Anna LindgrenDen 11 april 2026 tillkännagav hackargruppen ShinyHunters att de stulit 78,6 miljoner poster från spelbolaget Rockstar Games – tillverkarna av Grand Theft Auto-serien. Det uppseendeväckande var inte skalan, utan angreppsmetoden: hackarna tog sig aldrig in i Rockstars egna system. I stället komprometterades Anodot, ett litet SaaS-verktyg för molnanalys som Rockstar använde för att spåra sina molnkostnader. Det Rockstar-hacket avslöjar är en sanning som gäller varje bolag som förlitar sig på molntjänster: din leverantörskedja är din svagaste länk.
Hacket som skakade spelbranschen — och vad det avslöjar om den moderna attackytan
ShinyHunters är ingen nybörjargrupp. Sedan 2024 har de kopplats till intrång hos Ticketmaster (540 miljoner användarposter), AT&T, Santander och Vimeo. Rockstar-attacken i april 2026 ingår i en bredare kampanj som enligt säkerhetsföretaget Deepwatch drabbat minst 165 organisationer via samma angreppskedja — alla med gemensamt nämnare: molndatalagret Snowflake.
Angreppet gick till på ett sätt som flertalet IT-säkerhetsteam inte är förberedda på. Anodot — ett molnanalysverktyg som Rockstar använde för att optimera sina Snowflake-kostnader — hade lagrat långlivade autentiseringstoken med breda läsrättigheter mot Rockstars datatjänster. ShinyHunters stjal dessa token och loggade in som om de vore ett legitimt internt system. Därefter hämtade de ut data direkt ur Snowflake-miljön.
Säkerhetsanalytiker hos Mitiga beskriver förloppet så: hackarna "valde helt enkelt ut data och exporterade den, tyst och sömlöst — utan malware, utan exploits och utan ett enda intrångslarm." Stöldgodset innehöll 78,6 miljoner poster: interna intäktsuppdelningar, affärsmetrik och supportloggar. Rockstar vägrade betala lösen, och ShinyHunters publicerade materialet på dark web.
Incidenten avslöjar ett mönster som Nationellt centrum för cybersäkerhet (NCSC) och EU-myndigheten ENISA båda lyft fram under 2026: supply chain-angrepp via tredjeparts SaaS-leverantörer har blivit den snabbast växande attackvektorn mot organisationer med molninfrastruktur.
Utöver Rockstar bekräftades minst tretton andra bolag drabbade av samma kampanj — inklusive videostreamingtjänsten Vimeo och modekoncernen Zara. Det gemensamma mönstret: en tredjepartsleverantör med Snowflake-åtkomst hade komprometterade inloggningsuppgifter. Gemensamt för alla drabbade var att deras egna säkerhetsverktyg inte flaggade för intrånget, eftersom angriparna loggade in via legitima kanaler med stulna autentiseringsuppgifter. Det är den typen av angrepp som kräver förebyggande IT-säkerhetsarbete — inte reaktiv krishantering.
IT-expertens analys: tre tekniska svagheter som möjliggjorde intrånget
Det som gör Rockstar-fallet pedagogiskt är att attacken inte krävde sofistikerade verktyg. Den exploaterade tre vanliga brister i hur organisationer hanterar molnintegrationer — brister som en IT-konsult med inriktning på molnsäkerhet identifierar i de allra flesta granskningstillfällen.
1. Saknad tillämpning av minsta möjliga privilegium (least privilege): Anodots servicekonto hade läsrättigheter mot långt mer data i Snowflake än analytikverktyget faktiskt använde. Principen om minsta möjliga privilegium — att varje extern integration bara ska ha tillgång till precis det data den faktiskt behöver — hade inte tillämpats. Det innebar att hackarna, när de väl hade token, fick tillgång till hela Rockstars datalager.
2. Långlivade autentiseringstoken utan rotation: De stulna token hade inga automatiska upphörandedatum. Med kortlivade token, exempelvis med 24-timmarsexpiry, eller automatisk rotation via Snowflakes inbyggda nyckelhantering, hade intrångsförloppet brutits snabbt även efter att token komprometterades.
3. Avsaknad av realtidsövervakning och anomalidetektering: Massexporten av data skedde utan att ett enda larm utlöstes. Snowflake erbjuder inbyggd loggning och möjlighet att sätta larm på ovanliga åtkomst- och exportmönster — men dessa funktioner kräver aktiv konfigurering. Utan dem pågick intrånget ostört.
En IT-konsult med molnsäkerhetskompetens kan granska exakt dessa tre lager i din organisation. I Sverige ökar efterfrågan på sådana granskningar markant, bland annat efter att IMY — Integritetsskyddsmyndigheten — skärpt sin tillsyn av hur personuppgifter hanteras i molnmiljöer med tredjepartsintegrationer.
Det är också värt att notera att Snowflake som plattform inte var sårbar i sig — Snowflake hade inte blivit hackad. Angriparna utnyttjade svag hantering hos den organisation som använde Snowflake. Det ansvaret ligger hos kunden, inte hos plattformsleverantören, vilket är precis vad GDPR slår fast när det gäller behandling av personuppgifter: ansvaret för "lämpliga tekniska och organisatoriska åtgärder" kan inte delegeras bort till en SaaS-leverantör.
Konkret scenario: Malmöbolaget som missar 72-timmarsregeln
Föreställ dig Brixton Analytics, ett fiktivt men typiskt medelstort analyskonsultbolag i Malmö med 65 anställda och 90 miljoner kronor i omsättning. De använder Snowflake som centralt datalager och har tretton aktiva tredjepartsintegrationer: ett BI-verktyg, ett CRM-system, ett ERP-tillägg och tio specialiserade SaaS-tjänster för allt från e-postkampanjstatistik till betalningsanalyser.
En av dessa tretton leverantörer — låt oss säga BI-verktyget — komprometteras i april 2026 med samma metod som Anodot. Servicekontot för BI-verktyget har läsrättigheter mot Brixton Analytics hela kunddatabas med 150 000 e-postadresser och köpbeteendedata.
Om Brixton Analytics inte har loggövervakning på plats, märker de intrånget efter tre veckor — inte inom 72 timmar.
Konsekvenserna blir som följer:
Under artikel 33 i GDPR är Brixton Analytics skyldiga att anmäla intrånget till IMY inom 72 timmar från det att de fått kännedom om det. Har de missat den tidsfristen — och kan de inte visa att de vidtagit "lämpliga tekniska och organisatoriska säkerhetsåtgärder" — riskerar de sanktionsavgifter.
För brister mot artikel 32 (otillräckliga tekniska skyddsåtgärder) kan IMY utfärda böter på upp till 4 procent av global årsomsättning eller 20 miljoner euro, beroende på vilket som är högst. För Brixton Analytics med 90 miljoner kronor i omsättning innebär det en teoretisk maxavgift på 3,6 miljoner kronor. Tillkommer gör forensiska utredningskostnader (typiskt 250 000–500 000 kronor för ett bolag i den storleksordningen) och kostnader för kommunikation med drabbade kunder.
Om Brixton Analytics däremot hade haft realtidsövervakning konfigurerad och ett uppdaterat databehandlingsavtal (DPA) med BI-leverantören, hade de kunnat anmäla inom 72 timmar och visa att de faktiskt hade tekniska säkerhetsåtgärder på plats. Det hade dramatiskt minskat risken för sanktionsavgifter. Skillnaden är en genomförd IT-säkerhetsgranskning — inte ett lyckofall.
Obs: Siffrorna ovan baseras på GDPR artikel 83.4 och 83.5 och gäller maximigränser. Faktiska sanktionsavgifter varierar beroende på omständigheterna i det enskilda ärendet.
Vad svenska företag bör göra nu — och varför timing spelar roll
GTA 6-hacket är inte ett undantagsfall för spelbranschen. Det är ett mönster som NCSC identifierat som systemiskt: supply chain-angrepp via SaaS-leverantörer drabbar bolag i alla branscher och alla storlekar, förutsatt att de delar data med externa verktyg.
Med GTA 6:s lansering planerad till den 19 november 2026 och ShinyHunters fortfarande aktiva riktar cybersäkerhetsbranschen extra uppmärksamhet mot game tech och molninfrastruktur just nu — men hotbilden gäller hela ekosystemet.
Tre åtgärder som bör prioriteras omedelbart:
Inventera alla tredjepartsintegrationer med åtkomst till molndatalagret. Lista vilka servicekonton som existerar, vilka rättigheter de har och om de faktiskt behöver dem. En vanlig granskning avslöjar i genomsnitt 30–40 procent "zombie-integrationer" — aktiva token till verktyg som inte längre används.
Inför kortlivade token och automatisk rotation. Rotera servicekontots autentiseringsuppgifter automatiskt och aktivera multifaktorsautentisering för alla administrativa roller i molnmiljön. Det begränsar skadan dramatiskt om en leverantör komprometteras.
Aktivera loggövervakning och anomalidetektering. Konfigurera larm för ovanliga exportvolymer och åtkomstmönster utanför normala arbetstider. Snowflakes egna funktioner för detta är inbyggda men kräver aktiv konfigurering — det är just bristen på sådana larm som gjorde att Rockstar-intrånget pågick ostört i veckor.
En IT-konsult med specialisering på molnsäkerhet kan utföra en komplett tredjepartsriskbedömning och hjälpa ert bolag att prioritera åtgärder baserat på er faktiska riskprofil. En typisk granskning för ett medelstort bolag med 10–20 tredjepartsintegrationer tar 3–5 arbetsdagar och identifierar konkreta åtgärdspunkter: vilka servicekonton som ska begränsas, var token-rotation saknas och hur loggövervakning bäst konfigureras för ert specifika datalager.
Kostnaden för en preventiv IT-säkerhetsgranskning — i storleksordningen 30 000–80 000 kronor för ett bolag i mellanstorleksklassen — är marginell jämfört med den potentiella sanktionsavgiften, den forensiska utredningskostnaden och det varumärkeskapital som förloras om kunddata exponeras. I en tid när 165 organisationer komprometterades via samma angreppskedja är det inte en fråga om om — det är en fråga om när.
