RiskNet Dagrapport – torsdag 3 september 2026

Fönster 06.00–14.00

Dagen domineras av ett angrepp mot en av Nordens största återförsäljare av it-utrustning. Dustin uppger att obehörig åtkomst till interna system identifierats, har stängt nätbutiken, polisanmält händelsen och kallar den allvarlig. Bolaget har ramavtal mot offentlig sektor genom Kammarkollegiet och Adda, vilket gör händelsen till ett leverantörsberoende och inte bara en börsnyhet. Parallellt förde CISA in sju aktivt utnyttjade sårbarheter i sin katalog, varav tre sitter i AI-nära komponenter, och intrånget hos Thomson Reuters visar att domstolsdata från tolv amerikanska jurisdiktioner och Ontario röjts hos leverantören och offentliggjorts först fem månader efter åtkomsten. I Sverige slog ett strömavbrott på Kungsholmen och Essingarna ut teknik i tunnelbanans blå linje, Örebro hanterade en omfattande vattenläcka, och i Nora hålls kommunhusets entré låst efter att ett skyddsombud begärt skyddsstopp.

Nyckeltal: 14 händelser, varav 1 akuta (N4) och 6 förhöjda (N3). 16 av 17 bevakade verksamheter berörs.

Händelser

1. Dustin stänger nätbutik och delar av interna system efter angrepp – bolaget kallar det allvarligt

Klassning: B1 · K3 · N4 · leverantörsberoende

Dustin uppger i ett pressmeddelande under torsdagen att obehörig åtkomst till vissa interna it-system har identifierats, att händelsen bedöms som allvarlig och att den polisanmälts. Bolaget har själv stängt ned delar av systemen, kopplat in externa cybersäkerhetsexperter och relevanta myndigheter, och utreder om händelsen är en personuppgiftsincident. Nätbutiken är nedstängd, beställningar kan inte läggas och varor kan inte levereras. Informationschefen Eva Ernfors uppger till TT att ambitionen är att öppna systemen igen i början av nästa vecka, och aktien föll omkring 4 procent enligt Dagens Nyheter.

Status: Följ upp: om Dustin bekräftar personuppgiftsincident, vilka system som berörts och om leveranser till offentlig sektor påverkas.

Källa: Dagens Nyheter (TT) och Svenska Dagbladet – publicerad 3 september 2026 kl. 12.13
https://www.dn.se/direkt/2026-09-03/dataintrang-hos-dustin-aktien-faller/

Försörjning och leveranskedja – Dustin är återförsäljare av it-utrustning med ramavtal mot offentlig sektor genom Kammarkollegiet och Adda enligt bolagets egen redovisning (https://www.dustin.se/offentlig-sektor/ramavtal-med-kammarkollegiet). En nedstängd nätbutik utan leveranser stoppar beställningar av klienter, tillbehör och licenser hos avropande kommuner, regioner och myndigheter så länge stoppet varar.
Elektronisk kommunikation och it-drift – Dustin levererar även managerade it-tjänster, licenshantering och infrastrukturtjänster. Verksamheter som köper drift eller livscykelhantering av bolaget bör kontrollera vilka gränssnitt och konton som finns mot Dustins miljö och om någon federerad inloggning berörs.
Informations- och cybersäkerhet – Bolaget uppger inte vilka system som berörts. Verksamheter med leverantörsförhållande bör begära besked om vilka uppgifter som hanteras i de nedstängda systemen och förbereda egen bedömning av rapporteringsplikt. En incident med betydande påverkan rapporteras enligt cybersäkerhetslagen (2025:1506) till Nationellt cybersäkerhetscenter (NCSC) via Cyberportalen, och en personuppgiftsincident till Integritetsskyddsmyndigheten. Kravet på att identifiera och analysera beroenden till tredje part följer NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
Offentlig förvaltning och myndighetsutövning – Avrop som ligger i beställningsflödet riskerar förskjutning. Verksamheter med pågående utrullningar av klienter inför höstterminen bör se över alternativa avropsvägar inom ramavtalet.

2. CISA för in sju aktivt utnyttjade brister i katalogen – tre sitter i AI-infrastruktur

Klassning: B1 · K3 · N3 · tekniskt beroende

USA:s cybersäkerhetsmyndighet CISA förde under onsdagen in sju sårbarheter i katalogen över aktivt utnyttjade brister. Två gäller SonicWall SMA 1000, där CVE-2026-83548 har CVSS 10,0 och tillåter en icke-autentiserad angripare att nå känslig funktionalitet, och CVE-2026-83549 ger en inloggad administratör körning av operativsystemkommandon. CVE-2026-9586 i Sangoma Switchvox med CVSS 9,3 ger fjärrkörning via SQL-injektion utan inloggning, och CVE-2026-82329 i JFrog Artifactory med CVSS 9,8 ger administratörsbehörighet i standardkonfiguration. Enligt The Hacker News uppger Horizon3.ai och watchTowr att angripare använt bristerna för att lägga in fjärrskal och skapa administratörstoken, och Microsoft och Wiz uppger att AI-infrastruktur nu utnyttjas för att stjäla API-nycklar och driva otillåten kryptoutvinning.

Källa: The Hacker News – publicerad 3 september 2026 kl. 07.19
https://thehackernews.com/2026/09/cisa-adds-seven-exploited-flaws-as.html

Elektronisk kommunikation och it-drift – SMA 1000 används som fjärråtkomstlösning och Switchvox som telefoniplattform. Båda är typiskt internetexponerade och en obehörig får med bristerna fotfäste i driftnätet utan att behöva inloggning.
Informations- och cybersäkerhet – Artifactory är artefaktregister i mjukvaruleveranskedjan. Administratörsbehörighet där gör det möjligt att lägga in manipulerade artefakter som sedan sprids till alla miljöer som hämtar från registret, i linje med den angreppsbild NCSC beskriver i temarapporten om hoten mot de digitala leveranskedjorna (https://www.ncsc.se/siteassets/radgivning-och-stod/ovriga-publikationer/temarapport-2021-hoten-mot-de-digitala-leveranskedjorna—50-rekommendationer-for-att-starka-samhallssakerheten.pdf).
Industri, försvarsindustri och leveranskedjor – De tre bristerna i AI-nära komponenter – LiteLLM, Starlette och Kestra – finns i miljöer som byggts upp snabbt och ofta utan samma förvaltning som övriga system. Inventering av var sådana komponenter körs bör göras nu.

3. Domstolsdata från tolv amerikanska jurisdiktioner och Ontario röjda i intrång hos Thomson Reuters

Klassning: B1 · K3 · N3 · sektorsanalogi

Thomson Reuters uppger att en obehörig part kommit åt filer som tillhör ärendehanteringsplattformen C-Track, som bolaget säljer till domstolsväsen. Filerna låg i bolagets molnmiljö och innehöll uppgifter från appellationsdomstolar i bland andra Alabama, Kentucky, Montana, Nevada, Ohio, Pennsylvania och Tennessee samt från Ontario i Kanada. Enligt The Next Web togs filerna i mars, upptäcktes den 30 juni och offentliggjordes först den 2 september när flera delstaters domstolar publicerade meddelanden. Minnesotas domstolsväsen uppger att säkerhetskopior som delats med leverantören ingick i intrånget, och chefsdomaren Natalie Hudson säger att hon är djupt bekymrad över att domstolsanvändarnas uppgifter komprometterats. Ingen aktör har tagit på sig ansvaret.

Källa: The Next Web – publicerad 3 september 2026
https://thenextweb.com/news/thomson-reuters-ctrack-court-data-breach

Offentlig förvaltning och myndighetsutövning – Ärendehanteringssystem hos domstolar och myndigheter innehåller uppgifter som ofta inte kan bytas ut eller återkallas. Fallet visar att röjandet kan ske hos leverantören och inte hos den myndighet som äger uppgifterna.
Informations- och cybersäkerhet – Tidsförloppet är det väsentliga: fem månader mellan åtkomst och offentliggörande och två månader mellan upptäckt och besked. Verksamheter bör kontrollera vilka tider för underrättelse som står i egna leverantörsavtal och om leverantören är skyldig att larma vid misstanke, inte bara vid bekräftad incident.
Försörjning och leveranskedja – Säkerhetskopior som delats med leverantör ingick i det röjda materialet. Var säkerhetskopior lagras och vem som har åtkomst till dem bör ingå i den egna kartläggningen av beroenden till tredje part.

4. Strömavbrott på Kungsholmen och Essingarna slog ut teknik i tunnelbanans blå linje

Klassning: B1 · K3 · N3 · direkt verksamhetspåverkan

Ett strömavbrott inträffade i Stockholm klockan 11.30 på torsdagen och drabbade bland annat Kungsholmen, Lilla Essingen och Stora Essingen. SVT uppger att strömmen är tillbaka. SL:s presstalesperson Sophie Gunnarsson säger att avbrottet orsakade ett tekniskt fel som påverkade tunnelbanans blå linje, och att förseningar och inställda avgångar kan förekomma även efter att trafiken kommit igång igen. Någon orsak till själva avbrottet har inte redovisats.

Status: Följ upp: nätägarens orsaksbesked och om något ställverk eller någon nätstation berörts.

Källa: SVT Nyheter Stockholm – publicerad 3 september 2026 kl. 11.30
https://www.svt.se/nyheter/lokalt/stockholm/stort-stromavbrott-i-stockholm-s7261z

Energi, el och fjärrvärme – Avbrottet träffade ett område med hög täthet av myndighetskontor och vårdmottagningar. Verksamheter i de berörda stadsdelarna bör kontrollera att avbrottsfri kraft och reservkraft fungerade som avsett och logga eventuella omstarter.
Transport och infrastruktur – Blå linjen fick tekniskt fel som följd av avbrottet. Personal- och brukartransporter i Kungsholmen och västerut påverkades under förmiddagen.
Elektronisk kommunikation och it-drift – Kortare avbrott utan ordnad nedstängning ger risk för filskador i lokala servrar och nätverksutrustning. Kontrollera att alla noder kommit tillbaka och att inget larm står kvar obehandlat.

5. Omfattande vattenläcka i Örebro gav missfärgat vatten och förändrat tryck

Klassning: B1 · K3 · N3 · direkt verksamhetspåverkan

Örebro kommun gick ut med information strax efter midnatt natten mot torsdagen om en omfattande vattenläcka som berör många gator, bland dem Norra Bro. Kommunen uppger att vattnet kan vara missfärgat när det kommer tillbaka och att trycket kan förändras, att missfärgningen inte är farlig, och uppmanar boende att spola kallvatten till vattnet är klart och att vara försiktiga vid tvätt av kläder. Enligt SVT hade vattnet kommit tillbaka i Norra Bro under morgonen, medan det är oklart om försörjningen återställts i hela det berörda området. Nerikes Allehanda rapporterade läckan som akut samma morgon.

Status: Följ upp: om kommunen utfärdar kokningsrekommendation och om provtagning visar påverkan på vattenkvaliteten.

Källa: SVT Nyheter Örebro – publicerad 3 september 2026 kl. 06.14
https://www.svt.se/nyheter/lokalt/orebro/omfattande-vattenlacka-i-orebro-manga-gator-berors

Vatten och avlopp – Tryckfall i distributionsnätet ger risk för inträngning av förorenat vatten. Kommunen bör dokumentera tryckförlopp och provtagning så att beslut om kokningsrekommendation kan fattas på underlag.
Vård, omsorg och socialtjänst – Vårdmottagningar, tandvård och äldreboenden i berörda områden är beroende av dricksvatten av rätt kvalitet för hygien och för viss utrustning. Missfärgat vatten kan kräva att behandlingar skjuts upp.
Skola och förskola – Skolmåltider och hygien i förskolor påverkas direkt av missfärgat vatten. Verksamheterna behöver besked om vattenkvalitet före dagens första måltid.

6. Skyddsombud stoppade arbetet i Nora kommunhus efter hot – entrén hålls låst

Klassning: B1 · K3 · N3 · sektorsanalogi

Nora kommun har låst kommunhusets entrédörr för invånarna sedan tisdagen efter att en utåtagerande person tagit med brandfarlig vätska in i receptionen. Dagens Samhälle uppger att personen flera gånger hotat kommunen och att Visions skyddsombud begärde skyddsstopp efter incidenten. Kommunikationsstrategen Daniel Tausis vid Nora kommun bekräftar begäran och att säkerhetsåtgärder nu införs. Kommunen har inte uppgett när entrén öppnar igen eller vilka ytterligare åtgärder som vidtas.

Status: Följ upp: om skyddsstoppet hävs och vilka fysiska åtgärder kommunen beslutar om receptionen.

Källa: Dagens Samhälle – publicerad 3 september 2026 kl. 11.01
https://www.dagenssamhalle.se/samhalle-och-valfard/sakerhet-och-beredskap/efter-hoten-laser-kommunhuset/

Personsäkerhet och hot mot förtroendevalda och anställda – Receptioner i kommunhus är den punkt där personal möter allmänheten utan skalskydd emellan. Att ett skyddsombud tvingas begära skyddsstopp visar att riskbedömningen för arbetsplatsen inte hunnit fånga hotbilden.
Fysisk säkerhet och skydd av anläggning – Brandfarlig vätska inne i en reception är ett tillträdesproblem, inte bara ett bemötandeproblem. Andra kommuner bör se över om entrén har avgränsad besökszon, larmknapp med känd larmväg och möjlighet att låsa in personal på säker sida.
Offentlig förvaltning och myndighetsutövning – Låst entré begränsar invånarnas tillträde till kommunal service. Alternativa vägar för ärenden som kräver personligt besök behöver anvisas.

7. Angripare använder signerad Node.js-binär för att köra skadlig kod mot myndigheter

Klassning: B2 · K2 · N3 · tekniskt beroende

Symantec uppger enligt The Hacker News att hotaktörer sedan februari 2026 använder den officiella och signerade Node.js-binären node.exe för att köra skadlig JavaScript-kod hos myndigheter, teknikföretag och hotell. Eftersom koden ligger i tolkade skript i stället för i en egen binär bedömer Symantec att den är svårare att upptäcka för signaturbaserat skydd. Persistens skapas genom en post i Windows-registrets Run-nyckel, och tekniken EtherHiding används för att hämta kommandon och hitta styrservrar. Första åtkomst har erhållits genom ClickFix, där offret luras att själv köra ett kommando. I ett fall bytte angriparna metod efter att försök att installera AdaptixC2 och Cobalt Strike-beacons blockerats.

Källa: The Hacker News – publicerad 3 september 2026
https://thehackernews.com/2026/09/attackers-turn-trusted-nodejs-runtime.html

Informations- och cybersäkerhet – Metoden bygger på att en legitim och signerad binär tillåts köra godtyckliga skript. Verksamheter som tillåter Node.js på klienter bör kontrollera om körning av skript via node.exe loggas och om applikationsstyrning täcker tolkade skript, inte bara körbara filer.
Elektronisk kommunikation och it-drift – Persistens via Run-nyckeln fångas av grundläggande övervakning av autostartpunkter. Att sådan övervakning finns är en av de tekniska åtgärder NCSC:s metodstöd anger som del av steget använda (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
Offentlig förvaltning och myndighetsutövning – Myndigheter pekas ut som ett av de tre målurvalen. ClickFix förutsätter att en användare kopierar och kör ett kommando, vilket gör att medvetandehöjning om just detta beteende ger direkt effekt.

8. Norge har beslagtagit ryskt fartyg vid kaj i Barentsburg på Svalbard

Klassning: C2 · K2 · N2 · omvärldsläge

Sysselmesteren på Svalbard, Lars Fause, har beslutat att det ryska fartyget Professor Molchanov inte får lämna kajen i Barentsburg. Beslutet grundas på ett avgörande i Nord-Troms og Senja tingrett och kopplas till ett krav på 4,2 miljarder dollar från ukrainska Naftogaz. Realtid uppger att beslaget skedde på onsdagen, att fartyget officiellt går på expeditionskryssningar och att NRK uppger att det även använts i ryska hybridoperationer. Hanteringen sker i samverkan med det ryska statliga gruvbolaget Arktikugol som driver Barentsburg. Rysslands utrikesministerium har kommenterat beslaget.

Status: Följ upp: rysk motåtgärd och om händelsen leder till förändrat läge i Barentsområdet.

Källa: Realtid – publicerad 3 september 2026
https://www.realtid.se/bors-finans/makro/norge-beslagtar-ryskt-fartyg-pa-svalbard-ukraina-vill-ha-betalt/

Internationell verksamhet och resande personal – Svalbard pekas återkommande ut som möjlig arena för ryska provokationer. Verksamheter med personal eller uppdrag i Barentsområdet bör följa läget och ha kontaktvägar klara för snabb hemtagning.
Transport och infrastruktur – Beslag av fartyg vid rysk kaj på norskt territorium är ett rättsligt ingripande som kan följas av åtgärder mot norsk eller nordisk sjöfart. Rederier med trafik i norra Norge bör bevaka Sjöfartsverkets och norska myndigheters underrättelser.
Industri, försvarsindustri och leveranskedjor – Sanktioner och exportkontroll i Barentsområdet påverkar avtal och betalflöden. Verksamheter med rysk motpart eller rysk ägarkoppling i leverantörskedjan bör kontrollera att inget avrop står i strid med gällande sanktioner.

9. Integritetsskyddsmyndigheten inleder granskning av it-företag enligt kreditupplysningslagen

Klassning: A1 · K3 · N2 · regel och tillsyn

Integritetsskyddsmyndigheten (IMY) inleder tillsyn av Cogno Scio AB efter att ha tagit del av informationen på bolagets webbplats. IMY ska undersöka om bolaget bedriver kreditupplysningsverksamhet, om det i så fall har stöd för den enligt kreditupplysningslagen, och om bolaget behandlar personuppgifter om lagöverträdelser i strid med kreditupplysningslagen eller dataskyddsförordningen. I ett första skede begär myndigheten in mer information om verksamheten och behandlingen. Ärendet är inte avgjort.

Status: Följ upp: IMY:s beslut och om granskningen leder till praxis om personuppgifter om lagöverträdelser.

Källa: Integritetsskyddsmyndigheten – publicerad 3 september 2026
https://www.imy.se/nyheter/imy-granskar-ett-it-foretag-utifran-kreditupplysningslagen-och-GDPR/

Offentlig förvaltning och myndighetsutövning – Verksamheter som köper bakgrundskontroller eller riskbedömningar av personer bör kontrollera att leverantören har rättslig grund för den behandling som tjänsten bygger på.
Säkerhetsskydd och personalsäkerhet – Uppgifter om lagöverträdelser förekommer i underlag för säkerhetsprövning. Behandlingen får ske i den ordning säkerhetsskyddslagstiftningen anger, inte genom inköp av kommersiella sammanställningar. Verksamheter bör granska vilka källor som används i egna prövningsunderlag.
Informations- och cybersäkerhet – Om en leverantör visar sig sakna stöd för behandlingen kan uppgifter behöva gallras och beslut omprövas. Kartlägg vilka beslut som fattats på underlag från sådana tjänster.

10. Polisen beslutar om kamerabevakning med drönare i centrala Malmö vid derbyt

Klassning: A1 · K3 · N2 · geografisk närhet

Polismyndigheten har beslutat om tillfällig kamerabevakning med drönare i flera centrala delar av Malmö, mellan Malmö C och Hyllievång, i samband med fotbollsmatchen mellan Malmö FF och AIK. Bevakningen ska pågå från den 7 september klockan 10.00 till den 8 september klockan 01.00. Syftet är enligt polisen att förebygga, förhindra och upptäcka brott samt att underlätta utredning och säkra bevisning. Notisen bygger på inledande uppgifter som kan komma att ändras.

Källa: Polismyndigheten – publicerad 3 september 2026 kl. 12.00
https://polisen.se/aktuellt/handelser/2026/september/3/3-september-12.00-polisinsatskommendering-malmo/

Räddningstjänst, larm och blåljus – En kommendering av denna storlek binder polisiär förmåga i Malmö under ett och ett halvt dygn. Verksamheter som räknar med polisiärt stöd i samma tidsfönster bör planera med lägre tillgänglighet.
Transport och infrastruktur – Sträckan mellan Malmö C och Hyllievång omfattar centralstation, spårområde och kollektivtrafik. Avstängningar och omledningar kan påverka personalens resor till och från arbetet.
Fysisk säkerhet och skydd av anläggning – Anläggningar i det bevakade området kan behöva förstärkt bevakning och tydliga rutiner vid folksamling utanför entréer.

11. Kraftig brand på Höglandssågen i Örnsköldsvik

Klassning: C3 · K1 · N2 · sektorsanalogi

Allehanda rapporterar under torsdagen om brand på Höglandssågen i Örnsköldsvik. Uppgifter om omfattning, orsak, personskador och räddningstjänstens insats saknas i den publicerade notisen, och tidningens sida kunde inte läsas i sin helhet vid tidpunkten för rapporten. Uppgiften redovisas därför som en tidig signal utan bekräftade detaljer.

Status: Följ upp: räddningstjänstens insatsrapport, om produktionen står still och om utsläpp till luft eller vatten uppstått.

Källa: Allehanda (Örnsköldsvik) – publicerad 3 september 2026
https://www.allehanda.se/ornskoldsvik/brand-pa-hoglandssagen/

Industri, försvarsindustri och leveranskedjor – Sågverk är noder i träförädlingskedjan. Ett produktionsstopp får följder för byggmaterialleveranser i regionen.
Räddningstjänst, larm och blåljus – Bränder i sågverk med stora bränslemängder binder resurser under lång tid och kan kräva förstärkning från angränsande räddningstjänster.
Miljö, väder och klimathändelser – Rökutveckling och släckvatten kan kräva avspärrning och provtagning i närområdet.

12. Pegasus-spionprogram infekterade telefon hos serbisk studentrörelse utan användarens medverkan

Klassning: B2 · K2 · N2 · sektorsanalogi

The Hacker News uppger att spionprogrammet Pegasus placerats på en iPhone tillhörande en medlem i den serbiska studentrörelsen genom ett angrepp som inte krävde någon åtgärd av användaren. Angreppssättet innebär att telefonen kompromitteras utan klick, vilket gör att offret inte kan skydda sig genom eget beteende. Fallet ligger i linje med tidigare dokumenterad användning av kommersiella spionprogram mot civilsamhälle och oppositionella.

Källa: The Hacker News – publicerad 3 september 2026
https://thehackernews.com/2026/09/pegasus-zero-click-spyware-exploit.html

Säkerhetsskydd och personalsäkerhet – Personal med tillgång till säkerhetsklassad information är ett tänkbart mål för samma typ av angrepp. Mobil utrustning som används i sådan roll bör hållas uppdaterad och begränsas i vilka uppgifter den får hantera.
Internationell verksamhet och resande personal – Resande personal i länder där kommersiella spionprogram används bör resa med särskild utrustning och inte med sin ordinarie telefon.
Informations- och cybersäkerhet – Angrepp utan användarens medverkan kan inte mötas med utbildning. Det som återstår är snabb uppdatering, låst konfiguration och begränsning av vad enheten får nå.

13. SMHI varnar för kuling i sydöstra Östersjön

Klassning: A1 · K3 · N2 · direkt verksamhetspåverkan

SMHI har utfärdat en gul varning för kuling med vindar på 14 till 17 meter per sekund i sydöstra Östersjön. Varningen gäller havsområdet och inte land. Varningsnivå gul innebär enligt SMHI att vädret kan innebära vissa risker för allmänheten och störningar för viss verksamhet.

Källa: SMHI – publicerad 3 september 2026
https://www.smhi.se/vader/varningar-och-brandrisk/varningar-och-meddelanden/varningar

Transport och infrastruktur – Kuling i sydöstra Östersjön påverkar färjetrafik och godssjöfart mot Gotland, Blekinge och Baltikum. Förseningar och inställda avgångar kan uppstå.
Energi, el och fjärrvärme – Arbete till sjöss vid kabel- och ledningsförbindelser kan behöva skjutas upp, vilket förlänger tiden för planerade underhållsåtgärder.
Miljö, väder och klimathändelser – Hård vind till sjöss försvårar räddningsinsatser och begränsar möjligheten att hantera utsläpp.

14. Färre elever kan leda till nedläggning av skolor i 79 kommuner

Klassning: B2 · K1 · N1 · omvärldsläge

Dagens Samhälle rapporterar att skolor kan komma att stängas i 79 kommuner till följd av minskande elevantal. Uppgiften rör kommunernas planeringsförutsättningar och inte någon inträffad avvikelse. Underlaget presenteras som en genomgång av elevutvecklingen i landets kommuner.

Källa: Dagens Samhälle – publicerad 3 september 2026
https://www.dagenssamhalle.se/samhalle-och-valfard/skola/farre-elever-skolor-kan-stangas-i-79-kommuner/

Skola och förskola – Nedläggning av skolenheter förändrar skolskjuts, måltidsförsörjning och lokalanvändning. Beslut om avveckling av en byggnad påverkar även dess roll som uppsamlingsplats eller reservlokal i kommunens krisplanering.
Offentlig förvaltning och myndighetsutövning – Skolnedläggningar är beslut som ofta möter starkt lokalt motstånd. Erfarenheten är att sådana processer ökar hot och otillbörlig påverkan mot förtroendevalda och tjänstemän, vilket bör vägas in i planeringen.

Darkweb och läckageanspråk

Posterna nedan kommer ur clearnet-index över utpressningsgruppernas egna läckagesidor och ur kataloger över spridda inloggningsuppgifter. Det är påståenden från gärningsmän eller andrahandsuppgifter, och de klassas därför som obekräftade (K0) med låg tillförlitlighet. Rapporten redovisar att ett anspråk finns, vem som framför det och när det observerades – aldrig innehållet i en läcka. En post här är en signal att kontrollera, inte en bekräftad händelse.

D1. Gruppen vexy uppger sig ha angripit brasilianska Engefitas

Klassning: E6 · K0 · N1 · omvärldsläge

Ett index över utpressningsgruppernas egna läckagesidor visar ett nytt anspråk från gruppen vexy mot Engefitas, som enligt anspråket är ett brasilianskt företag som tillverkar tejp och lim för förpackning, fordonsindustri och byggverksamhet. Anspråket kommer från gärningsmannens egen kanal och är obekräftat. Ingen svensk eller nordisk verksamhet pekas ut.

Status: Följ upp: om företaget eller någon myndighet bekräftar en incident.

Källa: RansomLook (index över läckagesidor) – observerad 3 september 2026 kl. 15.35
https://www.ransomlook.io/group/vexy

Industri, försvarsindustri och leveranskedjor – Anspråket rör en verksamhet i denna kategori utanför Sverige. Posten redovisas som signal om aktiv utpressningsverksamhet, inte som påverkan på någon bevakad verksamhet.

D2. Gruppen qilin uppger sig ha angripit Complete Packaging Solutions

Klassning: E6 · K0 · N1 · omvärldsläge

Samma index visar ett nytt anspråk från gruppen qilin mot Complete Packaging Solutions, som anges tillhöra branschen företagstjänster. Anspråket är obekräftat och kommer från gärningsmannens egen kanal. Ingen svensk eller nordisk verksamhet pekas ut, och inget innehåll ur något påstått material redovisas här.

Status: Följ upp: om företaget eller någon myndighet bekräftar en incident.

Källa: RansomLook (index över läckagesidor) – observerad 3 september 2026 kl. 14.33
https://www.ransomlook.io/site/blog?uuid=adec1c55-2d8f-4001-b107-5bc6e3433690

Försörjning och leveranskedja – Anspråket rör en verksamhet i denna kategori utanför Sverige. Posten redovisas som signal om aktiv utpressningsverksamhet, inte som påverkan på någon bevakad verksamhet.

Berörda verksamheter i sammandrag

Försörjning och leveranskedja

Händelse 1: Dustin stänger nätbutik och delar av interna system efter angrepp – bolaget kallar det allvarligt – Dustin är återförsäljare av it-utrustning med ramavtal mot offentlig sektor genom Kammarkollegiet och Adda enligt bolagets egen redovisning (https://www.dustin.se/offentlig-sektor/ramavtal-med-kammarkollegiet). En nedstängd nätbutik utan leveranser stoppar beställningar av klienter, tillbehör och licenser hos avropande kommuner, regioner och myndigheter så länge stoppet varar.
Händelse 3: Domstolsdata från tolv amerikanska jurisdiktioner och Ontario röjda i intrång hos Thomson Reuters – Säkerhetskopior som delats med leverantör ingick i det röjda materialet. Var säkerhetskopior lagras och vem som har åtkomst till dem bör ingå i den egna kartläggningen av beroenden till tredje part.

Elektronisk kommunikation och it-drift

Händelse 1: Dustin stänger nätbutik och delar av interna system efter angrepp – bolaget kallar det allvarligt – Dustin levererar även managerade it-tjänster, licenshantering och infrastrukturtjänster. Verksamheter som köper drift eller livscykelhantering av bolaget bör kontrollera vilka gränssnitt och konton som finns mot Dustins miljö och om någon federerad inloggning berörs.
Händelse 2: CISA för in sju aktivt utnyttjade brister i katalogen – tre sitter i AI-infrastruktur – SMA 1000 används som fjärråtkomstlösning och Switchvox som telefoniplattform. Båda är typiskt internetexponerade och en obehörig får med bristerna fotfäste i driftnätet utan att behöva inloggning.
Händelse 4: Strömavbrott på Kungsholmen och Essingarna slog ut teknik i tunnelbanans blå linje – Kortare avbrott utan ordnad nedstängning ger risk för filskador i lokala servrar och nätverksutrustning. Kontrollera att alla noder kommit tillbaka och att inget larm står kvar obehandlat.
Händelse 7: Angripare använder signerad Node.js-binär för att köra skadlig kod mot myndigheter – Persistens via Run-nyckeln fångas av grundläggande övervakning av autostartpunkter. Att sådan övervakning finns är en av de tekniska åtgärder NCSC:s metodstöd anger som del av steget använda (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).

Informations- och cybersäkerhet

Händelse 1: Dustin stänger nätbutik och delar av interna system efter angrepp – bolaget kallar det allvarligt – Bolaget uppger inte vilka system som berörts. Verksamheter med leverantörsförhållande bör begära besked om vilka uppgifter som hanteras i de nedstängda systemen och förbereda egen bedömning av rapporteringsplikt. En incident med betydande påverkan rapporteras enligt cybersäkerhetslagen (2025:1506) till Nationellt cybersäkerhetscenter (NCSC) via Cyberportalen, och en personuppgiftsincident till Integritetsskyddsmyndigheten. Kravet på att identifiera och analysera beroenden till tredje part följer NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
Händelse 2: CISA för in sju aktivt utnyttjade brister i katalogen – tre sitter i AI-infrastruktur – Artifactory är artefaktregister i mjukvaruleveranskedjan. Administratörsbehörighet där gör det möjligt att lägga in manipulerade artefakter som sedan sprids till alla miljöer som hämtar från registret, i linje med den angreppsbild NCSC beskriver i temarapporten om hoten mot de digitala leveranskedjorna (https://www.ncsc.se/siteassets/radgivning-och-stod/ovriga-publikationer/temarapport-2021-hoten-mot-de-digitala-leveranskedjorna—50-rekommendationer-for-att-starka-samhallssakerheten.pdf).
Händelse 3: Domstolsdata från tolv amerikanska jurisdiktioner och Ontario röjda i intrång hos Thomson Reuters – Tidsförloppet är det väsentliga: fem månader mellan åtkomst och offentliggörande och två månader mellan upptäckt och besked. Verksamheter bör kontrollera vilka tider för underrättelse som står i egna leverantörsavtal och om leverantören är skyldig att larma vid misstanke, inte bara vid bekräftad incident.
Händelse 7: Angripare använder signerad Node.js-binär för att köra skadlig kod mot myndigheter – Metoden bygger på att en legitim och signerad binär tillåts köra godtyckliga skript. Verksamheter som tillåter Node.js på klienter bör kontrollera om körning av skript via node.exe loggas och om applikationsstyrning täcker tolkade skript, inte bara körbara filer.
Händelse 9: Integritetsskyddsmyndigheten inleder granskning av it-företag enligt kreditupplysningslagen – Om en leverantör visar sig sakna stöd för behandlingen kan uppgifter behöva gallras och beslut omprövas. Kartlägg vilka beslut som fattats på underlag från sådana tjänster.
Händelse 12: Pegasus-spionprogram infekterade telefon hos serbisk studentrörelse utan användarens medverkan – Angrepp utan användarens medverkan kan inte mötas med utbildning. Det som återstår är snabb uppdatering, låst konfiguration och begränsning av vad enheten får nå.

Offentlig förvaltning och myndighetsutövning

Händelse 1: Dustin stänger nätbutik och delar av interna system efter angrepp – bolaget kallar det allvarligt – Avrop som ligger i beställningsflödet riskerar förskjutning. Verksamheter med pågående utrullningar av klienter inför höstterminen bör se över alternativa avropsvägar inom ramavtalet.
Händelse 3: Domstolsdata från tolv amerikanska jurisdiktioner och Ontario röjda i intrång hos Thomson Reuters – Ärendehanteringssystem hos domstolar och myndigheter innehåller uppgifter som ofta inte kan bytas ut eller återkallas. Fallet visar att röjandet kan ske hos leverantören och inte hos den myndighet som äger uppgifterna.
Händelse 6: Skyddsombud stoppade arbetet i Nora kommunhus efter hot – entrén hålls låst – Låst entré begränsar invånarnas tillträde till kommunal service. Alternativa vägar för ärenden som kräver personligt besök behöver anvisas.
Händelse 7: Angripare använder signerad Node.js-binär för att köra skadlig kod mot myndigheter – Myndigheter pekas ut som ett av de tre målurvalen. ClickFix förutsätter att en användare kopierar och kör ett kommando, vilket gör att medvetandehöjning om just detta beteende ger direkt effekt.
Händelse 9: Integritetsskyddsmyndigheten inleder granskning av it-företag enligt kreditupplysningslagen – Verksamheter som köper bakgrundskontroller eller riskbedömningar av personer bör kontrollera att leverantören har rättslig grund för den behandling som tjänsten bygger på.
Händelse 14: Färre elever kan leda till nedläggning av skolor i 79 kommuner – Skolnedläggningar är beslut som ofta möter starkt lokalt motstånd. Erfarenheten är att sådana processer ökar hot och otillbörlig påverkan mot förtroendevalda och tjänstemän, vilket bör vägas in i planeringen.

Industri, försvarsindustri och leveranskedjor

Händelse 2: CISA för in sju aktivt utnyttjade brister i katalogen – tre sitter i AI-infrastruktur – De tre bristerna i AI-nära komponenter – LiteLLM, Starlette och Kestra – finns i miljöer som byggts upp snabbt och ofta utan samma förvaltning som övriga system. Inventering av var sådana komponenter körs bör göras nu.
Händelse 8: Norge har beslagtagit ryskt fartyg vid kaj i Barentsburg på Svalbard – Sanktioner och exportkontroll i Barentsområdet påverkar avtal och betalflöden. Verksamheter med rysk motpart eller rysk ägarkoppling i leverantörskedjan bör kontrollera att inget avrop står i strid med gällande sanktioner.
Händelse 11: Kraftig brand på Höglandssågen i Örnsköldsvik – Sågverk är noder i träförädlingskedjan. Ett produktionsstopp får följder för byggmaterialleveranser i regionen.

Energi, el och fjärrvärme

Händelse 4: Strömavbrott på Kungsholmen och Essingarna slog ut teknik i tunnelbanans blå linje – Avbrottet träffade ett område med hög täthet av myndighetskontor och vårdmottagningar. Verksamheter i de berörda stadsdelarna bör kontrollera att avbrottsfri kraft och reservkraft fungerade som avsett och logga eventuella omstarter.
Händelse 13: SMHI varnar för kuling i sydöstra Östersjön – Arbete till sjöss vid kabel- och ledningsförbindelser kan behöva skjutas upp, vilket förlänger tiden för planerade underhållsåtgärder.

Transport och infrastruktur

Händelse 4: Strömavbrott på Kungsholmen och Essingarna slog ut teknik i tunnelbanans blå linje – Blå linjen fick tekniskt fel som följd av avbrottet. Personal- och brukartransporter i Kungsholmen och västerut påverkades under förmiddagen.
Händelse 8: Norge har beslagtagit ryskt fartyg vid kaj i Barentsburg på Svalbard – Beslag av fartyg vid rysk kaj på norskt territorium är ett rättsligt ingripande som kan följas av åtgärder mot norsk eller nordisk sjöfart. Rederier med trafik i norra Norge bör bevaka Sjöfartsverkets och norska myndigheters underrättelser.
Händelse 10: Polisen beslutar om kamerabevakning med drönare i centrala Malmö vid derbyt – Sträckan mellan Malmö C och Hyllievång omfattar centralstation, spårområde och kollektivtrafik. Avstängningar och omledningar kan påverka personalens resor till och från arbetet.
Händelse 13: SMHI varnar för kuling i sydöstra Östersjön – Kuling i sydöstra Östersjön påverkar färjetrafik och godssjöfart mot Gotland, Blekinge och Baltikum. Förseningar och inställda avgångar kan uppstå.

Vatten och avlopp

Händelse 5: Omfattande vattenläcka i Örebro gav missfärgat vatten och förändrat tryck – Tryckfall i distributionsnätet ger risk för inträngning av förorenat vatten. Kommunen bör dokumentera tryckförlopp och provtagning så att beslut om kokningsrekommendation kan fattas på underlag.

Vård, omsorg och socialtjänst

Händelse 5: Omfattande vattenläcka i Örebro gav missfärgat vatten och förändrat tryck – Vårdmottagningar, tandvård och äldreboenden i berörda områden är beroende av dricksvatten av rätt kvalitet för hygien och för viss utrustning. Missfärgat vatten kan kräva att behandlingar skjuts upp.

Skola och förskola

Händelse 5: Omfattande vattenläcka i Örebro gav missfärgat vatten och förändrat tryck – Skolmåltider och hygien i förskolor påverkas direkt av missfärgat vatten. Verksamheterna behöver besked om vattenkvalitet före dagens första måltid.
Händelse 14: Färre elever kan leda till nedläggning av skolor i 79 kommuner – Nedläggning av skolenheter förändrar skolskjuts, måltidsförsörjning och lokalanvändning. Beslut om avveckling av en byggnad påverkar även dess roll som uppsamlingsplats eller reservlokal i kommunens krisplanering.

Personsäkerhet och hot mot förtroendevalda och anställda

Händelse 6: Skyddsombud stoppade arbetet i Nora kommunhus efter hot – entrén hålls låst – Receptioner i kommunhus är den punkt där personal möter allmänheten utan skalskydd emellan. Att ett skyddsombud tvingas begära skyddsstopp visar att riskbedömningen för arbetsplatsen inte hunnit fånga hotbilden.

Fysisk säkerhet och skydd av anläggning

Händelse 6: Skyddsombud stoppade arbetet i Nora kommunhus efter hot – entrén hålls låst – Brandfarlig vätska inne i en reception är ett tillträdesproblem, inte bara ett bemötandeproblem. Andra kommuner bör se över om entrén har avgränsad besökszon, larmknapp med känd larmväg och möjlighet att låsa in personal på säker sida.
Händelse 10: Polisen beslutar om kamerabevakning med drönare i centrala Malmö vid derbyt – Anläggningar i det bevakade området kan behöva förstärkt bevakning och tydliga rutiner vid folksamling utanför entréer.

Internationell verksamhet och resande personal

Händelse 8: Norge har beslagtagit ryskt fartyg vid kaj i Barentsburg på Svalbard – Svalbard pekas återkommande ut som möjlig arena för ryska provokationer. Verksamheter med personal eller uppdrag i Barentsområdet bör följa läget och ha kontaktvägar klara för snabb hemtagning.
Händelse 12: Pegasus-spionprogram infekterade telefon hos serbisk studentrörelse utan användarens medverkan – Resande personal i länder där kommersiella spionprogram används bör resa med särskild utrustning och inte med sin ordinarie telefon.

Säkerhetsskydd och personalsäkerhet

Händelse 9: Integritetsskyddsmyndigheten inleder granskning av it-företag enligt kreditupplysningslagen – Uppgifter om lagöverträdelser förekommer i underlag för säkerhetsprövning. Behandlingen får ske i den ordning säkerhetsskyddslagstiftningen anger, inte genom inköp av kommersiella sammanställningar. Verksamheter bör granska vilka källor som används i egna prövningsunderlag.
Händelse 12: Pegasus-spionprogram infekterade telefon hos serbisk studentrörelse utan användarens medverkan – Personal med tillgång till säkerhetsklassad information är ett tänkbart mål för samma typ av angrepp. Mobil utrustning som används i sådan roll bör hållas uppdaterad och begränsas i vilka uppgifter den får hantera.

Räddningstjänst, larm och blåljus

Händelse 10: Polisen beslutar om kamerabevakning med drönare i centrala Malmö vid derbyt – En kommendering av denna storlek binder polisiär förmåga i Malmö under ett och ett halvt dygn. Verksamheter som räknar med polisiärt stöd i samma tidsfönster bör planera med lägre tillgänglighet.
Händelse 11: Kraftig brand på Höglandssågen i Örnsköldsvik – Bränder i sågverk med stora bränslemängder binder resurser under lång tid och kan kräva förstärkning från angränsande räddningstjänster.

Miljö, väder och klimathändelser

Händelse 11: Kraftig brand på Höglandssågen i Örnsköldsvik – Rökutveckling och släckvatten kan kräva avspärrning och provtagning i närområdet.
Händelse 13: SMHI varnar för kuling i sydöstra Östersjön – Hård vind till sjöss försvårar räddningsinsatser och begränsar möjligheten att hantera utsläpp.

Bedömning

Tre spår löper genom fönstret. Det första är leverantörsberoendet. Dustin, Thomson Reuters och de aktivt utnyttjade bristerna i Artifactory pekar alla på samma sak: den egna verksamhetens skydd avgörs i stor utsträckning av vad någon annan gör. Det är sannolikt att flera bevakade verksamheter har pågående avrop hos Dustin, och kontroll av vilka gränssnitt och konton som finns mot bolagets miljö bör göras i dag. Det andra spåret är driftnära störningar utan antagonist. Strömavbrottet i Stockholm och vattenläckan i Örebro var båda kortvariga men träffade tät samhällsviktig verksamhet, och värdet ligger i att kontrollera att reservkraft, larmvägar och återstart fungerade som avsett. Det tredje spåret är hot mot personal i offentlig verksamhet. Skyddsstoppet i Nora är den andra händelsen i närtid där en kommunal reception visar sig sakna tillräckligt tillträdesskydd, och det är möjligt att liknande brister finns i fler kommunhus. Ett förlopp som bör följas är om Dustin bekräftar personuppgiftsincident, eftersom det då aktualiserar underrättelse till berörda och anmälan till Integritetsskyddsmyndigheten hos de verksamheter vars uppgifter hanterats i de nedstängda systemen.

Så läser du klassningen

Varje händelse har en kod på formen B2 · K1 · N3 · leverantörsberoende. Den skiljer tre saker åt: vem som uppger något, hur väl det är styrkt och vad det betyder för de verksamheter som bevakas.

Källtillförlitlighet A–F

Bedömer källan, inte uppgiften. Följer Admiralty-skalan.

A – Helt tillförlitlig – ansvarig myndighet om sitt eget område, drabbad organisation om sin egen verksamhet, domstol, officiell rapport.
B – Vanligen tillförlitlig – etablerad redaktion med egen rapportering, erkänt säkerhetsföretag, nyhetsbyrå på plats.
C – Ganska tillförlitlig – lokalmedia, branschmedia, mindre analysföretag, namngiven expert utan egen insyn.
D – Sällan tillförlitlig – aggregator, part i saken, anonym blogg, kanal som återger andras uppgifter utan egen kontroll.
E – Otillförlitlig – kanal med känd historik av vilseledning, gärningsmäns egna kanaler, konton som driver en kampanj.
F – Går inte att bedöma – ny eller okänd källa utan spårbar historik.

Uppgiftens riktighet 1–6

Bedömer själva uppgiften, oberoende av källans rykte. Kopior räknas inte som oberoende källor.

1 – Bekräftad – ansvarig aktör bekräftar, eller minst två av varandra oberoende källor.
2 – Sannolikt sann – stämmer med annan känd information, men ingen bekräftar än.
3 – Möjligen sann – delvis stödd, väsentliga delar obestyrkta.
4 – Tveksam – motsägs delvis av annan information.
5 – Osannolik – motsägs av tillförlitlig information.
6 – Går inte att bedöma.

Bekräftelsegrad K0–K3

Ett läsbart komplement till bokstavskoden.

K0 – Obekräftat påstående från en enda part, ofta med eget intresse.
K1 – En oberoende källa rapporterar.
K2 – Två eller fler oberoende källor rapporterar.
K3 – Bekräftat av ansvarig aktör, drabbad organisation eller myndighet.

Påverkansnivå N1–N4

Avser de verksamheter som bevakas.

N1 – Omvärldsläge – allmän omvärldsbild utan direkt koppling till driften.
N2 – Observation – kan beröra sektorn på sikt, ingen åtgärd nu.
N3 – Förhöjd – berör konkret en verksamhetstyp, en leverantör eller ett tekniskt beroende. Åtgärd bör övervägas i dag.
N4 – Akut – pågående eller omedelbar påverkan, åtgärd nu, kan utlösa rapporteringsplikt.

Närhet – varför händelsen berör

Ett av sju värden anges sist i koden.

direkt verksamhetspåverkan – En bevakad verksamhetstyp påverkas här och nu.
leverantörsberoende – Påverkan går via en leverantör eller underleverantör.
tekniskt beroende – Påverkan går via en produkt, tjänst eller teknik som används i verksamheten.
sektorsanalogi – Samma typ av verksamhet har drabbats någon annanstans.
regel och tillsyn – Nya krav, beslut eller tillsyn styr verksamheten.
geografisk närhet – Händelsen inträffar i ett område där verksamhet bedrivs.
omvärldsläge – Bakgrund som förändrar hotbilden utan direkt koppling till driften.

Ordval för egna bedömningar

Bedömningar skrivs med fast ordlista och hålls skilda från vad källan uppger.

Mycket osannolikt – under 10 %
Osannolikt – 10 till 25 %
Möjligt – 25 till 50 %
Sannolikt – 50 till 75 %
Mycket sannolikt – 75 till 90 %
Nära säkert – över 90 %