De betalade en miljon dollar – och visar varför offentlig sektor har blivit utpressarnas mest lönsamma mål
Kommunen betalade en miljon dollar – bara för att slippa se medborgardata läcka.
När lösen blir enklast – och dyrast
I maj 2025 tog sig en grupp som kallar sig Kairos in i en amerikansk länsstyrelses system. Metoden var anmärkningsvärt lågteknologisk: en klassisk brute force-attack där angriparna systematiskt testade sig fram till rätt inloggningsuppgifter. Inga avancerade nolldagssårbarheter, ingen skräddarsydd skadlig kod – bara tålamod och dåliga lösenord.
Resultatet? Drygt två terabyte data – motsvarande ungefär 1,6 miljoner filer – hamnade i angriparnas händer. Och sedan kom kravet.
Enligt organisationen Ransom-ISAC, som arbetar aktivt mot utpressningsangrepp, inledde Kairos förhandlingarna med ett krav på tre miljoner dollar. Den drabbade organisationen – som omständigheterna pekar mot ska vara Union County i Ohio – motbjöd med 100 000 dollar. Tre veckor och hårda tidsgränser senare landade parterna på en miljon dollar, betalda i bitcoin den 13 juni.
Det som gör fallet extra intressant är att det inte rörde sig om klassisk utpressningsprogramvara som låser och krypterar filer. Kairos hotade enbart med att publicera det stulna materialet – en så kallad utpressning utan kryptering. Ingen driftstörning, inget produktionsstopp. Bara ett tyst, juridiskt och kommunikativt mardrömsscenariot för en offentlig organisation med känsliga medborgaruppgifter.
Ransom-ISAC konstaterar torrt att offrets beteende är typiskt: en organisation som försöker vinna tid medan jurister, ekonomer och kommunikatörer samordnar sig internt. Det är en mänsklig och förståelig reaktion – men den kostar alltså, i det här fallet, en miljon dollar.
Statssponsrade aktörer tar det ett steg längre
Medan Kairos verkar drivas av ekonomiska motiv är hotbilden från statsknutna grupper av ett helt annat slag. Säkerhetsföretaget Check Point har kartlagt en iransk hotaktör som de spårar under namnet Cavern Manticore – en grupp med bedömda kopplingar till Irans underrättelsetjänst (MOIS) och möjliga band till den välkända gruppen OilRig.
Cavern Manticores senaste kampanj riktar sig mot israeliska myndigheter och IT-leverantörer, och den tekniska sofistikeringen är påtaglig. Ramverket är byggt i programmeringsspråket .NET och använder tre olika kompileringsformat för sina komponenter – ett medvetet val som tvingar säkerhetsanalytiker att byta arbetsflöde och verktygskedja för varje enskild del.
Som Check Point formulerar det: det handlar inte om dold kod i traditionell bemärkelse. Inget packningsverktyg, ingen krypterad text. I stället blir själva kompileringsformatet ett analyshinder. Det är en elegant och frustrerande lösning – man försvårar för försvararna utan att lämna de uppenbara fingeravtryck som traditionella skyddsåtgärder brukar ge.
Angreppet inleds genom att utnyttja en sårbarhet i uppdateringsfunktionen hos IT-hanteringsverktyget SysAid. Därifrån aktiveras ett så kallat Cavern-ombud på det drabbade systemet – och när styrkanalen väl är upprättad kan operatörerna läsa in skräddarsydda moduler beroende på just det målets miljö. Flexibiliteten är genomtänkt och gör ramverket svårt att bemöta med generiska försvarsåtgärder.
Samma måltavla, olika angripare
De två fallen är olika till sin natur – det ena opportunistiskt och ekonomiskt drivet, det andra strategiskt och statsstyrt – men de delar en gemensam nämnare: offentlig sektor och kritisk infrastruktur är attraktiva och ofta sårbara mål.
Det finns strukturella skäl till det. Offentliga organisationer hanterar enorma mängder känsliga medborgaruppgifter, har ofta begränsade säkerhetsbudgetar, och verkar under ett politiskt tryck som gör driftstörningar särskilt kostsamma – inte minst i förtroendekapital. Det skapar ett unikt förhandlingsläge för utpressare.
Samtidigt är IT-leverantörer som SysAid – vars uppdateringsfunktion Cavern Manticore utnyttjar – en inkörsport till många organisationer på en och samma gång. Att kompromissa en leverantör kan ge tillgång till dussintals slutmål. Det är inte en slump att statliga aktörer söker sig dit.
Det positiva – och det finns faktiskt ett – är att både Ransom-ISAC och Check Points kartläggning representerar precis den typ av strukturerad hotdelning och öppen forskning som gör att vi faktiskt lär oss av angreppen. Varje analyserat fall är ett bidrag till ett gemensamt försvarsarbete. Det är inte tillräckligt, men det är en grund att bygga på.
Vår analys
De här fallen illustrerar en mognad i hotlandskapet som vi inte kan blunda för. Utpressningsgrupper har lärt sig förhandla – Kairos tre veckors process påminner mer om en affärsuppgörelse än ett brott. Det är en professionalisering av brottsligheten som kräver ett lika professionellt försvarssvar.
På statsnivå ser vi hur Cavern Manticores modulära upplägg speglar en bredare trend: angrepp utformas numera för att undvika detektion snarare än för att vara maximalt destruktiva. Det handlar om uthållighet och informationsinhämtning – inte sabotage.
För offentlig sektor i Sverige och Norden är lärdomen tydlig: grundläggande åtgärder som flerfaktorsinloggning och systematisk sårbarhetshantering är inte valfria tillägg – de är den lägsta godtagbara nivån. Och leverantörskedjans säkerhet är lika viktig som den egna. Den goda nyheten är att kunskapen finns. Nu handlar det om att faktiskt tillämpa den.