GÉANT udpeger de ti største cybertrusler mod forskning og uddannelse i 2026

Europæiske forsknings- og uddannelsesmiljøer står over for et mere komplekst trusselslandskab end tidligere. Det konkluderer GÉANT i rapporten R&E Threat Landscape 2026, som bygger på en workshop med sikkerhedseksperter fra en række nationale forsknings- og uddannelsesnetværk (NREN'er) i Europa. 

Workshoppen foregik i foråret og havde bl.a. deltagelse af DKCERT.

Rapporten identificerer ti prioriterede cybertrusler, der vurderes at have størst betydning for sektoren i 2026. Flere af dem er velkendte. Til gengæld ændrer både teknologi, angrebsmetoder og den geopolitiske situation hastigt deres karakter.

AI er blevet truslernes multiplikator

Øverst på listen finder man kunstig intelligens.

Ifølge rapporten fungerer AI ikke blot som en selvstændig risiko, men som en teknologi, der forstærker næsten alle øvrige trusler. Angribere anvender allerede sprogmodeller til blandt andet phishingkampagner, sårbarhedsscanning, malwareudvikling og automatiseret rekognoscering.

Udviklingen betyder, at angreb kan gennemføres hurtigere, mere målrettet og med færre ressourcer end tidligere.

Samtidig peger rapporten på nye udfordringer for organisationerne selv. Ukontrolleret brug af AI-værktøjer kan føre til datalækager, mens såkaldt "vibe coding", hvor udviklere i stigende grad baserer kode på AI-genereret output, risikerer at introducere fejl og sårbarheder i systemer.

Dårlig cyberhygiejne er fortsat en hoveddør

Manglende patching, svage adgangskoder, eksponerede tjenester og skygge-it er fortsat blandt de mest almindelige årsager til kompromitteringer.

Rapporten fremhæver, at problemerne sjældent skyldes ligegyldighed. Tværtimod peger deltagerne på ressourcepres, komplekse arbejdsgange og manglende tid til sikkerhedsarbejde som centrale årsager.

Ifølge rapporten er udnyttelse af sårbarheder nu en af de vigtigste adgangsveje til organisationers miljøer, særligt i uddannelsessektoren.

Leverandørkæden er blevet et attraktivt mål

Forsynings- og leverandørkædeangreb fortsætter med at stige.

GÉANT skelner mellem angreb mod tjenesteudbydere og angreb mod softwarekæden. Begge typer kan give angribere adgang til et stort antal organisationer via én kompromitteret leverandør.

Rapporten peger blandt andet på konsekvenserne af Cloudflare-nedbruddet i november 2025, hvor en fejlkonfiguration påvirkede omkring 20 procent af den internettrafik, der passerede gennem tjenesten.

Samtidig understreges det, at forsyningskæder ikke kun handler om software. Også fysisk infrastruktur som strømforsyning, dieselberedskab og undersøiske fiberkabler indgår i risikobilledet.

Geopolitik fylder mere i cybersikkerheden

Statsstøttede aktører spiller en stadig større rolle.

Rapporten peger på efterretningsoperationer, sabotage mod kritisk infrastruktur og tyveri af forskningsdata som væsentlige trusler mod europæiske forskningsmiljøer.

Forskningsinstitutioner har længe været attraktive mål på grund af deres adgang til værdifuld viden inden for blandt andet medicin, teknologi, energi og forsvar.

GÉANT fremhæver desuden, at forskere og studerende i stigende grad kan blive udsat for målrettet pres eller overvågning fra fremmede stater, også uden for de traditionelle cyberangreb.

Sociale manipulationer bliver mere overbevisende

Phishing og andre former for social engineering er fortsat blandt de mest effektive angrebsmetoder.

Med AI-genererede e-mails, falske stemmer og deepfake-videoer bliver det vanskeligere at afgøre, om en henvendelse er legitim.

Samtidig har phishing som tjeneste udviklet sig til et veletableret marked, hvor færdige angrebspakker kan købes af mindre erfarne kriminelle.

Ifølge rapporten betyder det, at flere aktører kan gennemføre avancerede kampagner uden selv at besidde betydelige tekniske kompetencer.

Insidertruslen kommer ofte indefra uden onde hensigter

GÉANT vurderer, at de fleste insiderrelaterede hændelser ikke skyldes bevidst sabotage.

Fejl, overbelastning, kompromitterede konti og uklare arbejdsgange spiller en langt større rolle end egentligt illoyale medarbejdere.

Rapporten peger dog også på en voksende tendens, hvor kriminelle grupper forsøger at rekruttere medarbejdere med adgang til interne systemer. Derudover fremhæves nordkoreanske kampagner, hvor falske it-medarbejdere har forsøgt at opnå ansættelse i vestlige organisationer.

Kvantecomputere rykker tættere på

Selvom kryptografisk relevante kvantecomputere endnu ikke eksisterer i praksis, vurderes risikoen som reel.

Den største bekymring er såkaldte "store now, decrypt later"-angreb, hvor stjålne krypterede data gemmes med henblik på dekryptering på et senere tidspunkt.

Organisationer opfordres derfor til allerede nu at kortlægge deres kryptografiske afhængigheder og begynde planlægningen af en fremtidig overgang til post-kvante-kryptografi.

Manglende informationsdeling svækker forsvaret

Et af de mere usædvanlige punkter på listen er manglende deling af trusselsinformation.

Ifølge rapporten findes der betydelige mængder data om angreb, indikatorer og hændelser, som aldrig deles med resten af sektoren.

Tekniske barrierer spiller en rolle, men rapporten peger især på bekymringer om omdømme og juridiske forhold som årsag til, at mange organisationer holder informationerne for sig selv.

Konsekvensen er et mindre samlet situationsbillede og langsommere respons på nye trusler.

DDoS-angreb ændrer karakter

DDoS-angreb bliver både større og kortere.

Rapporten beskriver en udvikling, hvor klassiske langvarige angreb i stigende grad suppleres af korte og meget intensive angreb, som kan være svære at registrere og modvirke i tide.

Samtidig oplever sektoren mere omfattende scanning af tjenester og applikationer, der i nogle tilfælde kan påvirke driften næsten lige så meget som egentlige angreb.

Planer på papir er ikke nødvendigvis beredskab

Den sidste trussel på listen handler ikke om angriberne, men om organisationerne selv.

GÉANT advarer mod beredskabsplaner, som eksisterer på papir, men aldrig bliver afprøvet i praksis.

Organisationer opdager ofte først ved en reel hændelse, om deres backupstrategier, kriseplaner og genopretningsprocedurer faktisk virker.

Rapportens anbefaling er enkel: øvelser, gendannelsestests og regelmæssig afprøvning bør være en fast del af driften og ikke noget, der først tages frem, når krisen allerede er indtruffet.

DKCERT gennemgår rapportens hovedlinjer torsdag den 3. september for sikkerhedsteknikere i uddannelses- og forskningssektoren, den såkaldte SikRef-gruppe.