Trojanske ansatte: Ny trussel mot samfunnskritisk infrastruktur

I gresk mytologi brukte grekerne en enorm, hul trehest for å lure seg inn i det tilsynelatende ugjennomtrengelige Troja. I 2026 har trusselaktørene funnet en moderne variant: trojanske ansatte.

Ifølge en fersk artikkel i ABC Nyheter (mars 2026) advarer både HR-eksperter og sikkerhetsmiljøer mot en ny og særlig urovekkende utvikling: personer som med hjelp av generativ KI, KI-genererte CV-er og deepfake i videointervjuer søker – og får – ansettelse i norske virksomheter. Når de først er inne, har de legitim tilgang til systemer, sensitive data og intern tillit. Det er ikke lenger nødvendig å hacke seg inn – de logger seg bare inn.

Denne trusselen rammer ikke tilfeldig. Konsulentselskapet Sopra Steria peker i sin rapport på at Norden befinner seg i et skjerpet trusselbilde, der statstilknyttede aktører, hybride kampanjer og ren cyberkriminalitet smelter sammen. Sektorer som energi, telekom, finans, offentlig forvaltning, transport og forskning er spesielt utsatt. Dette er nettopp de områdene som utgjør ryggraden i norsk samfunnskritisk infrastruktur – og mange av dem er avhengige av et tett nettverk av leverandører.

Leverandørkjeden – den svakeste lenken?

For samfunnskritiske virksomheter i Norge er ikke risikoen begrenset til egen organisasjon. Mange av de mest kritiske funksjonene ivaretas av eksterne leverandører: IT-drift, skytjenester, vedlikehold av SCADA-systemer, konsulenttjenester innen cybersikkerhet, logistikk og engineering. En «trojansk ansatt» plassert hos en sentral leverandør kan potensielt få tilgang til flere kunders kritiske systemer samtidig.

Tenk deg følgende scenario:

• En aktør med statlig backing ønsker å kartlegge eller forberede sabotasje mot norsk energiforsyning eller telekomnett.
• De trener opp en person (eller bruker en KI-styrt identitet) til å fremstå som en høyt kvalifisert senioringeniør eller sikkerhetsarkitekt.
• Vedkommende får jobb hos en større norsk leverandør som betjener flere kraftprodusenter, nettselskaper og offentlige etater.
• Med legitim tilgang starter en langsom, lav-støy datainnsamling – eller i verste fall planting av bakdører for senere aktivering.

Dette er ikke lenger science fiction. Sopra Steria beskriver trenden som en logisk videreutvikling av dagens trusselbilde: «Angripere bryter seg ikke inn – de logger seg inn». Phishing står fortsatt for en stor andel av hendelsene (44,4 % i Sopra Sterias observasjoner fra 2025), men å erobre en heltidsansatt posisjon gir langt dypere og mer vedvarende tilgang enn et stjålet passord.

Hva kan vi gjøre i praksis?

Hos Absec ser vi allerede at bevisstheten rundt denne trusselen øker blant våre kunder i samfunnskritisk sektor. Her er noen konkrete tiltak vi anbefaler for å redusere risikoen – spesielt i leverandørkjeden:

1. Forsterket identitetsverifisering i rekruttering

   • Obligatorisk fysisk oppmøte eller verifisert video med livstegn (liveness detection) i intervjuer.
   • Bakgrunnssjekk via flere uavhengige kilder, inkludert verifisering av referanser og tidligere arbeidsgivere (ikke bare LinkedIn).
   • Bruk av verktøy for å detektere KI-generert tekst i søknader og CV-er.

2. Zero Trust også for mennesker

   • Minimal privilegieprinsippet fra dag én – selv for nyansatte.
   • Streng segmentering av nettverk og data, slik at en kompromittert konto hos en leverandør ikke automatisk gir tilgang til kundens kritiske systemer.

3. Kontinuerlig overvåking av adferd (UEBA)

   • User and Entity Behavior Analytics kan oppdage unormale mønstre tidlig – uansett om det er en ekte person eller en «KI-styrt» ansatt.

4. Leverandørstyring med sikkerhet i fokus

   • Inkluder krav til rekrutteringsprosesser og identitetskontroll i kontrakter med kritiske leverandører.
   • Gjennomfør periodiske tredjepartsvurderinger (TPRM) som også dekker HR- og tilgangskontrollrutiner.

5. Kultur og opplæring

   • Bygg en sikkerhetskultur der mistenkelig adferd rapporteres uten frykt – også internt hos leverandører.

Den gode nyheten er at vi fortsatt er i en fase der de fleste tilfeller er forsøk eller tidlige stadier. Men som Håvard Berntzen i HR Norge påpeker: Fra å kun fokusere på å finne talent, må vi i økende grad også sikre at talentet ikke gjør skade.

I Absec jobber vi hver dag med å hjelpe norske virksomheter – spesielt de samfunnskritiske og deres leverandører – med å bygge robuste forsvar mot både tradisjonelle og nye trusler. Denne utviklingen understreker at cybersikkerhet ikke bare handler om teknologi, men om mennesker, prosesser og tillit.

Har din organisasjon eller dine leverandører oppdatert rekrutteringsprosessene for å møte deepfake og KI-genererte identiteter? Ta gjerne kontakt med oss for en uforpliktende prat om hvordan dere kan styrke nettopp denne delen av sikkerhetskjeden.

Kilder: ABC Nyheter – «Trojanske ansatte» infiltrerer norske virksomheter (mars 2026), Sopra Steria trusselvurdering.

Absec AS – Din partner i cybersikkerhet for samfunnskritisk virksomhet.