CERT-SE:s veckobrev v.22

I veckans läsning finns ett urval av nyheter, analyser och rapporter inom cybersäkerhetsområdet från veckan som har gått.

Trevlig helg önskar CERT-SE!

Nyheter från veckan

FBI varnar för en phishing-as-a-service-plattform som fått namnet Kali365. Kali365 används av angripare för att kapa Microsoft365-konton och har kunnat användas för att genomföra avancerade angrepp genom “device code phishing”. Genom denna typ av angrepp kan hotaktörer få långvarig tillgång till tjänster som exempelvis Outlook, Teams eller OneDrive. CERT-SE har tidigare publicerad råd och rekommendationer kring hantering av nätfiske, respektive förebyggande åtgärder i Microsoft 365-miljöer.
(Bleeping Computer, 25/5) https://www.bleepingcomputer.com/news/security/fbi-warns-of-kali365-phishing-service-targeting-microsoft-365-accounts/ …
(CERT-SE 30/4, uppdaterad 7/5) https://www.cert.se/2026/03/forebyggande-atgarder-for-att-sakra-upp-m365-miljoer.html

AI-modellen Claude Mythos, en av flera modeller som kan användas för att hitta tekniska sårbarheter, har hittat mer än 10 000 kritiska eller allvarliga sårbarheter i viktig mjukvara som används över hela värden, enligt företaget Anthropic. I en artikel på företagets webbplats redogörs lärdomar från de första resultaten.
(Anthropic, 22/5) https://www.anthropic.com/research/glasswing-initial-update …
(The Hacker News, 23/5) https://thehackernews.com/2026/05/claude-mythos-ai-finds-10000-high.html

Europol har tillsammans med myndigheter i Europa stängt ned en VPN-tjänst som har använts av cyberkriminella för att dölja utpressningsattacker, datastölder och annan brottslighet. VPN-tjänsten erbjöd användare anonyma betalningar, dold infrastruktur och andra tjänster som var särskilt utformade för brottsliga syften. Enligt Europol var VPN-tjänsten väletablerad i cyberbrottslighetens ekosystem, och har förekommit i nästan alla större utredningar gällande cyberbrottslighet under de senaste åren.
(Europol, 21/5) https://www.europol.europa.eu/media-press/newsroom/news/cybercriminal-vpn-used-ransomware-actors-dismantled-in-global-crackdown

Rapporter och analyser

Cybersäkerhetsföretaget CheckPoint Research har publicerat en rapport som redogör för tekniker hos hotaktören Nimbus Manticore, även kallad UNC1549, under de senaste månaderna. Hotaktören har imiterat organisationer inom luftfarts- och mjukvarusektorn i USA, Europa och Mellanöstern, och enligt rapporten fokuserat på tekniker som kapning av applikationsdomäner, AI-stödd utveckling av skadlig kod samt SEO-förgiftning.
(CheckPoint Research, 22/5) https://research.checkpoint.com/2026/fast-and-furious-nimbus-manticore-operations-during-the-iranian-conflict/

En studie publicerad av cybersäkerhetsföretaget Aikido visar att Googles API-nycklar är aktiva i flera minuter efter att de har raderats. Cybersäkerhetsföretaget har genomfört tio kontrollerade tester över två dagar för att mäta API-nycklarnas återkallningsfönster och kom fram till att det längsta fönstret var närmare 23 minuter, det kortaste fönstret var knappt åtta minuter. Medianen var runt 16 minuter. Detta innebär att en angripare kan ha fortsatt åtkomst till system under en tidsperiod, trots att API-nyckeln är återkallad.
(Aikido, 21/5) https://www.aikido.dev/blog/google-api-keys-deletion …
(HackRead, 21/5) https://hackread.com/deleted-google-api-keys-active-23-minutes/

Cyberkriminella använder falska webbplatser för populära AI-verktyg i angrepp mot utvecklare. I en rapport från säkerhetsföretaget EclecticIQ redogörs för hur hotaktörer utnyttjar användares förtroende för AI-verktyg, för att ladda ned skadlig kod. Tillvägagångssättet involverar SEO-förgiftning som ett första steg, där falska installationssidor hamnar på toppen av sökresultaten i Google, och där användaren sedan hamnar på typosquattade domäner som kontrolleras av angriparen.
(EclecticIQ, 21/5) https://blog.eclecticiq.com/seo-poisoning-campaign-leverages-gemini-and-claude-code-impersonation-to-deliver-infostealer …
(HackRead, 26/5) https://hackread.com/trojan-gemini-claude-installers-developers-seo-poisoning/

Övrigt

Regeringen har beslutat om en molnpolicy för offentlig förvaltning. Den nya molnpolicyn syftar till att stärka säkerheten, minska beroenden och ge bättre kontroll över data men även att göra det enklare för myndigheter, regioner och kommuner att välja och byta ut digitala lösningar.
(Regeringen, 28/5) https://www.regeringen.se/pressmeddelanden/2026/05/ny-molnpolicy-ska-bidra-till-okad-digital-suveranitet-i-offentlig-forvaltning/

NCSC har publicerat rekommendationer gällande hur Sverige bör genomföra övergången till kvantsäker kryptografi. NCSC skriver att målet är att övergången ska vara genomförd senast 2035, men för särskilt skyddsvärda verksamheter redan 2030. Rekommendationerna riktar sig till samhället i stort, med fokus på verksamheter som omfattas av NIS2-direktivet.
(NCSC, 27/5) https://www.ncsc.se/sv/aktuellt/kvantsaker-kryptografi/

Trafikverket varnar för att det cirkulerar falska sms med krav på betalning av trafikböter. På sin hemsida uppger Trafikverket att myndigheten aldrig skickar ut uppmaningar om betalningar eller utlämnande av kontouppgifter via mejl eller sms. På CERT-SE:s webbplats hittar du råd och stöd för att förebygga och hantera nätfiske.
(Råd & Rön, 27/5) https://www.radron.se/bluffvarningar/varning-for-bluff-med-trafikverket/

Vetenskapsrådet har tagit fram riktlinjer för att utveckla, förbättra och främja användningen av cybersäkerhetsverktyg och säker nätinfrastruktur inom forskarvärlden.
(Vetenskapsrådet, 27/5) https://www.vr.se/aktuellt/nyheter/nyhetsarkiv/2026-05-27-riktlinjer-ger-stod-i-arbetet-med-cybersakerhet.html

Studio Ett ger en fördjupning kring hur nya AI-modeller vållar oro i finansvärlden. Europeiska centralbanken (ECB) har varnat för cybersäkerhetsriskerna med AI-modeller, och menar att bankerna måste bli snabbare på att upptäcka sårbarheter i sina system och täppa till säkerhetsluckor. Under onsdagen hölls ett stormöte med Eurozonens storbanker för att prata hoten från AI.
(Sveriges Radio, 26/5) https://www.sverigesradio.se/artikel/europeiska-centralbanken-varnar-for-risker-med-ai

Det senaste avsnittet av Gräns i Sveriges Radio handlar om den ryska cyberkrigföringen. Bland annat beskriver FOI-forskaren David Lindahl kopplingarna mellan cyberkriminella och den ryska staten.
(Sveriges Radio Gräns, 25/5) https://www.sverigesradio.se/avsnitt/sa-ska-sverige-sta-emot-den-ryska-cyberkrigforingen