Rekordmange meldinger om tilsiktede angrep

Datatilsynet mottok 282 meldinger om personopplysninger som kom på avveie som følge av tilsiktede angrep i første halvår av 2026. Aldri før har vi registrert så mange som i årets andre kvartal. En viktig forklaring er at ett angrep kan ramme mange virksomheter samtidig.

Alle virksomheter som mistenker at uvedkommende på en eller annen måte har fått tak i personopplysninger i deres systemer, skal melde fra om dette til Datatilsynet. Det er mange grunner til at personopplysninger kan komme på avveie, og totalt sett mottar vi omtrent like mange avviksmeldinger som før. Det er særlig i kategorien tilsiktede angrep at vi ser en vekst. Med dette mener vi en hendelse der uvedkommende bruker ulike metoder for å stjele, endre eller slette data, eller hindre driften til en virksomhet. Motivet kan variere, men ofte er målet økonomisk vinning, spionasje eller å skape mistillit til tjenesten.

Fra januar til juni 2026 mottok vi 282 meldinger fra virksomheter som opplyste om personopplysninger som var kommet på avveie som følge av et tilsiktet angrep. Til sammenligning mottok vi 103 meldinger i samme periode i 2025.

Siden vi startet å registrere denne kategorien i 2023 har vi aldri fått flere meldinger om tilsiktede angrep som i løpet av det første halve året av 2026.

Ett angrep rammer mange

Årsaken til at tallene blir så høye, er ikke nødvendigvis at hver og en av virksomhetene er angrepet direkte.Ett angrep kan ramme mange fordi de bruker samme tjeneste.

I vår opplevde for eksempel leverandøren av en læringsplattform et innbrudd. Det gjorde det mulig for angriperne å få tilgang til personopplysningene til ansatte og studenter i en lang rekke utdanningsinstitusjoner som bruker denne plattformen. Da en populær leverandør av tjenester for reiselivsaktører opplevde det samme i vinter, rant det inn meldinger fra hoteller som så at kundeopplysningene deres var kommet på avveie. Dette kalles et leverandørkjedeangrep.

Selv om èn virksomhet som leverer den samme tjenesten til mange kunder rammes, er det den enkelte virksomheten som bruker tjenesten som er ansvarlig for å melde avviket til Datatilsynet. Grunnen er at virksomheter bruker tjenestene til ulike formål og lagrer ulike typer personopplysninger. Det som får små eller ingen personvernkonsekvenser for èn virksomhet, kan få store konsekvenser for en annen.

Hvordan beskytte seg mot leverandørkjedeangrep?

Det er den enkelte virksomheten som er ansvarlig for å vurdere sikkerheten til leverandørene de velger å bruke. Dette er et konkret krav i Personvernforordningen gjennom artikkel 28.1; «den behandlingsansvarlige (skal) bare bruke databehandlere som gir tilstrekkelige garantier for at de vil gjennomføre egnede tekniske og organisatoriske tiltak som sikrer at behandlingen oppfyller kravene.»

Datatilsynet, NSM, Digdir, KS, Helsedirektoratet og DFØ har i fellesskap utarbeidet felles anbefalinger og råd om Styring av informasjonssikkerhet og personopplysningsvern:

• Anskaffelser og leverandørstyring
• Datainnbrudd og datalekkasjer - slik sikrer du deg og reduserer skaden