De fleste virksomhedsejere har efterhånden hørt rådet: kig efter stavefejl, mistænkelige afsenderadresser og en generisk hilsen som “Kære kunde”. I mange år var det et fornuftigt råd. I dag er det ikke længere nok til at beskytte jeres virksomhed.
Det skyldes ikke, at medarbejderne er blevet mindre opmærksomme. Det skyldes, at angrebene har ændret karakter. Hvor phishing-mails tidligere blev skrevet i hånden – ofte af folk uden dansk som modersmål – bliver de i dag genereret af AI-sprogmodeller, der kan efterligne en professionel tone, en konkret leverandørs skrivestil eller ligefrem en kollegas mailsignatur. Og det stopper ikke ved tekst: med et par sekunders lydoptagelse kan en stemme klones, og med offentligt tilgængelige billeder og video kan et helt videomøde iscenesættes med falske deltagere.
Det er værd at være præcis om, hvad der egentlig er nyt. Selve angrebsteknikkerne – phishing, CEO-svindel, social engineering – er ikke opfundet af AI. Det, der er ændret, er hvor let, billigt og hurtigt de kan sættes op: en kampagne, der tidligere krævede flere ugers forberedelse og et vist håndværk, kan i dag klares af langt flere aktører på få timer med hjælp fra en AI-agent.
Denne udvikling er ikke et fjernt scenarie forbeholdt store, internationale koncerner. Den rammer bredt, og den rammer virksomheder, der har en veldrevet IT-afdeling – eller en ekstern samarbejdspartner – som eneste reelle forsvarslinje. I denne artikel gennemgår vi, hvorfor de klassiske faresignaler er blevet upålidelige, hvad AI konkret har gjort ved adgangen til at angribe, og – vigtigst af alt – hvad der rent faktisk virker som beskyttelse i stedet.
De tre gamle faresignaler – og hvorfor de er udhulet
I årevis har IT-sikkerhedsundervisning bygget på nogle få, letgenkendelige kendetegn ved phishing. De er stadig værd at kende – men de kan ikke længere stå alene.
Stavefejl og akavet sprog.
Det mest udbredte råd har altid været at holde øje med sproglige fejl. Men de klassiske faresignaler som stavefejl er forsvundet, fordi AI-genereret phishing i dag blander sig ind i almindelig forretningskommunikation. En sprogmodel begår ikke de samme fejl som en ikke-dansktalende svindler for ti år siden – tværtimod kan den producere en mail, der er grammatisk korrekt og stilistisk tilpasset modtagerens branche.
Generisk hilsen og upersonligt indhold.
Tidligere var en mail, der startede med “Kære kunde” i stedet for et navn, et rødt flag. I dag kan AI hurtigt og billigt personalisere angreb ud fra offentligt tilgængelige oplysninger – LinkedIn-profiler, pressemeddelelser, virksomhedens hjemmeside – så mailen refererer til den rigtige stilling, den rigtige leverandør eller et aktuelt projekt.
Mistænkelige links og afsenderadresser.
Endelig har det klassiske råd om at tjekke afsenderdomænet mistet noget af sin styrke. Angrebene er samtidig blevet mere sammensatte: de mest skadelige phishing-forsøg i 2026 er ikke masseudsendte mails med dårligt sprog, men målrettede, velafpassede beskeder skrevet i samme tone, som virksomhedens egne leverandører, kunder og kolleger bruger til daglig, ofte fordelt over flere beskeder med realistiske vedhæftninger og en troværdig grund til at handle med det samme.
Konsekvensen er enkel, men vigtig: de signaler, medarbejderne er trænet i at lede efter, er i vid udstrækning fjernet fra ligningen. Det betyder ikke, at awareness er spildt – men det betyder, at den ikke kan være virksomhedens eneste forsvarslinje.
Samme angreb, men langt lettere at udføre
Hvor det tidligere gav mening at tale om “phishing” som én samlet kategori, er billedet i dag mere nuanceret. Men de bagvedliggende svindelnumre er stort set de samme, som de altid har været. Det, AI for alvor har ændret, er hvor mange der kan udføre dem overbevisende, og hvor hurtigt. Tre eksempler er særligt relevante for en mindre eller mellemstor virksomhed.
AI-skrevet phishing, der matcher jeres egen tone.
Angribere bruger i stigende grad sprogmodeller til at studere, hvordan en virksomhed, dens leverandører og dens kunder rent faktisk kommunikerer – og til at producere beskeder, der passer ind i det mønster. Resultatet er mails, der ikke skiller sig ud, fordi de ligner den kommunikation, medarbejderne i forvejen modtager dagligt.
Deepfake og stemmekloning – den klassiske CEO-svindel, gjort langt mere overbevisende.
Svindelnummeret, hvor en medarbejder modtager en hastende anmodning fra “direktøren”, er langt fra nyt. Det nye er, hvor overbevisende det kan iscenesættes: med blot få sekunders offentligt tilgængelig lyd – for eksempel fra en konference, en video eller en podcast – kan en stemme i dag klones med høj præcision. Det mest kendte eksempel er ingeniørvirksomheden Arup, der offentligt bekræftede en sag, hvor en medarbejder gennemførte 15 overførsler for i alt 25,6 millioner dollars efter et videomøde, hvor samtlige deltagere – inklusive den tilsyneladende økonomidirektør – i virkeligheden var AI-genererede. Medarbejderen havde indledningsvis mistanke om phishing, men den overbevisende kombination af billede og stemme fik ham til at se bort fra sin tvivl.
Konklusionen er enkel: et bekendt ansigt eller en bekendt stemme kan ikke længere i sig selv tjene som bekræftelse, når det drejer sig om følsomme handlinger som en overførsel eller en adgangsændring – uden at man dermed skal være mistroisk over for enhver almindelig telefonsamtale eller ethvert videomøde i hverdagen.
Automatiseret opsætning og eksekvering.
Den tredje udvikling er mere teknisk, men lige så vigtig: dele af angrebsprocessen kan i dag automatiseres med en AI-agent, fra research om målet til selve udsendelsen. Det ændrer ikke på, hvilke svagheder angriberne går efter – det er stadig login-oplysninger, tillid og menneskelig beslutningstagning under tidspres – men det sænker markant, hvor meget tid og håndværk et angreb kræver. For en mindre virksomhed betyder det i praksis, at et angreb kan sættes op og udføres langt hurtigere, end en enkelt IT-medarbejder – eller en ekstern leverandør, der først bliver kontaktet efter mistanken er opstået – kan nå at reagere manuelt.
Tilsammen tegner de tre eksempler et billede af kendte svindelnumre, der er blevet markant lettere, billigere og hurtigere at udføre overbevisende – ikke af grundlæggende nye angrebsformer.
Hvorfor tempoet er det egentlige problem
Selv hvis et angreb en sjælden gang bliver opdaget for sent, har virksomheder traditionelt kunnet regne med et vist tidsrum til at reagere, inden skaden for alvor opstår. Det tidsrum er stort set forsvundet.
Ifølge Google Clouds Mandiant M-Trends 2026-rapport er tiden fra et stjålet login bliver taget i brug, til det bliver overdraget til den aktør, der udnytter det – typisk en gruppe, der kører et afpresningsangreb – faldet fra omkring 8 timer i 2022 til blot 22 sekunder. Det tal siger mere om, hvad der reelt har ændret sig ved phishing i år, end noget overskriftsvenligt tal om, hvor meget AI-genereret mailvolumen der er kommet til.
Angrebene har stadig typisk samme formål som før – at stjæle penge, data eller adgang. Det, der for alvor har ændret sig, er maskineriet bagved: hvor hurtigt et stjålet login bevæger sig fra et phishing-kit til en aktiv session, hvor billigt en overbevisende lokkemad kan produceres, og hvor lidt af den gamle detektionsviden – stavefejl, generiske hilsner, tydeligt forfalskede domæner – der stadig gælder.
Det afspejler sig også i den danske del af tallene. Ifølge Check Point Research steg antallet af ugentlige cyberangreb mod danske virksomheder fra 1.053 i januar 2025 til 1.506 i januar 2026 – en stigning på 43%, mere end det dobbelte af den globale stigning på 17% i samme periode. Danske virksomheder er med andre ord ikke kun ramt af den samme udvikling som resten af verden – de er ramt hårdere.
For en mindre eller mellemstor virksomhed er konsekvensen konkret: der er ikke længere realistisk tid til, at en medarbejder opdager noget mistænkeligt, kontakter IT, og at IT når at reagere, før skaden er sket. Det stiller nye krav til, hvor forsvaret reelt skal ligge.
Hvad virker i stedet for “kig efter faresignaler”
Den gode nyhed er, at forsvaret mod disse angreb heller ikke er grundlæggende nyt. Det handler ikke om at opfinde noget banebrydende, men om at sikre, at nogle kendte, kedelige kontroller rent faktisk er på plads – for når signalerne, medarbejderne traditionelt har kigget efter, ikke længere er pålidelige, og tempoet ikke giver plads til manuel reaktion, må forsvaret flytte sig fra menneskelig årvågenhed til proces og kontrol. Det er ikke et spørgsmål om, at medarbejderne skal være skarpere – det er et spørgsmål om, at virksomheden skal bygge forsvar, der ikke afhænger af, at et menneske genkender et angreb i øjeblikket.
Verifikation via en anden kanal.
Den mest effektive – og mindst tekniske – beskyttelse mod deepfake- og direktør-svindel er en fast procedure: følsomme anmodninger som overførsler, ændringer af betalingsoplysninger eller adgangsnulstillinger bekræftes altid via en anden kommunikationskanal end den, anmodningen kom ind på. Kommer anmodningen på mail, ringes der op på et kendt nummer. Kommer den på et videomøde, bekræftes den efterfølgende skriftligt til en kendt kontaktperson. Princippet er enkelt: et bekendt ansigt eller en bekendt stemme er ikke længere i sig selv en bekræftelse.
Identitetsstyring og MFA som teknisk bagstopper.
Fordi meget af angrebsmaskineriet i dag handler om at få fat i og hurtigt udnytte login-oplysninger, er stærk identitetskontrol – multifaktorgodkendelse, begrænset adgang efter behov, og overvågning af usædvanlig login-aktivitet – blandt de kontroller, der reelt flytter noget. Det gør det ikke umuligt at stjæle et login, men det gør det markant sværere at bruge det med det samme.
Klare, skriftlige procedurer for følsomme handlinger.
Når tempoet i angrebene ikke giver plads til, at nogen “lige tænker sig om”, er det afgørende, at reglerne for følsomme handlinger ligger fast på forhånd – ikke skal vurderes i situationen. En fast regel om, at overførsler over en vis beløbsgrænse altid kræver to underskrifter, uanset hvor hastende anmodningen virker, fjerner en stor del af det pres, som svindlere er afhængige af.
Det er samlet set et skifte i mindset: fra at stole på, at medarbejderne kan se forskel på ægte og falsk, til at bygge en organisation, hvor det ikke er nødvendigt at kunne se forskellen for at være beskyttet.
Sådan står jeres virksomhed i dag
Ifølge IT-Branchens opgørelse blev knap 19% af danske virksomheder med mere end ti ansatte ramt af et sikkerhedsbrud i 2025, og phishing var indgangsvinklen i knap 29% af tilfældene. Det er altså langt fra kun de særligt udsatte virksomheder, der bør stille sig selv de følgende spørgsmål.
Før man kan vurdere, om ens forsvar er tidssvarende, er det værd at stille sig selv nogle konkrete spørgsmål. De kræver ikke teknisk indsigt at svare på – kun ærlighed om, hvordan tingene faktisk fungerer i hverdagen:
- Har I en fast regel for overførsler og følsomme anmodninger, der gælder uanset hvor hastende eller troværdig anmodningen virker – og kender alle relevante medarbejdere den?
- Bliver følsomme anmodninger nogensinde bekræftet via en anden kanal, eller stoler I på, at mail, telefon eller video i sig selv er nok?
- Er multifaktorgodkendelse slået til alle steder, hvor det giver mening – ikke kun på de mest åbenlyse systemer?
- Ved medarbejderne, hvem de skal kontakte, hvis noget virker forkert – og føler de, at det er acceptabelt at stoppe op og spørge, selv når anmodningen kommer fra en overordnet?
Svarer I “nej” eller “det ved jeg ikke” til et eller flere af spørgsmålene, er det ikke nødvendigvis udtryk for, at noget er gjort forkert – det er ofte udtryk for, at beredskabet er bygget til en tid, hvor truslerne så anderledes ud.
Vil I vide, hvor I står?
Hvis I er i tvivl om, hvor jeres virksomhed står i forhold til de nyere angrebsformer, behøver det ikke være en stor øvelse at finde ud af det. Vi tilbyder en uforpligtende gennemgang af jeres nuværende beredskab, hvor vi ser på identitetsstyring, interne procedurer og de konkrete forhold, der gør sig gældende for netop jeres virksomhed – og peger på, hvor der eventuelt er behov for justeringer.
Book en gratis gennemgang her