Europols nye rapport Decoding the EU’s most threatening criminal networks: The Blueprint of Criminal Opportunism, offentliggjort i sommeren 2026, tegner et billede af et organiseret kriminalitetsmiljø i konstant forandring. Kriminelle netværk opløses, reorganiseres og erstattes af nye konstellationer, men den samlede trussel mod EU er fortsat betydelig.

Rapporten analyserer de mest truende kriminelle netværk i EU, også betegnet Most Threatening Criminal Networks (MTCN). Analysen viser, at netværkene er kendetegnet ved en høj grad af tilpasningsevne og ved en systematisk udnyttelse af legale virksomheder, finansielle systemer, digitale platforme og professionelle rådgivere.

Europols rapport kan læses i fuld længde her.

Et kriminalitetsbillede i konstant forandring

Sammensætningen af Europas mest truende kriminelle netværk har ændret sig markant siden Europols kortlægning i 2024. Af de tidligere identificerede 821 netværk indgår 76 procent ikke længere på den aktuelle liste.

Udviklingen kan blandt andet skyldes myndighedernes indgreb, interne opløsninger, omstruktureringer eller ændringer i netværkenes aktiviteter og vurderede trusselsniveau. Det betyder dog ikke, at truslen er reduceret tilsvarende.

En kerne på 198 netværk, som allerede blev identificeret i 2024, er fortsat blandt de mest truende. Disse netværk er ofte veletablerede, hierarkisk opbyggede og involveret i flere former for kriminalitet. Deres fortsatte tilstedeværelse viser en betydelig evne til at reorganisere sig, tilpasse arbejdsmetoderne og opretholde de kriminelle aktiviteter trods myndighedernes indsats.

Samtidig har Europol identificeret 533 nye netværk. Det samlede antal mest truende kriminelle netværk i den aktuelle analyse er dermed 731.

Agile, grænseløse og destruktive netværk

Europol vurderer, at de kriminelle netværk fortsat kan beskrives som agile, grænseløse, kontrollerende og destruktive. Netværkene opererer på tværs af landegrænser og udnytter forskelle i lovgivning, kontrolmiljøer og myndighedernes adgang til oplysninger.

Kriminaliteten omfatter blandt andet:

• narkotikahandel
• cyberkriminalitet
• onlinebedrageri
• migrantsmugling
• menneskehandel
• berigelseskriminalitet
• hvidvask
• organiseret ejendomskriminalitet

Mere end en tredjedel af netværkene er involveret i narkotikahandel. Mindre end en fjerdedel beskrives som polykriminelle og opererer dermed inden for flere kriminalitetsområder. Narkotikahandel indgår ofte som en del af disse netværks samlede portefølje.

Samtidig udnytter netværkene i stigende grad nye muligheder i det digitale og finansielle miljø. Kriminelle tjenester kan købes eksternt, og specialiserede aktører leverer blandt andet teknisk infrastruktur, phishingløsninger, adgang til kompromitterede oplysninger og hvidvaskydelser.

Crime-as-a-service sænker adgangsbarriererne

Crime-as-a-service spiller en stadig større rolle i det kriminelle økosystem. Modellen gør det muligt for netværk at købe sig til kompetencer og infrastruktur, som de ikke selv råder over.

Det kan eksempelvis være:

• færdigudviklede phishinghjemmesider
• handel med stjålne person- og kontooplysninger
• SIM-bokstjenester
• teknisk infrastruktur til cyberangreb
• callcenterkapacitet
• konti og betalingsinstrumenter
• professionelle hvidvaskydelser

Udviklingen sænker adgangsbarriererne til kriminalitet og gør det muligt for mindre specialiserede aktører at gennemføre avancerede bedragerier, cyberangreb og hvidvaskoperationer.

Samtidig kan outsourcing gøre netværkene mere fleksible. De kan hurtigt udskifte leverandører, ændre metoder og tilpasse aktiviteterne til nye muligheder. Europol fremhæver dog også, at afhængigheden af eksterne serviceudbydere kan udgøre en strategisk sårbarhed i det kriminelle økosystem.

Hvidvask er en central del af forretningsmodellen

Hvidvask og håndtering af kriminelle midler er en integreret del af netværkenes aktiviteter. Mere end 90 procent af de identificerede netværk hvidvasker selv deres kriminelle udbytte, mens nogle benytter specialiserede netværk, der leverer hvidvask som en service.

Næsten 3 procent af netværkene har specialiseret sig i money laundering-as-a-service. For 19 netværk er hvidvask den eneste registrerede kriminelle aktivitet.

De professionelle hvidvasknetværk er typisk veletablerede, geografisk vidtrækkende og centreret omkring én eller to centrale personer. Netværkene kan have nøglemedlemmer med både EU- og ikke-EU-nationalitet og benytter ofte virksomheder i flere jurisdiktioner.

Metoderne spænder fra traditionelle bankoverførsler og kontantbaserede aktiviteter til mere komplekse konstruktioner, der involverer:

• fast ejendom
• virksomheder og selskabsstrukturer
• værdifulde varer
• kryptovaluta
• uformelle værdioverførselssystemer
• hawala
• professionelle hvidvasknetværk

Hvidvasken gør det muligt at omsætte udbyttet fra kriminalitet til anvendelige aktiver, finansiere nye aktiviteter og integrere pengene i den legale økonomi.

Kryptovaluta anvendes på tværs af kriminalitetsområder

Kryptovaluta er ikke længere alene forbundet med cyberkriminalitet. Ifølge Europol er kryptoaktiver blevet et etableret redskab til at skjule og flytte værdier inden for en bred vifte af alvorlig og organiseret kriminalitet.

Kriminelle netværk anvender blandt andet chain-hopping, hvor midler flyttes hurtigt mellem forskellige blockchains, samt veksling mellem forskellige kryptoaktiver. Derudover benyttes privacy coins, som er udviklet med særlige anonymitetsfunktioner.

Ved ransomwareangreb sker betalingen typisk i kryptovaluta. Midlerne kan efterfølgende blive hvidvasket gennem komplekse transaktioner, professionelle hvidvasknetværk eller platforme. En del af udbyttet geninvesteres i teknisk infrastruktur og bruges til at finansiere nye angreb.

Udviklingen understreger, at kryptovaluta skal betragtes som en tværgående hvidvaskrisiko og ikke alene som et specialiseret område knyttet til cyberkriminalitet.

Legale virksomheder anvendes som kriminelt værktøj

Hele 85 procent af de mest truende kriminelle netværk anvender legale virksomhedsstrukturer. Virksomhederne kan etableres af netværkene selv, infiltreres på ledelsesniveau eller udnyttes gennem samarbejde med centrale medarbejdere og ejere.

I andre tilfælde sker misbruget på et lavere organisatorisk niveau, hvor ansatte bestikkes, presses eller på anden måde medvirker. Virksomheder kan også blive anvendt uden selv at være bekendt med de kriminelle aktiviteter.

De mest udsatte sektorer er:

• kontantintensive virksomheder, herunder restaurations- og hotelbranchen
• transport, logistik samt import og eksport
• bygge- og anlægssektoren
• ejendomsbranchen
• rengøringsvirksomheder
• finansielle virksomheder og betalingstjenester

Narkotikarelaterede netværk står for en betydelig del af misbruget. Transport-, lager- og importvirksomheder kan give adgang til den nødvendige logistiske infrastruktur og samtidig bidrage til at skjule transporten af narkotika og kriminelle midler.

Fast ejendom og kontantintensive virksomheder anvendes særligt til at integrere kriminelt udbytte i den legale økonomi. Ejendomme kan købes gennem stråmænd, frontidentiteter eller selskaber, mens virksomheder kan etableres i netværksmedlemmers eller mellemmænds navne.

Onlinebedrageri rammer bredt og på tværs af grænser

Europol har identificeret 51 netværk, som er involveret i onlinebedrageri. En stor del beskæftiger sig med phishing, men aktiviteterne er ofte opportunistiske og kan ændres efter de aktuelle muligheder.

Netværkene anvender blandt andet:

• e-mail
• telefonopkald
• sociale medier
• beskedtjenester
• falske investeringsplatforme
• hjemmesider, der efterligner banker eller myndigheder

Ved telefonbaserede bedragerier etableres callcentre, hvor medarbejderne kan udgive sig for at være bankansatte, politibetjente eller andre autoritetspersoner. I nogle medlemsstater findes der rekrutteringsmiljøer, som specifikt søger medarbejdere med relevante europæiske sprogkundskaber.

Netværkene har ikke nødvendigvis en tydelig geografisk tilknytning, da aktiviteterne kan gennemføres fra stort set hvor som helst. Europol ser dog blandt andet aktører med tilknytning til Østeuropa, Vestafrika, Sydøstasien og Mellemøsten.

Investeringsbedrageri skaber meget store tab

Flere af de identificerede netværk er involveret i investeringsbedrageri. Disse netværk er ofte specialiserede og kontrollerer hele processen fra markedsføring og den første kontakt med offeret til betaling og efterfølgende hvidvask.

Aktiviteterne kræver typisk en betydelig kriminel infrastruktur, herunder onlineplatforme, markedsføringsvirksomheder, callcentre og betalingskanaler. Netværkene kan etablere deres egne virksomheder eller infiltrere eksisterende selskaber på ledelsesniveau.

De økonomiske konsekvenser kan være omfattende. I ét tilfælde har et netværk ifølge Europol forårsaget et estimeret tab på 282 millioner euro.

Onlinebedragerierne rammer både borgere, virksomheder og offentlige organisationer. Særligt investeringsbedrageri kan have alvorlige konsekvenser for den enkelte, fordi ofrene i nogle tilfælde mister hele deres opsparing.

Ældre og sårbare borgere målrettes systematisk

Flere medlemsstater oplever en stigning i bedrageri rettet mod ældre. Netværkene er ofte hierarkisk organiserede med klart definerede roller.

En telefonoperatør kontakter offeret, mens en anden person kan møde fysisk op og udgive sig for at være bankansat, politibetjent eller anden myndighedsperson. En logistisk koordinator udvælger ofrene og styrer kommunikationen, transporten og afhentningen af penge eller værdigenstande.

Koordineringen kan foregå fra et andet land, mens lokale medlemmer befinder sig i det land, hvor ofrene bor. Kombinationen af grænseoverskridende organisering og lokale aktører gør kriminaliteten vanskelig at opdage og efterforske.

Unge rekrutteres som muldyr og frontpersoner

Unge personer udnyttes i flere former for alvorlig og organiseret kriminalitet. De rekrutteres blandt andet gennem opslag om lette penge eller falske jobtilbud på sociale medier og digitale platforme.

De unge kan blive anvendt til at:

• åbne bankkonti
• modtage eller videreoverføre penge
• anskaffe betalingskort
• fungere som pengemuldyr
• købe stjålne oplysninger
• udføre mindre opgaver i bedragerikæden
• stille identitet eller alibi til rådighed

Europol beskriver, hvordan unge i nogle tilfælde behandles som en ressource, der kan udskiftes efter en enkelt synlig eller risikofyldt opgave. Det beskytter de højere placerede medlemmer af netværket mod direkte kontakt med ofre, banker og myndigheder.

Mindreårige ses kun sjældent i de øverste lag af avancerede cyberkriminelle netværk. De kan dog blive rekrutteret til simple funktioner i onlinebedrageri, herunder åbning af konti og anskaffelse af kort til den første overførsel af ofrenes penge.

Skellet mellem online og offline kriminalitet udviskes

Selv om onlinebedrageri og cyberkriminalitet overvejende foregår digitalt, er grænsen mellem online og fysisk kriminalitet ikke entydig.

Nogle netværk bruger vold eller trusler for at rekruttere og kontrollere medlemmer. Vold og alvorlige trusler kan også rettes mod rivaliserende netværk, ofre samt repræsentanter for politi og retsvæsen.

Samtidig er flere af de onlinebaserede netværk polykriminelle. Ud over bedrageri kan de være involveret i narkotikahandel, røveri eller menneskehandel. De kan være opdelt i celler, som opererer i forskellige lande, men følger samme interne struktur og rollefordeling.

Denne organisering gør netværkene mere modstandsdygtige. Hvis én celle bliver ramt af myndighedernes indgreb, kan andre dele af netværket fortsætte aktiviteterne.

Forbindelser mellem kriminalitet og terrorisme

Omkring 5 procent af de identificerede netværk har ifølge Europol en forbindelse til terrorisme. Forbindelserne ses hovedsageligt i relation til etnonationalistisk terrorisme, men enkelte netværk har også relationer til jihadistiske miljøer.

Forbindelserne er ofte begrænsede og personbaserede. Et medlem kan eksempelvis tidligere have været tilknyttet en terrororganisation, være dømt eller anholdt for terrorrelaterede forhold eller have udtrykt støtte til en terrororganisation. Enkelte netværk kan desuden have forbindelse til terrorfinansiering.

Europol vurderer, at forbindelserne mellem kriminelle og terroristiske netværk typisk er sporadiske og opportunistiske frem for udtryk for et fast organisatorisk samarbejde. Der opstår dog berøringsflader, fordi miljøerne kan rekruttere fra de samme personkredse, benytte de samme leverandører af ulovlige varer og tjenester samt anvende de samme teknologiske løsninger.

Professionelle rådgivere kaN SPILLE AFGØRENDE ROLLE

Advokater, revisorer, ejendomsmæglere og logistikspecialister kan spille en afgørende rolle som professionelle muliggørere. Deres faglige viden, adgang til oplysninger og placering i den legale økonomi kan give kriminelle netværk adgang til ellers lukkede områder.

De professionelle kan blandt andet bidrage til at:

• etablere selskaber og finansielle konstruktioner
• skjule pengestrømme og reelle ejere
• gennemføre ejendomshandler
• tilrettelægge transport- og logistikløsninger
• give kriminelle aktiviteter et legitimt udseende
• skabe kontakt til relevante virksomheder og sektorer

Misbruget foregår på et bredt spektrum. Nogle professionelle samarbejder bevidst med netværkene, mens andre udsættes for pres eller tvang. I andre tilfælde gør mangelfulde kontroller eller utilstrækkelig opmærksomhed det muligt for netværkene at udnytte rådgiverens ydelser uden dennes viden.

Betydning for den finansielle sektor

Europols analyse understreger, at organiseret kriminalitet ikke alene skal identificeres gennem den bagvedliggende forbrydelse. Hvidvasken, brugen af virksomheder, rekrutteringen af pengemuldyr og købet af specialiserede tjenester skaber finansielle spor på tværs af sektorer og landegrænser.

For finansielle virksomheder øger udviklingen behovet for at være opmærksom på blandt andet:

• unge kunder, der pludselig modtager og videreoverfører betydelige beløb
• nyoprettede konti med hurtig gennemstrømning af midler
• mange betalinger fra forskellige privatpersoner
• kunder, der anvender flere betalingskonti, kort eller digitale tjenester
• transaktioner til eller fra kryptoplatforme uden en klar økonomisk forklaring
• komplekse selskabsstrukturer uden tydeligt forretningsmæssigt formål
• virksomheder i transport-, bygge-, ejendoms- og kontantintensive brancher
• uoverensstemmelser mellem virksomhedens aktivitet og dens betalingsmønster
• investeringer i fast ejendom eller værdifulde varer, som ikke stemmer overens med kundens økonomiske profil
• kunder med relationer til professionelle rådgivere eller mellemmænd, som optræder i flere tilsvarende konstruktioner
• betalinger for digitale tjenester, markedsføring eller callcenteraktiviteter uden en gennemsigtig forretningsmodel

Risikoen kan ikke vurderes ud fra enkelte indikatorer alene. Det er kombinationen af kundens profil, ejerstruktur, branche, geografi, transaktioner og anvendte finansielle tjenester, der kan pege på en forbindelse til organiseret kriminalitet.

Organiseret kriminalitet integreres i den legale økonomi

Europols rapport viser samlet set, at de mest truende kriminelle netværk i EU er præget af både kontinuitet og forandring. Mange netværk forsvinder eller omstruktureres, mens nye hurtigt opstår. En mindre kerne af veletablerede netværk viser samtidig en betydelig evne til at modstå myndighedernes indgreb.

Netværkenes styrke ligger i deres opportunisme. De kombinerer traditionelle kriminalitetsformer med digitale værktøjer, professionelle tjenester, kryptovaluta og legale virksomheder. Dermed udviskes grænsen mellem den kriminelle og den lovlige økonomi.

For AML-arbejdet betyder det, at kundekendskab, overvågning og risikovurdering skal kunne følge netværkenes løbende tilpasning. Særligt misbrug af virksomheder, professionelle muliggørere, pengemuldyr, kryptovaluta og eksterne kriminalitetstjenester bør indgå som centrale elementer i vurderingen af risikoen for hvidvask og organiseret kriminalitet.