Övergivna administratörskonton utgör allvarlig säkerhetsrisk för företag

A computer keyboard with a green light shining on it — Mohamed Marey / Unsplash

Företag riskerar säkerhetsbrister genom så kallade spökadministratörer, vilket är administratörskonton utan ägare som fortfarande har full behörighet att hantera data och kontrollera åtkomst. Dessa konton lämnas ofta kvar utan korrekt styrning och tillsyn i företagsinfrastrukturer.

Enligt Craig Birch från Cayosoft börjar dessa konton ofta som tjänstekonton skapade för automatiserade uppgifter, såsom nattliga säkerhetskopior eller periodiska rapporter. När projekt avslutas eller administratörer slutar tas inte behörigheterna bort, och lösenord kan lämnas kvar i kod eller interna kommunikationskanaler. Detta gör det möjligt för hackare att ta över konton i Active Directory och kärninfrastrukturen utan att utlösa varningar.

Erich Kron, rådgivare till CISO på KnowBe4, menar att kontona ofta uppstår genom stressade arbetsprocesser. Det kan handla om att ge höga behörigheter till vanliga konton för att snabbt lösa tekniska problem, eller vid migrering från lokala system till molntjänster som Cloud Email och Azure Active Directory. Även initiala Global Admin-behörigheter i testmiljöer som inte rensas efter avslutat arbete bidrar till problemet.

Sårbarheterna är kritiska, särskilt gällande brist på multifaktorautentisering. En rapport från Verizon, Data Breach Investigations Report 2026, visar att cirka 37 procent av de undersökta organisationerna har inaktiverat multifaktorautentisering för administratörskonton i sina Infrastructure-as-a-Service-system.

Proofpoint rapporterar om ett fall i Chile där hackare lyckades ta över sju ouppsynade tjänstekonton. Dessa konton saknade korrekta baslinjer för åtkomst och använde förutsägbara standardlösenord som aldrig hade bytts ut.

För att hantera riskerna rekommenderas strikta policyer för identitetskontroll. Detta inkluderar att genomföra revisioner av alla tjänstekonton och identifiera konton som inte har loggat in på över 90 dagar. Innan ett konto raderas bör det tillfälligt inaktiveras i två till tre månader med ett komplext lösenord för att testa systempåverkan. Det krävs även att varje systemkonto har en identifierbar ansvarig person och att icke-mänskliga identiteter hanteras med samma strikta standarder som personalkonton.