Två miljoner nedladdningar – ingen reagerade: så döljer sig den nya cyberbrottsligheten
Två miljoner nedladdningar av skadlig kod – ingen säkerhetslösning slog larm.
När fienden gömmer sig i verktygsbacken
Föreställ dig att du laddar ned ett paket till ditt mjukvaruprojekt. Det ser legitimt ut – välskött GitHub-konto, trovärdig versionshistorik, hundratusentals andra utvecklare som använder samma verktyg. Du anar ingenting. Det är exakt den situationen som drabbade miljontals utvecklare när det skadliga kodpaketet indexed-btree spreds i NPM-ekosystemet, enligt säkerhetsföretaget Checkmarx.
Det som gör det här fallet anmärkningsvärt är inte att det hände – utan hur det hände. I stället för att kapa ett redan populärt paket, vilket brukar ge snabb spridning men lika snabb upptäckt, valde angriparen tålamod. Den skadliga koden bäddades in i paketets kärnfunktion, BTree.prototype.set, snarare än i ett installationsskript. Vanliga säkerhetslösningar, som skannar vid installation, missade den helt. Resultatet: två miljoner nedladdningar per vecka, och ett skadligt program som sög upp systeminformation och skickade den till hårdkodade kanaler på Slack och Telegram – innan det anslöt till ett smart kontrakt på blockkedjan Sepolia för att hämta nästa steg i attacken och sedan radera sina egna spår.
Det är en attack mot mjukvaruförsörjningskedjan i dess mest sofistikerade form. Och den är långt ifrån ett isolerat undantag.
Nordkorea driver IT-bedrägeri som statsindustri
Samtidigt har japanska myndigheter, i samarbete med FBI, australiensisk underrättelsetjänst och tyska kollegor, för första gången avvecklat en nordkoreansk bärbarsdatorfarma på japansk mark. Bakom operationen står gruppen WaterPlum – även känd som Contagious Interview – som enligt myndigheterna lyder under den nordkoreanska regimens generalstab.
Tillvägagångssättet är nästan imponerande i sin genomtänkthet: nordkoreanska IT-arbetare utger sig för att representera legitima arbetsgivare inom artificiell intelligens, kryptovaluta och blockkedjeteknik. De kontaktar mjukvaruutvecklare och IT-specialister, värvar dem – och fjärrstyr sedan datorer placerade hos medbrottslingar för att dölja sin verkliga vistelseort. Mellan december 2025 och juli 2026 ska gruppen ha infekterat minst 30 000 enheter i över 100 länder, tömt mer än 7 000 kryptoplånböcker och fört ut motsvarande drygt 10,7 miljoner amerikanska dollar till Nordkorea.
Det är inte cyberbrottslighet i traditionell mening. Det är en industrialiserad, statsfinansierad inkomstkälla – och den verkar mitt i de digitala ekosystem som västerländska företag förlitar sig på varje dag.
Kapitalet ser vad politiken ännu inte hunnit reglera
Mot den bakgrunden är det svårt att bli förvånad över att datasäkerhetsföretaget Cyera nyligen värderades till mer än 12 miljarder dollar – motsvarande drygt 120 miljarder kronor – efter att ha tagit in ytterligare 400 miljoner dollar med Goldman Sachs Alternatives som investerare. Bolagets totala insamlade kapital överstiger nu 2,7 miljarder dollar.
Cyera erbjuder realtidsöverblick över känslig information i molnmiljöer, databaser och lokala system. Plattformen kopplar kontinuerligt samman datas känslighetsgrad med användarnas åtkomsträttigheter och fångar upp felkonfigurationer och alltför vida behörigheter innan de hinner leda till incidenter. I takt med att artificiell intelligens används alltmer i företagsmiljöer – med data som matas in i stora språkmodeller och träningsdatamängder som hanteras av automatiserade system – har behovet av just den här typen av skydd ökat markant.
Investerare är sällan dumma med sina pengar. Att Goldman Sachs väljer att sätta 400 miljoner dollar på ett enda datasäkerhetsbolag är ett tydligt marknadssignal: hotnivån är tillräckligt allvarlig, och marknaden tillräckligt stor, för att motivera den värderingen.
Tre nyheter, ett mönster
De tre händelserna hänger ihop på ett sätt som är värt att stanna upp inför. Angriparna i NPM-fallet använde blockkedjeinfrastruktur för att dölja sin kommandocentral. WaterPlum maskerade sig bakom AI- och kryptovalutaföretag. Cyeras snabbast växande användningsfall handlar om att skydda data i AI-system. Hoten och försvaret rör sig i samma riktning – mot allt mer avancerade, AI-stödda och digitalt sammanvävda miljöer.
Det är inte en tillfällighet. Det är en systemisk förskjutning.
Vår analys
Det vi ser är inte en tillfällig topp i cyberbrottslighet – det är en strukturell omställning. Angripare professionaliseras, statsfinansieras och anpassar sig snabbare än försvaret hinner reagera. NPM-fallet visar att även välkända ekosystem är sårbara när angriparen är tålmodig nog att bygga trovärdighet över tid. WaterPlum-avslöjandet visar att gränsen mellan statlig underrättelseverksamhet och organiserad brottslighet i praktiken har suddats ut.
Men det finns en ljuspunkt i det här: kapitalet rör sig rätt. När Goldman Sachs värdesätter Cyera till 120 miljarder kronor sänder de en signal till hela marknaden om att datasäkerhet inte längre är en kostnadspost – det är en strategisk tillgång. Nästa generation av AI-drivna säkerhetsplattformar kommer att vara de företag som överlever och vinner affärer i den här miljön.
För beslutsfattare handlar det om att sluta behandla cybersäkerhet som IT-avdelningens problem och börja se det som en kärnfråga för affärsstrategi och styrning.