Var tredje organisation träffades av falskt IT-stöd via Teams
Var tredje organisation drabbades av ett falskt IT-supportförsök via Microsoft Teams under första halvåret 2026. Det visar Ontinues halvårsrapport om hotbilden, publicerad den 13 oktober.
Angriparna kontaktade anställda från externa konton och utgav sig för att vara IT-support. Av 393 433 externa Teams-kontakter från 42 240 organisationer visade ungefär en av 990 tecken på imitation. Ontinue bekräftade att 30 procent av de övervakade organisationerna fick minst ett sådant kontaktförsök.
Rapporten pekar ut tre parallella angreppsvektorer som dominerade perioden:
Device-code phishing mot Microsoft-autentisering
Ontinue identifierade tio bekräftade intrång via device-code phishing i fem kundmiljöer under maj och juni 2026. Drabbade sektorer inkluderade professionella tjänster, industriell automation, finansiella tjänster och forskning. Angriparna förmådde användare att mata in autentiseringskoder i Microsofts legitima inloggningsflöde och fick på så sätt tillgång till refresh-tokens utan att behöva stjäla lösenord.
Shai-Hulud sprider sig i mjukvarukedjan
Masken Shai-Hulud riktar sig mot npm-ekosystemet och körs automatiskt vid paketinstallation. Den hämtar JavaScript-körtiden Bun, söker igenom projekt efter exponerade hemligheter med verktyget TruffleHog och publicerar sedan stulna tokens som nya skadliga paket. Spridningen sker även via GitHub-åtgärder och självhostade runners.
ClickFix döljer sig i blockkedjan
Under en tioveckorsanalys registrerades 10 818 misstänkta ClickFix-kampanjer. Av de bekräftade skadliga träffarna använde 25,3 procent blockkedjeinfrastruktur för att leverera skadlig kod, vilket försvårar blockering via traditionell domänfiltrering. Totalt pekade 6 188 leveransdomäner mot bara 158 värdservrar.
Vad betyder detta för svenska företag?
Attackerna kräver inga avancerade tekniska sårbarheter. De utnyttjar tillit till vardagliga verktyg som Teams, Microsoft-inloggning och npm-paket som många svenska IT-avdelningar använder dagligen.
Konkreta åtgärder:
- Aktivera verifieringsrutiner för alla externa Teams-kontakter som begär fjärråtkomst
- Byt från SMS- och app-baserad MFA till phishing-resistenta metoder som FIDO2
- Granska npm-beroenden och aktivera varningar för ovanlig paketpublicering
- Inför Sentinel-larm för device-code phishing-mönster