AI-understøttede cybertrusler — hvad SMV'er skal vide

AI har ikke opfundet cyberkriminalitet. Men AI gør mange af de kendte angreb hurtigere, billigere og mere troværdige. Det er egentlig den vigtigste pointe. Hos ITNU er min erfaring fra arbejdet med danske SMV'er, at hvis man gør AI til noget magisk, kommer man nemt til enten at købe forkerte løsninger eller blive lammet af frygt.

De fleste angreb mod små og mellemstore virksomheder handler stadig om det samme som før: phishing, stjålne adgangskoder, dårligt opdaterede systemer, svag adgangsstyring, manglende backup-test og brugere der bliver presset til at gøre noget forkert.

"AI ændrer ikke fundamentet. AI ændrer tempoet."

TL;DR

• AI gør ikke cyberangreb magiske — men det gør dem hurtigere, billigere og mere troværdige.
• Phishing bliver sværere at spotte, fordi sproget, tonen og konteksten ofte virker mere realistisk.
• Stjålne adgangskoder er stadig en af de vigtigste veje ind, så MFA bør være slået til for alle.
• Kendte sårbarheder bliver udnyttet hurtigere — Verizon DBIR 2025 viser en 34 % stigning i exploitation som initial access-vektor.
• Shadow AI er en reel risiko: ifølge Verizon bruger 15 % af medarbejdere rutinemæssigt generative AI-værktøjer på deres firmadevice.
• Deepfakes er værd at kende til, men for de fleste SMV'er er falske mails, login-sider og betalingsanmodninger en mere nærliggende risiko.
• Leverandørkæden er rykket højere op på dagsordenen — også for SMV'er, fordi I ofte er en del af nogen andens leverandørkæde.

AI gør gamle angreb bedre

Når vi taler om AI-understøttede cybertrusler, handler det sjældent om en kunstig intelligens, der sidder og hacker virksomheden helt af sig selv. Det handler mere om, at angribere bruger AI som værktøj.

De kan skrive bedre phishing-mails. De kan oversætte til flydende dansk. De kan lave flere varianter af samme angreb. De kan hurtigere analysere offentlige oplysninger om jeres virksomhed, jeres medarbejdere og jeres leverandører. De kan bruge automatisering til at finde systemer på nettet, som ikke er opdateret.

Trend Micros trusselsrapport for Q1 2026 beskriver, hvordan ransomware-grupper begynder at integrere agentic AI i selve angrebskæden — til reconnaissance, sårbarhedsscanning, prioritering af ofre og forhandling om løsesum. Det er en vendor-rapport, og den skal læses som en indikator, ikke som uafhængig forskning. Men retningen er klar: angriberne automatiserer mere af det arbejde, der tidligere krævede en person foran tastaturet.

Hos ITNU oplever jeg ofte, at virksomheder bliver mere bekymrede for "det nye", end de er for de helt basale ting, der allerede står åbne. Det er forståeligt — men det er også farligt. AI gør ikke en manglende MFA-politik mindre vigtig. Det gør den vigtigere.

AI gør ikke angriberen almægtig. AI gør angriberen mere effektiv. Og det er nok.

Phishing bliver sværere at spotte

Tidligere kunne man ofte se en phishing-mail på dårligt sprog, mærkelige formuleringer eller underlige oversættelser. Det er ikke længere en sikker indikator.

AI kan skrive pænt dansk. Den kan ramme en professionel tone. Den kan få en mail til at ligne noget fra en kunde, en kollega, en leverandør eller Microsoft 365. Det betyder, at medarbejdere i højere grad skal vurdere mails på adfærd og kontekst — ikke bare på stavefejl.

Eksempler man stadig ser i danske virksomheder:

• "Kan du lige godkende denne faktura?"
• "Der er delt et dokument med dig."
• "Din Microsoft 365-konto kræver bekræftelse."
• "Vi har ændret kontonummer — brug venligst det nye fremover."

"Det farlige er ikke, at beskeden ser avanceret ud. Det farlige er, at den ser normal ud."

Derfor skal awareness-træning også ændre sig. Det er ikke nok at sige: "Kig efter stavefejl." Medarbejdere skal lære at stoppe op, tjekke afsender, tjekke links, reagere på usædvanligt pres og turde spørge, før de klikker eller betaler.

Når jeg laver awareness-træning for SMV'er, oplever jeg især én ting: de fleste medarbejdere vil gerne gøre det rigtige. De mangler bare nogle simple tommelfingerregler og en kultur, hvor det er okay at spørge, før man klikker.

Stjålne adgangskoder er stadig centrale

AI ændrer ikke på, at identitet er et af de vigtigste områder i cybersikkerhed. En stjålet adgangskode kan stadig give adgang til mail, Teams, OneDrive, SharePoint, økonomisystemer, kundedata og interne dokumenter.

Derfor er MFA stadig noget af det vigtigste, en SMV kan gøre. Ikke kun på administratorer. På alle. Og helst kombineret med betinget adgang (Conditional Access), så login fra ukendte lande, mistænkelige enheder eller risikable sessioner håndteres mere stramt.

Det jeg ser hos mine kunder er, at MFA ofte er "næsten" på plads. Administratorer har det. Nogle brugere har det. Men der er undtagelser: gamle konti, servicekonti, gæstebrugere eller ledere, hvor det ikke helt er rullet ud. Det er præcis den slags huller, angribere leder efter.

Sårbarheder bliver udnyttet hurtigere

En anden vigtig pointe er patching. AI og automatisering gør det lettere at finde systemer med kendte sårbarheder. Det betyder ikke, at angriberen nødvendigvis opfinder noget nyt. Ofte er det nok at finde noget gammelt, der stadig ikke er rettet.

Verizon DBIR 2025 dokumenterer det med konkrete tal: exploitation af sårbarheder voksede 34 % på et år og udgør nu 20 % af alle breaches som initial access-vektor — særligt mod edge-enheder og VPN-løsninger. Det passer godt med det, jeg ser i praksis: mange virksomheder tænker stadig opdateringer som noget, man gør, når der lige er tid. Men hvis angribere hurtigere kan finde kendte huller, bliver langsom patching en større risiko.

Det gælder især:

• firewalls
• VPN-løsninger
• fjernadgang
• websystemer
• NAS-enheder
• servere
• routere
• ældre software
• plugins og integrationer

Man behøver ikke et stort enterprise-setup for at forbedre det. Start med en fast rytme:

• Hvem følger med i kritiske advisories?
• Hvornår opdateres pc'er?
• Hvornår opdateres servere?
• Hvornår opdateres firewall og netværksudstyr?
• Hvordan dokumenterer vi, at det er gjort?

Patching er kedeligt. Men det er en af de ting, der reelt flytter risiko. Min anbefaling er at gøre patching til en del af den almindelige drift — ikke et projekt man husker hvert halve år. Det hænger direkte sammen med stabil IT-drift: faste rytmer, dokumentation og nogen der har ansvaret.

Ransomware bliver ikke mindre relevant

AI gør ikke ransomware mindre farligt. Tværtimod.

Ransomware handler ikke længere kun om at kryptere filer. Mange angreb handler også om at få adgang, stjæle data, presse virksomheden og true med offentliggørelse.

For en SMV betyder det, at backup ikke er nok i sig selv. Backup er vigtig. Men I skal også vide:

• Kan vi opdage angrebet hurtigt?
• Kan vi isolere en kompromitteret pc?
• Har vi MFA på alle konti?
• Har vi testet restore?
• Har vi styr på, hvem der gør hvad, hvis det sker?
• Har vi en plan for kommunikation til kunder og medarbejdere?

Jeg har skrevet mere konkret om den del i artiklen om ransomware i OneDrive og SharePoint, fordi mange fejlagtigt tror, at Microsoft 365 alene beskytter mod ransomware. Det gør det ikke. Microsoft beskytter platformen, men jeres brugere, adgangsstyring, data og backup er stadig jeres ansvar.

"En backup, der ikke er testet, er ikke en backup. Det er en antagelse. Og i et ransomware-scenarie er antagelser dyre."

Shadow AI bliver en reel datarisiko

AI er ikke kun noget angribere bruger. Det er også noget medarbejdere bruger.

ChatGPT, Copilot, Claude, Gemini og andre AI-værktøjer kan være stærke arbejdsredskaber. Men de kan også blive en risiko, hvis medarbejdere ukritisk kopierer kundedata, kontrakter, personoplysninger, kildekode, interne mails eller fortrolige dokumenter ind i værktøjer, virksomheden ikke har styr på. Det kaldes ofte shadow AI.

Verizon DBIR 2025 fandt, at 15 % af medarbejdere rutinemæssigt brugte generative AI-platforme fra deres firmadevice — og at en stor del af dem loggede ind med private mails frem for firmakonti. Det er ikke nødvendigvis ondsindet. Ofte prøver medarbejderen bare at være effektiv. Men hvis virksomheden ikke har taget stilling, opstår der hurtigt spørgsmål:

• Hvilke AI-værktøjer må vi bruge?
• Må vi bruge kundedata?
• Må vi bruge personoplysninger?
• Må vi uploade interne dokumenter?
• Må vi bruge private AI-konti til arbejdsopgaver?
• Hvem kvalitetssikrer det, AI skriver?

Det betyder ikke, at AI skal forbydes. Men det betyder, at virksomheden skal have spilleregler.

En kort AI-politik er ofte nok

En AI-politik behøver ikke være 20 sider. For en SMV er 1-2 sider ofte nok. Den bør svare på:

• Hvilke AI-værktøjer må vi bruge?
• Hvilke data må vi aldrig indsætte?
• Må kundedata bruges?
• Må personoplysninger bruges?
• Må interne dokumenter uploades?
• Hvem spørger vi, hvis vi er i tvivl?
• Hvordan kvalitetssikrer vi AI-output?

Pointen er ikke at stoppe medarbejderne fra at bruge AI. Pointen er at undgå, at fortrolige data ender de forkerte steder.

Leverandørkæden bliver vigtigere

Mange SMV'er bliver ikke kun vurderet på deres egen sikkerhed. De bliver vurderet som en del af deres kunders sikkerhed.

DNV Cybers undersøgelse "How Cyber Resilient is Denmark?" fra april 2026 viser, at over halvdelen (54 %) af danske kritisk-infrastruktur-ledere er bekymrede for leverandører fra lande med stigende geopolitiske spændinger, og at færre end halvdelen (46 %) har tillid til deres egen leverandørkædes sikkerhed. Rapporten henviser konkret til ransomware-angrebet mod IT Hotellet i 2024, der ramte Odense Universitetshospital — fordi angriberne kom ind via en leverandørforbindelse.

Pointen for SMV'er er ikke, at I pludselig er kritisk infrastruktur. Pointen er, at hvis jeres kunder er underlagt højere krav, så bliver I målt som en del af deres leverandørkæde. Det rammer især danske SMV'er der leverer til større virksomheder, offentlige kunder eller NIS2-omfattede organisationer — emnet er udfoldet i artiklen om NIS2 og underleverandører.

Kunder spørger i stigende grad:

• Har I MFA?
• Har I styr på backup?
• Har I en hændelsesplan?
• Har I styr på leverandører?
• Hvor ligger jeres data?
• Bruger I AI-værktøjer?
• Har I politikker for adgang og databehandling?
• Har I dokumentation?

Hos ITNU oplever jeg, at flere SMV'er først for alvor får øjnene op for sikkerhed, når en større kunde sender et spørgeskema. Det er ikke nødvendigvis dårligt. Det kan faktisk være en god anledning til at få styr på fundamentet.

Hvad skal en SMV konkret gøre?

Det vigtigste er ikke at købe et "AI-cyberprodukt" i panik. Det vigtigste er at få styr på fundamentet.

1. Få overblik over jeres systemer

I kan ikke beskytte det, I ikke ved, I har. Lav en simpel liste over Microsoft 365, domæner, DNS, webhotel, servere, pc'er, firewall, backup, kritiske systemer, leverandører og administratoradgange. Et regneark er fint til at starte med.

2. Slå MFA til for alle

MFA skal være standard. Ikke kun for administratorer. Ikke kun for ledelsen. Ikke kun "når vi får tid". Alle brugere. Helst kombineret med Conditional Access, så mistænkelige loginforsøg håndteres mere restriktivt.

3. Lav en fast patch-rytme

Opdateringer skal ikke være tilfældige. Lav en fast månedlig rytme for almindelige opdateringer og en hurtigere proces for kritiske sårbarheder. Husk især internetvendte systemer som firewall, VPN, fjernadgang og websystemer.

4. Test jeres backup

Backup er ikke nok. I skal teste restore. Kan I gendanne en fil? Kan I gendanne en mailbox? Kan I gendanne SharePoint-data? Hvor lang tid tager det? Hvem gør det? Hvornår blev det sidst testet? Hvis svaret er "det ved vi ikke", så er det dér, I skal starte.

5. Lav en kort AI-politik

Medarbejdere bruger AI — eller kommer til det. Tag stilling før problemet opstår. En kort politik kan være nok: brug ikke persondata i åbne AI-værktøjer, brug ikke kundedata uden aftale, upload ikke fortrolige dokumenter til private AI-konti, tjek altid AI-output før det bruges, spørg ved tvivl.

6. Opdater awareness-træningen

Phishing i AI-tiden handler ikke kun om stavefejl. Træn medarbejdere i falske Microsoft-login, QR-phishing, falske Teams-beskeder, ændrede betalingsoplysninger, pres og hastværk, delte dokumenter og beskeder der lyder rigtige, men kommer forkert sted fra. Og vigtigst: gør det acceptabelt at spørge. En medarbejder, der stopper op og siger "den her virker mærkelig", er ikke besværlig. Det er en del af forsvaret.

Det handler stadig om fundamentet

AI ændrer trusselsbilledet. Men det ændrer ikke, hvad der virker.

De virksomheder, der står bedst, er ikke nødvendigvis dem med de dyreste værktøjer. Det er dem, der har styr på de basale ting: overblik, MFA, patching, backup, restore-test, awareness, adgangsstyring, leverandørkontrol, hændelsesplan og klare regler for AI-brug.

Som jeg oplever det i mit daglige arbejde med danske SMV'er: AI gør forskellen større mellem dem, der har styr på fundamentet, og dem der ikke har. For når angreb bliver hurtigere, bliver langsomme processer dyrere.

Min anbefaling

Hvis I er en dansk SMV og vil forholde jer realistisk til AI-understøttede cybertrusler, så start ikke med hype. Start med tre spørgsmål:

• Kan vi forhindre det mest almindelige? MFA, patching, email-sikkerhed og awareness.
• Kan vi opdage det hurtigt? Defender, alarmer, logning og nogen der faktisk reagerer.
• Kan vi komme tilbage igen? Backup, restore-test og en simpel beredskabsplan.

AI gør cyberangreb mere effektive. Jeres svar behøver ikke være mere kompliceret. Bare mere disciplineret.