Innbrudd i den sveitsiske regjeringens SharePoint kompromitterer rundt 200 kontoer

Sveits» føderale IT-kontor sier at angripere brøt seg inn på Microsoft SharePoint-serverne og kompromitterte rundt 200 brukerkontoer.

Federal Office for Information Technology and Telecommunication, kjent som BIT, oppdaget uvanlig aktivitet i SharePoint-miljøet 28. juli. Etter å ha bekreftet hendelsen stengte myndigheten ekstern internettilgang, rettet mistenkte sårbarheter og tilbakestilte passordene til berørte brukere.

Myndighetene sier at etterforskerne ikke har funnet bevis på at angriperne stjal andre data enn de kompromitterte påloggingsopplysningene.

Sikkerhetsteam fant kompromitterte påloggingsopplysninger

BIT sa at sikkerhetsspesialistene identifiserte flere kompromitterte kontodetaljer under etterforskningen 31. juli.

Myndigheten mener at angriperne utnyttet én eller flere sårbarheter i Microsoft SharePoint som Microsoft offentliggjorde i midten av juli. Microsoft inkluderte rettelser for disse problemene i Patch Tuesday-oppdateringene for juli 2026.

BIT har imidlertid ikke identifisert den nøyaktige sårbarheten bak innbruddet i den sveitsiske regjeringens SharePoint-system.

Etterforskerne undersøker om angriperne brukte CVE-2026-56164, en aktivt utnyttet SharePoint-sårbarhet som muliggjør rettighetseskalering. De undersøker også CVE-2026-50522, en kritisk sårbarhet for ekstern kjøring av kode som angripere senere brukte til å stjele SharePoint-maskinnøkler og opprettholde tilgang etter oppdatering.

Ingen av mulighetene er bekreftet. Angriperne kan ha utnyttet en annen sårbarhet som Microsoft rettet i den samme runden med oppdateringer.

Sveits blokkerer ekstern tilgang

BIT blokkerte ekstern tilgang til de berørte SharePoint-serverne som en del av responsen. Myndigheten vil opprettholde begrensningen mens den bygger opp de kompromitterte systemene på nytt.

Ved å installere serverne på nytt får IT-kontoret en renere måte å fjerne potensielle mekanismer for vedvarende tilgang og gjenopprette plattformen på. Angripere bruker noen ganger stjålne maskinnøkler, bakdører eller endrede konfigurasjoner for å få tilbake tilgang etter at administratorer har installert sikkerhetsoppdateringer.

Føderale ansatte kan fortsatt få tilgang til dokumenter og dele filer med eksterne kontakter gjennom alternative metoder.

BIT sa også at reglene forbyr ansatte å lagre konfidensiell informasjon og spesielt sensitive personopplysninger på den berørte SharePoint-plattformen. Denne policyen kan begrense den potensielle konsekvensen av eventuell dataeksponering.

Myndigheter og Microsoft fortsetter etterforskningen

Det sveitsiske føderale cybersikkerhetskontoret og Microsoft hjelper BIT med å etterforske angrepet.

Så langt har ingen løsepengevirusgruppe eller utpressingsoperasjon offentlig tatt på seg ansvaret. Myndighetene har heller ikke knyttet hendelsen til en bestemt trusselaktør.

Innbruddet fremhever risikoen organisasjoner står overfor når angripere retter seg mot mye brukte samarbeidsplattformer. SharePoint-servere lagrer ofte interne dokumenter, brukerinformasjon og forbindelser til andre forretningssystemer, noe som gjør dem til attraktive mål.

Organisasjoner som kjører lokalt installerte SharePoint-servere, bør gjennomgå Microsofts sikkerhetsoppdateringer fra juli, kontrollere om det har vært uvanlig aktivitet og tilbakestille påloggingsopplysninger der kompromittering er mulig. De bør også vurdere å begrense ekstern tilgang mens de etterforsker mistenkte innbrudd.