40 000 nedladdningar av skadlig kod – medan miljarder rullar in i en bransch som ändå missar det uppenbara
Miljarder spenderas på cybersäkerhet – ändå laddades skadlig kod ned 40 000 gånger.
Miljarder rullar in – men hålen finns kvar
September 2026 kommer att skrivas in i branschhistorien. Enligt SecurityWeek tillkännagavs hela 39 förvärv och fusioner inom cybersäkerhet under en enda månad – en siffra som talar sitt tydliga språk om var investerarna ser framtiden. Palo Alto Networks köpte automatiseringsplattformen Console för uppskattningsvis 500 miljoner dollar. IBM förvärvade det brittiska försvars- och infrastrukturkonsultbolaget Logiq Consulting. Dragos slutförde sina köp av NetRise och runZero, som en del av Accentures satsning på hela 4,1 miljarder dollar inom säkerhet för operativ teknik. Och så slår NetSPI och Synack ihop verksamheterna till en offensiv aktör med en omsättning på över 200 miljoner dollar.
Det är imponerande siffror. Och jag är genuint entusiastisk över vad konsolidering kan åstadkomma – färre glapp mellan verktyg, bättre integrerade plattformar, djupare automatisering. Det är precis den typ av strukturomvandling som branschen behöver.
Men sedan läser jag det andra nyhetsflödet från samma vecka, och det kyler ned entusiasmen en aning.
40 000 nedladdningar av ren skadlig kod – utan en enda varning
Säkerhetsföretaget Checkmarx rapporterar om en kampanj de döpt till MALFEX – en koordinerad spridning av skadlig kod via npm-registret, det ekosystem som miljontals mjukvaruutvecklare världen över förlitar sig på dagligen. Kampanjen har pågått sedan augusti 2023. Den okände hotaktören har publicerat tolv paket, varav åtta är skadliga, och dessa har samlat ihop över 40 000 nedladdningar.
Det som verkligen stannar kvar i minnet är paketet function-flag. Det har varit öppet skadligt sedan juli 2025 – alltså i mer än ett år – och laddats ned mer än 37 000 gånger. Utan att någon varning flaggats i registret. Tre av paketen gick fortfarande att installera fritt så sent som den 1 oktober i år.
Skadlig kod av det här slaget är ingen bagatell. Checkmarx kartlägger tre separata spridningsvägar inom kampanjen. En installerar fjärrstyrningsverktyget Overlord RAT – ett verktyg som ger angriparen full kontroll över det drabbade systemet, inklusive skärminspelning, tangentbordsavlyssning och fjärråtkomst till en dold skrivbordsmiljö. En annan väg installerar informationsstjälaren movinlike direkt när paketet läses in.
Två bilder av samma bransch
De här två nyheterna existerar inte i parallella universum – de beskriver samma bransch, samma ögonblick i tid. Och tillsammans ger de en bild som är mer komplex och mer ärlig än vad endera berättelsen ensam förmår.
Konsolideringen är real och nödvändig. Fragmenterade säkerhetsverktyg är ett välkänt problem; alltför många organisationer försöker lappa ihop skydd från dussintals leverantörer som inte pratar med varandra. De stora förvärven vi ser nu handlar om att bygga sammanhållna plattformar med djupare automatisering – och det är rätt väg framåt.
Men konsolidering löser inte ett annat grundläggande problem: det öppna ekosystemets sårbarhet. npm är en hörnsten i modern mjukvaruutveckling. Miljontals projekt – kommersiella, statliga, kritisk infrastruktur – använder paket från registret dagligen. Att en kampanj kan operera öppet i över tre år och ackumulera tiotusentals nedladdningar utan att stoppas är inte ett tekniskt misslyckande. Det är ett systemfel.
Det handlar om prioritering, granskning och ansvar. Vem äger egentligen säkerheten i de delade resurser som hela den digitala ekonomin vilar på?
Möjligheternas sida
Jag vill inte sluta i pessimism – det är inte min stil och det vore inte heller rättvisande. Det faktum att Checkmarx identifierade och kartlade MALFEX är ett bevis på att hotbildsanalysen blir skarpare. AI-driven kodanalys och beteendeövervakning av paketregister är ett område som växer snabbt, och de resurser som nu flödar in i branschen via dessa rekordförvärv kan finansiera exakt den typen av proaktiva skyddsmekanismer.
Men det kräver att vi riktar blicken rätt. Att köpa nästa plattform och integrera nästa verktyg räcker inte om grundinfrastrukturen – de öppna ekosystem som alla bygger på – lämnas som en öppen bakdörr.
Vår analys
Den här månaden illustrerar en spänning som kommer att definiera cybersäkerhetsbranschen under de kommande åren: kapitalet konsolideras uppåt, medan hoten opererar nedåt – i de öppna, delade ekosystem som ingen enskild aktör äger eller ansvarar för.
Konsolideringsvågen skapar starkare plattformar och bättre integrerade skydd för de organisationer som har råd och förmåga att köpa dem. Men öppen källkod, paketregister och delade beroenden är en annan kategori av risk – en som kräver kollektiv styrning, inte bara kommersiell konkurrens.
Min bedömning är att nästa stora genombrott inom cybersäkerhet inte kommer att vara ett förvärv – det kommer att vara ett genuint ramverk för ansvar och granskning av öppna ekosystem. Där finns det verkliga möjligheten: den aktör som löser det problemet, med hjälp av AI-driven kodanalys och gemensam standardisering, kommer att definiera branschen för ett decennium framåt.