: personalen arbetar under hot, kostnaderna ökar och mottagningen kan behöva begränsa tillgängligheten. Enligt Nerikes Allehanda rör det sig om en återkommande person, vilket gör att risken kvarstår över tid och inte försvinner med en enskild insats.
Händelse 8: Franska dataskyddsmyndigheten bötfäller sjukhus med 500 000 euro efter intrång som berörde 727 000 personer – Beslutet visar vad ett intrång i ett journalsystem kostar även efter att uppgifterna inte spridits vidare. Angreppet började enligt uppgifter i fransk press med ett komprometterat läkarkonto som gav åtkomst till hela det interna systemet, vilket är samma svaga punkt som svenska vårdgivare har: en enda inloggning utan tillräcklig segmentering. Flerfaktorsautentisering och begränsad behörighet i journalsystem är den konkreta lärdomen.
Händelse 10: Strömavbrott i Vänersborg pågick över natten – cirka 1 420 anslutningar utan el – Vård- och omsorgsboenden, hemtjänstens larmmottagning och mottagningar med kylkedja är de verksamheter som märker ett nattligt avbrott först. Att verifiera att trygghetslarm och kyl- och frysövervakning fungerade under avbrottet är en konkret uppföljningspunkt.
Händelse 16: Åtal om systematisk korruption i privat vårdbolag i Örebro – 15,4 miljoner kronor i överfakturering – Privata vårdbolag utför uppdrag åt regioner och kommuner. Systematisk överfakturering i den kedjan innebär att medel avsedda för vård försvinner och att den offentliga huvudmannen kan behöva se över avtalsuppföljning och attestordning hos sina utförare.

Ekonomisk säkerhet

Händelse 9: Bikupa datacenter i Boden avvecklas i rekonstruktion – kommunens fastighetsaffär på 105 miljoner kronor prövas av Inspektionen för strategiska produkter – Bodens kommun står som säljare i en affär på 105 miljoner kronor till en köpare inom en koncern där ett systerbolag är i rekonstruktion och har ett skattekrav på 477 miljoner kronor emot sig. Kommunen bär både en ekonomisk risk i affären och en förtroenderisk om prövningen hos Inspektionen för strategiska produkter leder till ett annat besked än väntat.
Händelse 17: Bedrägerikampanjen Phantom Deal riktar falska förvärvsaffärer mot ledande befattningshavare – Kommuner och myndigheter hanterar utbetalningar av samma storleksordning som de belopp som begärdes här. Att kravet på tvåpersonskontroll gäller även när en chef själv begär undantag är den enskilt viktigaste kontrollen mot den här metoden.

Transporter

Händelse 11: Lastbil i diket på E20 – bärgningen skjuts till kvällen och trafiken begränsas under dagen – E20 är huvudstråket mellan Göteborg och Stockholm och bär en stor del av godstrafiken västerut. En begränsning som ligger kvar hela dagen och löses först på natten förskjuter leveranstider för både gods och kollektivtrafik i stråket.
Händelse 18: Volkswagens styrelse godkände krisplanen – fyra fabriker kan läggas ned – Fordonsflottor inom kollektivtrafik och samhällsviktig verksamhet är beroende av reservdelar och serviceavtal. Omfattande omstrukturering hos en tillverkare kan förlänga ledtiderna för delar under en övergångsperiod.

Livsmedelsförsörjning och dricksvatten

Händelse 11: Lastbil i diket på E20 – bärgningen skjuts till kvällen och trafiken begränsas under dagen – Livsmedelsdistribution till butik och storhushåll körs på fasta fönster. En hel dag med begränsad framkomlighet på E20 innebär att leveranser förskjuts och att verksamheter med små lager, som skolkök och vårdkök, kan behöva ändra menyn.

Räddningstjänst och skydd av civilbefolkningen

Händelse 12: Finland tidigarelägger drönarvarningar i nödappen 112 Suomi – Finland bygger ut befolkningsvarningen med en egen kategori för hot från luften och tidigarelägger den. Sverige varnar i dag via Viktigt meddelande till allmänheten och SE-Alert utan motsvarande kategori. Utvecklingen är en tydlig signal om vilken händelsetyp som nordiska myndigheter nu planerar för, och bör följas av den som arbetar med varningsrutiner.
Händelse 20: Ett år efter skyfallet i Kubbe väntar drabbade fortfarande på ersättning – Efterspelet till en väderhändelse pågår långt efter att räddningsinsatsen är avslutad. Kommuner som planerar för skyfall bör räkna in att ersättnings- och återställningsfasen kan ta över ett år och binder resurser i förvaltningen under hela den tiden.

Finansiella tjänster

Händelse 17: Bedrägerikampanjen Phantom Deal riktar falska förvärvsaffärer mot ledande befattningshavare – Upplägget angriper betalningsförmedlingen genom människan i stället för genom systemet: sekretess kring en påhittad affär används för att kringgå attestordningen. Verksamheter med stora utbetalningar bör ha en regel om att brådskande betalningar aldrig bekräftas i chattkanaler, oavsett vem som uppges stå bakom begäran.

Industri, byggande och handel

Händelse 18: Volkswagens styrelse godkände krisplanen – fyra fabriker kan läggas ned – Svensk fordonsunderleverantörsindustri levererar in i Volkswagens kedjor. Nedlagda anläggningar hos en avtagare av den storleken slår igenom flera led bakåt och kan ge volymbortfall hos svenska tillverkare, med följdverkningar för sysselsättningen på de orter där de finns.

Bedömning

Fönstret innehåller en akut post och fem förhöjda. Angreppet mot Coders modulregister är det som kräver åtgärd i dag: den verksamhet som hämtade Terraform-moduler den 31 augusti bör utgå från att hemligheter i utvecklings- och driftmiljön kan vara röjda och byta dem, i linje med NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/). Tre misstänkta sabotageförsök mot tyska transformatorstationer på en vecka gör det sannolikt att mönstret fortsätter i Europa den närmaste tiden; svenska elnätsföretag bör se över rondering och kameraskydd vid obemannade stationer. Sårbarhetsbilden är bred men inte akut: D-Links lagringsenheter har offentlig exploateringskod, python-jose kan ge förfalskade token och 23 Chromium-brister berör varje arbetsplats, men inget av det utnyttjas aktivt enligt källorna. Åtgärdsfristen den 5 september i CISA:s katalog över aktivt utnyttjade sårbarheter, som redovisades i dygnssammanställningen, löper ut i morgon och bör stämmas av i dagens pass. Darkwebposterna är alla obekräftade och saknar nordisk koppling i det här fönstret. Till nästa pass bör följas: indikatorer på intrång från Coder, besked från tysk polis om Dormagen, skyddsåtgärder vid vårdcentralen i Nora och beslut i prövningen av fastighetsaffären i Boden.

Så läser du klassningen

Varje händelse har en kod på formen B2 · K1 · N3 · leverantörsberoende. Den skiljer tre saker åt: vem som uppger något, hur väl det är styrkt och vad det betyder för de verksamheter som bevakas.

Källtillförlitlighet A–F

Bedömer källan, inte uppgiften. Följer Admiralty-skalan.

A – Helt tillförlitlig – ansvarig myndighet om sitt eget område, drabbad organisation om sin egen verksamhet, domstol, officiell rapport.
B – Vanligen tillförlitlig – etablerad redaktion med egen rapportering, erkänt säkerhetsföretag, nyhetsbyrå på plats.
C – Ganska tillförlitlig – lokalmedia, branschmedia, mindre analysföretag, namngiven expert utan egen insyn.
D – Sällan tillförlitlig – aggregator, part i saken, anonym blogg, kanal som återger andras uppgifter utan egen kontroll.
E – Otillförlitlig – kanal med känd historik av vilseledning, gärningsmäns egna kanaler, konton som driver en kampanj.
F – Går inte att bedöma – ny eller okänd källa utan spårbar historik.

Uppgiftens riktighet 1–6

Bedömer själva uppgiften, oberoende av källans rykte. Kopior räknas inte som oberoende källor.

1 – Bekräftad – ansvarig aktör bekräftar, eller minst två av varandra oberoende källor.
2 – Sannolikt sann – stämmer med annan känd information, men ingen bekräftar än.
3 – Möjligen sann – delvis stödd, väsentliga delar obestyrkta.
4 – Tveksam – motsägs delvis av annan information.
5 – Osannolik – motsägs av tillförlitlig information.
6 – Går inte att bedöma.

Bekräftelsegrad K0–K3

Ett läsbart komplement till bokstavskoden.

K0 – Obekräftat påstående från en enda part, ofta med eget intresse.
K1 – En oberoende källa rapporterar.
K2 – Två eller fler oberoende källor rapporterar.
K3 – Bekräftat av ansvarig aktör, drabbad organisation eller myndighet.

Påverkansnivå N1–N4

Avser de verksamheter som bevakas.

N1 – Omvärldsläge – allmän omvärldsbild utan direkt koppling till driften.
N2 – Observation – kan beröra sektorn på sikt, ingen åtgärd nu.
N3 – Förhöjd – berör konkret en verksamhetstyp, en leverantör eller ett tekniskt beroende. Åtgärd bör övervägas i dag.
N4 – Akut – pågående eller omedelbar påverkan, åtgärd nu, kan utlösa rapporteringsplikt.

Relevansgrund – varför händelsen berör

Ett av sju värden anges sist i koden.

direkt verksamhetspåverkan – En bevakad verksamhetstyp påverkas här och nu.
leverantörsberoende – Påverkan går via en leverantör eller underleverantör.
tekniskt beroende – Påverkan går via en produkt, tjänst eller teknik som används i verksamheten.
liknande verksamhet drabbad – Samma typ av verksamhet har drabbats någon annanstans.
regel och tillsyn – Nya krav, beslut eller tillsyn styr verksamheten.
geografisk närhet – Händelsen inträffar i ett område där verksamhet bedrivs.
omvärldsläge – Bakgrund som förändrar hotbilden utan direkt koppling till driften.

Ordval för egna bedömningar

Bedömningar skrivs med fast ordlista och hålls skilda från vad källan uppger.

Mycket osannolikt – under 10 %
Osannolikt – 10 till 25 %
Möjligt – 25 till 50 %
Sannolikt – 50 till 75 %
Mycket sannolikt – 75 till 90 %
Nära säkert – över 90 %