Telefonen ringer och personen i andra änden presenterar sig som IT-support. Det har uppstått ett problem med din inloggning och om det inte löses riskerar du att förlora åtkomsten till några av organisationens system. Du ombeds därför följa ett antal instruktioner, verifiera din identitet och bekräfta några steg i mobilen. Situationen är kanske irriterande, men knappast särskilt anmärkningsvärd. Konton behöver återställas, multifaktorautentisering krånglar och nya säkerhetslösningar införs med jämna mellanrum.
Vad hade du gjort?
Frågan är relevant eftersom Microsoft i september 2026 beskrev pågående intrång där angripare kontaktat anställda, utgett sig för att vara organisationens IT-support och använt problem med autentisering och inloggning som förevändning. I flera fall hade angriparna gjort ett omfattande förarbete och använt information om både organisationen och den enskilda medarbetaren för att göra kontakten så trovärdig som möjligt. Det handlar naturligtvis om cyberangrepp, men det mest intressanta finns inte i tekniken utan i hur angriparen använder det som för oss framstår som normalt, legitimt och välbekant för att påverka vårt beteende.
När det misstänkta ser ut som vanligt
Under många år har arbetet med säkerhetsmedvetenhet inom cybersäkerhet till stor del handlat om att lära människor att identifiera avvikelser. Vi ska vara försiktiga med okända bilagor, kontrollera avsändare, inte klicka på misstänkta länkar, aldrig lämna ut våra lösenord och reagera när något inte ser ut som det brukar. Det är naturligtvis fortfarande mycket relevanta råd, men moderna angrepp genom social engineering bygger inte nödvändigtvis på att situationen ska framstå som avvikande. Tvärtom ligger styrkan ofta i att angreppet placeras i ett sammanhang som redan känns bekant. Ett samtal från IT, en lösenordsåterställning eller ett problem med ett användarkonto är händelser som de flesta av oss har upplevt tidigare och därför inte automatiskt förknippar med ett angrepp. Angriparen behöver alltså inte skapa något helt nytt utan kan i stället efterlikna en situation som redan är en naturlig del av en helt vanlig arbetsdag.
Utvecklingen syns också i incidentdata. I M-Trends 2026 konstaterar Mandiant att voice phishing, eller vishing, stod för 11 procent av de initiala angreppsvägar som kunde identifieras i företagets incidentutredningar under 2025, jämfört med 6 procent för traditionell phishing via e-post. CrowdStrike beskriver utvecklingen under rubriken Trusted Authentication Becomes an Attack Path. CrowdStrikes formulering är träffande eftersom den beskriver något större än en enskild teknik. Det vi har lärt oss att betrakta som legitimt, säkert och välbekant kan samtidigt bli en del av angriparens metod.
Att angripa genom förtroende
Det moderna arbetslivet är beroende av förtroende. Vi måste kunna utgå från att kollegan på andra sidan Teams faktiskt är den hon utger sig för att vara, att personen från IT som kontaktar oss har ett legitimt ärende och att de digitala system vi använder för att identifiera och autentisera oss fungerar som avsett. Utan detta grundläggande förtroende skulle mycket av verksamheten helt enkelt inte fungera. Samtidigt skapar samma förtroende förutsättningar som kan exploateras av en antagonist. När en person som uppfattas som representant för IT-avdelningen förklarar att ett problem behöver lösas samverkar flera psykologiska mekanismer som påverkar hur vi agerar. Rollen skapar i sig auktoritet, situationen känns bekant och processen liknar sådant vi har gjort så många gånger tidigare. Om det dessutom finns en antydan om att åtkomsten till ett viktigt system riskerar att försvinna uppstår en tidspress som kan göra det mindre sannolikt att vi stannar upp och ifrågasätter vad som faktiskt händer. Vi vill ju inte bli utelåsta från systemet mitt i det där projektet eller när uppgiften måste bli klar innan deadline.
Det är själva kärnan i social engineering; en skicklig angripare behöver inte övertyga någon om något fullständigt orimligt, utan skapar snarare en situation där det önskade beteendet framstår som ett naturligt nästa steg. När autentisering, säkerhetsuppdateringar och verifieringar sker dagligen blir de samtidigt en del av vår rutin, och vi kan inte förväntas analysera varje inloggning, notis och instruktion som om den vore unik. Det är inte ett tecken på dåligt säkerhetsmedvetande, utan en konsekvens av hur människor hanterar återkommande uppgifter. Angriparen behöver därför inte arbeta mot vårt beteende. Det räcker ofta att förstå det och skapa rätt förutsättningar för att styra det.
Människan som mål, inte bara som sårbarhet
Det är mot den bakgrunden som det ofta upprepade påståendet att människan är den svagaste länken börjar bli problematiskt. Formuleringen antyder lätt att problemet i första hand är bristande uppmärksamhet eller dåligt omdöme hos den enskilda medarbetaren, när människan i själva verket ofta är själva målet för angreppet. När en angripare har valt ut en person, anpassat sin berättelse och skapat en situation som uppfattas som trovärdig säger det förhållandevis lite att i efterhand konstatera att personen gjorde ett misstag. Tekniken och den mänskliga påverkan är delar av samma angrepp.
Michael Gelles och Joe Mariani fångar dubbelheten träffande i två rubriker: People are the problem och People are the solution. Poängen är inte att människan saknar sårbarheter, utan att samma människa också är en avgörande del av skyddet. Ett säkerhetsarbete som enbart betraktar individen som problemet riskerar därför att missa halva bilden. Den skillnaden är viktig, eftersom den påverkar hur vi bör förstå skyddet. Utbildning och ökad medvetenhet är betydelsefullt, men en säkerhetsmodell som ytterst bygger på att varje medarbetare vid varje enskilt tillfälle ska kunna skilja en väl förberedd falsk kontakt från en legitim sådan lägger ett mycket stort ansvar på individen. Det är knappast en rimlig utgångspunkt.
Gränslandet mellan cyber och human risk
För verksamheter där information, system eller andra tillgångar kräver ett särskilt skydd blir perspektivet ännu mer relevant. Den medarbetare som angriparen försöker påverka kan ha helt legitim tillgång till känslig information och använda organisationens system med sitt eget konto. Medarbetaren behöver inte ha några illvilliga avsikter och behöver inte heller medvetet bryta mot en säkerhetsregel. Det kan räcka att vederbörande, genom påverkan och manipulation, förmås använda sin legitima åtkomst på ett sätt som gynnar angriparen.
Här blir gränsen mellan cybersäkerhet, personalsäkerhet och human risk betydligt mindre tydlig än våra organisatoriska strukturer ibland ger intryck av. Principen är dessutom inte ny. Inom underrättelseverksamhet, personbaserad informationsinhämtning och social engineering har det länge funnits en enkel logik i att det inte alltid är nödvändigt att forcera ett skydd om det går att påverka någon som redan befinner sig på insidan. Den digitala utvecklingen förändrar metoderna och skapar nya möjligheter, men den mänskliga mekanismen är i många avseenden densamma. Tekniken förändras snabbt, men människans grundläggande sätt att reagera på förtroende, auktoritet och tidspress förändras betydligt långsammare. Det är också därför frågan inte kan reduceras till IT. När människan blir en del av angreppsvägen behöver också skyddet förstås bredare än så.
Vaksamhetens gränser
En rimlig konsekvens är att säkerhetsutbildning i högre grad behöver utgå från de situationer där människor faktiskt förväntas fatta beslut, snarare än från tekniska begrepp och namngivna angreppsmetoder. Situationen där någon ringer från IT och säger att ett konto måste återställas är omedelbart begriplig, liksom kollegan som oväntat ber om hjälp eller meddelandet om att åtkomsten till ett viktigt system är på väg att försvinna. Det handlar därför inte bara om att lära människor vad som är farligt, utan om att skapa fungerande sätt att hantera osäkerhet när något faktiskt händer. Om någon kontaktar mig från IT, hur verifierar jag då att personen verkligen arbetar där? Om jag får en ovanlig begäran om autentisering, vart vänder jag mig och går detta att göra på ett sätt som faktiskt fungerar när jag har bråttom och bara vill få iväg det där mejlet, skicka in tidrapporten eller få klart presentationen?
Samma perspektiv behöver finnas i hur processer och tekniska skydd utformas. Om säkerheten förutsätter att användaren varje gång kan identifiera ett väl genomfört angrepp genom social engineering har organisationen i praktiken gjort människans förmåga att upptäcka manipulation till en säkerhetskontroll. Det innebär inte att individens ansvar försvinner, men det innebär att skyddet måste bestå av fler lager än så.
Nästa gång telefonen ringer kan personen på andra sidan mycket väl vara från IT. Det är just därför den här typen av angrepp är svåra att hantera. När angriparen använder samma språk, processer och säkerhetsrutiner som en legitim kontakt räcker det inte att bara reagera på det som ser misstänkt ut. Skyddet måste också fungera när situationen ser helt normal ut. Det kräver fungerande processer, men också en förståelse för att säkerhet inte är något som bara säkerhetsavdelningen ansvarar för. När angreppet kan gömma sig i det normala måste också säkerheten finnas i det vardagliga. Därför behöver budskapet till varje medarbetare vara tydligt:
Vi är alla en del av säkerhetsorganisationen.