Intrång i schweiziska regeringens SharePoint komprometterar omkring 200 konton

Schweiz federala IT-myndighet uppger att angripare tog sig in i dess Microsoft SharePoint-servrar och komprometterade omkring 200 användarkonton.

Federal Office for Information Technology and Telecommunication, känt som BIT, upptäckte ovanlig aktivitet i sin SharePoint-miljö den 28 juli. Efter att ha bekräftat incidenten stängde myndigheten av extern internetåtkomst, åtgärdade misstänkta sårbarheter och återställde lösenorden för berörda användare.

Myndigheterna uppger att utredarna inte har hittat några bevis för att angriparna stal andra uppgifter än de komprometterade inloggningsuppgifterna.

Säkerhetsteam hittade komprometterade inloggningsuppgifter

BIT uppgav att dess säkerhetsspecialister identifierade flera komprometterade kontouppgifter under utredningen den 31 juli.

Myndigheten tror att angriparna utnyttjade en eller flera sårbarheter i Microsoft SharePoint som Microsoft offentliggjorde i mitten av juli. Microsoft inkluderade korrigeringar för dessa problem i sina Patch Tuesday-uppdateringar för juli 2026.

BIT har dock inte identifierat den exakta sårbarheten bakom intrånget i den schweiziska regeringens SharePoint-system.

Utredarna undersöker om angriparna använde CVE-2026-56164, en aktivt utnyttjad sårbarhet i SharePoint som möjliggör privilegieeskalering. De granskar även CVE-2026-50522, en kritisk sårbarhet för fjärrkörning av kod som angripare senare använde för att stjäla SharePoint-maskinnycklar och behålla åtkomst efter patchning.

Ingen av möjligheterna har bekräftats. Angriparna kan ha utnyttjat en annan sårbarhet som Microsoft åtgärdade i samma omgång av uppdateringar.

Schweiz blockerar extern åtkomst

BIT blockerade extern åtkomst till de berörda SharePoint-servrarna som en del av sina åtgärder. Myndigheten kommer att behålla begränsningen medan den bygger om de komprometterade systemen.

Genom att installera om servrarna får IT-myndigheten ett säkrare sätt att avlägsna potentiella mekanismer för beständig åtkomst och återställa plattformen. Angripare använder ibland stulna maskinnycklar, bakdörrar eller ändrade konfigurationer för att återfå åtkomst efter att administratörer installerat säkerhetsuppdateringar.

Federala anställda kan fortfarande komma åt dokument och dela filer med externa kontakter genom alternativa metoder.

BIT uppgav också att myndighetens regler förbjuder personal från att lagra konfidentiell information och särskilt känsliga personuppgifter på den berörda SharePoint-plattformen. Den policyn kan begränsa den potentiella påverkan av eventuell dataexponering.

Myndigheter och Microsoft fortsätter utredningen

Schweiz federala cybersäkerhetsmyndighet och Microsoft hjälper BIT att utreda attacken.

Hittills har ingen ransomwaregrupp eller utpressningsoperation offentligt tagit på sig ansvaret. Myndigheterna har inte heller kopplat incidenten till någon specifik hotaktör.

Intrånget belyser de risker som organisationer står inför när angripare riktar in sig på välanvända samarbetsplattformar. SharePoint-servrar lagrar ofta interna dokument, användaruppgifter och anslutningar till andra affärssystem, vilket gör dem till attraktiva mål.

Organisationer som använder lokalt installerade SharePoint-servrar bör granska Microsofts säkerhetsuppdateringar från juli, kontrollera om det förekommit ovanlig aktivitet och återställa inloggningsuppgifter där det finns risk för kompromettering. De bör också överväga att begränsa extern åtkomst medan de utreder misstänkta intrång.