Foto: Nate Grigg, CC BY 2.0, via Wikimedia Commons
En hackare, eller hacker, är från början en person som vill förstå hur datorer och system fungerar på djupet och få dem att göra mer än de var byggda för. Det intresset är fullt lagligt. Brott blir det när någon olovligen tar sig in i ett system eller ändrar eller förstör data i det, och redan ett försök kan vara straffbart. Då kallas gärningen dataintrång, och straffansvaret gäller från 15 års ålder.
Ordet har två betydelser som lever sida vid sida. I den ena är hackaren en skicklig tekniker, i den andra en inbrottstjuv på nätet.
Vad betyder ordet hackare?
Den 20 november 1982 dök en svart ballong upp ur gräsmattan vid 40-yardlinjen under den amerikanska collegefootballmatchen mellan Harvard och Yale. Den växte till knappt två meter i diameter, var täckt av bokstäverna MIT och sprack med en smäll och ett moln av vit rök. Studenter vid Massachusetts Institute of Technology hade planerat tilltaget i veckor. Händelsen finns med i The Jargon File, hackarkulturens egen ordlista, som ett klassiskt exempel på en hack: ett kreativt skämt som visar uppfinningsrikedom.
Ordlistan ger ordet hacker åtta betydelser. Den första är en person som tycker om att utforska detaljerna i programmerbara system och tänja på vad de klarar, till skillnad från de flesta användare, som bara vill lära sig det nödvändigaste. Först den åttonde betydelsen handlar om den som snokar efter känslig information, och den är markerad som förlegad. För den som bryter sig igenom säkerheten i ett system använder ordlistan i stället ordet cracker. Enligt ordlistan myntades det omkring 1985 av hackare som ville försvara sitt ord mot journalisternas felaktiga bruk.
Försvaret lyckades bara delvis. På Polisens sida om dataintrång står att sådana intrång ofta utförs av en angripare som kallas hacker. I vardagsspråket betyder ordet i dag båda sakerna, och inom säkerhetsbranschen skiljs de åt med hattfärger.
Vad är skillnaden mellan white hat, grey hat och black hat?
Färgerna kommer från westernfilmerna, där skurkarna bar svart hatt och hjältarna vit. Så förklaras uttrycken i ordlistans artikel om black hat. En black hat är den som är ute efter att bryta sig in i ett system som någon annan skyddar. En white hat är en säkerhetsspecialist som står på försvararens sida. Uttrycket grey hat används enligt ordlistan mer sällan och står för personer med en inbrottstjuvs kunskaper som håller sig inom lagen, till exempel när de gör säkerhetsgranskningar.
| Benämning | Betydelse i hackarkulturens ordlista | Vad brottsbalken frågar efter |
|---|---|---|
| Black hat | Den som vill bryta sig in i ett system som någon annan skyddar | Gärningen sker utan lov och kan vara dataintrång |
| Grey hat | Den som har inbrottstjuvens kunskaper men håller sig inom lagen | Avgörs av om det fanns lov, inte av avsikten |
| White hat | En säkerhetsspecialist som arbetar på systemägarens sida | Arbetet sker med ägarens tillstånd och inom de ramar ägaren satt |
För lagen avgörs saken av om det fanns lov, inte av avsikten. Brottsbalkens text om dataintrång bygger på ordet olovligen, och den har inget undantag för den som bara ville visa ägaren att dörren stod öppen.
Är det olagligt att hacka?
Att lära sig hur system fungerar, programmera och leta säkerhetsbrister i sin egen dator är inte förbjudet. Det som är förbjudet kallas dataintrång i brottsbalken. Den som ”olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift” döms för dataintrång till böter eller fängelse i högst två år. Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan uppgift.
För grovt dataintrång är straffet fängelse i lägst ett och högst åtta år. När domstolen bedömer om brottet är grovt ska den särskilt beakta om gärningen har orsakat allvarlig skada, om den har avsett ett stort antal uppgifter eller om den annars har varit av särskilt farlig art.
Paragrafen ställer inget krav på att någon har forcerat ett lösenord eller utnyttjat en säkerhetslucka. Det räcker att gå in på ett konto med ett lösenord man fått syn på, om ägaren inte har gett lov. Att radera eller låsa någon annans filer är också dataintrång, även om ingen har läst något.
Brottet behöver inte heller fullbordas. Enligt brottsbalken är också försök och förberedelse till dataintrång och grovt dataintrång straffbara, utom när ett fullbordat dataintrång hade varit att anse som ringa. Även ett misslyckat intrång kan vara ett brott.
Lydelsen om grovt dataintrång gäller sedan den 1 augusti 2026. Hur preskriptionen fungerar och vad som händer efter en polisanmälan står i genomgången av straffet för dataintrång.
Från vilken ålder kan man dömas för dataintrång?
Åldersgränsen står i brottsbalkens första kapitel: ”För brott som någon har begått innan han eller hon fyllt femton år får det inte dömas till påföljd.” En femtonåring kan alltså dömas för dataintrång.
Sedan den 10 september 2026 finns ett undantag för fjortonåringar. Det gäller bara brott med ett minimistraff på fyra års fängelse eller mer, och försök, förberedelse eller stämpling till sådana brott. Dataintrång når inte dit. Inte ens den grova graden har ett minimistraff över ett års fängelse.
Hur drabbas vanliga människor av hackare?
Filmens hackare skriver kod i ett mörkt rum tills skärmen blinkar ”access granted”. Polisens exempel på dataintrång är att någon tar sig in i din dator utan lov eller tar över ett konto du har på sociala medier. En vanlig väg in är nätfiske. Kampanjen Tänk säkert, som drivs av Nationellt cybersäkerhetscenter och Polismyndigheten, beskriver hur bedragare försöker lura folk via telefon, sms, mejl och sociala medier. På engelska kallas metoderna vishing, smishing och phishing. Bedragaren ber om ett lösenord, en kod eller en inloggning med BankID och vill att det ska gå fort. En annan väg är återanvända lösenord. När en tjänst läcker sina användares lösenord prövas samma kombination av e-postadress och lösenord på andra tjänster. Enligt Integritetsskyddsmyndigheten är det vanligt att ha samma lösenord på flera tjänster, och den som kontrollerar någons e-post kan använda den för att ändra lösenordet på de tjänster som är registrerade med adressen. Myndigheten råder till tvåfaktorsautentisering där tjänsten erbjuder det, annars långa och unika lösenord, och aldrig samma lösenord på flera tjänster. Vad som gäller när uppgifterna redan har läckt står i guiden för den som drabbats av en läcka.
Ett tredje hot mot privatpersoner är utpressningsvirus, på engelska ransomware. Enligt Polisen är det skadlig programvara som låser datorer och krypterar filer, och angriparen kräver en lösensumma för att låsa upp dem. Programmen sprids bland annat genom falska programuppdateringar, skadliga webbplatser, e-postbilagor och andra skadliga program. Polisen avråder från att betala, eftersom det inte finns någon garanti för att problemet upphör.
Hur blir man hackare på ett lagligt sätt?
På de lagliga vägarna har någon gett lov i förväg och dragit upp ramarna. I Sverige finns vägarna redan från högstadiet.
| Väg | Svenskt exempel | Vem kan delta | Datum och villkor |
|---|---|---|---|
| CTF-tävling för unga | Säkerhets-SM 2027, arrangerat av föreningen Kodsport | Elever på högstadiet och gymnasiet, i lag om en till tre personer | Kval online den 4 till 6 december 2026, final i Stockholm den 18 till 21 februari 2027 |
| CTF-tävling online | Undutmaning, skapad av Must, Säpo och FRA | Lag, med uppgifterna huvudsakligen på svenska | Senaste omgången den 21 mars 2026: 8 timmar, 24 uppgifter och 435 lag på resultatlistan |
| Bugbountyprogram | Spotifys program, som ligger hos plattformen HackerOne | Enligt HackerOnes villkor, som gäller alla program där: Inte för barn under 13 år. Minderåriga ska meddela det skriftligt, och vårdnadshavaren godkänner villkoren | Den som rapporterar godkänner företagets programpolicy. Villkoren gäller från den 11 maj 2026 |
| Utbildning | Värnpliktiga cybersoldater, utbildade av KTH:s centrum CDIS på uppdrag av Försvarsmakten | Värnpliktiga som tas ut | Uttagningen är mycket selektiv |
En CTF, capture the flag, är en tävling där deltagarna löser säkerhetsuppgifter i system som arrangören har byggt för ändamålet. Att hitta svagheten är själva uppgiften, och svaret är en textsträng, flaggan, som ger poäng. Säkerhets-SM beskriver sig som Sveriges hackingtävling för unga och skriver att nybörjare är välkomna. De bästa lagen går vidare till landslagsuttagningen och den internationella olympiaden i cybersäkerhet. Bakom tävlingen står Kodsport, en ideell förening som också ordnar Programmeringsolympiaden och träningsläger. Medlemskapet är gratis. Säkerhets-SM lägger också ut en övningsuppgift varje månad, och i oktober 2026 länkar kampanjen Tänk säkert till den. Undutmaning är de svenska underrättelse- och säkerhetstjänsternas gemensamma tävling. De bästa lagen bjuds in till ett seminarium.
Ett bugbountyprogram är ett företags erbjudande om ersättning till den som hittar och rapporterar en säkerhetsbrist i företagets system. Spotify tar emot sådana rapporter genom HackerOne. Plattformens villkor för deltagare säger att den som skickar in en rapport godkänner företagets programpolicy, och ersättning betalas bara för rapporter som uppfyller policyns krav. Företaget drar upp ramarna och ger lovet. Den som går utanför ramarna har inte längre lov.
Vägen till yrket går för en del genom värnplikten. KTH:s centrum för cyberförsvar och informationssäkerhet utbildar på Försvarsmaktens uppdrag värnpliktiga cybersoldater. Där lär de sig bland annat att identifiera risker, bygga säkra system, upptäcka intrång och återställa system efter ett angrepp.
Vad betyder det för en femtonåring som vill bli hackare?
Kunskaperna är desamma i de lagliga och de olagliga fallen. Det som skiljer en finalplats i Säkerhets-SM från ett åtal är ett lov från den som äger systemet. En femtonåring som tävlar, övar på uppgifter byggda för ändamålet eller rapporterar brister inom ett bugbountyprogram gör inget olagligt. En femtonåring som provar en klasskamrats lösenord gör något olagligt, och han är gammal nog att dömas för det.
Senast faktagranskad: 24 oktober 2026