Den 28 augusti 2026 dök det svenska medicinteknikbolaget Elekta AB upp på en läckplats på darkweb. Avsändaren var utpressningsgruppen ShinyHunters, som gav bolaget till den 1 september att svara innan gruppen hotade att publicera det man kallar känslig information. Elekta har inte offentligt bekräftat något intrång, och ingen tillsynsmyndighet eller oberoende forskare har verifierat påståendet. Ändå är fallet redan ett av de mest omtalade cybersäkerhetsärendena i Sverige i höst, av flera skäl: Elekta levererar strålbehandlingsutrustning till sjukhus i över 160 länder, ShinyHunters ligger bakom några av de största dataintrången på senare år, och gruppen har under 2025 gått samman med Scattered Spider och Lapsus$ till en ny utpressningsallians. Den här artikeln går igenom vad som faktiskt är känt, vad som fortfarande är obekräftat, och vad det säger om läget för svensk hälso- och medicinteknik.
Vad har hänt: ShinyHunters pekar ut Elekta
Enligt flera oberoende sammanställningar av ransomware- och utpressningsaktivitet dök Elekta AB upp i ShinyHunters offerlista den 28 augusti 2026 klockan 22:57 UTC, med Sverige angivet som land och hälsovård som bransch. Notisen beskrivs som en så kallad pre-leak-varning: gruppen hävdar att man har data, sätter en deadline och hotar med publicering om offret inte hör av sig. Ett brittiskt cybersäkerhetsbrev bekräftade att notisen låg uppe från den 28 augusti med ett ultimatum satt till den 1 september 2026. Det som saknas är allt det brukliga i en bekräftad incident: inga uppgifter om hur många personer som berörs, ingen beskrivning av vilken typ av data det rör sig om, inga läckta dataprov som säkerhetsforskare kunnat granska, och inget uttalande från Elekta själva.
Det är ett mönster som blivit vanligt i takt med att fler grupper överger klassisk krypteringsransomware till förmån för ren datautpressning. Ett hot om publicering kostar gruppen nästan ingenting att sätta upp, medan det tvingar offret att agera under osäkerhet: betala för att undvika en läcka man inte ens vet omfattningen av, eller vänta ut hotet och riskera att det besannas. Så länge varken Elekta eller en tredje part bekräftar innehållet bör påståendet behandlas som just ett påstående, inte ett fastställt dataintrång.
Vem är Elekta och varför är bolaget en måltavla
Elekta AB grundades i Stockholm 1972 och är i dag en av världens ledande leverantörer av utrustning och mjukvara för strålbehandling och onkologisk vård. Bolaget är börsnoterat på Nasdaq Stockholm och dess system används på sjukhus och strålbehandlingskliniker i över 160 länder, inklusive stora delar av den amerikanska cancervården. Det gör Elekta till precis den typ av bolag som utpressningsgrupper gärna riktar in sig på: verksamheten hanterar känslig patientdata, systemen är sammankopplade med sjukhusens IT-miljöer, och trycket att snabbt återställa drift och skydda patientsäkerhet gör hälsovårdssektorn historiskt mer benägen att förhandla med angripare än många andra branscher.
Elekta har varit med om detta förut. Bolaget drabbades av ett intrång 2021 där en molnbaserad plattform för onkologisk information utsattes för obehörig åtkomst, vilket påverkade ett antal amerikanska sjukhus och deras patientdata. Den incidenten ledde till anmälningar enligt amerikansk lagstiftning för hälsodata och till flera civilrättsliga processer i USA. Att samma bolag nu figurerar i en ny utpressningsnotis, fem år senare, understryker hur pass attraktiva medicintekniska leverantörer med global sjukhusintegration är för brottsliga nätverk, oavsett om det senaste påståendet visar sig stämma eller inte.
Vem är ShinyHunters: fem år av dataintrång
ShinyHunters har varit aktiva sedan omkring 2020 och beskrivs genomgående som en finansiellt motiverad grupp som stjäl data och sedan utpressar offren med hot om publicering, snarare än att kryptera system på klassiskt ransomware-vis. Gruppens mest kända kampanj är kopplad till intrånget i molnleverantören Snowflake sommaren 2024, som i sin tur ledde till stora dataläckor hos Snowflakes kunder. Ticketmaster, Santander och AT&T räknas bland de mest uppmärksammade offren i den kampanjen, och enligt Wikipedias sammanställning av Snowflake-intrånget kopplas hundratals ytterligare organisationer till samma våg av angrepp.
Trenden har fortsatt in i 2026. I augusti i år kopplades ShinyHunters till ett intrång hos den amerikanska hälsovårdsdistributören McKesson, där gruppen påstår sig ha stulit omkring 1 terabyte data mellan den 21 och 25 augusti, motsvarande uppemot 284 miljoner rader person- och patientuppgifter. Tillvägagångssättet ska ha varit röstfiske, så kallad vishing, mot anställda för att komma över inloggningsuppgifter till Okta, varifrån angriparna sedan tog sig vidare in i Salesforce- och Snowflake-miljöer. Det är samma grundmönster som återkommer i flera av gruppens senaste kampanjer: social manipulation av människor snarare än tekniska nolldagssårbarheter.
Taktiken: röstfiske, molnkonton och stulna tokens
Det som gör ShinyHunters svåra att stoppa med traditionella tekniska skydd är att gruppen sällan bryter sig in genom en oupptäckt sårbarhet i en brandvägg. I stället ringer man IT-supporten, utger sig för att vara en anställd som glömt sitt lösenord, och övertalar en människa att återställa multifaktorautentiseringen på ett konto. Därifrån är vägen till molnmiljöer som Snowflake, Salesforce och Okta ofta kort, eftersom en enda kompromitterad identitet kan ge åtkomst till stora mängder kunddata utan att en enda skadlig fil någonsin behöver köras på ett internt system.
Säkerhetsforskare har också sett gruppen använda verktyget TruffleHog, som normalt används av utvecklare för att hitta läckta hemligheter i kodrepositorier, för att i stället leta upp giltiga OAuth-tokens till e-postplattformar. Kombinationen av mänsklig manipulation och automatiserad sökning efter läckta nycklar gör att gruppen kan skala upp angrepp mot många organisationer parallellt, vilket förklarar varför offerlistan vuxit så snabbt de senaste två åren.
Från Snowflake till Scattered Lapsus$ Hunters
I augusti 2025 gick ShinyHunters samman med Scattered Spider och Lapsus$ till en gemensam allians som kallas Scattered Lapsus$ Hunters, ofta förkortad SLH. The Hacker News beskrev sammanslagningen som en utpressningsallians utan tidigare motstycke, där grupperna kombinerar sina respektive styrkor: Scattered Spiders vana vid social manipulation mot IT-support, Lapsus$ erfarenhet av att rekrytera insiders och unga hackare, och ShinyHunters etablerade infrastruktur för dataläckor och förhandling med offer. Under 2025 lanserade ShinyHunters dessutom en egen utpressningstjänst, kallad shinysp1d3r, som gör det möjligt för andra kriminella aktörer att hyra in sig på gruppens infrastruktur mot en andel av lösensumman.
Den utvecklingen är viktig att förstå för att bedöma Elekta-fallet rätt. En attack som tidigare hade krävt en enskild, tekniskt kunnig grupp kan i dag utföras av vilken som helst av flera samverkande nätverk som delar verktyg, infrastruktur och offerlistor. Det ökar volymen av attacker samtidigt som det gör det svårare för utredare att avgöra exakt vilken del av alliansen som ligger bakom ett specifikt fall.
Fler svenska mål: mönstret bortom Elekta
Elekta är inte det enda svenska bolaget som dykt upp på en läckplats i sommar. Den 7 augusti 2026 listade utpressningsgruppen thegentlemen det svenska industribolaget Axson Teknik AB, en leverantör av manuell och robotiserad svets- och skärutrustning. Precis som i Elekta-fallet är källan enbart gruppens egen läcksida, utan att Axson Teknik lämnat något offentligt uttalande eller gjort en anmälan till Integritetsskyddsmyndigheten, IMY. Notisen anger varken hur mycket data som ska ha stulits eller vilken typ av information det rör sig om.
Mönstret säger något om hur utpressningslandskapet i Sverige ser ut just nu: fler grupper, snabbare publicering av offernamn, och en växande andel fall där det enda beviset är gruppens eget påstående. En separat granskning av attacker mot svensk tillverkningsindustri under 2026, publicerad tidigare i höst, räknade till 154 registrerade offer i den branschen enbart, vilket sätter Axson Teknik-fallet i ett större sammanhang av hur pressad den svenska industrisektorn är av utpressningsgrupper.
Dataintrång eller kryptering: två olika utpressningsmodeller
ShinyHunters representerar en tydlig trend bort från klassisk krypteringsransomware, där en angripare låser filer och kräver lösen för en dekrypteringsnyckel. I stället kopierar gruppen data och hotar med publicering, en modell som är billigare att utföra och svårare att skydda sig mot med enbart säkerhetskopior. Nedan jämförs de två modellerna med några av de mest aktiva grupperna under 2026.
| Grupp | Modell | Huvudsaklig teknik | Kända mål |
|---|---|---|---|
| ShinyHunters / SLH | Ren datautpressning | Vishing, Okta/SSO-övertagande, stulna tokens | Ticketmaster, Santander, AT&T, McKesson, Elekta (påstått) |
| LockBit | Kryptering + dubbel utpressning | Utnyttjade sårbarheter, RaaS-partners | Globalt spridda, tusentals offer historiskt |
| Clop | Ren datautpressning via massutnyttjande | Sårbarheter i filöverföringsmjukvara | MOVEit-relaterade offer i flera branscher |
| Scattered Spider | Social manipulation, ofta följt av kryptering | IT-support-bluffar, SIM-swap | Kasino- och detaljhandelsbolag i USA |
| thegentlemen | Kryptering + läckhot | Varierande, mindre dokumenterad | Axson Teknik AB (påstått) |
Tabellen visar varför traditionella skydd mot ransomware, som segmenterade nätverk och offline-backuper, inte räcker mot grupper som ShinyHunters. Om data redan är kopierad ut ur systemet innan offret ens märker något, hjälper varken en fungerande backup eller en isolerad nätverksmiljö mot hotet om publicering.
ShinyHunters offerhistorik i siffror
Grupptrackrar som följer utpressningsaktivitet räknar till 156 spårade incidenter kopplade till ShinyHunters fram till början av september 2026, med ungefär 15 nya offer publicerade bara under de senaste 30 dagarna. Nedan följer några av de mest omtalade fallen och vad som faktiskt är verifierat i respektive fall.
| Offer | Datum | Uppgiven omfattning | Bekräftelsestatus |
|---|---|---|---|
| Ticketmaster (via Snowflake) | 2024 | Cirka 560 miljoner kundposter enligt gruppens egna uppgifter | Delvis bekräftat av Ticketmaster/Live Nation |
| Santander | 2024 | Anställd- och kunddata i stor skala | Bekräftat av Santander |
| AT&T (via Snowflake) | 2024 | Miljontals kunders samtals- och sms-metadata | Bekräftat av AT&T |
| McKesson | 21-25 augusti 2026 | Cirka 1 TB data, uppemot 284 miljoner rader enligt gruppens påstående | Obekräftat av McKesson vid tid för skrivande |
| Elekta AB | 28 augusti 2026 | Ospecificerad, beskrivs som “känslig information” | Helt obekräftat, inget uttalande från Elekta |
Mönstret i tabellen är tydligt: ju äldre fallet är, desto mer har hunnit bekräftas eller dementeras av tredje part. Elekta-fallet är för färskt för att kunna placeras i någon av de kategorierna ännu, vilket är precis varför det behöver bevakas snarare än rapporteras som ett fastställt faktum.
Regulatoriskt tryck: GDPR, IMY och NIS2
Om Elekta-intrånget bekräftas och innehåller personuppgifter, särskilt patientdata, aktiveras GDPR:s regler om anmälningsplikt. Bolaget skulle då behöva anmäla händelsen till Integritetsskyddsmyndigheten inom 72 timmar från det att man fick kännedom om intrånget, och i vissa fall också informera de registrerade direkt om risken bedöms som hög. Ingen sådan anmälan har rapporterats offentligt i skrivande stund, vilket är väntat så länge Elekta inte bekräftat att något faktiskt inträffat.
Parallellt med GDPR pågår införandet av NIS2-direktivet i svensk rätt, där leverantörer inom hälso- och sjukvårdssektorn, inklusive tillverkare av medicinteknisk utrustning, i många fall klassas som väsentliga eller viktiga entiteter. Det innebär skärpta krav på riskhantering, incidentrapportering och styrelseansvar för cybersäkerhet. Ett bolag som Elekta, vars produkter är djupt integrerade i sjukhusens IT-miljöer globalt, är precis den typ av verksamhet som lagstiftaren haft i åtanke när kraven utformades. Både Europeiska kommissionen och svenska MSB publicerar löpande vägledning för hur kraven ska tolkas i praktiken.
Brottsbekämpningens motangrepp mot ShinyHunters
Trycket från polis och åklagare har ökat under det senaste året. I augusti 2025 grep franska myndigheter fyra personer som pekats ut som medlemmar av ShinyHunters, och ytterligare misstänkta har identifierats i både Frankrike och Marocko med koppling till Snowflake-kampanjen. Gripandena har dock inte stoppat gruppens aktivitet, vilket illustrerar ett återkommande problem inom cyberbrottsbekämpning: löst sammansatta nätverk med medlemmar utspridda över flera länder kan fortsätta verksamheten även efter att enskilda nyckelpersoner satts bakom lås och bom, särskilt när infrastruktur som shinysp1d3r gör det möjligt för nya aktörer att ta över.
Det säger också något om hur SLH-alliansen är uppbyggd. Snarare än en hierarkisk organisation med en tydlig ledning fungerar den mer som ett löst nätverk av samarbetande individer och undergrupper. Klassisk brottsbekämpning, som bygger på att identifiera och avlägsna en ledare, blir därmed betydligt mindre effektiv mot den här typen av struktur.
Marknads- och förtroendepåverkan för medtech
Elekta är börsnoterat på Nasdaq Stockholm, men vid tid för skrivande finns inga rapporterade kurspåverkande reaktioner kopplade specifikt till utpressningsnotisen, sannolikt eftersom påståendet ännu inte bekräftats och saknar konkreta detaljer som marknaden kan värdera. Det är i sig en påminnelse om hur obekräftade utpressningsclaims skiljer sig från verifierade dataintrång. Utan bekräftade fakta om omfattning och typ av data har varken investerare, sjukhuskunder eller tillsynsmyndigheter något konkret att reagera på ännu.
Det förändrar inte den bredare bilden för sektorn. Medicintekniska leverantörer sitter på en kombination som gör dem strukturellt sårbara: uppkopplade produkter i sjukhusmiljöer, känslig patientdata och kunder som av patientsäkerhetsskäl inte kan tillåta långa driftstopp. Varje ny rubrik om ett utpressningsförsök mot ett bolag som Elekta ökar pressen på hela branschen att kunna visa upp verifierbara säkerhetsåtgärder gentemot sjukhus och upphandlare, oavsett om det aktuella fallet till slut bekräftas eller avfärdas.
Så skyddar sig hälso- och medtechbolag i praktiken
Eftersom ShinyHunters och liknande grupper i första hand angriper människor och identitetssystem snarare än okända tekniska sårbarheter, behöver skyddet fokusera på annat än traditionell sårbarhetshantering. Phishing-resistent multifaktorautentisering, till exempel med hårdvarunycklar i stället för sms-koder, gör det betydligt svårare för en angripare att övertyga en supportmedarbetare att återställa åtkomsten. Strikta rutiner för identitetsverifiering vid supportsamtal, där en anställd aldrig kan återställa MFA enbart utifrån ett telefonsamtal, stänger den vanligaste väg in som gruppen använt i sina senaste kampanjer.
Lika viktigt är att begränsa vad en enskild kompromitterad molnidentitet faktiskt kan komma åt. Segmenterade behörigheter i plattformar som Snowflake, Salesforce och Okta, kombinerat med kontinuerlig övervakning av ovanliga dataexporter, gör att en stulen inloggning inte automatiskt ger fri tillgång till hela kunddatabasen. Regelbunden sökning efter läckta API-nycklar och OAuth-tokens i egen kod, gärna med samma typ av verktyg som angriparna själva använder, täpper igen ett av de mest utnyttjade hålen i gruppens verktygslåda. Enisa lyfter identitetshantering och molnkonfiguration som återkommande riskområden i sina hotbildsrapporter för europeiska organisationer.
Vad händer härnäst: fem prognoser
- Fler svenska och nordiska hälso- och medtechbolag kommer sannolikt dyka upp på utpressningsgruppers läcksidor under resten av 2026, i takt med att SLH-alliansen fortsätter skala upp sin verksamhet.
- Om Elekta-intrånget bekräftas är det troligt att Integritetsskyddsmyndigheten öppnar en tillsyn, med en möjlig sanktionsavgift som följd beroende på vilken typ av data som visar sig vara berörd.
- Fler medicintekniska bolag kommer klassas som väsentliga entiteter under NIS2 i takt med att svenska myndigheter förtydligar tillämpningen för sjukvårdsnära leverantörer.
- Ytterligare gripanden av misstänkta SLH-medlemmar i Europa är sannolika under hösten 2026, men de väntas ha begränsad effekt på gruppens totala aktivitet så länge infrastruktur som shinysp1d3r finns kvar.
- Fler bolag väljer att inte betala lösensumman, vilket sannolikt leder till fler faktiska dataläckor på grupper som ShinyHunters läcksidor snarare än tysta uppgörelser bakom kulisserna.
Vanliga frågor om Elekta och ShinyHunters
Har Elekta bekräftat ett dataintrång?
Nej. Elekta AB har inte lämnat något offentligt uttalande om påståendet, och ingen tillsynsmyndighet, säkerhetsforskare eller nyhetsmedium har oberoende verifierat att något intrång faktiskt ägt rum. Det enda som finns är ShinyHunters egen notis på en läckplats.
Vad påstår ShinyHunters ha stulit från Elekta?
Notisen anger inte vilken typ av data eller hur många personer som skulle vara berörda. Den beskrivs enbart som “känslig information” i den ultimatumliknande varningen som publicerades den 28 augusti 2026.
Vem är ShinyHunters och sedan när är de aktiva?
ShinyHunters är en finansiellt motiverad grupp aktiv sedan omkring 2020, känd för att stjäla data och utpressa offer med hot om publicering. Gruppen ligger bland annat bakom 2024 års Snowflake-relaterade intrång hos Ticketmaster, Santander och AT&T.
Är ShinyHunters samma sak som Scattered Spider eller Lapsus$?
Inte ursprungligen, men i augusti 2025 gick de tre grupperna samman i en allians kallad Scattered Lapsus$ Hunters, SLH. De delar i dag infrastruktur och taktik även om de historiskt varit separata grupperingar.
Har Elekta haft liknande incidenter tidigare?
Ja. Bolaget drabbades 2021 av ett intrång i en molnbaserad plattform för onkologisk patientinformation som påverkade flera amerikanska sjukhus, vilket ledde till anmälningar och civilrättsliga processer i USA.
Vilka regler gäller om intrånget bekräftas?
Om personuppgifter är berörda gäller GDPR:s krav på anmälan till Integritetsskyddsmyndigheten inom 72 timmar. Beroende på Elektas klassificering under NIS2 kan även krav på incidentrapportering till relevant tillsynsmyndighet för samhällsviktig verksamhet aktiveras.
Är fler svenska bolag drabbade av liknande utpressningsförsök 2026?
Ja. Industribolaget Axson Teknik AB listades av gruppen thegentlemen den 7 augusti 2026 under liknande obekräftade omständigheter, och en separat granskning av svensk tillverkningsindustri räknade till 154 registrerade ransomware-offer i den branschen under 2026.
Vad bör hälso- och medtechbolag göra för att skydda sig?
Prioritera phishing-resistent multifaktorautentisering, strikta identitetskontroller vid supportsamtal, segmenterade behörigheter i molnplattformar och regelbunden sökning efter läckta API-nycklar. Det är de vägar in som ShinyHunters och liknande grupper faktiskt använt i sina senaste kampanjer.
