Et hackerangreb behøver ikke længere ende med, at virksomhedens systemer bliver låst, og der dukker et krav om løsepenge op på skærmen. I dag kan cyberkriminelle tjene penge på et indbrud på flere forskellige måder – også uden at kryptere en eneste fil.

Adgangen til en kompromitteret virksomhed kan eksempelvis sælges videre til andre kriminelle. Følsomme oplysninger kan stjæles og bruges til afpresning, og den samme adgang kan udnyttes til svindel eller nye angreb.

Det fremgår af analysen Beyond Encryption: The Evolution of the Ransomware Business Model, som beskriver, hvordan ransomware har udviklet sig til et specialiseret kriminelt økosystem, hvor selve adgangen til en virksomheds systemer er blevet en værdifuld handelsvare.

“Vi er vant til at tænke på ransomware som et angreb, hvor hackerne låser virksomhedens systemer og kræver penge for at åbne dem igen. Men i dag kan selve adgangen til virksomheden være det mest værdifulde. Når først de kriminelle er kommet indenfor, har de en række muligheder for at tjene penge – også uden at kryptere en eneste fil,” siger Jonas Hvarness Sebøk-Grandal, country sales director for Danmark, Grønland og Færøerne hos TrendAI.

Flere ofre, selv om færre betaler

Ifølge de opgørelser, TrendAI henviser til i analysen, nåede antallet af registrerede ransomwareofre på verdensplan cirka 8.159 i 2025 mod omkring 6.000 året før.

Samtidig er andelen af ofre, der afviser at betale løsepenge, steget. Ifølge Verizons 2025 Data Breach Investigations Report, som TrendAI refererer til, afviste 64 procent af ofrene at betale mod 50 procent to år tidligere. Medianbetalingen faldt desuden fra 150.000 til 115.000 dollar.

TrendAI vurderer, at ransomwaregrupperne har tilpasset sig det økonomiske pres ved blandt andet at forsøge at ramme flere ofre, reducere deres omkostninger og udvide mulighederne for at tjene penge på et vellykket indbrud.

GDPR bliver brugt som pressionsmiddel

En af de mest markante ændringer er, at cyberkriminelle kan afpresse virksomheder alene ved at stjæle deres data.

I stedet for at kryptere systemerne truer angriberne med at offentliggøre fortrolige oplysninger. Dermed kan de lægge pres på virksomheden gennem risikoen for skade på omdømmet, tab af kundernes tillid og konsekvenserne af et databrud.

TrendAI fremhæver, hvordan GDPR’s krav om anmeldelse af databrud og risikoen for bøder kan indgå i cyberkriminelles afpresningsstrategi. Angriberne kan bruge de potentielle omkostninger ved et databrud til at begrunde deres krav om løsepenge.

Et konkret eksempel er hackergruppen Cl0p, der udnyttede sårbarheder i filoverførselsprogrammet MOVEit til at stjæle oplysninger fra en lang række organisationer. Ofrene blev ikke først og fremmest presset af nedbrud i deres systemer, men af truslen om, at de stjålne oplysninger ville blive offentliggjort.

“GDPR er indført for at beskytte borgernes oplysninger, men de kriminelle kan udnytte virksomhedernes frygt for konsekvenserne af et databrud. Det betyder, at en virksomhed kan stå i en alvorlig afpresningssituation, selv om dens systemer stadig fungerer,” siger Jonas Hvarness Sebøk-Grandal.

AI gør det lettere at udnytte stjålne oplysninger

Kunstig intelligens er også begyndt at spille en rolle i cyberkriminelles afpresningsforretning.

Ifølge TrendAI er AI’s mest tydelige betydning for ransomware ikke nødvendigvis automatisering af selve indbruddet. Det er derimod mulighederne for at analysere store mængder stjålne oplysninger, identificere følsomt materiale og vurdere, hvilke data der kan bruges til at lægge størst muligt pres på offeret.

TrendAI beskriver, hvordan ransomwaregrupper som The Gentlemen og GLOBAL Group allerede i begyndelsen af 2026 anvendte AI til blandt andet dataanalyse og chatbots rettet mod ofrene. GLOBAL Group har eksempelvis benyttet en AI-baseret chatbot til at håndtere den indledende kommunikation med ofre og dermed reducere det arbejde, som gruppens medlemmer selv skal udføre.

Backup er ikke længere nok

Ifølge TrendAI betyder udviklingen, at virksomheder ikke længere kan betragte ransomware som et problem, der primært handler om at undgå kryptering og sikre, at data kan genskabes.

Backup er fortsat en vigtig del af beredskabet, men hjælper ikke mod afpresning baseret på oplysninger, som allerede er blevet stjålet.

“Det afgørende spørgsmål er ikke længere kun, om virksomheden kan få sine systemer op at køre igen efter et ransomwareangreb. Det er også, hvad de kriminelle har nået at få adgang til, og hvordan de efterfølgende kan bruge det. Derfor skal vi først og fremmest blive bedre til at opdage og stoppe indbruddet så tidligt som muligt,” slutter Jonas Hvarness Sebøk-Grandal.