Ny rapport: Gammel cybertrussel gør pludseligt comeback i årets andet kvartal

1.343 hændelser med tegn på sikkerhedsbrud blev registreret af TDC Erhverv blandt danske virksomheder og organisationer i andet kvartal af 2026.

Og en stor del af dem var forårsaget af en gammel angrebstype, der har gjort pludseligt comeback.

Det drejer sig om malwaren Mirai, som stod for hver fjerde (24,9 procent) af hændelserne og dermed var blandt de mest udbredte malwarekampagner i perioden.

Velkendt trussel spøger igen
Mirai blev første gang kendt helt tilbage i 2016. Siden har den i en længere periode fyldt relativt lidt i billedet af cybertrusler. I årets andet kvartal har TDC Erhverv dog observeret en markant stigning i dens aktivitet, som er spredt på tværs af brancher og virksomhedsstørrelser.

En del af forklaringen på Mirais comeback er, at dens kildekode blev offentliggjort for et par år siden, hvilket har gjort det muligt for ondsindede aktører at udvikle egne versioner og tilpasse malwaren til nye teknologier og sårbarheder.

Udviklingen kan samtidig blive yderligere accelereret af såkaldt agentic AI, hvor AI-agenter i stigende grad kan automatisere flere led i hackernes angrebskæde. Det kan fx være at finde sårbare smart-systemer, undersøge potentielle mål og udnytte kendte sårbarheder.

Ifølge John Henriksen, CEO i TDC Erhverv, viser udviklingen, at cybertrusler ikke behøver være nye for at udgøre en sikkerhedsrisiko.

"Mirais tilbagevenden er bemærkelsesværdig, fordi den spøger igen, selvom den har ti år på bagen. Den er et skoleeksempel på, at virksomheder ikke kun skal helgardere sig mod helt nye cybertrusler, men også må tage sig i agt for de ældre af slagsen. Især med fremkomsten af agentisk AI, der kan øge omfanget og hastigheden af eksisterende angrebsteknikker,” siger John Henriksen.

Kan udnytte smart-enheder til større angreb
Mirai er en type malware specifikt udviklet til at inficere internetforbundne enheder, som derefter kan fjernstyres og indgå i såkaldte botnet.

Botnet er netværk af kompromitterede enheder, som cyberkriminelle kan udnytte til angreb, og enhederne kan bl.a. være routere, overvågningskameraer og smart-tv'er.

Når mange enheder er kompromitteret, kan de bl.a. bruges til DDoS-angreb, altså overbelastningsangreb, hvor store mængder trafik sendes mod en hjemmeside eller anden digital tjeneste for at gøre den utilgængelig.

Det er en faldgrube i en tid, hvor smart-enheder er populære, påpeger John Henriksen.

"Vi ved, at antallet af internetforbundne enheder vokser. Men de er perifere enheder og indgår typisk ikke i virksomheders centrale it-infrastruktur, hvorfor de ofte ikke får samme sikkerhedsmæssige opmærksomhed som computere og servere. Og det er hackerne udmærket klar over. Derfor er det vigtigt at have overblik over samtlige enheder koblet på organisationens netværk – også dem, der ikke fylder meget i den daglige drift," siger John Henriksen.

Android-enheder i sigtekornet
En væsentlig del af de Mirai-relaterede cyberangreb i andet kvartal var konkret rettet mod Android-baserede enheder.

TDC Erhverv observerede i den forbindelse en del aktivitet mod en bestemt netværksport på tværs af et stort antal danske IP-adresser.

Observationerne tyder på, at hackerne har forsøgt at inficere Android-enheder, der kunne tilgås direkte fra internettet via en åben funktion til fjernstyring. Det kan fx være smart-tv'er, mediebokse og andet netværksforbundet udstyr, som efterfølgende har kunnet indgå i et eventuelt botnet til DDoS-angreb.

Indsigterne er også relevante i lyset af udviklingen på agentic AI. Når teknologien kan automatisere og koordinere flere dele af en angrebskæde, kan kendte sårbarheder potentielt udnyttes hurtigere og mere systematisk, hvilket gør det endnu vigtigere for virksomheder at have overblik over internetforbundne enheder og få lukket kendte sårbarheder.

Sådan beskytter du virksomhedens smart-enheder

• Få overblik over alle internetforbundne enheder: Kortlæg routere, kameraer, smart-tv, mediebokse og andet forbundet udstyr, så du ved, hvilke enheder der er koblet på netværket, og hvem der har ansvaret for dem.
• Hold enhederne opdaterede: Sørg løbende for at sikkerhedsopdatere enhederne og deres software, og husk at udskifte udstyr, der ikke længere understøttes af producenten.
• Luk for unødvendig adgang fra internettet: Administrationsfunktioner bør ikke være direkte tilgængelige fra internettet, medmindre der er et konkret behov.
• Overvåg enhedernes trafik: Hold vågent øje med usædvanlig netværkstrafik, så inficerede enheder kan opdages og isoleres, før de eventuelt bliver udnyttet som del af et større overbelastningsangreb.
• Skift standardindstillinger: Skift standardadgangskoder og andre standardindstillinger på internetforbundne enheder, og gennemgå dem løbende, så unødvendige funktioner og adgangsmuligheder ikke står åbne.

Download hele rapporten her eller i vedhæftningen herunder.

Om rapporten
Rapportens indsigter bygger på analyser af mere end 100 milliarder anonymiserede datapunkter blandt TDC Erhvervs kundebase af virksomheder, myndigheder og offentlige institutioner. Dataene er blevet analyseret i realtid fra april til og med juni 2026 ved hjælp af kunstig intelligens og avancerede datamodeller for at give et repræsentativt overblik over det aktuelle cybertrusselsbillede.