AI gør cyberangreb tilgængelige for alle – danske SMV'er i fare

En 12-årig med adgang til kunstig intelligens kan i dag udgøre en reel trussel mod danske virksomheder. Det lyder som en dystopisk fremtidsvision, men det er den skarpe advarsel, som professor i cybersikkerhed Christian Damsgaard Jensen kommer med i en artikel i Berlingske publiceret 17. juni 2026. Ifølge ham har AI udviklet sig til en så kraftfuld "force multiplier", at den forstærker én hackers evner til et niveau, der tidligere krævede avancerede færdigheder, specialiseret viden og betydelige ressourcer. Angrebene bliver ikke blot hurtigere og mere præcise – de er nu tilgængelige for næsten alle, uanset alder eller teknisk baggrund.

Det er en udvikling, der stiller danske virksomheder, især de mindre, over for et eksistentielt valg. "Det handler ikke længere om tryghed, men om liv eller død for virksomhedernes overlevelse," fastslår Christian Damsgaard Jensen. Hans pointer understreger, at cybersikkerhed ikke længere er et spørgsmål om komfort eller ekstra sikkerhedsforanstaltninger, men om forretningskritisk risikostyring, hvor manglende handling kan få fatale konsekvenser.

Hvorfor AI ændrer spillets regler for cyberkriminalitet

Cyberangreb har længe været en kendt trussel mod virksomheder, men AI ændrer fundamentalt de betingelser, under hvilke angrebene foregår. Tidligere krævede et vellykket angreb specialiseret viden om netværksarkitektur, programmeringssprog og specifikke sikkerhedshuller. Processen var tidskrævende og krævede ofte et team af eksperter med dyb indsigt i målets systemer. Nu kan AI-værktøjer automatisere store dele af denne proces – fra rekognoscering af sårbarheder til udnyttelse af dem – og dermed reducere den tid, det tager at gennemføre et angreb, fra uger til timer, om ikke minutter.

For danske virksomheder, især SMV'er, er udfordringen dobbelt. De har ofte hverken de tekniske ressourcer, den økonomiske kapacitet eller den nødvendige ekspertise til at investere i avanceret cybersikkerhed. Samtidig er de lige så udsatte som store koncerner – og i nogle tilfælde endda mere sårbare, fordi de mangler de nødvendige forsvarsmekanismer. Ifølge Christian Damsgaard Jensen er det ikke længere et spørgsmål om om et angreb vil ske, men hvornår. Den stigende tilgængelighed af AI-værktøjer betyder, at truslen er blevet demokratiseret, og at selv mindre aktører med begrænsede midler kan udgøre en alvorlig risiko.

Et konkret eksempel er brugen af AI til at generere phishing-e-mails, der er så overbevisende, at de kan narre selv erfarne medarbejdere. AI kan analysere en virksomheds interne kommunikation, tonefald og endda specifikke medarbejderes skrivestil for at skabe falske meddelelser, der ser autentiske ud. Disse angreb er ikke blot mere overbevisende end traditionelle phishing-forsøg – de kan også tilpasses i realtid baseret på modtagerens reaktioner, hvilket gør dem endnu sværere at detektere.

AI som demokratiseringsværktøj for cyberkriminalitet

AI's rolle som "force multiplier" betyder, at en enkelt person – uanset alder, erfaring eller teknisk baggrund – kan udrette, hvad der tidligere krævede et hele team af specialister. Ud over phishing kan AI automatisere søgningen efter sårbarheder i en virksomheds systemer. Traditionelt har hackere måtte scanne manuelt eller bruge foruddefinerede værktøjer med begrænsede kapaciteter, men AI kan lære af tidligere angreb, analysere store datamængder og tilpasse sig nye forsvarsmekanismer i realtid. Det gør angrebene mere dynamiske, præcise og sværere at forudse for forsvarerne.

Et andet kritisk område er udviklingen af ny malware. AI kan analysere eksisterende sikkerhedssoftware og generere koder, der er designet til at snige sig forbi traditionelle antivirusprogrammer og detektionssystemer. Ved at identificere mønstre i eksisterende malware og sikkerhedsforanstaltninger kan AI skabe nye varianter, der undgår detektion. Det betyder, at virksomheder skal opdatere deres forsvar konstant for at holde trit med de nye trusler – en udfordring, der er særligt vanskelig for SMV'er med begrænsede ressourcer.

Derudover kan AI bruges til at optimere angrebene i realtid. Hvis et angreb mislykkes, kan AI analysere årsagen og justere strategien øjeblikkeligt, hvilket gør det sværere for forsvarerne at forudse og blokere fremtidige forsøg. Denne evne til at tilpasse sig og lære af fejl gør AI-drevne angreb langt mere effektive end traditionelle metoder.

De udsatte: SMV'er i frontlinjen

Mens store virksomheder ofte har dedikerede IT-sikkerhedsteams, avancerede forsvarsmekanismer og adgang til specialiseret rådgivning, er SMV'er særligt sårbare over for den nye trussel. Ifølge Christian Damsgaard Jensen mangler mange mindre virksomheder både viden, ressourcer og den nødvendige organisatoriske struktur til at håndtere den stigende risiko for cyberangreb. Det er et alvorligt problem, fordi cyberkriminelle ofte retter deres angreb mod de svageste led i kæden – og SMV'er udgør netop dette svage led.

Et vellykket cyberangreb kan have ødelæggende konsekvenser for en lille virksomhed. Ud over de direkte økonomiske tab i form af tyveri af data, penge eller intellektuel ejendom kan et angreb medføre tab af kunder, varige omdømmeskader og endda juridiske konsekvenser. For nogle virksomheder kan det betyde konkurs. "Det er ikke længere et spørgsmål om, om man kan tillade sig at investere i cybersikkerhed. Man kan ikke tillade sig ikke at gøre det," understreger professoren.

Problemet forstærkes af, at mange SMV'er ikke er klar over, hvor udsatte de er. En undersøgelse fra 2025, som Berlingske refererer til, viste, at kun 30 % af danske SMV'er havde en formel cybersikkerhedsstrategi på plads. Samtidig var 60 % af de adspurgte virksomheder overbeviste om, at de ikke var et mål for cyberkriminelle. Den opfattelse er ifølge Christian Damsgaard Jensen farligt naiv og ignorerer den realitet, at cyberkriminelle aktivt søger efter de mest sårbare mål – uanset størrelse eller branche.

SMV'ernes sårbarhed forstærkes yderligere af, at de ofte er en del af større forsyningskæder. Et angreb mod en lille underleverandør kan således have kaskadeeffekter, der rammer store virksomheder, der er afhængige af leverandørens tjenester. Dette gør SMV'er til attraktive mål, da et vellykket angreb kan give adgang til større netværk og mere værdifulde data.

Handlingspres: Virksomhederne må reagere nu

Christian Damsgaard Jensen understreger, at der ikke er tid til at vente. Virksomhederne må tage stilling til cybersikkerhed nu, og det kræver en proaktiv og struktureret tilgang. Mens den fulde liste over hans fem konkrete råd ikke er tilgængelig i det offentlige uddrag af Berlingske-artiklen, peger han på nogle centrale områder, som virksomheder bør prioritere for at mindske risikoen for cyberangreb:

• Medarbejderuddannelse: Menneskelige fejl forbliver en af de største sikkerhedsrisici, og AI-drevne phishing-angreb bliver stadig mere sofistikerede. Medarbejderne skal derfor uddannes løbende i at genkende og håndtere mistænkelige meddelelser, links og vedhæftede filer. Det handler ikke blot om at identificere åbenlyse forsøg, men også om at være opmærksom på subtile tegn på manipulation.
• Opdatering af systemer: Mange cyberangreb udnytter kendte sårbarheder, som kunne have været lukket med regelmæssige opdateringer af software, operativsystemer og firmware. Virksomheder skal sikre, at alle systemer er opdaterede, og at der er klare procedurer for at håndtere sikkerhedsopdateringer hurtigt og effektivt.
• Multi-factor authentication (MFA): En simpel, men yderst effektiv måde at gøre det betydeligt sværere for hackere at få adgang til systemer. MFA kræver mere end blot et password – for eksempel en kode sendt til en mobilenhed eller en biometrisk verifikation – hvilket gør angrebene mere besværlige og tidskrævende for angriberne.
• Overvågning og detektion: Virksomheder skal implementere systemer, der kan detektere og reagere på mistænkelig aktivitet i realtid. Her kan AI også spille en positiv rolle ved at analysere mønstre i netværkstrafik, adgangslogge og andre data for at identificere afvigelser, der kan indikere et angreb. Disse systemer skal dog kombineres med menneskelig ekspertise for at undgå falske alarmer og sikre en effektiv respons.
• Backup og genopretning: Selv med de bedste forsvarsmekanismer kan angreb ske, og det er derfor afgørende at have sikkerhedskopier af kritiske data og en veludarbejdet plan for, hvordan man hurtigt kan genoprette systemer i tilfælde af et angreb. Backup-procedurer skal testes regelmæssigt for at sikre, at data kan gendannes hurtigt og uden tab.

Ifølge Christian Damsgaard Jensen er det vigtigste, at virksomhederne indser, at cybersikkerhed ikke er en engangsopgave, men en løbende og dynamisk proces. "Det handler om at bygge en kultur, hvor sikkerhed er en integreret del af alt, hvad man gør," siger han. Det kræver ikke blot tekniske foranstaltninger, men også en organisatorisk indsats, hvor ledelsen prioriterer sikkerhed, og medarbejderne er bevidste om deres rolle i at opretholde et sikkert miljø.

For SMV'er kan det virke overvældende at skulle implementere alle disse foranstaltninger, men professoren understreger, at selv små skridt kan gøre en stor forskel. Det handler om at starte med de mest kritiske områder – såsom medarbejderuddannelse og grundlæggende sikkerhedsforanstaltninger – og derefter gradvist udvide og forbedre sikkerhedsstrategien over tid.