Förekomsten av skadlig kod fortsätter att minska globalt. Enligt Acronis senaste säkerhetsrapport sjönk andelen användare som drabbades av skadlig kod för femte månaden i rad under september 2026. Samtidigt ökade förekomsten av skadliga webbadresser, vilket visar att cyberhoten fortsätter att förändras trots den positiva utvecklingen.
Den globala cybersäkerhetsbilden under september präglades av både förbättringar och nya utmaningar. Det framgår av Acronis Cyberthreats Update October 2026, där säkerhetsföretaget Acronis presenterar aktuell statistik och analyser från sin forskningsenhet Acronis Threat Research Unit (TRU).
Rapporten bygger på telemetridata från över en miljon enheter världen över och ger en bild av hur olika typer av cyberhot utvecklas. 
Skadlig kod minskar globalt
En av rapportens tydligaste slutsatser är att den globala upptäcktsfrekvensen för skadlig kod fortsätter att sjunka.
Under september minskade andelen användare där skadlig kod upptäcktes från 4,9 procent i augusti till 4,3 procent. Det motsvarar en nedgång med 0,6 procentenheter och är den lägsta nivån sedan februari 2026.
Utvecklingen innebär att upptäcktsfrekvensen har minskat fem månader i följd.
Som jämförelse låg motsvarande nivå på 6,8 procent i april, vilket var årets högsta notering. I januari uppgick den till 3,7 procent och i februari till 4,2 procent.
Den senaste statistiken visar därmed att förekomsten av upptäckt skadlig kod åter närmar sig nivåerna från början av året.
Samtidigt understryker Acronis att en minskad upptäcktsfrekvens inte nödvändigtvis innebär att cyberhoten har blivit mindre allvarliga.
Fler skadliga webbadresser upptäcks
Trots den positiva utvecklingen för skadlig kod visar rapporten en ökning av attacker via skadliga webbadresser.
Globalt steg upptäcktsfrekvensen för skadliga URL med 0,7 procentenheter mellan augusti och september.
Utvecklingen varierade dock mellan olika länder.
I Tyskland minskade den normaliserade upptäcktsfrekvensen från 9,1 till 8,5 procent, en nedgång med 0,6 procentenheter.
Även Indien och Australien noterade minskningar. I Indien sjönk nivån från 10,2 till 9,4 procent, medan Australien gick från 8,0 till 7,4 procent.
Den globala ökningen visar samtidigt att skadliga länkar fortfarande utgör en betydande säkerhetsrisk.
Sådana länkar används bland annat vid nätfiske, bedrägerier och försök att sprida skadlig kod genom falska webbplatser och manipulerade meddelanden.
För företag innebär detta att skydd mot skadliga webbadresser och social manipulation fortsatt behöver vara en central del av säkerhetsarbetet.
Ransomwaregrupper förändrar sin position
Även inom ransomware fortsätter hotbilden att förändras.
Under september var gruppen The Gentlemen kopplad till flest registrerade offer, totalt 104. Därefter följde Qilin med 73 och Akira med 36.
Det innebär att The Gentlemen passerade Qilin och tog över förstaplatsen.
Båda grupperna noterade samtidigt färre offer än under augusti.
The Gentlemen minskade från 112 till 104 registrerade offer, medan Qilin uppvisade en betydligt större nedgång från 164 till 73.
Akira tog sig samtidigt in bland de tre mest aktiva grupperna och ersatte Clop.
Förändringarna visar hur snabbt aktiviteten och styrkeförhållandena mellan olika ransomwaregrupper kan skifta.
Även om antalet registrerade offer minskar hos vissa aktörer innebär det inte att hotet från ransomware har försvunnit.
Fjärrstyrningstrojaner dominerar hotbilden
Bland de vanligaste typerna av skadlig kod under september återfanns flera program som gör det möjligt för angripare att fjärrstyra infekterade datorer.
De tre mest upptäckta hoten var:
- AsyncRAT, en fjärrstyrningstrojan som kan ge angripare tillgång till infekterade system.
- Remcos, ett fjärradministrationsverktyg som även används i skadliga syften för att övervaka och kontrollera datorer.
- XWorm, en fjärrstyrningstrojan som kan användas för att samla in information och utföra kommandon på komprometterade enheter.
Gemensamt för dessa hot är att de kan ge obehöriga personer omfattande kontroll över drabbade system.
För organisationer kan en sådan infektion innebära risk för informationsstöld, obehörig åtkomst och ytterligare angrepp mot interna nätverk.
Utvecklingen visar också vikten av att övervaka misstänkta aktiviteter på klienter och servrar, särskilt när fjärråtkomstverktyg används i verksamheten.
Färre rapporterade dataintrång
Acronis rapporterar även en minskning av antalet registrerade dataintrång och incidenter där information har exponerats.
Under september registrerades över 848 sådana incidenter, jämfört med 1 165 under augusti.
Det innebär en tydlig nedgång mellan månaderna.
Statistiken bör dock tolkas med viss försiktighet eftersom antalet rapporterade incidenter inte nödvändigtvis motsvarar det faktiska antalet intrång.
Rapporten visar samtidigt stora geografiska skillnader när det gäller upptäckten av skadlig kod.
Palestina hade den högsta normaliserade upptäcktsfrekvensen med 37,4 procent, följt av Irak med 27,5 procent och Vietnam med 22,3 procent.
Irak och Vietnam återfanns därmed bland de tre högst placerade områdena, medan Bangladesh föll ur topp tre.
BlueMoon visar riskerna med nolldagssårbarheter
En annan viktig del av rapporten handlar om BlueMoon, ett exploit-kit som enligt Acronis användes av fyra olika statsstödda cyberspionagegrupper inom loppet av tolv dagar.
Aktiviteten inleddes i slutet av augusti.
BlueMoon kombinerar tre nolldagssårbarheter i Chrome och Windows för att köra skadlig kod och skaffa sig omfattande behörigheter i infekterade system.
Att flera olika angripargrupper använder samma verktyg under en så kort tidsperiod visar hur snabbt avancerade angreppsmetoder kan spridas.
Nolldagssårbarheter är särskilt problematiska eftersom de kan utnyttjas innan säkerhetsuppdateringar finns tillgängliga.
Det innebär att även organisationer med etablerade rutiner för uppdateringar kan vara exponerade.
Acronis: Minskningen betyder inte att hoten försvinner
Markus Fritz, General Manager DACH på Acronis, betonar att den positiva utvecklingen för skadlig kod inte bör leda till att företag sänker sin säkerhetsnivå.
Enligt Fritz är de sjunkande upptäcktsfrekvenserna för skadlig kod globalt och skadliga webbadresser i Tyskland positiva signaler.
Samtidigt framhåller han att hotbilden som helhet inte nödvändigtvis har blivit mindre allvarlig.
I de flesta undersökta länderna ökade nämligen förekomsten av skadliga webbadresser.
Fritz lyfter även fram BlueMoon som ett exempel på hur snabbt flera angripargrupper kan börja utnyttja samma säkerhetsbrister, ibland innan tillgängliga uppdateringar kan skydda systemen.
Acronis rekommenderar därför att organisationer arbetar med flera kompletterande säkerhetsåtgärder, däribland snabb installation av säkerhetsuppdateringar, e-postskydd, URL-filtrering och beteendebaserad hotidentifiering.
Så kan företag stärka skyddet mot cyberhot
Mot bakgrund av den senaste hotutvecklingen lyfter Acronis fram flera åtgärder som organisationer bör prioritera.
Stärk identitetsskyddet
Använd starka och unika lösenord tillsammans med en lösenordshanterare. Det minskar risken för att komprometterade inloggningsuppgifter kan återanvändas.
Skydda känslig information
Lagra konfidentiella filer i krypterade molntjänster och säkerställ att åtkomsten är begränsad till behöriga användare.
Säkerställ möjligheten till återställning
Inför automatiserade funktioner för att återställa filer som har krypterats eller manipulerats vid ett angrepp.
Förbättra e-postsäkerheten
Använd avancerat e-postskydd och filtrering av skadliga webbadresser för att minska risken för nätfiske och andra former av social manipulation.
Prioritera säkerhetsuppdateringar
Ett strukturerat arbete med patchhantering hjälper organisationer att minska exponeringen mot kända sårbarheter.
Kontrollera installationsfiler
Digitalt signerade installationsfiler bör inte enbart kontrolleras utifrån signaturen. Även konfigurationsdata och annat innehåll behöver granskas.
Begränsa fjärråtkomst
Se över vilka fjärradministrationsverktyg som används och begränsa åtkomsten till de funktioner och användare som verkligen behöver den.
Använd beteendebaserat skydd
Säkerhetslösningar som kombinerar beteendeanalys, artificiell intelligens och maskininlärning kan bidra till att identifiera misstänkta aktiviteter och ransomwareangrepp.
Cyberhoten fortsätter att förändras
Acronis senaste rapport visar att den globala cybersäkerhetsutvecklingen inte följer en entydig riktning.
Samtidigt som upptäcktsfrekvensen för skadlig kod minskar fortsätter andra angreppsmetoder att utvecklas.
Ökningen av skadliga webbadresser, förändringarna bland ransomwaregrupper och användningen av avancerade exploit-kit visar att organisationer behöver anpassa sitt säkerhetsarbete efter en föränderlig hotbild.
För svenska företag, IT-leverantörer och organisationer med komplexa IT-miljöer är slutsatsen att ett långsiktigt och förebyggande säkerhetsarbete fortsatt är avgörande.
Att antalet upptäckta hot minskar inom ett område innebär inte att riskerna för verksamheten försvinner.
